Blog / Segurança

Como o ransomware entra numa pequena empresa, e o que fecha essas portas?

Senha vazada, acesso remoto aberto, phishing e equipamento sem atualização: as entradas mais comuns e as medidas que fecham cada uma.

Publicado em outubro de 2026 pela 2F Soluções Tecnológicas, de São José do Rio Preto.

Numa segunda-feira de manhã, o computador do financeiro mostra uma mensagem em vez da planilha. Os arquivos estão criptografados e há um valor a pagar. Quase sempre, a primeira pergunta é como aquilo entrou. A resposta, na maior parte dos casos, é menos dramática do que se imagina: uma senha reaproveitada, uma porta aberta no roteador ou um equipamento que ninguém atualizou.

Entender o caminho é o que permite fechar as portas antes do dia em que a tela aparece. Este texto mostra por onde esse tipo de ataque costuma entrar numa empresa pequena, o que ele faz depois e quais medidas reduzem o risco, com base em fontes públicas.

Por onde o ataque entra: o ransomware quase nunca começa com um gênio da informática

Quem imagina o invasor como alguém quebrando uma defesa sofisticada erra o retrato. O guia de prevenção da CISA, agência de segurança cibernética dos Estados Unidos, agrupa os caminhos de entrada em poucas categorias, e todas são conhecidas.

Entre elas estão: serviços expostos à internet com falha ou configuração errada, credenciais comprometidas, phishing, um programa malicioso que abre a porta para outro e a invasão de um prestador de serviço da empresa.

O relatório Verizon DBIR mostra a mesma ideia em números. Segundo a Verizon, no DBIR 2026, a exploração de vulnerabilidades de software é a porta de entrada em 31% das violações cuja entrada foi identificada, à frente das senhas roubadas.

Na edição de 2025, o abuso de credenciais (22%) e a exploração de vulnerabilidades (20%) lideravam, entre todas as violações com vetor de entrada conhecido, não só as de ransomware.

A ordem muda de um ano para o outro. Nenhuma dessas portas exige talento do invasor: exige uma senha vazada ou um equipamento sem atualização.

Senha vazada e acesso remoto aberto: duas portas frequentes

A primeira porta é a credencial. Um funcionário usa a mesma senha do e-mail da empresa em um site qualquer, o site vaza, e o atacante testa essa combinação no e-mail corporativo, na VPN e no acesso remoto. Se não há segundo fator de confirmação, a senha sozinha basta.

A segunda porta é o acesso remoto deixado aberto para a internet. O guia da CISA é direto: não expor serviços como o RDP, o acesso remoto do Windows, diretamente na web. Quando o acesso for indispensável, o guia pede controles extras: fechar as portas que não são usadas, bloquear a conta depois de tentativas de login que falham e registrar essas tentativas.

Em uma pequena empresa, isso costuma nascer de uma boa intenção. Alguém precisou acessar o servidor de casa, liberou uma porta no roteador e nunca mais revisou. A porta fica lá meses, recebendo tentativas de senha de qualquer lugar do mundo.

O invasor não precisa arrombar a porta quando alguém deixa a chave debaixo do tapete: senha reaproveitada e acesso remoto exposto são o tapete.

Phishing e equipamento desatualizado: as portas que parecem outro problema

O phishing continua na lista da CISA. Um e-mail que imita a transportadora, o banco ou o fornecedor leva alguém a abrir um anexo ou digitar a senha em uma página falsa. Em clínicas, escritórios contábeis e imobiliárias, onde se recebe documento de gente desconhecida o dia inteiro, abrir anexo faz parte do trabalho, e por isso o risco é real.

Já o equipamento desatualizado entra pela exploração de vulnerabilidades, o vetor que, no DBIR 2026, já responde por 31% das entradas identificadas.

Roteador, firewall e VPN ficam voltados para a internet e, quando o fabricante publica uma correção e ninguém aplica, a falha conhecida vira entrada. O guia da CISA pede atualizar sistemas e programas com regularidade, começando pelos servidores e equipamentos expostos à internet.

O que o ataque faz depois de entrar

Entrar é só o começo. Com a conta de um funcionário em mãos, o invasor procura o que mais existe na rede: servidores de arquivos, o computador do financeiro, as pastas compartilhadas e o backup. Quanto mais a rede for uma coisa só, em que todo computador enxerga todos os outros, mais longe ele chega.

É por isso que o guia da CISA recomenda a segmentação da rede, por meios lógicos ou físicos, para conter a invasão e limitar o movimento lateral. Em termos simples, segmentar é dividir a rede em salas com porta própria. Se o invasor entra no Wi-Fi de visitantes ou no computador da recepção, ele não deveria enxergar o servidor onde ficam os dados dos clientes.

Só no fim vem a criptografia dos arquivos e a mensagem de resgate, o momento em que a empresa percebe o problema. Até lá, o invasor já teve tempo de olhar a rede.

O que o ransomware faz com o seu backup

Quem já pensou no problema costuma responder que tem backup. O guia da CISA explica por que isso nem sempre basta: as variantes de sequestro de dados tentam apagar ou criptografar os backups que encontram acessíveis. Um HD externo plugado no servidor, uma pasta de rede mapeada ou uma nuvem sincronizada com o computador entram no pacote.

Por isso o guia recomenda manter cópias de segurança criptografadas e offline dos dados críticos, e testar a restauração com regularidade. Uma cópia que o invasor não alcança e que já foi restaurada ao menos uma vez em teste pode ser o que permite voltar a operar sem pagar o resgate.

Nosso artigo sobre backup corporativo detalha como montar essa rotina. Aqui o ponto é outro: o backup é a última linha de defesa, não a primeira.

Backup que fica ligado na mesma rede pode ser criptografado junto com os dados. A cópia que salva a empresa é a que o invasor não alcança.

Quanto custa se nada disso for feito

Segundo a Verizon, o DBIR 2026 registra esse tipo de ataque em 48% das violações; no de 2025, eram 44%. O relatório de 2025 inclui nessa conta tanto o caso em que os arquivos são criptografados quanto o de extorsão pura, sem criptografia.

O DBIR 2025 diz que esse tipo de ataque pesa mais sobre quem é pequeno: aparece em 39% das violações das organizações maiores e em 88% das violações das pequenas e médias empresas.

No DBIR 2025, a mediana dos resgates pagos foi de US$ 115.000 e 64% das vítimas não pagaram.

Os números dizem duas coisas. A primeira é que o problema é frequente. A segunda é que pagar não é o caminho da maioria, o que torna a recuperação própria, com backup que funciona, a decisão que mais pesa no resultado. Quem não paga precisa ter para onde voltar.

O custo de uma parada também não se limita ao resgate. Atendimento suspenso, nota fiscal que não sai, agenda que some e dados de clientes expostos, o que ainda abre a conversa sobre a LGPD, que já tratamos em outro artigo.

Cinco medidas que fecham essas portas

Várias delas custam pouco ou nada, e todas aparecem nas orientações da CISA. A ordem abaixo vai do que reduz mais risco por menos esforço ao que exige um pouco mais de projeto.

Há ainda uma sexta medida que não é técnica: combinar com a equipe o que fazer ao ver uma tela de resgate. Tirar o computador da rede e avisar o responsável antes de clicar em qualquer coisa evita que o problema se espalhe enquanto alguém decide o que fazer.

Por onde começar sem gastar muito

Para uma empresa de 5 a 30 pessoas, a ordem prática é a seguinte. Primeiro, ativar o segundo fator no e-mail. Depois, conferir no roteador se existe alguma porta aberta para a internet que ninguém sabe explicar. Em seguida, olhar a versão do firmware dos equipamentos principais e, por fim, fazer uma restauração de teste do backup.

São quatro tarefas que não exigem comprar equipamento e atacam justamente as portas que o DBIR e a CISA apontam. Segmentar a rede e rever o firewall são etapas de projeto, e é nelas que um diagnóstico técnico ajuda: alguém olha a rede inteira, lista o que está exposto, o que enxerga o quê e onde está a cópia de segurança.

Em São José do Rio Preto, a 2F Soluções Tecnológicas faz esse diagnóstico para empresas da região. Ele não substitui as medidas acima: serve para descobrir quais delas a sua rede ainda não tem.

Tecnologia não deve ser improvisada. Deve ser planejada, documentada e mantida de forma contínua. É assim que a infraestrutura vira um ativo — não um passivo.