Backup em nuvem contra ransomware: como não perder dados

Quando o ransomware ataca, ele criptografa seus arquivos e exige resgate para devolvê-los. Nesse momento, só uma coisa salva a empresa sem pagar o criminoso: um backup em nuvem que realmente funciona — isolado do ataque e testado antes de precisar dele. O problema é que o backup comum, aquele HD externo ou pasta de rede sempre conectada, muitas vezes é sequestrado junto com o resto. Veja como montar uma estratégia de backup que protege sua empresa de verdade.

Por que o backup comum não salva do ransomware

Se o seu backup vive conectado ao mesmo computador, servidor ou rede do dia a dia, ele é a primeira vítima do ataque. O ransomware moderno também procura, ativamente, pastas de backup, unidades de rede mapeadas e sistemas de backup na nuvem acessados com credenciais roubadas. Se encontrar, destrói ou embaralha tudo.

Por isso, ter uma cópia dos dados não é suficiente. A cópia precisa estar fora do alcance do ataque — em outro lugar, com outro tipo de acesso, protegida contra alteração.

A regra 3-2-1: a base de qualquer backup sério

É aqui que entra a regra 3-2-1, recomendada há anos por referências de segurança como o CERT.br, o centro brasileiro de estudos e resposta a incidentes de segurança:

• 3 cópias dos dados (o original mais duas cópias);
• 2 tipos diferentes de mídia ou sistema de armazenamento (por exemplo, um servidor local e a nuvem);
• 1 cópia fora do ambiente da empresa (off-site), longe do alcance de um ataque que aconteça no seu escritório.

É uma regra simples de explicar e poderosa na hora do aperto. O CERT.br reforça algo direto sobre o motivo de ela existir: se o equipamento for infectado, a única garantia de acessar os arquivos de novo é ter backups atualizados guardados em outro lugar. Pagar o resgate não garante recuperar nada — e muitas vezes nem devolve os dados.

O papel da nuvem: o seu 1 fora do ambiente

Na prática, a nuvem costuma ser a forma mais simples de cumprir o 1 da regra 3-2-1. Em vez de depender de alguém levar um HD para casa toda sexta-feira, a cópia sobe automaticamente para um data center fora da sua rede, sem depender de memória humana.

Mas atenção: nuvem sozinha não basta se o acesso a ela estiver sempre aberto, com as mesmas credenciais usadas no dia a dia. Se um invasor rouba a senha de um funcionário e essa senha também abre o backup na nuvem, o isolamento vira ilusão. Por isso, contas e permissões do backup em nuvem devem ser separadas do acesso comum — e protegidas com autenticação em duas etapas.

Veja também nosso post sobre se o backup corporativo em nuvem vale a pena.

Backup isolado e imutável: o padrão que realmente resiste

O padrão de proteção mais moderno vai além da nuvem comum: usa cópias imutáveis, que não podem ser alteradas nem apagadas por um período definido, nem mesmo por quem tem acesso administrativo à conta. Assim, mesmo que um criminoso consiga as credenciais de um administrador, ele não destrói essa cópia antes do prazo travado.

Guias internacionais de referência, como o material do CISA (a agência de cibersegurança do governo dos Estados Unidos), recomendam justamente isso: manter ao menos uma cópia de backup off-line ou imutável, desconectada da rede corrente, e testá-la com regularidade. É esse detalhe que separa um susto de uma tragédia.

Vale ler também sobre como reduzir o risco de ransomware em empresas e sobre proteção contra ransomware para empresas.

RPO e RTO: os dois números que decidem sua recuperação

Na hora de desenhar o backup, dois conceitos do glossário de TI ajudam a colocar números concretos na conversa:

• RPO (Recovery Point Objective): quanto de dado você aceita perder. Se o backup roda a cada 24 horas, o RPO é de até um dia de trabalho.
• RTO (Recovery Time Objective): em quanto tempo a empresa volta a operar depois de um incidente. Uma hora? Um dia? Uma semana?

Sem definir esses dois números com o time de TI, a empresa só descobre a resposta real no meio de uma crise — momento em que qualquer prazo parece longo demais.

Teste de restauração: o passo que quase todo mundo pula

Backup que nunca foi restaurado não é backup — é esperança. É comum a empresa configurar o backup, ver a luz verde de sucesso todos os dias e nunca, de fato, tentar trazer os arquivos de volta. Só que alguns problemas — arquivo corrompido, permissão errada, cópia incompleta — só aparecem na hora da restauração.

Marque uma data no calendário, algumas vezes por ano, para restaurar uma amostra real dos dados. É o único jeito de saber, antes de precisar, se o RPO e o RTO combinados no papel valem alguma coisa na prática.

Erros comuns que colocam o backup em risco

Alguns hábitos parecem inofensivos, mas enfraquecem toda a estratégia:

• Usar a mesma senha do dia a dia para acessar o backup na nuvem;
• Deixar o backup mais recente sempre acessível, sem nenhuma cópia isolada ou imutável;
• Confiar só na palavra do fornecedor de backup, sem nunca testar uma restauração real;
• Não ter um plano escrito de quem faz o quê nas primeiras horas de um ataque.

Esses erros costumam andar junto com outra porta de entrada comum do ransomware: o phishing por e-mail. Vale reforçar a equipe com boas práticas — temos um post sobre como proteger a equipe contra phishing.

Checklist rápido de backup contra ransomware

1. Backup automático, sem depender de alguém lembrar de rodar;
2. Pelo menos uma cópia fora do ambiente (nuvem, com acesso separado);
3. Cópias isoladas ou imutáveis, fora do alcance de um invasor com credenciais roubadas;
4. Teste de restauração com data marcada no calendário;
5. RPO e RTO definidos e conhecidos por quem decide na empresa.

Como a Verum ajuda nisso

Montar essa estrutura sozinho, sem um time de TI dedicado a acompanhar, é onde a maioria das PMEs tropeça: o backup existe, mas ninguém garante que está isolado, testado e pronto para o pior dia. É esse acompanhamento que fazemos na Verum — configurar, monitorar e testar o backup em nuvem da sua empresa, para que ransomware não vire uma emergência sem plano.

Conclusão

Contra ransomware, o backup certo é a diferença entre um susto e uma tragédia. Automático, isolado, testado e com números claros de RPO e RTO — assim você dorme tranquilo. Conheça a página de segurança digital e backup e a terceirização de TI da Verum, ou fale com a gente para revisar o backup da sua empresa.

Perguntas frequentes

Backup comum protege contra ransomware?
Nem sempre. Se o backup fica sempre conectado ao ambiente, com as mesmas credenciais do dia a dia, o ransomware pode alcançá-lo e destruí-lo junto com o resto. É preciso ao menos uma cópia isolada e, idealmente, imutável.

O que é a regra 3-2-1 de backup?
Três cópias dos dados, guardadas em dois tipos diferentes de mídia ou sistema, com uma cópia fora do ambiente da empresa. É a base recomendada por referências de segurança como o CERT.br para qualquer estratégia de backup confiável.

O que é um backup imutável e por que ele importa contra ransomware?
É uma cópia que não pode ser alterada nem apagada por um período definido, nem mesmo por quem tem acesso administrativo. Isso impede que um invasor com credenciais roubadas destrua o backup antes da empresa conseguir restaurar os dados.

O que são RPO e RTO na recuperação de dados?
RPO é quanto de dado a empresa aceita perder em um incidente, como as últimas 24 horas. RTO é em quanto tempo a empresa volta a operar normalmente depois do ataque. Os dois números orientam como o backup deve ser desenhado.

Com que frequência a empresa deve testar a restauração do backup?
Algumas vezes por ano, com data marcada, restaurando uma amostra real dos dados. Um backup que nunca foi restaurado pode falhar justamente no momento em que a empresa mais precisa dele.