O que um ransomware faz à gestão documental
Um ransomware encripta os ficheiros a que tem acesso e depois exige um resgate em troca da chave. Num sistema de gestão documental, atua com os direitos da conta ou do posto que infetou. Três mecanismos agravam os danos:
- a sincronização: o posto infetado encripta a sua cópia local e, depois, o cliente de sincronização envia os ficheiros encriptados para o servidor, como uma alteração normal, e daí para os outros dispositivos;
- o histórico: cada ficheiro encriptado torna-se uma nova versão. A versão antiga pode salvar a situação, a menos que o atacante disponha de direitos suficientes para purgar o histórico e o lixo;
- a cópia de segurança: a ANSSI observa que um atacante procura muitas vezes encriptar, apagar ou tornar indisponível a infraestrutura de cópias de segurança, para impedir a reconstrução.
Alguns ataques também copiam dados antes de os encriptar. A restauração repõe os ficheiros em bom estado. Não resolve essa parte, que pertence à gestão de crise e, se houver dados pessoais, ao RGPD.
Reduzir o raio de ação
Não se pode prometer que nenhum posto será infetado. Pode-se limitar o que um posto ou uma conta infetada consegue atingir.
Os direitos de escrita
Uma conta que só pode ler uma pasta não a pode encriptar. As pastas de referência (modelos, procedimentos, contratos assinados) podem ficar só de leitura para a maioria das pessoas. Os direitos definem-se por grupo e por pasta, não com «todos alteram tudo».
As contas de administração
A ANSSI recomenda limitar estas contas ao estritamente necessário. Devem ser nominativas, protegidas por autenticação de dois fatores e não servir para o trabalho corrente.
As ligações externas
Uma ligação que dá um direito de alteração a um desconhecido é uma porta. As ligações que saem têm uma palavra-passe, uma data de expiração e, em geral, apenas um direito de leitura.
Os postos sincronizados
Sincronize em cada posto apenas as pastas úteis. Deixe as pastas sensíveis no navegador. Instale as atualizações depressa: a ANSSI lembra que é crucial fazê-lo num prazo curto e segundo um processo controlado. A porta de entrada mais frequente continua a ser o correio eletrónico: veja anexos, ligações e ransomware.
Porque é que a cópia de segurança tem de estar fora de alcance
Uma cópia de segurança acessível com a mesma conta que a produção será encriptada com ela. Três separações põem-na a salvo:
- outra credencial: a ANSSI exige contas de administração das cópias de segurança nominativas e dedicadas, e uma infraestrutura independente dos diretórios de produção;
- a imutabilidade: uma cópia de segurança escrita já não pode ser modificada nem eliminada durante o seu período de conservação;
- outro local e, se possível, uma cópia offline: a ANSSI considera-a indispensável e mais robusta do que uma cópia de segurança imutável que permanece online.
Resta a profundidade. Uma intrusão pode permanecer discreta durante várias semanas antes da encriptação. Se a retenção for mais curta do que esse prazo, todas as cópias de segurança disponíveis podem conter o atacante ou ficheiros já corrompidos.
A ordem de recuperação
A restauração não é um botão. É uma sequência de etapas, e a ordem conta.
- Conter. Isolar da rede os postos infetados, suspender as contas comprometidas, desativar a sincronização e as ligações externas do perímetro afetado. A ANSSI aconselha também manter um registo cronológico datado, desligar os suportes de cópia de segurança depois de verificar que estão sãos, e evitar cortar a alimentação elétrica das máquinas, o que pode apagar vestígios úteis.
- Datar o início. Identificar o primeiro ficheiro encriptado, a conta e o posto em causa. É isso que fixa o ponto de restauração.
- Escolher o ponto de restauração anterior à encriptação, com margem se a data for incerta.
- Restaurar num ambiente são. A ANSSI recomenda reinstalar a partir de um suporte conhecido e depois restaurar os dados a partir de uma cópia de segurança anterior ao comprometimento. Quando a ferramenta o permite, restaurar apenas o perímetro afetado evita substituir o trabalho feito noutros locais entretanto.
- Verificar. Abrir ficheiros ao acaso, confirmar que não resta nenhum ficheiro encriptado, corrigir a falha de entrada, mudar as palavras-passe.
- Reabrir os acessos progressivamente. Os postos voltam a sincronizar a partir do servidor restaurado, nunca o contrário. Um posto não limpo que volte a ligar-se reenvia os seus ficheiros encriptados.
Em paralelo, a ANSSI recomenda nunca pagar o resgate, conservar os dados encriptados (uma chave pode ser publicada mais tarde), apresentar queixa e fazer notificar a CNIL pela célula de crise em caso de violação de dados pessoais.
O que se perde: o RPO na prática
Caso hipotético. Um escritório de vinte pessoas faz cópia de segurança dos seus documentos a cada hora. Na segunda-feira, às 9h15, um posto sincronizado começa a encriptar a pasta «Clientes». O alerta é dado às 10h05.
O último ponto são é a cópia de segurança das 9h00. A pasta «Clientes» volta ao seu estado das 9h00. As alterações feitas entre as 9h00 e as 9h15 nessa pasta perdem-se. As feitas nas outras pastas não se perdem, se a restauração se limitar à pasta afetada. A secretária que guardou três cartas às 9h10 encontra-as no seu correio eletrónico e volta a colocá-las na pasta.
É isto que mede o RPO, a perda máxima de dados admissível: a diferença entre o ponto de restauração e o incidente. O RTO, a duração máxima de interrupção admissível, mede outra coisa: o tempo até as equipas voltarem a trabalhar. Ambos se decidem antes do incidente, não durante.
Os erros frequentes
- Restaurar antes de conter. O posto ainda ligado volta a encriptar os ficheiros restaurados.
- Voltar a sincronizar a partir do posto infetado. A cópia local é a cópia encriptada.
- Contar com o lixo. Não contém os ficheiros alterados, apenas os ficheiros eliminados.
- Descobrir a retenção no próprio dia. Se a intrusão tiver seis semanas e a retenção for de trinta dias, a escolha do ponto de restauração complica-se.
Perguntas frequentes
O controlo de versões basta contra um ransomware?
Ajuda se o histórico estiver intacto. Não basta se o atacante o tiver conseguido purgar. A diferença é explicada em controlo de versões, replicação e cópia de segurança.
Deve pagar-se o resgate?
A ANSSI recomenda nunca o pagar. Pagar não garante nem a chave, nem a ausência de um novo ataque.
Como limitar quem pode alterar uma pasta?
Através dos direitos por grupo e por pasta. Veja definir quem vê que documentos.
Como evitar que uma ligação sirva de porta de entrada?
Com uma palavra-passe, uma data de expiração e um direito apenas de leitura. Veja ligações de partilha, parceiros e transferências.
Onde se situa a Klytic
No Klytic Docs, as cópias de segurança são feitas a cada hora. São encriptadas, imutáveis, replicadas em vários locais, supervisionadas, conservadas durante 30 dias, e as restaurações são testadas todos os meses. Os objetivos visados são um RPO inferior a 2 horas para os documentos e um RTO inferior a 4 horas. A restauração pede-se ao suporte da Klytic, com o perímetro e a data aproximada. Está incluída quando a perda resulta de um mau funcionamento do serviço Klytic. Após um ransomware ou uma conta pirateada do seu lado, a recuperação também está incluída se os seus postos estavam corretamente protegidos: atualizações aplicadas, antivírus ativo. Se estavam insuficientemente protegidos, é objeto de um ticket de assistência pago, tal como uma restauração após um erro de manipulação. O detalhe está na página segurança e cópias de segurança.
Do lado da prevenção, o Klytic Docs oferece direitos por pessoa, por grupo e por pasta, autenticação de dois fatores, um registo de acessos e ligações protegidas por palavra-passe com data de expiração. Do lado da Klytic, os acessos técnicos limitam-se às operações de exploração e de suporte, e são nominativos e registados.
Os limites: trinta dias de retenção não cobrem um comprometimento descoberto mais tarde. A Klytic restaura os seus serviços; a limpeza dos seus postos, da sua rede e do seu diretório cabe à sua equipa informática ou ao seu prestador. A Klytic não é uma oferta qualificada SecNumCloud.
Esta página descreve um enquadramento geral. Em caso de incidente, siga o seu plano de recuperação e as instruções das autoridades competentes.
Fontes
Consultadas em outubro de 2026.
- ANSSI e Ministério da Justiça francês (DACG), «Attaques par rançongiciels, tous concernés» (Ataques de ransomware, todos são visados), 2020: cópias de segurança desligadas, limitação das contas de administração, atualizações rápidas; em caso de incidente, registo cronológico, isolamento, sem corte de alimentação elétrica, conservação dos dados encriptados, não pagar, queixa, restauração a partir de uma cópia de segurança anterior ao comprometimento. messervices.cyber.gouv.fr
- ANSSI, «Sauvegarde des systèmes d’information» (Cópia de segurança dos sistemas de informação), guia ANSSI-BP-100, v1.1: o atacante visa muitas vezes a infraestrutura de cópias de segurança; contas dedicadas; offline mais robusto do que o WORM online; PDMA e DMIA. messervices.cyber.gouv.fr
- Klytic, Segurança e cópias de segurança: cópias de segurança imutáveis, encriptadas, replicadas, 30 dias, restaurações testadas todos os meses, RTO inferior a 4 h, RPO inferior a 2 h. klytic.com
- Klytic, Alojamento e soberania: acessos técnicos limitados à exploração e ao suporte, nominativos e registados. klytic.com
