Já vi caso de empresa pequena que fazia backup direitinho, todo dia, num HD externo — só que o HD ficava plugado no servidor o tempo todo. Quando o ransomware entrou, criptografou o servidor e o backup junto, porque pro malware um disco conectado é só mais uma unidade pra varrer. Isso é o erro mais comum e mais caro que existe em política de backup, e é sobre isso que este texto trata: como fazer backup de um jeito que sobrevive a um ataque, não só a uma pane de HD.
Por Que o Backup “Normal” Não Basta Contra Ransomware
Ransomware moderno não é só um vírus que criptografa arquivos e some. Boa parte das variantes atuais procura ativamente por pastas de backup, unidades de rede mapeadas e HDs externos conectados, e criptografa tudo isso também — de propósito, justamente para eliminar sua saída fácil e forçar o pagamento do resgate. Um backup que fica sempre acessível pelo mesmo computador infectado não é proteção real, é só uma cópia a mais para ser sequestrada.
A Regra 3-2-1 (e Por Que Ela Ainda Funciona)
- 3 cópias dos dados: o original mais duas cópias.
- 2 mídias diferentes: por exemplo, um HD externo e um serviço de nuvem — não adianta ter duas cópias no mesmo tipo de disco, se o problema for físico (incêndio, roubo) ou lógico (ransomware que varre tudo que é unidade de disco) ambas caem juntas.
- 1 cópia fora do local (offsite): nuvem, ou um HD que fica desconectado e guardado em outro endereço.
O ponto que costuma faltar nessa regra clássica, e que hoje em dia é o mais importante contra ransomware especificamente, é o próximo tópico.
O Detalhe Que Faz Diferença: Backup “Air-Gapped” ou Imutável
Pelo menos uma das suas cópias precisa estar fisicamente ou logicamente isolada da rede principal no dia a dia. Na prática, isso significa:
- HD externo que só conecta na hora do backup e desconecta logo depois — trabalhoso, mas eficaz. Automatizar isso com um script que monta o disco, copia e desmonta reduz a janela de exposição para minutos, em vez de o dia inteiro.
- Backup imutável em nuvem: serviços como Backblaze B2, Wasabi ou AWS S3 com Object Lock permitem configurar um período em que os arquivos não podem ser apagados nem sobrescritos, nem por quem tem a senha da conta. Isso é o que impede um invasor que roubou suas credenciais de simplesmente apagar os backups antes de pedir o resgate — cenário que já aconteceu com empresas que confiavam só na nuvem sem essa trava.
- Contas de backup separadas: o usuário que faz login no servidor no dia a dia não deveria ser o mesmo com permissão de apagar backups antigos.
Versionamento: Backup Sozinho Não Resolve se For Feito Depois da Infecção
Um problema real: ransomware pode ficar dias ou semanas “dormindo” na rede antes de disparar a criptografia, mapeando o ambiente. Se o seu backup só guarda a última versão de cada arquivo, você corre o risco de sobrescrever a cópia limpa com uma versão já comprometida, sem perceber. Configure retenção de pelo menos 30 dias com múltiplos pontos de restauração — não apenas “a cópia de ontem”.
Testando a Restauração (o Passo Que Todo Mundo Pula)
Backup que nunca foi restaurado em teste é uma aposta, não uma garantia. Pelo menos uma vez por trimestre, pegue um arquivo (ou, idealmente, uma máquina inteira) e restaure de verdade num ambiente separado. É assim que você descobre, antes de precisar de verdade, que o backup estava rodando mas gravando pasta vazia por causa de uma permissão que mudou três meses atrás.
Cenários Comuns e Como Reagir
1. Descobri que o backup mais recente também foi criptografado — volte para o ponto de restauração mais antigo que ainda esteja íntegro, mesmo que signifique perder alguns dias de dados. Antes de restaurar qualquer coisa, isole a máquina infectada da rede, porque restaurar dados numa rede ainda comprometida é jogar dinheiro fora.
2. O backup em nuvem está lá, mas o provedor pede uma senha que ninguém mais lembra — isso normalmente acontece quando a conta de backup foi criada por um funcionário que já saiu da empresa. Documente credenciais de backup separadamente das credenciais de uso diário, de preferência num cofre de senhas compartilhado com mais de uma pessoa tendo acesso.
3. O antivírus não pegou o ransomware antes de ele criptografar tudo — infelizmente é comum, porque variantes novas driblam assinatura de antivírus tradicional nos primeiros dias de circulação. É exatamente por isso que backup isolado é a última linha de defesa, não apenas mais uma camada — quando a prevenção falha, o backup é o que decide se o incidente é um contratempo de um dia ou uma perda permanente.
Checklist Rápido
- Pelo menos uma cópia offline ou imutável, sem acesso constante pela rede.
- Retenção com múltiplos pontos no tempo, não só o mais recente.
- Conta de backup com permissões separadas da conta de uso diário.
- Teste de restauração real, documentado, pelo menos trimestral.
- Antivírus/EDR atualizado, mas tratado como camada extra, não como única proteção.
Perguntas Frequentes
Backup na nuvem já é suficiente, sem precisar de HD externo?
Pode ser, desde que tenha versionamento e, idealmente, alguma trava de imutabilidade. Sem isso, uma conta de nuvem comprometida pode ter os backups apagados junto. Se você está decidindo qual ferramenta usar, vale comparar as opções em este comparativo de softwares de backup gratuitos.
Pequenas empresas realmente precisam se preocupar com isso, ou é coisa de empresa grande?
Pequenas empresas são alvo frequente justamente por terem defesas mais fracas — o prejuízo proporcional costuma ser maior que em empresas grandes. Existem soluções de backup automático pensadas especificamente para esse porte, sem exigir um time de TI dedicado.
E se eu uso Mac, a lógica muda muito?
Os princípios são os mesmos — isolamento, versionamento, teste de restauração — mas as ferramentas mudam. Vale ver como isso se aplica especificamente em um guia de backup focado em Mac.
Vale a pena pagar o resgate se o backup falhar mesmo assim?
Na prática, não há garantia de que o criminoso vai enviar a chave de descriptografia funcional mesmo depois do pagamento, e pagar financia o próximo ataque, inclusive contra outras empresas. É por isso que toda a estratégia aqui foca em nunca depender dessa decisão.
