Quando cerca de 140 hospitais voltam ao papel
Em maio de 2024, a Ascension, uma das maiores redes hospitalares dos Estados Unidos, com cerca de 140 hospitais, comunicou publicamente ter sido alvo de um ataque de ransomware e precisou colocar sistemas críticos fora do ar para conter o incidente (BleepingComputer). Ransomware é o tipo de ataque em que criminosos criptografam dados e sistemas da vítima e exigem pagamento para devolver o acesso, quase sempre combinado com a ameaça de vazar as informações roubadas.
De acordo com os comunicados da própria organização e a cobertura da imprensa especializada, o prontuário eletrônico ficou indisponível por semanas, obrigando equipes clínicas a retomar registros em papel, e parte das ambulâncias foi desviada para outras unidades enquanto os sistemas eram restabelecidos. Em uma operação desse porte, isso significa reescrever à mão fluxos que levaram anos para serem digitalizados, com impacto direto em prazos, custos e confiança.
Em dezembro de 2024, a Ascension informou que dados de saúde de aproximadamente 5,6 milhões de pessoas foram acessados indevidamente durante o incidente (BleepingComputer). A investigação divulgada pela própria empresa indicou que o acesso inicial teria ocorrido após o download acidental de um arquivo malicioso por um colaborador, ou seja, a partir de um evento cotidiano dentro de qualquer estrutura que depende de pessoas e computadores.
Para o decisor, o valor desse caso está na escala e nas perguntas que ele levanta sobre a própria operação. Segundo o relatório Cost of a Data Breach 2024, da IBM, o custo médio global de uma violação de dados foi de US$ 4,88 milhões, e no setor de saúde a média chegou a US$ 9,77 milhões por incidente. Uma organização com receita bilionária e equipe de segurança dedicada passou semanas operando em contingência, o que diz muito sobre o que acontece com estruturas menores quando as camadas de proteção não foram desenhadas para o pior dia.
Os vetores que incidentes como esse costumam explorar
Embora os detalhes internos do incidente não sejam públicos, ataques como este geralmente exploram vetores conhecidos, e o primeiro deles é o phishing e a engenharia social, isto é, mensagens fraudulentas que induzem uma pessoa a clicar, baixar um arquivo ou entregar credenciais. O relatório Data Breach Investigations Report 2024, da Verizon, aponta que 68% das violações analisadas envolveram um elemento humano não malicioso, como erro ou queda em um golpe. Na prática, é o financeiro recebendo um falso boleto de fornecedor, o RH abrindo um currículo em anexo ou um usuário instalando o que parece ser uma atualização legítima do navegador.
O segundo vetor é a combinação de credenciais comprometidas com falta de segmentação de rede. Quando um único acesso válido permite alcançar servidor de arquivos, sistema de gestão, hipervisor de virtualização e repositório de backup dentro da mesma rede plana, o invasor deixa de precisar de novas invasões e passa apenas a circular. Segmentar significa dividir o ambiente em zonas com regras claras de tráfego entre elas, de modo que a estação comprometida de um usuário administrativo não enxergue diretamente os servidores que sustentam a operação.
O terceiro vetor é a ausência de monitoramento proativo contínuo. Grupos de ransomware costumam permanecer dias ou semanas dentro do ambiente antes de disparar a criptografia, período usado para mapear a rede, escalar privilégios e localizar as cópias de segurança. Sem alguém observando sinais como criação de contas administrativas fora do padrão, desativação de ferramentas de segurança ou volumes anormais de dados saindo da rede, a primeira evidência concreta do ataque tende a ser a tela de resgate.
O que você pode fazer para proteger sua estrutura
A primeira camada é a proteção de endpoint com EDR (Endpoint Detection and Response, detecção e resposta em terminais), tecnologia que observa comportamento em vez de depender apenas de assinaturas de vírus já conhecidos. Quando um processo começa a criptografar arquivos em massa, tenta apagar cópias de sombra do sistema ou injeta código em um processo legítimo, a ferramenta isola aquele equipamento da rede em segundos e preserva o restante do ambiente. É essa reação automatizada, somada à análise humana que interpreta o alerta, que sustenta um serviço maduro de cibersegurança gerenciada.
A segunda camada é o backup isolado, criptografado e testado com regularidade. A regra prática segue o modelo 3-2-1: três cópias dos dados, em dois tipos de mídia, com pelo menos uma fora do alcance da rede de produção e preferencialmente imutável, ou seja, gravada de forma que não possa ser alterada nem apagada dentro de um período definido. Backup que nunca foi restaurado em teste permanece no campo das hipóteses, e a diferença entre hipótese e capacidade aparece justamente no dia em que a operação depende de backup e recuperação de desastres com RTO (Recovery Time Objective, tempo máximo aceitável até a volta do serviço) e RPO (Recovery Point Objective, volume máximo aceitável de dados perdidos) definidos por escrito.
A terceira camada reúne higiene de acesso e redução de superfície: gestão contínua de patches e vulnerabilidades, autenticação multifator (MFA) em acessos remotos, e-mail e VPN, além da segmentação que separa usuários, servidores e repositórios de backup. Correções de segurança aplicadas dentro de janelas curtas fecham exatamente as portas exploradas por campanhas automatizadas que varrem a internet em busca de sistemas expostos e desatualizados.
A quarta camada é a que sustenta todas as outras, formada por pessoas e processo. Treinamento contínuo de usuários, com simulações periódicas de phishing e retorno individual, reduz a probabilidade do clique inicial, enquanto um plano de resposta a incidentes documentado e testado define quem decide desligar o quê, quem fala com clientes e autoridades e em qual ordem os sistemas retornam. Em mercados regulados por GDPR e LGPD, esse mesmo plano determina se a comunicação obrigatória ocorrerá dentro do prazo legal.
Perguntas que todo decisor deveria se fazer agora
- Meus backups realmente funcionariam num desastre como esse? Em quanto tempo minha operação volta ao ar?
- Minha equipe conta com as ferramentas certas para identificar e bloquear um ataque como esse de forma imediata, antes de causar todo o desastre? Como estou investindo no preparo da minha equipe técnica?
- Quanto tempo minha empresa sobreviveria sem acesso aos sistemas e arquivos?
Meus backups realmente funcionariam num desastre como esse? Em quanto tempo minha operação volta ao ar?
A resposta depende de evidência documental. Um backup confiável tem cópia isolada da rede de produção, credenciais próprias, criptografia em repouso e um teste de restauração registrado com data, escopo e duração. Sem o registro do último teste bem-sucedido e do tempo que ele consumiu, a organização não tem um RTO, tem uma expectativa. Em ambientes de TI gerenciada, essa validação vira rotina agendada, com relatório periódico mostrando o que foi restaurado e em quanto tempo, e é esse histórico que sustenta uma decisão de continuidade sob pressão.
Minha equipe conta com as ferramentas certas para bloquear um ataque como esse de forma imediata?
Ferramenta e preparo caminham juntos. Detecção e resposta em terminais, monitoramento proativo contínuo com alertas priorizados e uma trilha de logs centralizada dão ao time a chance de agir enquanto o invasor ainda está na fase de reconhecimento, muito antes da criptografia. O preparo aparece no orçamento, em horas de treinamento formal, simulações de resposta, revisão de manuais de contingência e acesso a inteligência de ameaças. Equipes internas enxutas costumam ganhar produtividade ao operar com uma retaguarda especializada que faz a triagem contínua dos alertas e devolve contexto pronto para decisão.
Quanto tempo minha empresa sobreviveria sem acesso aos sistemas e arquivos?
Essa é a pergunta que converte segurança em número. Calcule receita por hora, custo de folha ociosa, penalidades contratuais e o esforço de reconstruir manualmente aquilo que o sistema fazia sozinho, depois compare com o tempo de recuperação que sua estrutura consegue comprovar em teste. Se a operação tolera poucas horas de indisponibilidade e o plano atual entrega dias, existe uma lacuna mensurável, e é ela que deve definir a prioridade de investimento em segurança, redundância e resposta a incidentes.
Se a sua empresa ainda não conta com uma estratégia integrada de proteção em camadas, considere realizar um Diagnóstico Estratégico de TI, sem compromisso, para identificar vulnerabilidades antes que elas virem manchete.
Perguntas frequentes
O que é um backup imutável e por que ele importa contra ransomware?
Backup imutável é uma cópia gravada de forma que não pode ser alterada nem apagada durante um período definido, mesmo por quem possui credenciais administrativas. Ele importa porque grupos de ransomware procuram os repositórios de cópias antes de disparar a criptografia, justamente para eliminar a alternativa à negociação. Uma cópia imutável e isolada da rede de produção preserva a capacidade de restaurar sem depender do atacante.
Quanto tempo um invasor costuma permanecer na rede antes de disparar o ransomware?
Ataques de ransomware raramente começam com a criptografia. É comum que o invasor permaneça dias ou semanas dentro do ambiente mapeando a rede, escalando privilégios e localizando backups antes de agir. Esse intervalo é a janela de detecção, e é ela que o monitoramento proativo contínuo e as ferramentas de detecção e resposta em terminais existem para aproveitar.
Treinamento de usuários reduz de fato o risco de um ataque desse tipo?
Sim, quando é contínuo e mensurado. O relatório Data Breach Investigations Report 2024, da Verizon, aponta que 68% das violações analisadas envolveram um elemento humano não malicioso, como erro ou queda em um golpe de engenharia social. Programas com simulações periódicas de phishing, retorno individual e indicadores acompanhados ao longo do tempo reduzem a taxa de cliques e encurtam o tempo até alguém reportar uma mensagem suspeita.