Backup imutável: por que a cópia que o ransomware não apaga voltou a ser prioridade

Existe uma sequência que se repete em quase todo caso de ransomware bem-sucedido, e ela começa antes do que a maioria imagina.

O atacante entra. Passa dias — às vezes semanas — sem fazer barulho, mapeando a rede. Procura o backup. Apaga o que consegue, corrompe o que não consegue apagar, e só então criptografa os servidores de produção. Quando a mensagem de resgate aparece na tela, a decisão sobre pagar ou não já foi tomada por ele.

O que “imutável” quer dizer

Um backup imutável é uma cópia que, uma vez escrita, não pode ser alterada nem apagada até o fim do prazo de retenção — nem por um administrador, nem por quem roubou as credenciais desse administrador.

A diferença em relação ao backup comum não é a tecnologia de cópia. É a permissão: no modelo tradicional, quem tem acesso administrativo pode apagar tudo. É exatamente esse acesso que o atacante busca.

Na prática, três arranjos entregam isso:

• Armazenamento com bloqueio de objeto, onde a retenção é aplicada pelo próprio storage.
• Cópia offline, em mídia que fica fisicamente desconectada entre as rotinas.
• Repositório com credencial separada, sem confiança mútua com o domínio da empresa — se o domínio cair, o backup não vai junto.

A regra que continua valendo

A velha 3-2-1 — três cópias, em dois tipos de mídia, uma fora do local — ganhou um acréscimo: uma delas imutável ou offline, e zero erros no teste de restauração.

O último número é o que mais falha. Muita empresa tem as três cópias e nunca restaurou nenhuma.

Restaurar é um número, não uma sensação

A pergunta certa não é “temos backup?”. São duas outras:

Quanto tempo leva para voltar? — e a resposta precisa ter sido medida, não estimada.

Quanto trabalho a gente perde? — a distância entre o último backup válido e o momento do ataque.

As duas respostas definem o custo real de um incidente. Sem elas, a discussão sobre investir em backup vira opinião contra opinião.

Um teste por trimestre

Restaurar de verdade um servidor, em ambiente isolado, e cronometrar. Registrar o resultado. Comparar com o que a empresa considera aceitável.

É um trabalho de algumas horas por trimestre que transforma a pergunta mais cara de um incidente — “conseguimos voltar?” — em informação que você já tem antes de precisar.