O que é ransomware? Veja como funciona essa ameaça cibernética

Ransomware é um tipo de malware que bloqueia o acesso de usuários a dados ou sistemas, deixando-os inacessíveis. Ele criptografa geralmente os arquivos da vítima e exige o pagamento de um resgate para restaurar o acesso.

A infecção por ransomware costuma ocorrer via e-mails de phishing ou pela exploração de vulnerabilidades em softwares. Uma mensagem é enviada para a vítima após o sequestro dos dados, tornando-os inacessíveis até o pagamento do resgate, o que pode paralisar operações essenciais em empresas.

Grandes ataques de ransomware incluem o WannaCry, que afetou hospitais britânicos em 2017, e o DarkSide, responsável pela paralisação do oleoduto da Colonial Pipeline em 2021. Esses incidentes destacam o impacto que essa categoria de malware pode causar em empresas e indivíduos comuns.

Entenda melhor o que é ransomware, como ele funciona, os diferentes tipos e como se proteger desses ataques cibernéticos.

O que é ransomware?

Ransomware é uma categoria de malware que bloqueia o acesso a dados ou sistemas, criptografando arquivos ou impedindo o uso do dispositivo da vítima. Então, cibercriminosos exigem um resgate para restaurar o acesso aos conteúdos.

O que significa ransomware?

Ransomware é a combinação das palavras em inglês “Ransom” (resgate, em português) e software. Ou seja, um software malicioso que exige um resgate para encerrar o ataque cibernético.

Qual a função do ransomware?

O objetivo de um ransomware é impedir o acesso da vítima a arquivos, sistemas ou redes, mantendo os dados como reféns. Então, os invasores exigem um pagamento para restaurar o acesso e liberar as informações.

Essa interrupção traz riscos aos usuários e empresas, que podem ter as operações e atividades paralisadas. As vítimas também enfrentam a dupla extorsão, quando os criminosos ameaçam vazar os dados sensíveis caso o resgate não seja efetuado.

Um ataque de ransomware pode ter consequências graves para a reputação de grandes empresas, especialmente se os dados confidenciais de clientes forem comprometidos. Além disso, elas podem ser punidas com consequências legais e multas devido às violações de dados e falhas de segurança.

Como funciona o ransomware

Um ataque de ransomware geralmente começa com a infiltração, que pode ocorrer por meio de e-mails de phishing com anexos maliciosos ou download de software comprometido. Os invasores também podem explorar falhas em sistemas e redes para iniciar a ação.

O malware se espalha pela rede em um movimento lateral após a infiltração, buscando por dados e sistemas valiosos. Os atacantes priorizam dados como credenciais de login, informações pessoais e propriedade intelectual, que podem ser usados para uma dupla extorsão (ameaça de vazamento ou exclusão definitiva dos dados).

Com os dados identificados e copiados para servidores externos, o ransomware inicia a fase de criptografia. O malware bloqueia o acesso aos arquivos ou ao próprio sistema, tornando-os indisponíveis para a vítima e realizando o sequestro dos dados.

Por fim, os invasores enviam uma nota de resgate, informando sobre o ataque e as condições de pagamento para descriptografar os arquivos ou liberar o dispositivo. O prazo curto para o resgate visando coagir a vítima e o pagamento em criptomoedas para dificultar o rastreamento são algumas características comuns da ação dos invasores.

Quais são os tipos de ransomware?

Os ataques de ransomware são divididos em quatro categorias gerais:

• Ransomware criptográfico: este ataque realiza a criptografia dos dados da vítima, que são liberados apenas após o pagamento de um resgate pela chave de descriptografia;
• Ransomware de bloqueio de tela: este tipo de ataque impõe o bloqueio total do dispositivo, impedindo o acesso ao sistema operacional e exibindo uma tela de resgate para liberar a máquina;
• Scareware: usando engenharia social, este ataque assusta a vítima para que ela adquira um software de segurança falso que, na verdade, contém malware para o sequestro de dados;
• Ransomware-as-a-Service (RaaS): neste modelo, um indivíduo adquire um pacote completo de ransomware para atacar vítimas, dividindo os lucros do resgate com o provedor do RaaS.

Quais são os ataques de ransomware mais conhecidos?

Estes são alguns dos casos mais notórios de ataques de ransomware que geraram grande impacto:

• CDK Global (junho de 2024): ataque que paralisou 15 mil concessionárias de veículos nos EUA e Canadá, impedindo vendas e acesso a estoques, resultando em um prejuízo estimado em US$ 1 bilhão para a empresa de software do setor automotivo;
• Synnovis (junho de 2024): a prestadora de serviços de patologia e laboratório no Reino Unido teve todos os sistemas criptografados e mais de 400 GB de dados confidenciais vazados, interrompendo atendimento e gerando transtorno na saúde pública;
• Ascension (maio de 2024): o sistema de saúde foi alvo do grupo Black Basta, comprometendo registros médicos eletrônicos e sistemas de atendimento ao paciente, com um custo estimado de US$ 1,3 bilhão em danos;
• Cassinos Caesars e MGM (setembro de 2023): as redes cassino de Las Vegas perderam acesso à infraestrutura de TI, incluindo máquinas de apostas, devido a um ataque do grupo ALPHV/Black Cat que explorou uma vulnerabilidade na plataforma NCR Aloha;
• Costa Rica (abril de 2022): o grupo Conti lançou um ataque contra instituições governamentais, impactando diversos ministérios e serviços públicos. Os efeitos da ação se estenderam por semanas, mesmo após a interrupção de alguns sistemas;
• Colonial Pipeline (maio de 2021): ataque que interrompeu as operações do maior sistema de oleoduto dos EUA, afetando severamente a distribuição de combustível no sudeste do país e causando escassez em diversas cidades;
• JBS USA (maio de 2021): a fabricante de carne teve as operações nos EUA temporariamente paralisadas após um ataque de ransomware-as-a-service do grupo REvil, levando ao pagamento de um resgate de US$ 11 milhões em Bitcoin;
• Serviço Nacional de Saúde do Reino Unido (maio de 2017): o NHS foi uma das vítimas globais do ransomware WannaCry, comprometendo hospitais e farmácias na Inglaterra e Escócia e atrasando o atendimento de milhares de pacientes.

O que fazer ao sofrer um ataque ransomware?

A primeira medida crucial ao enfrentar um ataque ransomware é isolar imediatamente o sistema ou dispositivo infectado. Desconecte-o de qualquer rede, seja por cabo, Wi-Fi ou Bluetooth, para conter a propagação do malware e minimizar os danos.

Em seguida, faça uma análise detalhada dos impactos, identificando quais arquivos foram criptografados e quais sistemas ou dispositivos foram bloqueados. É essencial também localizar o “Paciente Zero”, o ponto inicial da infecção, para tentar descobrir qual vulnerabilidade foi explorada no ataque e reforçar as defesas.

Documente todas as informações e contate as autoridades especializadas em crimes cibernéticos. Eles fornecerão as diretrizes para a recuperação ou descriptografia dos dados e auxiliarão na investigação para identificar os responsáveis pelo ataque.

Por que não se deve pagar a recompensa de um ataque ransomware?

As autoridades especializadas em crimes cibernéticos citam que o pagamento do resgate de ransomware não assegura a recuperação dos dados ou o acesso aos sistemas. Há diversos casos em que, mesmo após o pagamento, os criminosos não cumprem o acordo, deixando as vítimas com o dobro de prejuízo.

Além disso, os resgates financiam e encorajam os grupos hackers a continuar as atividades ilícitas, aumentando a frequência e a sofisticação dos ataques. Essa prática também estimula outros criminosos a entrarem nesse tipo de crime, mantendo o ciclo de extorsão digital.

Como evitar ataques ransomwares

É essencial adotar práticas de segurança no dia a dia para se proteger de ataques de ransomware e outros crimes cibernéticos. Veja como minimizar os riscos de ser uma vítima:

• Mantenha sistemas e dispositivos atualizados: sempre instale as atualizações de software e hardware. Elas incluem patches de segurança que corrigem vulnerabilidades, impedindo que invasores explorem falhas do sistema;
• Adote softwares de segurança: use antimalware, firewalls e ferramentas de monitoramento. Esses programas reforçam a proteção da rede e sistema, realizando escaneamentos rotineiros para interceptar ameaças em tempo real;
• Use senhas fortes e exclusivas: crie senhas longas e complexas, combinando letras maiúsculas e minúsculas, números e caracteres especiais. Nunca reutilize senhas entre contas e troque-as regularmente para maior segurança;
• Ative a autenticação de dois fatores (2FA): habilite o 2FA em todas as contas online importantes. Isso adiciona uma camada extra de proteção, garantindo a segurança mesmo se a senha for comprometida;
• Realize backups frequentes e isolados: salve dados sensíveis e imagens do sistema regularmente em locais seguros e desconectados da rede. Assim, em caso de ataque, é possível restaurar os dados sem precisar pagar o resgate;
• Treine a equipe em segurança cibernética: empresas devem capacitar funcionários para reconhecer e evitar ataques de phishing, engenharia social e outras táticas. Isso minimiza significativamente o risco de infecções por malware;
• Implemente filtros de e-mail e web: use soluções que filtram e-mails maliciosos e bloqueiam acesso a sites perigosos. Essa medida preventiva pode impedir o acesso a links ou anexos infectados por ransomware;
• Crie um plano de resposta a incidentes: empresas devem ter um plano claro com funções e responsabilidades definidas para a equipe de TI, oferecendo uma ação rápida e coordenada em caso de ransomware e minimizando os impactos nas operações.

Qual é a diferença entre ransomware e malware?

Ransomware é um tipo específico de malware que visa bloquear o acesso a dados ou sistemas, geralmente criptografando arquivos importantes. Os criminosos exigem um pagamento de um resgate para restabelecer o acesso, caso contrário, os dados podem ser perdidos ou comprometidos de forma permanente.

Malware é um termo abrangente para qualquer software malicioso criado para causar danos, obter acesso não autorizado ou explorar vulnerabilidades de sistemas de computador. Ele engloba diversas ameaças, como vírus, worms, spyware, trojans e ransomware, cada um com métodos e objetivos distintos.

Qual é a diferença entre ransomware e phishing?

Ransomware é um tipo de software malicioso que criptografa os arquivos do usuário ou bloqueia o acesso a sistemas e dispositivos. Os criminosos exigem um pagamento, geralmente em criptomoedas, em troca da chave de descriptografia para restabelecer o acesso.

Phishing é uma técnica de engenharia social onde golpistas se passam por entidades confiáveis, como bancos ou órgãos governamentais, para enganar as vítimas. O funcionamento do phishing envolve o envio de e-mails ou SMS falsos para roubar informações confidenciais, como senhas e dados bancários, ou induzir a instalação de outros malwares.