O que fazer nos primeiros 30 minutos de um incidente de segurança

A tela com a mensagem de resgate, arquivos com extensões estranhas, um cliente avisando que recebeu um e-mail esquisito enviado pela empresa. Os primeiros minutos depois de perceber um incidente de segurança costumam ser confusos, e decisões tomadas por impulso nessa hora podem aumentar o dano ou apagar informações importantes. Este roteiro não substitui um plano de resposta nem a ajuda de especialistas, mas organiza o que fazer enquanto o apoio técnico não chega.

Minutos 0 a 5: pare, respire e confirme

O primeiro passo é evitar a reação em pânico. Desligar tudo às pressas, apagar arquivos suspeitos ou sair clicando em mensagens pode piorar a situação.

• Confirme o que está vendo: é uma mensagem de resgate, arquivos inacessíveis, acesso indevido a uma conta, transferência financeira suspeita? Anote exatamente o que apareceu.
• Fotografe a tela com o celular. Mensagens de resgate, alertas e janelas de erro são evidências úteis.
• Avise o responsável definido pela empresa para esse tipo de situação. Se ninguém foi designado, o gestor assume a coordenação até que isso seja resolvido.

Minutos 5 a 15: contenha sem destruir

O objetivo agora é impedir que o problema se espalhe, preservando o que puder ser analisado depois.

Isole, mas não desligue

Desconecte da rede as máquinas afetadas: retire o cabo de rede e desative o Wi-Fi. Evite desligar o computador, porque informações que estão na memória podem ajudar a entender o que aconteceu e se perdem quando a máquina é desligada. Se o ataque parece estar se espalhando rapidamente pela rede, a equipe técnica pode decidir isolar segmentos inteiros ou desconectar o acesso à internet.

Proteja o backup

Se existe um disco de backup conectado, desconecte-o imediatamente. Se o backup está em nuvem, peça ao responsável que suspenda sincronizações automáticas até entender o alcance do incidente. Cópias preservadas são o que vai permitir a recuperação; o artigo sobre backup contra ransomware explica como prepará-las com antecedência.

Não apague nada

Arquivos criptografados, e-mails de phishing, logs e mensagens de resgate devem ser mantidos. Limpar tudo pode parecer resolver, mas elimina pistas sobre como o invasor entrou e o que ele acessou.

Minutos 15 a 25: acione quem precisa agir

• Fornecedor ou equipe de TI: ligue, não mande só e-mail. Se o e-mail corporativo pode estar comprometido, use telefone ou um canal alternativo.
• Seguradora: se a empresa tem seguro cibernético, verifique as condições da apólice. Muitas exigem aviso rápido e indicam empresas especializadas em resposta a incidentes.
• Banco: se houver suspeita de fraude financeira, como pagamento desviado ou acesso ao internet banking, contate-o imediatamente.

Sobre o resgate: não pague nem negocie por impulso. Pagar não garante a devolução dos dados, não impede a divulgação do que foi copiado e pode incentivar novos ataques. Qualquer decisão desse tipo deve ser tomada depois, com orientação técnica e jurídica, e nunca nos primeiros minutos.

Minutos 25 a 30: registre e comunique

Comece a linha do tempo

Abra um documento, de preferência fora da rede afetada, e registre: quando o problema foi percebido, por quem, o que foi observado, quais máquinas foram isoladas, quem foi acionado e a que horas. Essa linha do tempo será útil para a análise técnica, para a seguradora e para eventuais obrigações legais.

Avalie se há dados pessoais envolvidos

Pergunte desde já: os sistemas afetados guardam dados de clientes, funcionários ou fornecedores pessoas físicas? Pela LGPD, quando um incidente com dados pessoais puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares. O regulamento da ANPD estabelece, como regra geral, prazo de três dias úteis contados do conhecimento de que o incidente afetou dados pessoais. Por isso, é recomendável envolver o encarregado de dados, se houver, e a assessoria jurídica logo no início. O artigo sobre cibersegurança e LGPD aprofunda essa relação.

Comunique internamente

Informe a equipe de forma objetiva: o que está acontecendo, quais sistemas não devem ser usados, por qual canal chegarão as orientações e a quem reportar qualquer coisa estranha. Evite especulações e peça que ninguém comente o caso fora da empresa ou em redes sociais até haver uma posição oficial.

Depois dos 30 minutos

O que vem em seguida depende da natureza do incidente e da orientação técnica: investigação da causa, limpeza ou reinstalação dos sistemas, restauração a partir de backups confiáveis, revisão de acessos e, quando aplicável, comunicações formais. Cada incidente é diferente, e este roteiro serve como referência geral, não como garantia de resultado.

O mais importante é que esses passos sejam conhecidos antes de serem necessários. Uma folha impressa com os contatos de emergência e as primeiras ações, deixada em local conhecido, já ajuda bastante.

Roteiro resumido

• Mantenha a calma e fotografe o que aparece na tela.
• Desconecte as máquinas afetadas da rede, sem desligá-las.
• Desconecte ou proteja os backups.
• Não apague arquivos, e-mails ou mensagens suspeitas.
• Acione o fornecedor de TI por telefone e, se houver, a seguradora.
• Não pague nem negocie resgate por impulso.
• Troque senhas a partir de um dispositivo limpo.
• Registre a linha do tempo desde o primeiro minuto.
• Verifique se há dados pessoais envolvidos e envolva o jurídico.
• Oriente a equipe com mensagens claras e por um canal definido.