Ataques de backup

Os operadores de ransomware seguem um roteiro bem definido: neutralizar as opções de Recovery antes de criptografar os dados de produção. Se seus backups estiverem intactos, você pode se recusar a pagar o resgate e restaurar as operações. Os invasores sabem disso, por isso a infraestrutura de backup se tornou um alvo principal.

As variantes modernas de ransomware utilizam várias táticas para comprometer os sistemas de backup:

• A exclusão de cópias de sombra está entre as ações mais comuns — o malware executa comandos para remover as cópias de sombra de volume assim que consegue se instalar no sistema.
• A criptografia do repositório de backup vai além, abrangendo diretamente os servidores de backup e os conjuntos de armazenamento.
• A dupla extorsão acrescenta mais uma camada: os invasores extraem dados confidenciais antes da criptografia, ameaçando divulgá-los mesmo que você consiga recuperar os dados a partir de backups.

De acordo com oAviso da CISA sobre o ransomware Medusa(atualizado em agosto de 2026), a operação de ransomware como serviço (RaaS) Medusa afetou mais de 500 vítimas em setores de infraestrutura crítica, incluindo os setores médico, educacional, jurídico, de seguros, de tecnologia e de manufatura, até abril de 2026. Os autores do Medusa adotam um modelo de dupla extorsão, combinando criptografia com roubo de dados para pressionar as vítimas a pagarem.

Regra de backup imutável

Um backup imutável é aquele que não pode ser alterado, sobrescrito ou excluído durante um período de retenção definido. Isso geralmente é implementado por meio de políticas de armazenamento do tipo “Write Once, Read Many” (WORM). Ele é projetado de forma que, uma vez que os dados do backup sejam gravados, nenhum usuário, administrador ou processo automatizado possa modificá-los até que o bloqueio de retenção expire.

A imutabilidade e o isolamento físico têm funções complementares. O isolamento físico controla onde os dados de backup ficam armazenados e quem tem acesso a eles. A imutabilidade controla o que pode ser feito com esses dados depois que eles chegam ao local. As estratégias mais eficazes de proteção contra ransomware para backups utilizam ambas: os dados são armazenados em um ambiente isolado e protegidos contra modificações.

A regra de backup 3-2-1 tem sido um padrão de proteção de dados há décadas: manter três cópias dos dados, em dois tipos diferentes de mídia, com uma cópia fora do local. A estrutura moderna 3-2-1-1-0 amplia isso para oferecer resiliência contra ransomware: 3 cópias dos seus dados, 2 mídias ou plataformas de armazenamento diferentes, 1 cópia fora do local, 1 cópia isolada fisicamente ou imutável (ou ambas) e 0 erros após a verificação automatizada do backup. A regra 3-2-1-1-0 não é apenas uma diretriz — é uma estrutura prática para criar recursos de Recovery contra ransomware que ajudem a resistir em condições reais de ataque.

Melhores práticas de proteção

Uma proteção robusta contra ransomware em backups exige mais do que apenas a arquitetura de armazenamento adequada. Ela requer práticas operacionais disciplinadas nas áreas de criptografia, controle de acesso, testes e conformidade.

• Criptografe os backups em trânsito e em repouso. Os dados de backup devem ser criptografados durante a transmissão e enquanto estiverem armazenados. O suporte à criptografia “Bring Your Own Key” (BYOK) ajuda a garantir que você tenha controle sobre o gerenciamento de chaves, sem depender exclusivamente do provedor de backup.
• Implemente a autenticação multifatorial (MFA) e o controle de acesso baseado em funções (RBAC). Limite quem pode acessar os consoles de gerenciamento de backup e as operações de Recovery. A MFA ajuda a adicionar uma camada de defesa contra ataques baseados em credenciais, e o RBAC restringe cada usuário às permissões mínimas de que ele precisa.
• Realize testes de recuperação regularmente. Backups que nunca foram testados são backups nos quais você não pode confiar. Realize simulados de recuperação em intervalos regulares — incluindo restaurações granulares, recuperação entre contas e reversões para um ponto específico no tempo — para ajudar a confirmar se seus objetivos de tempo de recuperação são realistas.
• Manter as certificações de conformidade. Para setores regulamentados, sua solução de backup deve possuir certificações atualizadas, como ISO 27001, SOC 2 Tipo II e HIPAA.

A criptografia ajuda a proteger a confidencialidade dos dados; os controles de acesso ajudam a limitar o alcance dos danos causados por credenciais comprometidas; os testes ajudam a validar a Readiness para a recuperação; e as estruturas de conformidade ajudam a fornecer uma abordagem estruturada para manter todos os itens acima.

Proteção de backup da Clumio

Clumio ajuda a oferecer proteção contra ransomware por meio de backup nativo da nuvem, desenvolvida especificamente para cargas de trabalho da AWS, incluindoAmazon S3,DynamoDBeEC2/EBS. Veja a seguir como a Clumio ajuda a superar os principais desafios abordados neste artigo:

• Backups em nuvem isolados fisicamente fora da sua conta da AWS.Clumio armazena todos os dados de backup em um ambiente isolado e gerenciado pelo provedor, projetado para ser totalmente separado da sua conta principal na nuvem. Os invasores que comprometem seu ambiente de produção enfrentam barreiras significativas para acessar seus dados de backup.
• Imutável por natureza. Os dados de backup gravados no Clumio são imutáveis e indeléveis, e foram projetados de forma que não possam ser alterados ou sobrescritos por meio de nenhuma interface de usuário ou API. A imutabilidade é aplicada no nível da plataforma, e não como uma configuração opcional.
• Recuperação granular em todos os níveis. O Clumio oferece suporte à recuperação no nível de objeto, prefixo, bucket, tabela e instância. Ele foi projetado para ajudar você a restaurar exatamente o que precisa — um único objeto S3, uma tabela do DynamoDB ou uma instância EC2 inteira — sem precisar reconstruir ambientes completos.
• SaaS sem servidor, sem necessidade de implantar infraestrutura. O Clumio funciona como um serviço totalmente gerenciado. Não há servidores de backup, pools de armazenamento nem agentes para manter. A proteção foi projetada para se adaptar automaticamente ao crescimento dos seus dados.
• Criptografados em trânsito e em repouso, com suporte para BYOK. Todos os dados são criptografados durante a transferência e em repouso, com suporte para chaves de criptografia gerenciadas pelo cliente.