Ransomware: o backup só vale se recupera

Prevenir não basta. Precisa voltar

Durante anos a conversa de segurança girou em torno de impedir a entrada. Isso continua obrigatório. O que mudou é a velocidade e o método. Ataques usam identidade roubada, permanecem calados, aprendem onde está a cópia de segurança e só então criptografam. Se o backup cair junto, a prevenção já perdeu.

No Brasil isso não é teoria. Ransomware atravessa porte. Dupla extorsão — criptografar e vazar — faz a empresa pagar duas vezes: na operação parada e na exposição do dado. Restaurar o sistema e ainda assim notificar incidente é o cenário que a TI precisa ensaiar, não improvisar.

Backup que nunca foi restaurado é uma hipótese. Não é defesa.

O que o atacante faz com o seu backup

O grupo que chega com tempo não começa pelo arquivo do usuário. Começa pelo repositório de cópia, pela console de backup, pela conta privilegiada que consegue apagar retenção. Por isso “temos backup” é uma frase incompleta. A pergunta completa é: a cópia está fora do alcance da mesma identidade que administra o ambiente de produção?

Imutabilidade, retenção à prova de apagamento, cópia offsite, rede separada, MFA forte só na console de backup — isso não é luxo de data center. É a diferença entre recuperar e negociar.

Uma regra que ainda funciona — se for honesta

A regra clássica 3-2-1 ganhou dois acréscimos que 2026 tornou inegociáveis. Três cópias, dois tipos de mídia, uma fora do sítio. Mais: uma cópia imutável ou isolada, e zero erro no último teste de restauração. Sem o teste, os números são decoração.

• RPO — quanto dado a empresa admite perder, em tempo. Não em desejo: em lote, em transação, em arquivo.
• RTO — em quanto tempo a operação precisa voltar. Definido com o negócio na mesa, não só com a TI.
• Restore testado — restaurar de verdade, em ambiente separado, com data marcada, com ata. A cada ciclo.
• Identidade do backup — conta distinta, menor superfície, sem o mesmo IdP frouxo da estação do analista.

Backup não é disaster recovery. Backup recupera dado. DR recupera serviço — sítio, rede, DNS, lote, gente. Os dois se falam. Um não substitui o outro.

Pagar o resgate não é plano de continuidade

A decisão de pagar é jurídica, financeira e, em muitos casos, restrita. A obrigação técnica da TI é outra: conseguir não depender dessa decisão. Quem só tem a prevenção e uma fita que ninguém restaurou desde 2022 está a um login de distância do pior conselho.

Mesmo quando a restauração técnica funciona, o vazamento pode já ter saído. Integridade da operação e integridade do dado não são o mesmo incidente. O runbook precisa dos dois ramos: voltar a vender e tratar o que vazou.

O que observar na terça-feira, não no incidente

Liste os sistemas sem os quais a empresa para. Cruze com a última restauração real, não com a última janela “verde” no painel. Veja se o administrador de backup é o mesmo superadmin de tudo. Veja se a cópia imutável existe ou só foi prometida. Veja se o lote crítico volta numa ordem conhecida.

Continuidade é ensaio. Segurança que só existe no papel queima junto com o disco.

---

No Addere Tech Insights, backup não é checkbox. É a prova de que a informação volta — íntegra, no tempo do negócio, sem pedir licença ao atacante.