Quando um ransomware é detectado, a pressão para "resolver logo" leva a decisões que destroem evidências ou espalham o problema. As primeiras horas pedem método, não pressa.
1. Isolar, sem desligar
Desconectar as máquinas afetadas da rede interrompe a propagação. Desligá-las, por outro lado, apaga a memória, onde muitas vezes estão as pistas de como o ataque entrou.
- Retire o cabo de rede ou isole o ativo pela ferramenta de EDR.
- Mantenha a máquina ligada até a coleta de evidências.
- Bloqueie as contas usadas no ataque, se já identificadas.
2. Proteger os backups
Ataques modernos procuram os backups antes de criptografar. Confirme que as cópias estão fora do alcance da rede afetada antes de qualquer tentativa de restauração.
3. Acionar quem precisa saber
Defina quem decide, quem comunica e quem executa. Incidentes com dados pessoais podem exigir comunicação à ANPD e aos titulares; o encarregado de dados deve participar desde o início.
4. Registrar tudo
Horários, ações executadas, quem autorizou cada passo. Esse registro sustenta a análise de causa, as decisões jurídicas e as lições aprendidas.
Em resposta a incidentes, a primeira hora é para conter e preservar. A investigação vem logo depois, com as evidências intactas.