O ransomware deixou de atacar apenas os arquivos de produção: hoje, antes de criptografar qualquer coisa, ele procura e destrói as cópias de backup. Quando o backup está ligado à mesma rede, usa as mesmas senhas ou fica permanentemente conectado ao servidor, ele é sequestrado junto — e a empresa perde a única saída que não passa pelo pagamento do resgate. A proteção exige uma cópia isolada do ambiente atacado, credenciais separadas e testes reais de restauração.
O alerta foi reforçado pela Kaspersky em abril de 2026, no artigo “Ransomware passa a mirar em backups pessoais”. O texto fala do usuário doméstico, mas a lógica vale ainda mais para empresas: se o criminoso ataca o backup de uma pessoa física para garantir o resgate, ele faz o mesmo — com mais empenho — no ambiente de uma empresa ou de um hospital.
O backup virou o primeiro alvo do ransomware
A lógica do atacante é econômica. Se a empresa consegue restaurar tudo a partir de uma cópia limpa, não há motivo para pagar. Por isso, destruir o backup passou a ser etapa padrão do ataque, e não um efeito colateral.
Uma pesquisa global da Sophos com quase 3 mil profissionais de TI mostra o tamanho do problema: 94% das organizações atingidas por ransomware relataram que os criminosos tentaram comprometer seus backups — e 57% dessas tentativas tiveram sucesso. Quando os backups são atingidos, a probabilidade de pagamento do resgate quase dobra e o custo total de recuperação chega a ser oito vezes maior.
Como o ransomware chega ao backup da empresa
A Kaspersky descreve quatro comportamentos que, no ambiente corporativo, se traduzem em situações bem conhecidas:
| O que o ransomware faz | Como isso aparece na empresa |
|---|---|
| Apaga as cópias de sombra do Windows | Some a “versão anterior” dos arquivos, que muitos usam como backup informal |
| Criptografa discos externos conectados | O HD de backup que fica plugado no servidor 24 horas é criptografado junto |
| Segue as unidades de rede mapeadas | O NAS ou a pasta de rede onde o backup é gravado vira mais uma unidade a sequestrar |
| Criptografa pastas sincronizadas com a nuvem | A sincronização replica os arquivos já criptografados — e a “nuvem” passa a guardar o problema |
O ponto em comum: backup acessível a partir do ambiente infectado é backup que pode ser atingido. Sincronização não é backup, e cópia na mesma rede não é cópia isolada.
Como proteger o backup contra ransomware: 7 medidas para empresas
- Adote a regra 3-2-1-1. Três cópias dos arquivos, em dois tipos de mídia, uma fora da empresa e uma isolada do ambiente de produção. A Kaspersky trata a evolução do 3-2-1 para o 3-2-1-1 como o novo padrão.
- Mantenha ao menos uma cópia fora do alcance da rede. Backup em data center externo, com acesso separado, não é visto como “mais uma unidade” pelo ransomware que se espalha pela rede interna.
- Separe as credenciais do backup. Se a senha do administrador de rede também abre o backup, quem compromete uma compromete a outra. Use contas exclusivas e autenticação em dois fatores.
- Não exponha o armazenamento local à internet. NAS com acesso remoto aberto, senha padrão e firmware desatualizado está entre os alvos recorrentes citados pela Kaspersky. Desative o que não é usado e troque as senhas de fábrica.
- Atualize sistemas, roteadores e equipamentos de armazenamento. Boa parte dos ataques explora falhas já corrigidas pelo fabricante.
- Guarde histórico de versões, não só a última cópia. O ransomware pode ficar dias inativo antes de agir. Sem versões anteriores, o backup mais recente pode já estar contaminado.
- Teste a restauração de verdade. Backup “concluído com sucesso” não prova que os arquivos voltam. Restaure periodicamente uma amostra e meça o tempo — é esse teste que mostra se a empresa aguenta um ataque. O passo a passo da estratégia de backup que resiste a ransomware detalha como organizar essa rotina.
Se o ataque já aconteceu, não pague o resgate antes de verificar se existe descriptografador gratuito para a variante (o projeto No More Ransom mantém um repositório público) e siga o roteiro de o que fazer nas primeiras 24 horas.
Por que hospitais estão na mira — e o que muda no backup hospitalar
Hospitais reúnem as três condições que o atacante procura: operação que não pode parar, informação de altíssimo valor e pressão de tempo para decidir. Um prontuário indisponível não é só um problema de TI — é atendimento atrasado.
Além do impacto assistencial, o backup hospitalar carrega obrigações próprias:
- Dados pessoais sensíveis. Informação de saúde é dado pessoal sensível pela LGPD (art. 5º, II, e art. 11), o que eleva o nível de cuidado exigido no tratamento e no armazenamento.
- Medidas de segurança e comunicação de incidente. A LGPD exige medidas técnicas e administrativas para proteger os dados (art. 46) e a comunicação à ANPD e aos titulares de incidente que possa gerar risco ou dano relevante (art. 48). Um ransomware que atinge o backup tende a se enquadrar nessa situação.
- Guarda de longo prazo. A Lei 13.787/2018 fixa prazo mínimo de 20 anos, contado do último registro, para a guarda do prontuário em papel ou digitalizado. A instituição precisa garantir a guarda por todo esse período, inclusive contra ataques.
- Due diligence de fornecedores. Diretoria administrativa, DPO e jurídico costumam exigir do fornecedor de backup evidências de controles, não apenas promessas comerciais.
A interpretação das obrigações legais de cada instituição deve ser validada pelo jurídico e pelo DPO. Para entender como estruturar o backup nesse contexto, veja a página de Backup para Hospitais da SEPTE.
Checklist: perguntas para fazer ao fornecedor de backup
| Pergunta | Por que importa |
|---|---|
| A cópia fica fora da rede da empresa, com acesso separado? | Backup na mesma rede é alcançado pelo ransomware |
| Há histórico de versões, e por quanto tempo? | Permite voltar a um ponto anterior à infecção |
| As credenciais do backup são independentes das da rede? | Evita que uma senha comprometida abra tudo |
| Onde ficam os arquivos e existe redundância geográfica? | Define a jurisdição dos dados e a resistência a desastre físico |
| Como é feito e documentado o teste de restauração? | Backup que nunca foi restaurado é uma hipótese, não uma garantia |
| O fornecedor apresenta controles e evidências para due diligence? | Essencial para hospitais e empresas sujeitas a auditoria |
Como a SEPTE protege o backup da sua empresa
O Backup em Nuvem da SEPTE grava as cópias fora do ambiente da empresa, em data center próprio, 100% nacional, operado pela S7.DC Data Center do Brasil — especializado exclusivamente em armazenamento e resiliência de dados. A infraestrutura conta com redundância geográfica, com um segundo data center em operação. Os contratos são sem fidelidade e sem multa para cancelar. O tempo de guarda é definido pela sua empresa: os arquivos podem ser mantidos pelo prazo que a instituição considerar necessário — inclusive os prazos longos exigidos para prontuário. Histórico de versões e forma de acesso são definidos na avaliação técnica.
Para hospitais, a SEPTE mantém programa de GRC próprio, com controles documentados e evidências disponíveis para due diligence, e atua como operadora no tratamento de dados pela LGPD.
Conheça o Backup em Nuvem da SEPTE · Veja o Backup para Hospitais
Perguntas frequentes
O ransomware consegue criptografar o backup?
Sim. Se o backup estiver acessível a partir do ambiente infectado — HD conectado ao servidor, NAS na mesma rede, pasta sincronizada ou credencial compartilhada — ele pode ser criptografado ou apagado junto com os arquivos de produção.
Backup em nuvem protege contra ransomware?
Protege quando a cópia fica fora da rede da empresa, com credenciais próprias e histórico de versões. Sincronização de pastas com a nuvem não é backup: ela replica os arquivos já criptografados.
O que é a regra 3-2-1-1?
Três cópias dos arquivos, em dois tipos de mídia diferentes, uma fora da empresa e uma isolada do ambiente de produção, fora do alcance de um ataque que se espalha pela rede.
Por que hospitais são alvos frequentes de ransomware?
Porque operam sem pausa, guardam dados de saúde — classificados como dados pessoais sensíveis pela LGPD — e sofrem pressão de tempo para restabelecer o atendimento, o que o atacante usa para forçar o pagamento.
Com que frequência a empresa deve testar a restauração do backup?
Periodicamente, com restauração real de uma amostra de arquivos e medição do tempo. O teste é o que comprova que o backup funciona; o aviso de “backup concluído” não comprova.