Os ataques de ransomware não são mais um problema reservado às grandes corporações com orçamentos robustos e equipes de segurança dedicadas. Segundo Michael Sjøberg e Peter Skovbo, da Delta Crisis, as empresas de médio porte, espinha dorsal de muitas economias nacionais, estão cada vez mais se vendo paralisadas por atacantes que criptografam sistemas críticos e exigem pagamento para restaurar o acesso. Suas orientações, publicadas via Handelsblatt, oferecem uma rara visão interna de como as empresas realmente negociam com extorsionários cibernéticos e quais medidas podem reduzir os danos antes mesmo de um ataque ocorrer.
Por Que as Empresas de Médio Porte São o Novo Alvo
Por anos, as manchetes sobre ransomware focaram em hospitais, agências governamentais e corporações multinacionais. Esse cenário está mudando. Os atacantes perceberam que empresas menores e de médio porte muitas vezes não têm as defesas em camadas das grandes corporações, mas ainda assim possuem dados valiosos e não podem arcar com longos períodos de inatividade. Essa mudança reflete uma tendência mais ampla documentada em outros lugares do ecossistema de ransomware, onde alguns grupos migraram para o que pesquisadores chamam de supressão de área de redes de PMEs, visando clusters inteiros de organizações menores em vez de selecionar meticulosamente vítimas individuais de alto valor. A lógica é simples: o volume substitui a precisão, e até pagamentos modestos de resgate se acumulam quando multiplicados por dezenas de vítimas.
A experiência da Delta Crisis sugere que, uma vez que um ataque ocorre, a diferença entre uma empresa que se recupera com danos limitados e outra que sofre danos duradouros muitas vezes se resume à preparação e à forma como a própria negociação é conduzida nas primeiras horas e dias.
Por Dentro de uma Negociação de Ransomware
Segundo Sjøberg e Skovbo, negociar com cibercriminosos não se resume simplesmente a decidir se deve pagar. Isso exige entender o modelo de negócios do atacante, verificar quais dados foram realmente roubados ou criptografados e gerenciar a comunicação de uma forma que nem provoque o grupo a destruir dados nem sinalize desespero que possa elevar a exigência. Esse é um trabalho delicado, e cada vez mais se assemelha a uma indústria de serviços profissionais dos dois lados da mesa. Essa profissionalização é visível em todo o cenário de ransomware de forma mais ampla. Os grupos adotaram modelos estruturados de ransomware-como-serviço, um padrão também observado em alertas sobre a expansão do ransomware Gunra para uma operação RaaS, onde afiliados executam ataques usando ferramentas construídas por um grupo central em troca de uma parte dos lucros. O resultado é um processo de extorsão mais escalável e repetível, que é exatamente o motivo pelo qual a estratégia de negociação importa tanto para a vítima.
O ponto de entrada de muitos desses ataques também merece atenção. Os atacantes frequentemente obtêm acesso inicial por meio de engenharia social, em vez de explorar falhas técnicas obscuras. Campanhas que abusam de ferramentas como o Microsoft Teams para se passar por falsos funcionários de suporte de TI mostram como uma única ligação ou mensagem de chat convincente pode abrir a porta para um comprometimento total da rede, muito antes de qualquer nota de resgate aparecer.
Os Riscos de Privacidade e Exposição de Dados
A negociação de ransomware não se trata apenas de restaurar o acesso a arquivos criptografados. Os grupos modernos de ransomware normalmente roubam dados antes de criptografá-los e depois ameaçam publicar ou vender essas informações se o pagamento não for feito. Esse modelo de dupla extorsão aumenta consideravelmente os riscos para a privacidade. Registros de clientes, dados de funcionários e informações comerciais confidenciais podem acabar expostos independentemente de a empresa pagar ou não. Os atacantes também se tornaram mais sofisticados em evitar a detecção durante a fase de intrusão, incluindo técnicas que desativam completamente as ferramentas de segurança, como visto em relatos sobre o ransomware GodDamn abusando de um driver assinado para matar softwares antivírus. Esse tipo de furtividade significa que uma violação pode passar despercebida por muito mais tempo, dando aos atacantes mais tempo para exfiltrar dados sensíveis antes que alguém perceba que algo está errado.
O Que Isso Significa Para Você
Se você administra ou trabalha em uma empresa de médio porte, a mensagem da Delta Crisis é clara: a prontidão contra ransomware não é mais opcional, e começa muito antes de um ataque ocorrer. A higiene básica, backups offline, planos testados de resposta a incidentes e treinamento de funcionários contra engenharia social continuam sendo a defesa mais forte. Se um ataque acontecer, a decisão de se negociar ou não, e como negociar, nunca deve ser tomada isoladamente ou em pânico. Negociadores experientes entendem a psicologia do atacante, verificam as alegações antes de confiar nelas e sabem como ganhar tempo sem escalar ameaças contra os dados roubados.
Para indivíduos cujos dados podem estar dentro dos sistemas de uma empresa, isso também ressalta por que as organizações devem transparência aos clientes quando ocorre uma violação, já que as negociações de ransomware afetam diretamente se informações pessoais permanecem privadas ou acabam vazadas.
Principais Conclusões
Empresas de todos os tamanhos devem tratar o ransomware como um cenário de "quando", não de "se". Crie um plano de resposta a incidentes antes de um ataque, mantenha backups offline testados e identifique antecipadamente quem lidará com a comunicação se extorsionistas fizerem contato. Treine a equipe para reconhecer tentativas de engenharia social, particularmente a personificação por meio de ferramentas de colaboração do dia a dia. Se a negociação se tornar necessária, envolva profissionais experientes em vez de improvisar, pois a forma como uma empresa responde nas primeiras horas pode moldar tanto o resultado financeiro quanto a quantidade de dados pessoais ou corporativos que acabam expostos.
