Manter cópias não basta quando o próprio ambiente de recuperação permanece ao alcance do atacante.

O backup passou a ocupar uma posição prioritária na estratégia do ransomware. Ao comprometer as cópias, o invasor reduz as alternativas de recuperação e aumenta a pressão sobre a empresa.

O Veeam 2024 Ransomware Trends Report mostra a dimensão desse cenário: em 96% dos ataques analisados, os repositórios de backup foram visados. Em 76% dos casos, ao menos parte deles foi comprometida.

O impacto apareceu diretamente na recuperação. Em média, apenas 57% dos dados afetados foram restaurados, o que significa que 43% permaneceram indisponíveis.

A sequência confirma uma mudança importante no comportamento dos ataques. Em muitos incidentes, o criminoso procura reduzir a capacidade de reação da vítima, localizando, apagando ou comprometendo as cópias que poderiam restabelecer a operação.

Os números expõem uma diferença fundamental: armazenar cópias não significa possuir uma estratégia capaz de reconstruir a operação.

Por que o backup passou a fazer parte do ataque

O backup representa uma das principais alternativas para que uma organização retome suas atividades sem depender dos criminosos.

Por essa razão, tornou-se um alvo estratégico.

Depois de obter acesso inicial ao ambiente, o atacante pode explorar credenciais comprometidas, privilégios excessivos e conexões entre sistemas para ampliar seu alcance.

Durante essa movimentação, pode procurar identificar:

• servidores e plataformas de backup;
• consoles de administração;
• contas com privilégios elevados;
• repositórios locais e em nuvem;
• políticas de retenção;
• mecanismos de replicação;
• cópias disponíveis para restauração.

Ao localizar essas estruturas, o invasor pode tentar apagar arquivos, alterar configurações, desabilitar tarefas, comprometer credenciais administrativas ou criptografar as próprias cópias.

Em muitos ataques, a criptografia dos sistemas produtivos ocorre depois que o criminoso já tentou reduzir a capacidade de recuperação da organização.

Nesse cenário, a empresa não enfrenta apenas a indisponibilidade dos sistemas. Ela também pode perder parte dos recursos necessários para restaurá-los.

96%: a recuperação entrou definitivamente na rota do ransomware

O relatório de 2024 foi elaborado a partir das respostas de 1.200 profissionais de organizações que sofreram ao menos um ataque cibernético bem-sucedido em 2023. 

Entre os participantes estavam executivos, profissionais de segurança da informação e administradores de backup.

Em 96% dos incidentes analisados, os atacantes tentaram atingir os repositórios de backup.

O dado demonstra que o comprometimento dessas estruturas deixou de ser uma ocorrência periférica ou excepcional e passou a fazer parte da dinâmica recorrente do ransomware.

A lógica é direta: quanto menor a capacidade de restauração da vítima, maior o poder de pressão dos criminosos.

Por isso, uma estratégia de proteção não pode tratar o backup como um componente isolado, mantido apenas para atender a rotinas operacionais, retenção de arquivos ou recuperação de exclusões acidentais.

Ele precisa ser protegido como infraestrutura crítica.

76%: na maioria dos casos, o invasor consegue avançar

A tentativa de comprometer o backup teve êxito em 76% dos ataques avaliados pela Veeam.

Esse resultado pode estar relacionado a arquiteturas nas quais produção e recuperação permanecem excessivamente conectadas.

Quando os dois ambientes compartilham credenciais, diretórios, privilégios administrativos ou caminhos de acesso, uma identidade comprometida pode permitir que o atacante avance sobre ambos.

A cópia existe, mas continua ao alcance do invasor.

Entre as fragilidades que ampliam essa exposição estão:

• contas administrativas utilizadas em diferentes ambientes;
• servidores de backup integrados ao mesmo domínio da produção;
• ausência de autenticação multifator;
• permissões excessivas;
• repositórios continuamente acessíveis;
• falta de segregação de rede;
• políticas de retenção que podem ser alteradas ou excluídas;
• ausência de monitoramento de atividades suspeitas.

Nesse cenário, o backup pode funcionar corretamente durante meses e, ainda assim, não estar preparado para resistir a um ataque direcionado.

A empresa mantém cópias, mas elas continuam vulneráveis ao mesmo comprometimento que atingiu o restante da infraestrutura.

43%: ter backup não garantiu que os dados voltassem

O impacto aparece com clareza no resultado da recuperação.

Segundo a Veeam, 41% dos dados das organizações foram afetados durante os ataques estudados. Desse volume, somente 57% foram recuperados, em média. Os 43% restantes não voltaram.

Esse resultado pode envolver diferentes fatores:

• destruição ou alteração das cópias;
• ausência de pontos de restauração íntegros;
• backups contaminados;
• falhas não identificadas antes do incidente;
• tempos de recuperação incompatíveis com as necessidades do negócio;
• falta de capacidade ou infraestrutura para restaurar os ambientes;
• processos de recuperação nunca testados em escala real.

O relatório também aponta que quase dois terços das organizações estavam sob risco de reintroduzir a ameaça durante a restauração. 

A pressão para retomar rapidamente os serviços pode levar as equipes a reduzir etapas de quarentena, análise e verificação dos dados antes de recolocá-los em produção.

Recuperar não significa apenas copiar arquivos de volta.

É necessário identificar um ponto confiável, validar sua integridade e reconstruir os sistemas sem reintroduzir o ransomware no ambiente.

Backup, recuperação e Disaster Recovery não são a mesma coisa

Os três conceitos fazem parte da continuidade operacional, mas cumprem funções diferentes.

Backup

É a criação e a retenção de cópias dos dados. Permite recuperar arquivos, bancos de dados, aplicações ou sistemas após exclusões, falhas, corrupção ou ataques.

A existência dessas cópias, porém, não comprova que elas estejam protegidas contra alteração, exclusão ou criptografia maliciosa.

Soluções de Backup em Nuvem podem ampliar a proteção ao manter cópias fora da infraestrutura principal, desde que sejam acompanhadas de controles adequados de acesso, retenção e imutabilidade.

Recuperação

É o processo de localizar uma cópia confiável e restaurar os dados ou sistemas afetados.

Esse processo depende da integridade dos backups, da disponibilidade de infraestrutura e da existência de procedimentos conhecidos e testados.

A recuperação com Veeam na nuvem permite restaurar desde arquivos específicos até aplicações e workloads completos, conforme a extensão do incidente e as prioridades da empresa.

Disaster Recovery

É a estratégia organizada para restabelecer aplicações, servidores, conexões e dependências necessárias à operação.

O Disaster Recovery define prioridades, responsabilidades, ordem de retomada, infraestrutura alternativa e objetivos como RTO e RPO.

Uma empresa pode possuir backups e, ainda assim, não ter condições de recuperar toda a operação no tempo exigido pelo negócio.

Pagar o resgate não substitui uma estratégia de recuperação

Quando o backup é comprometido, a empresa pode ficar mais vulnerável à exigência de pagamento.

Ainda assim, o resgate não oferece garantia de recuperação.

No relatório de 2024, 81% das organizações pesquisadas pagaram para encerrar o ataque ou tentar recuperar seus dados. 

Entre elas, uma em cada três continuou sem conseguir restaurar as informações mesmo após o pagamento.

A edição seguinte do estudo reforçou o problema. 

O relatório de 2025 apontou que 89% das organizações tiveram seus repositórios de backup visados e que 69% daquelas que pagaram o resgate sofreram um novo ataque posteriormente.

Pagar pode financiar o grupo criminoso sem assegurar:

• a entrega de uma chave funcional;
• a recuperação integral dos dados;
• a remoção de acessos persistentes;
• a exclusão das informações exfiltradas;
• a interrupção de novas tentativas de extorsão;
• a proteção contra um segundo ataque.

A decisão também não elimina os custos de investigação, interrupção operacional, reconstrução dos ambientes, perda de produtividade, comunicação de crise e possíveis impactos jurídicos ou regulatórios.

A resposta mais consistente está em reduzir a dependência do atacante antes que o incidente aconteça.

O que é um backup imutável

Um backup imutável é uma cópia protegida contra alteração ou exclusão durante um período previamente estabelecido.

Mesmo que um invasor consiga acessar parte do ambiente ou comprometer uma conta administrativa, os arquivos protegidos pela imutabilidade não podem ser modificados ou apagados antes do fim da retenção definida.

A tecnologia pode ser implementada por meio de repositórios Linux protegidos, armazenamento de objetos com Object Lock, soluções WORM e estruturas em nuvem.

A imutabilidade cria uma barreira importante contra:

• exclusão maliciosa;
• criptografia das cópias;
• alteração indevida da retenção;
• sabotagem interna;
• erros administrativos;
• comprometimento de contas privilegiadas.

Seu papel é preservar cópias que possam servir como pontos confiáveis de restauração, mesmo quando outras camadas da infraestrutura já foram afetadas.

A arquitetura de backup imutável com Penso S3 Storage utiliza políticas que impedem a modificação ou a exclusão das cópias durante o período definido.

Isso não significa, porém, que toda cópia imutável esteja automaticamente limpa ou pronta para uso. A integridade dos dados e a capacidade de restauração precisam ser verificadas por processos adicionais.

Imutabilidade isolada não resolve tudo

A imutabilidade é uma camada essencial, mas precisa integrar uma arquitetura mais ampla de resiliência.

Uma estratégia madura deve combinar:

Segregação de identidades

As contas utilizadas na produção não devem conceder acesso automático à estrutura de backup.

Credenciais exclusivas, autenticação multifator e privilégio mínimo ajudam a limitar a movimentação do atacante.

Separação entre produção e recuperação

O ambiente de backup precisa reduzir dependências em relação à infraestrutura produtiva.

Isso pode envolver segmentação de rede, isolamento lógico, repositórios protegidos e componentes fora do domínio principal.

Cópias protegidas e distribuídas

Manter cópias em tecnologias e locais distintos reduz a possibilidade de que um único comprometimento alcance todos os pontos de recuperação.

Monitoramento contínuo

Alterações de configuração, falhas em tarefas, exclusões inesperadas, mudanças de retenção e acessos anômalos devem gerar alertas e investigação.

Testes recorrentes de restauração

Um backup concluído com sucesso não comprova que a aplicação poderá ser reconstruída.

Os testes precisam validar dados, dependências, ordem de recuperação, infraestrutura, RTO, RPO e capacidade operacional.

A realização de testes recorrentes de Disaster Recovery permite identificar falhas no plano antes que a empresa precise executá-lo durante uma crise real.

Recuperação limpa

Antes de restaurar sistemas, é necessário verificar os pontos de recuperação, identificar sinais de comprometimento e reduzir o risco de que arquivos contaminados retornem ao ambiente.

Backup comum e backup resiliente: qual é a diferença?

O backup comum costuma ser avaliado pela existência da cópia e pela conclusão das tarefas programadas.

O backup resiliente considera também a proteção das cópias, a segregação dos ambientes e a capacidade de sustentar a reconstrução da operação.

Na prática, essa diferença aparece em perguntas objetivas:

• O invasor consegue apagar as cópias usando uma credencial administrativa comprometida?
• O servidor de backup está conectado ao mesmo domínio da produção?
• Existem cópias imutáveis?
• Há segregação de acessos?
• Os pontos de restauração são verificados contra ameaças?
• A empresa conhece a ordem de recuperação dos sistemas?
• RTO e RPO estão definidos conforme o impacto para o negócio?
• A restauração completa já foi testada?
• Existe infraestrutura disponível para executar a recuperação?
• As equipes sabem como agir sob pressão?

Se essas respostas não estiverem claras, o ambiente pode manter cópias sem possuir uma capacidade de recuperação devidamente validada.

A abordagem da Penso para proteger a capacidade de recuperar

A Penso estrutura ambientes de proteção e recuperação com tecnologia Veeam, combinando recursos técnicos, governança e operação especializada.

A arquitetura pode contemplar:

• Backup em Nuvem;
• repositórios imutáveis;
• segregação de acessos e credenciais;
• proteção de workloads físicos, virtuais e em nuvem;
• monitoramento contínuo;
• políticas de retenção alinhadas ao negócio;
• Disaster Recovery as a Service;
• testes recorrentes de restauração;
• definição e validação de RTO e RPO;
• suporte especializado durante incidentes.

A combinação dessas camadas ajuda a preservar as cópias, limitar o alcance de identidades comprometidas e ampliar a visibilidade sobre comportamentos anormais.

Os testes permitem avaliar, na prática, se os dados, os processos e a infraestrutura disponíveis conseguem atender às necessidades de recuperação da operação.

Essa abordagem reduz riscos, diminui a dependência do pagamento de resgate e aumenta a previsibilidade da retomada.

A segurança do backup aparece quando tudo o mais falha

Os dados da Veeam mostram que os repositórios de backup passaram a ocupar uma posição central na estratégia dos operadores de ransomware.

O ataque procura interromper a empresa e, ao mesmo tempo, comprometer os recursos que poderiam sustentar seu retorno.

Por isso, a pergunta deixou de ser se existem cópias armazenadas.

A questão decisiva é se elas permanecerão protegidas, acessíveis e confiáveis depois que credenciais, servidores e sistemas críticos forem comprometidos.

Sua empresa conseguiria recuperar a operação se o ransomware também alcançasse os backups?

Converse com os especialistas da Penso e avalie a capacidade real de recuperação do seu ambiente.

Penso, a gente resolve.