Empresa Sofreu Ataque Hacker: o Que Fazer Agora

Guia de resposta a incidente para empresas que já foram atacadas: contenção, evidências, credenciais, análise de acessos, restauração e comunicação.

Arquivos que não abrem, uma mensagem de resgate na tela, clientes recebendo e-mails estranhos enviados da sua conta, um acesso de madrugada que ninguém reconhece. Quando a empresa percebe que já sofreu um ataque, a pergunta deixa de ser "como evitar" e passa a ser "o que fazer agora sem piorar a situação".

Este guia é para esse momento. Ele organiza as primeiras decisões — conter, preservar, recuperar o controle das contas, restaurar com segurança e comunicar — de forma que um gestor sem formação técnica consiga coordenar a resposta enquanto aciona quem vai executar a parte técnica. Não substitui um especialista, e nenhum passo aqui garante recuperação total: cada incidente tem extensão e causa próprias.

Resumo para gestores

Depois de um ataque, a ordem importa: primeiro conter, depois entender, só então restaurar. Restaurar às pressas, antes de saber como o invasor entrou, costuma trazer o problema de volta.

Isole da rede os equipamentos afetados; evite desligá-los sem orientação.
Não apague nada: logs, mensagens e arquivos estranhos são evidência.
Troque senhas a partir de um dispositivo limpo e revogue sessões ativas.
Confirme que o backup não foi atingido antes de usá-lo.
Comunique a equipe por um canal que não dependa do ambiente comprometido.
Avalie obrigações legais, como a comunicação prevista na LGPD.

Primeiro: confirme que é um incidente — e de que tipo

Nem todo problema estranho é ataque, mas, na dúvida, trate como se fosse até descartar. Os cenários mais comuns em pequenas e médias empresas são:

Cenário	Sinais típicos	Prioridade imediata
Ransomware	Arquivos com extensão alterada, nota de resgate, servidor inacessível	Isolar equipamentos e proteger o backup
Conta de e-mail comprometida	Mensagens enviadas sem o usuário saber, regras de encaminhamento novas, login de outro país	Recuperar a conta e revogar sessões
Fraude de pagamento	Boleto ou dados bancários alterados em conversa real com cliente ou fornecedor	Avisar envolvidos e o banco, investigar a caixa de e-mail
Acesso remoto indevido	Ferramenta de acesso remoto desconhecida, mouse se movendo sozinho, usuário administrador novo	Desconectar a máquina e bloquear o acesso
Vazamento de dados	Dados da empresa expostos, contato de criminoso exigindo pagamento	Preservar evidências e avaliar obrigações legais

O que não fazer nas primeiras horas

Erros comuns que agravam o incidente

Formatar ou reinstalar máquinas antes de entender como o ataque aconteceu.
Restaurar o backup por cima de um ambiente ainda comprometido.
Apagar e-mails, arquivos estranhos ou a nota de resgate.
Usar o e-mail possivelmente invadido para avisar clientes ou a equipe.
Trocar senhas a partir do próprio computador infectado.
Negociar ou pagar resgate sem orientação técnica e jurídica.
Deixar cada funcionário "resolver por conta própria".

Passo 1 — Contenção inicial

O objetivo da contenção é impedir que o ataque se espalhe para outras máquinas, contas e cópias de dados.

Isole os equipamentos afetados

Desconecte da rede os computadores e servidores com sinais de comprometimento: retire o cabo de rede e desligue o Wi-Fi do equipamento. Em geral, isolar é melhor do que desligar: manter a máquina ligada e fora da rede preserva informações que se perdem no desligamento e que podem ajudar a entender o ataque. Se houver dúvida, peça orientação antes de desligar.

Proteja o que ainda não foi atingido

Desconecte unidades externas de backup ligadas aos computadores, suspenda sincronizações automáticas que possam espalhar arquivos criptografados e, se o ataque parecer ativo, avalie com o técnico responsável bloquear temporariamente o acesso remoto e a VPN.

Defina quem coordena

Uma pessoa precisa centralizar decisões e registros. Sem isso, cada um age de um jeito, e passos importantes se perdem.

Passo 2 — Preservação de evidências

Evidência não serve apenas para a polícia. Ela mostra por onde o invasor entrou, o que acessou e se ainda tem acesso — informações necessárias para restaurar sem repetir o problema e para avaliar obrigações legais.

Fotografar telas com mensagens de resgate ou alertas
Anotar horários: quando o problema foi percebido, o que foi feito e por quem
Não apagar e-mails suspeitos, anexos ou arquivos desconhecidos
Preservar logs do firewall, do servidor, do antivírus ou EDR e do Microsoft 365 ou Google Workspace
Guardar contatos feitos pelos criminosos, sem responder
Registrar quais equipamentos foram isolados e em que estado estavam

Logs têm prazo. Muitas plataformas guardam registros por tempo limitado, que varia conforme o serviço e o plano contratado. Exportar os logs relevantes logo no início evita perder justamente as informações que explicam o ataque.

Passo 3 — Recuperar o controle das contas

Se houver qualquer suspeita envolvendo e-mail, nuvem ou sistemas, as credenciais precisam ser tratadas como comprometidas.

Troque senhas a partir de um dispositivo limpo

Use um computador ou celular que não tenha relação com o incidente. Comece pelas contas administrativas (Microsoft 365, Google Workspace, firewall, servidor, backup), depois as contas dos usuários afetados e, por fim, as demais.

Revogue sessões e tokens

Trocar a senha nem sempre derruba quem já está conectado. No Microsoft 365 e no Google Workspace, o administrador consegue encerrar sessões ativas e exigir novo login. Golpes recentes, como o phishing por código de dispositivo no Microsoft 365, mostram por que esse passo não pode ser esquecido.

Ative ou reforce o MFA

Se alguma conta ainda não tinha autenticação multifator, este é o momento. Revise também se o invasor cadastrou um método de MFA próprio. Mais detalhes em MFA para empresas.

Passo 4 — Análise de acessos

Antes de declarar o ambiente limpo, é preciso responder: o invasor deixou alguma porta aberta?

Logins de locais, horários ou dispositivos incomuns
Regras de caixa de entrada que encaminham ou apagam mensagens
Aplicativos autorizados com acesso à conta (consentimentos OAuth)
Usuários administradores criados ou promovidos recentemente
Ferramentas de acesso remoto instaladas sem autorização
Tarefas agendadas e serviços novos em servidores
Regras de firewall e redirecionamentos de porta alterados
Contas de ex-funcionários ainda ativas

Esse levantamento costuma exigir acesso administrativo e experiência com os logs de cada plataforma. É aqui que, na maioria das empresas, entra o apoio técnico especializado.

Passo 5 — Backup e restauração com segurança

O backup é o que permite voltar a operar sem depender do criminoso — desde que ele não tenha sido atingido e que a restauração seja feita sobre um ambiente limpo.

Verifique o backup antes de usar. Confirme se as cópias estão íntegras, quando foi a última cópia boa e se as credenciais do próprio backup não foram comprometidas.

Escolha o ponto de restauração. Volte a uma data anterior ao início do ataque, não apenas anterior à descoberta. O invasor pode ter entrado dias antes.

Restaure sobre ambiente limpo. Máquinas comprometidas devem ser reinstaladas ou verificadas antes de receber os dados de volta.

Priorize. Defina o que volta primeiro: sistema de faturamento, prontuário, arquivos do mês, e-mail.

Rotinas, retenção e testes de restauração estão detalhados em backup corporativo. Se o ambiente usa Microsoft 365, vale entender o que o Microsoft 365 guarda e o que não guarda.

Cuidados antes de restaurar máquinas

A forma de entrada do invasor foi identificada ou, ao menos, bloqueada
Senhas administrativas já foram trocadas a partir de dispositivo limpo
O equipamento foi reinstalado ou verificado antes de voltar à rede
Sistema operacional e aplicativos estão atualizados
Proteção de endpoint está ativa e reportando
O retorno à rede é gradual, com acompanhamento

Sua empresa está passando por um incidente agora? A Suporte de TI - Resolve Tecnologias apoia contenção, análise de acessos, restauração e reforço do ambiente, com atendimento remoto e presencial no Rio de Janeiro. Fale com a empresa Suporte de TI - Resolve Tecnologias ou chame no WhatsApp (21) 99063-9244.

Passo 6 — Comunicação interna e externa

Com a equipe

Use um canal que não dependa do ambiente comprometido — por exemplo, telefone ou um grupo de mensagens fora do e-mail corporativo. Oriente de forma simples: não ligar equipamentos isolados, não abrir anexos suspeitos, não comentar o incidente com terceiros e encaminhar qualquer contato estranho ao coordenador.

Com clientes, fornecedores e bancos

Se houver risco de fraude — por exemplo, e-mails falsos de cobrança enviados em nome da empresa —, avise os envolvidos por um canal confiável e confirme dados bancários por telefone. Se houver movimentação financeira suspeita, contate o banco imediatamente.

Obrigações legais

Quando o incidente envolve dados pessoais e pode gerar risco ou dano relevante aos titulares, a LGPD prevê comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares. O regulamento da ANPD define prazo e conteúdo dessa comunicação. Essa avaliação deve envolver o encarregado de dados e a assessoria jurídica da empresa. Registrar boletim de ocorrência também é recomendado. Veja como a infraestrutura se relaciona com a lei em LGPD e TI.

Quando acionar especialistas

Algumas situações pedem apoio técnico imediato:

Servidor ou sistema principal fora do ar
Arquivos criptografados em mais de uma máquina
Suspeita de que o invasor ainda tem acesso
Contas administrativas comprometidas
Envolvimento de dados de clientes, pacientes ou funcionários
Backup ausente, desatualizado ou também atingido
Necessidade de laudo ou investigação formal

Em casos com exigência de investigação forense formal ou disputa judicial, pode ser necessário envolver profissionais especializados em perícia digital, além do suporte de TI que conduz a recuperação.

Linha do tempo da resposta

Fase	Objetivo	Ações principais
Detecção	Confirmar o incidente	Identificar sinais, definir coordenador, acionar suporte
Contenção	Impedir a propagação	Isolar equipamentos, proteger backup, bloquear acessos
Preservação	Entender o que aconteceu	Registrar, exportar logs, guardar evidências
Erradicação	Remover o invasor	Trocar credenciais, revogar sessões, fechar a porta de entrada
Recuperação	Voltar a operar	Restaurar sobre ambiente limpo, priorizar sistemas
Aprendizado	Evitar repetição	Revisar causas, reforçar camadas, documentar

Depois da recuperação: hardening

O incidente revela onde o ambiente estava frágil. Reforçar essas camadas é o que reduz a chance de repetição:

MFA obrigatório em todas as contas, começando pelas administrativas
Contas administrativas separadas das contas de uso diário
Atualizações de sistema e aplicativos em rotina acompanhada
Proteção de endpoint com capacidade de detecção e isolamento — veja antivírus ou EDR
Firewall com regras revisadas, segmentação de rede e acesso remoto apenas por VPN — detalhes em firewall corporativo
Backup com cópia fora do ambiente principal e restauração testada
Revisão de permissões de pastas e sistemas
Autenticação de e-mail (SPF, DKIM e DMARC) para dificultar golpes com o domínio — veja e-mail corporativo caindo no spam
Orientação da equipe sobre golpes e sobre o que fazer ao clicar em algo errado
Plano de resposta escrito, com contatos e responsabilidades

A organização dessas camadas, do diagnóstico ao acompanhamento, está em cibersegurança para empresas. Para casos de escritórios, há também o conteúdo sobre ransomware em escritórios de advocacia.

Dica Suporte de TI - Resolve Tecnologias. Monte o plano de resposta enquanto está tudo calmo: uma página com quem coordenar, quem acionar no suporte, onde está o backup, como trocar senhas administrativas e como avisar a equipe. No dia do incidente, essa página economiza decisões.

Perguntas frequentes

Qual é a primeira coisa a fazer depois de um ataque hacker?

Isolar da rede os equipamentos afetados, retirando o cabo e desligando o Wi-Fi, e definir uma pessoa para coordenar a resposta. Em seguida, acionar o suporte técnico. Evite formatar máquinas, apagar arquivos ou restaurar backup antes de entender como o ataque aconteceu.

Devo desligar o computador infectado?

Em geral, é preferível isolar da rede em vez de desligar. A máquina ligada e desconectada preserva informações que se perdem no desligamento e que ajudam a entender o ataque. Se não for possível isolar ou houver dúvida, peça orientação técnica antes de agir.

A empresa deve pagar o resgate de um ransomware?

Pagar não garante a devolução dos dados nem impede nova extorsão, e pode ter implicações legais. A decisão nunca deve ser tomada às pressas, sem orientação técnica e jurídica. Antes, é preciso verificar se há backup íntegro e qual é a real extensão do incidente.

Como saber se o backup foi atingido?

Verificando as cópias antes de usá-las: data da última cópia boa, integridade dos arquivos e se as credenciais do sistema de backup foram comprometidas. Backups conectados permanentemente à rede ou ao computador afetado têm mais risco de terem sido atingidos.

Posso restaurar o backup imediatamente?

Não é recomendado. Restaurar sobre um ambiente ainda comprometido pode trazer o invasor de volta. Primeiro é preciso conter o ataque, trocar credenciais, identificar ou bloquear a forma de entrada e reinstalar ou verificar as máquinas que receberão os dados.

Por que trocar senhas de outro dispositivo?

Porque o equipamento afetado pode estar capturando o que é digitado. Trocar a senha nele pode entregar a nova senha ao invasor. Use um computador ou celular sem relação com o incidente e comece pelas contas administrativas.

Trocar a senha é suficiente para recuperar uma conta de e-mail?

Nem sempre. Também é preciso revogar sessões ativas, revisar métodos de MFA cadastrados, remover regras de encaminhamento suspeitas e verificar aplicativos autorizados na conta. Sem isso, o invasor pode manter acesso mesmo após a troca de senha.

O que são evidências em um incidente?

São registros que mostram o que aconteceu: logs de acesso, alertas de segurança, e-mails suspeitos, arquivos desconhecidos, mensagens de resgate e anotações de horários e ações tomadas. Elas ajudam a descobrir a porta de entrada e a cumprir obrigações legais.

Preciso comunicar a ANPD?

Quando o incidente envolve dados pessoais e pode gerar risco ou dano relevante aos titulares, a LGPD prevê comunicação à ANPD e aos titulares, com prazo e conteúdo definidos em regulamento da autoridade. A avaliação deve envolver o encarregado de dados e a assessoria jurídica.

Devo registrar boletim de ocorrência?

É recomendado, especialmente em casos de fraude, extorsão ou vazamento de dados. O registro documenta o crime e pode ser exigido por bancos, seguradoras ou em processos. Leve as evidências preservadas e a linha do tempo dos fatos.

Como avisar a equipe sem usar o e-mail comprometido?

Use telefone ou um grupo de mensagens fora do ambiente corporativo afetado. Oriente de forma objetiva: não ligar equipamentos isolados, não abrir anexos, não comentar o incidente com terceiros e encaminhar qualquer contato estranho ao coordenador da resposta.

Como saber se o invasor ainda tem acesso?

Analisando logins incomuns, administradores criados recentemente, ferramentas de acesso remoto não autorizadas, regras de e-mail, aplicativos com permissão nas contas, tarefas agendadas em servidores e alterações no firewall. Esse levantamento normalmente exige acesso administrativo e experiência técnica.

Quanto tempo leva para a empresa voltar a operar?

Depende da extensão do ataque, da qualidade do backup e de quantas máquinas precisam ser reinstaladas. Um e-mail comprometido pode ser contido rapidamente; um ransomware em servidor pode exigir dias. Não é possível prometer prazo antes de conhecer o cenário.

O que fazer se clientes receberam e-mails falsos em nome da empresa?

Avise os clientes por um canal confiável, oriente a não pagar boletos ou alterar dados bancários sem confirmação por telefone e investigue a conta de e-mail. Se houver movimentação financeira, acione o banco. Depois, reforce a autenticação do domínio com SPF, DKIM e DMARC.

Antivírus comum detecta tudo isso?

Não necessariamente. O antivírus tradicional foca em ameaças conhecidas. Muitos ataques usam contas legítimas ou ferramentas comuns do sistema. Soluções de EDR acrescentam análise de comportamento, investigação e isolamento de máquinas, mas precisam de alguém acompanhando os alertas.

Pequenas empresas também são alvo?

Sim. Muitos ataques são automatizados e procuram qualquer ambiente com senha fraca, sistema desatualizado ou acesso remoto exposto, independentemente do porte. Pequenas empresas costumam ter menos camadas de proteção e menos tempo para reagir, o que torna o plano de resposta ainda mais importante.

O que mudar depois de um incidente?

Reforçar as camadas que falharam: MFA em todas as contas, separação de contas administrativas, atualizações, proteção de endpoint, firewall com segmentação, backup testado fora do ambiente principal, revisão de permissões e um plano de resposta escrito com responsáveis e contatos.

A Suporte de TI - Resolve Tecnologias atende incidentes de segurança?

Sim. Suporte de TI - Resolve Tecnologias apoia empresas no Rio de Janeiro e na Região Metropolitana na contenção, análise de acessos, restauração a partir de backup e reforço do ambiente após incidentes. Quando o caso exige perícia formal, orientamos a envolver profissionais especializados.

Conclusão

Depois de um ataque, a pressa é compreensível — mas a ordem das ações pesa mais do que a velocidade. Conter, preservar, recuperar o controle das contas e só então restaurar é o caminho que reduz o estrago e evita que o problema volte na semana seguinte.

O incidente também deixa um diagnóstico involuntário: mostra exatamente quais camadas faltavam. Usar esse aprendizado para reforçar o ambiente é o que transforma um dia ruim em uma empresa mais preparada.

Precisa de apoio para responder a um incidente ou preparar o plano da sua empresa? A Suporte de TI - Resolve Tecnologias atua com cibersegurança para empresas, backup corporativo, firewall corporativo e monitoramento de TI 24x7, com atendimento remoto e presencial no Rio de Janeiro. Fale conosco pelo WhatsApp (21) 99063-9244 ou pelo e-mail resolvetecnologias@resolvetecnologias.com.br.

Fontes oficiais

NIST — SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management
CISA — #StopRansomware Guide
ANPD — Comunicação de incidente de segurança
Microsoft Learn — Responder a uma conta de e-mail comprometida