Durante anos, o conselho contra ransomware foi simples: tenha backup, e você nunca precisa pagar. Os atacantes entenderam o recado, e relatos recentes mostram grupos de ransomware fazendo o óbvio para eles e assustador para nós: antes de cifrar os dados, eles procuram e destroem os backups. Apagam as cópias, limpam os catálogos, sabotam a sua única rota de fuga sem pagar.
Isso muda o jogo. Se o backup era o seu plano B, ele virou o primeiro alvo do atacante. Ter backup deixou de bastar; agora é preciso ter backup que o atacante não consiga destruir.
Por que o backup virou alvo prioritário
A lógica do atacante é fria e correta. O resgate só é pago por quem não tem alternativa. Quem consegue restaurar os dados de um backup simplesmente não paga, limpa as máquinas e segue a vida. Logo, para o ransomware dar dinheiro, o backup precisa ser inutilizado antes.
Por isso os grupos passaram a incluir, na fase de reconhecimento dentro da rede, a caça aos backups. Eles procuram onde as cópias estão, se têm acesso a elas, e as apagam junto com o resto. Quando a vítima percebe o ataque, descobre que o plano B já foi para o espaço.
O backup que resiste ao atacante
A defesa é tornar o backup inatingível mesmo para quem domina a rede. Três propriedades fazem isso, e vale medir o seu backup contra elas:
| Propriedade | O que ela garante |
|---|---|
| Isolado | O backup não fica ao alcance direto da rede que pode ser comprometida |
| Imutável | Uma vez gravado, não pode ser alterado nem apagado por um tempo definido |
| Fora da linha | Ao menos uma cópia desconectada, que o atacante na rede não enxerga |
A imutabilidade é a estrela aqui. Um backup que, depois de gravado, não pode ser apagado por ninguém, nem por um administrador comprometido, nem pelo próprio ransomware, resiste justamente ao ataque que mira destruí-lo.
A regra de sempre, reforçada
Nada disso aposentou o conselho clássico que detalhei em backup na regra três, dois, um: várias cópias, em mídias diferentes, uma delas fora do local. O que o novo cenário acrescenta é a ênfase: a cópia isolada e imutável deixou de ser luxo e virou a que realmente salva, porque é a única que o atacante não consegue apagar de dentro.
E continua valendo a regra mais esquecida: backup que ninguém testou não é backup, é esperança. Só restaurando de verdade, de tempos em tempos, você descobre se a cópia presta antes de precisar dela no pior dia.
Backup é parte da resposta, não um canto esquecido
O ataque ao backup conecta dois temas que eu trato separados: a cópia de segurança e o plano de resposta a ransomware. Se o atacante caça backups na fase de reconhecimento, então proteger o backup faz parte de conter o ataque, não é um assunto à parte da equipe de infraestrutura.
A mensagem final é dura e útil: pare de tratar o backup como uma gaveta esquecida que roda sozinha. Ele é o alvo número um de quem quer te extorquir. Um backup isolado, imutável e testado é, hoje, a diferença entre restaurar na segunda-feira e negociar com criminoso. Os atacantes já sabem disso. A defesa precisa saber também.