Um alerta conjunto do FBI, da CISA e de agências da UE colocou o grupo de ransomware SafePay em destaque, com EUA, Reino Unido e Alemanha nomeados como alvos da campanha global do grupo. O detalhe principal para usuários comuns e pequenas empresas: os atacantes vão atrás dos backups. Isso faz da proteção de backups contra o ransomware SafePay uma questão maior do que simplesmente ter uma segunda cópia dos seus arquivos.

O artigo original é breve, então este post se concentra no que o alerta sinaliza e em medidas práticas que você pode tomar. Onde descrevemos o comportamento típico dos atacantes, isso reflete relatos públicos gerais sobre o SafePay e a prática comum de ransomware.

O que o ransomware SafePay faz e quem é visado

O SafePay é um grupo de ransomware, ou seja, ele invade redes, bloqueia dados e exige pagamento para restaurar o acesso. Relatórios públicos de ameaças o descrevem como uma operação de dupla extorsão: os atacantes copiam dados dos sistemas da vítima antes de criptografá-los e então exigem pagamento em criptomoeda. A ameaça é tanto perder o acesso quanto ter arquivos sensíveis vazados.

O alerta conjunto descreve uma campanha global, e as agências envolvidas abrangem EUA, Reino Unido e Alemanha. Grupos de ransomware raramente se limitam a grandes corporações. Pequenas empresas, clínicas, escolas e escritórios locais frequentemente têm dados valiosos, mas defesas mais frágeis, o que os torna atrativos. Indivíduos com dispositivos de armazenamento em rede em casa ou em um home office também podem estar expostos.

Relatos públicos sobre o SafePay dizem que seus operadores normalmente entram roubando ou adivinhando senhas e explorando vulnerabilidades em sistemas de segurança. Nada disso é exótico, e é por isso que o básico importa tanto.

Por que os atacantes vão atrás dos backups primeiro

Os backups são a rede de segurança. Se uma vítima pode restaurar a partir de uma cópia limpa, a exigência de resgate perde a maior parte de sua alavancagem. Então os atacantes que entendem isso tentam remover a rede antes de apertar o gatilho. Excluir, criptografar ou corromper backups primeiro significa que, quando a nota de resgate aparece, as opções de recuperação já se foram.

Essa é a mudança que vale a pena absorver. Muitas pessoas pensam no backup como algo que simplesmente existe. Na prática, um backup que é acessível a partir da sua rede principal, usando as mesmas credenciais de login, pode ser encontrado e destruído por qualquer um que obtenha esse acesso. Uma cópia em um drive permanentemente conectado ao seu computador, ou uma pasta na nuvem que sincroniza automaticamente, pode ser criptografada junto com todo o resto.

Como proteger backups: cópias offline, imutabilidade e criptografia

Uma boa proteção de backups contra o ransomware SafePay começa com a suposição de que um atacante eventualmente terá acesso aos seus sistemas principais, e então garante que seus backups sobrevivam a esse cenário. Três ideias ajudam:

  • Mantenha uma cópia offline ou isolada. Um drive externo que é desconectado após cada backup não pode ser criptografado remotamente. Para empresas, isso significa cópias que não são continuamente acessíveis a partir da rede de produção.
  • Use backups imutáveis. Imutabilidade significa que um backup não pode ser alterado ou excluído por um período definido, nem mesmo por uma conta de administrador. Muitas ferramentas de backup e serviços de armazenamento em nuvem oferecem isso como uma configuração. Se um atacante roubar credenciais de administrador, as cópias bloqueadas permanecem intactas.
  • Criptografe seus backups. A criptografia não impedirá um atacante de excluir dados, mas protege o conteúdo se uma cópia for roubada. Isso importa em um caso de dupla extorsão, em que o vazamento de dados faz parte da pressão.

Dois hábitos de apoio são igualmente importantes. Use credenciais separadas para sistemas de backup, idealmente protegidas com autenticação multifator, para que uma senha cotidiana roubada não os desbloqueie. E teste as restaurações regularmente. Um backup que você nunca restaurou é uma suposição, não um plano.

Defesas básicas que impedem a intrusão inicial

Proteger os backups é a última linha de defesa. O melhor resultado é manter os atacantes do lado de fora. Como os relatos apontam para senhas roubadas ou adivinhadas e vulnerabilidades exploradas, as defesas mais úteis são as pouco glamorosas:

  • Ative a autenticação multifator no e-mail, no acesso remoto, nas contas de nuvem e nos consoles de backup.
  • Use senhas fortes e exclusivas armazenadas em um gerenciador de senhas, para que uma credencial vazada não abra várias portas.
  • Aplique patches prontamente, especialmente em sistemas voltados para a internet, como firewalls, ferramentas de acesso remoto e software de backup. Falhas conhecidas sem correção são uma forma comum de entrada.
  • Limite o acesso remoto. Desative serviços que você não usa e restrinja quem pode acessar o restante.

Uma VPN pode ajudar a proteger conexões remotas a uma rede de trabalho, mas não substitui a aplicação de patches e a MFA, e não protegerá backups por conta própria.

O que isso significa para você

A natureza internacional deste alerta vale a pena ser observada. Governos cooperando além das fronteiras em ameaças cibernéticas não é novidade; alianças como Five Eyes e a mais ampla Fourteen Eyes são conhecidas pelo compartilhamento de inteligência, embora esses arranjos digam respeito a dados de vigilância e sejam uma questão separada deste aviso de ransomware. A conclusão para os leitores é mais simples: quando várias agências emitem um alerta compartilhado, a ameaça é ampla e não se limita a uma região ou setor.

Para indivíduos, isso significa verificar se seus backups estão realmente separados do seu computador. Para pequenas empresas, significa perguntar quem pode excluir seus backups e se essa conta está protegida por MFA.

Conclusões práticas

A proteção de backups contra o ransomware SafePay se resume a uma breve auditoria que você pode concluir esta semana:

  1. Verifique sua configuração de backup. Você tem pelo menos uma cópia offline ou imutável?
  2. Separe as credenciais. Certifique-se de que o acesso aos backups use logins diferentes das contas diárias.
  3. Ative a MFA em todos os lugares em que ela é oferecida, começando por e-mail, acesso remoto e ferramentas de backup.
  4. Instale as atualizações pendentes, priorizando firewalls, software de acesso remoto e aplicativos de backup.
  5. Teste uma restauração de alguns arquivos para confirmar que os backups realmente funcionam.

Nenhuma dessas etapas é complicada, e juntas elas retiram a alavancagem da qual os grupos de ransomware dependem. Comece a auditoria hoje.