Ransomware em escritórios de advocacia: como reduzir o risco

Ransomware é o ataque que cifra os arquivos da empresa e exige pagamento para liberá-los. Em escritórios de advocacia, o impacto é duplo: paralisa prazos e processos e expõe dados pessoais de clientes, com reflexos na LGPD. A redução de risco vem de medidas combinadas — controle de acesso, autenticação em duas etapas, atualização, filtragem de e-mail, privilégios mínimos e backup testado — e não de uma única ferramenta. Diante de sinais de ataque, a prioridade é isolar o equipamento, preservar evidências e acionar suporte especializado.

Como um ataque costuma começar

Na prática, os caminhos de entrada são poucos e conhecidos:

• Phishing por e-mail: mensagens que imitam intimações, boletos, comunicados de tribunal ou pedidos de cliente, com anexo ou link para captura de credenciais.
• Credenciais reutilizadas: a mesma senha usada em vários serviços; quando um deles vaza, o acesso corporativo vai junto.
• Acesso remoto exposto: ferramentas de acesso remoto abertas à internet sem segunda etapa de autenticação.
• Software desatualizado: sistema operacional, navegador ou aplicativos com correções pendentes.
• Dispositivos de terceiros: mídias removíveis conectadas sem verificação.

Nenhum desses vetores depende do tamanho do escritório. O que muda entre um escritório resiliente e um vulnerável são as camadas de proteção, não a sorte.

Camadas que realmente reduzem risco

Identidade e senhas

A conta de usuário é a porta principal. O conjunto mínimo:

• senhas longas e únicas por serviço, guardadas em gerenciador de senhas;
• autenticação em duas etapas (MFA) em e-mail, nuvem, acesso remoto e sistemas jurídicos;
• fim das contas compartilhadas — cada pessoa com o próprio acesso, para que o registro de atividade faça sentido;
• revisão imediata de acessos quando alguém deixa o escritório.

Privilégios administrativos

Usuário comum não precisa de privilégio de administrador para trabalhar. Quando o dia a dia roda em conta administrativa, um clique errado ganha permissão para alterar todo o equipamento. Separar a conta de uso diário da conta administrativa é uma das medidas de maior efeito e menor custo.

Permissões e pastas compartilhadas

Ransomware cifra tudo o que a conta invadida alcança. Se todos têm acesso a todas as pastas, o alcance do ataque é o acervo inteiro. Estruturar permissões por área e por necessidade limita o estrago e facilita a recuperação.

E-mail e Microsoft 365

Em escritórios que usam Microsoft 365 ou outra suíte em nuvem, vale ativar os recursos já contratados: filtragem de anexos e links, bloqueio de encaminhamento automático não autorizado, alertas de acesso incomum e MFA obrigatório. A sincronização de arquivos em nuvem ajuda na recuperação, mas não substitui backup — arquivos cifrados podem ser sincronizados já cifrados.

Atualizações e antivírus

Correções de segurança aplicadas com regularidade fecham falhas conhecidas. O antivírus corporativo, com console central e monitoramento, dá visibilidade que a versão gratuita não oferece. Complementando, o firewall corporativo controla o que entra e sai da rede e restringe acesso remoto exposto.

Backup: a camada que decide o desfecho

Backup é o que separa um incidente de uma catástrofe. Os critérios que importam:

• cópias em mais de um lugar, sendo uma fora do alcance da rede do escritório;
• versões anteriores retidas por período definido, para voltar a um ponto antes da infecção;
• proteção contra exclusão e alteração das cópias;
• teste periódico de restauração — backup que nunca foi restaurado é uma hipótese, não uma garantia.

Detalhamos critérios e frequências na página de backup corporativo.

Pessoas

A equipe é quem recebe o e-mail. Orientação curta e periódica sobre como conferir remetente, desconfiar de urgência e confirmar pedidos de pagamento por outro canal tem efeito prático imediato. Reforçar que relatar um clique suspeito não gera punição é parte da proteção: quanto antes o time avisa, menor o dano.

Sinais de que algo pode estar acontecendo

• arquivos que mudam de nome ou de extensão em massa;
• documentos que deixam de abrir nos programas habituais;
• arquivos de texto com instruções de pagamento aparecendo nas pastas;
• lentidão súbita e uso de disco muito acima do normal;
• desativação inesperada do antivírus ou do backup;
• avisos de acesso a partir de locais desconhecidos.

O que fazer diante de sinais de ataque

1. Isolar o equipamento suspeito da rede — desconectar cabo e Wi-Fi — sem desligar antes de orientação técnica, para não perder evidências em memória.
2. Avisar o responsável de TI e a coordenação do escritório imediatamente.
3. Suspender sincronizações de nuvem e conexões com servidores e pastas compartilhadas.
4. Preservar mensagens, registros e arquivos suspeitos; não formatar por conta própria.
5. Verificar a integridade das cópias de backup antes de qualquer restauração.
6. Trocar senhas a partir de um equipamento reconhecidamente limpo e revisar sessões ativas.
7. Avaliar as obrigações previstas na LGPD quanto a dados pessoais de clientes, com apoio jurídico interno.
8. Acionar suporte especializado para conduzir contenção e recuperação.

Não existe garantia de recuperação, e o pagamento de resgate não assegura a devolução dos dados. A decisão sobre qualquer negociação deve envolver orientação técnica e jurídica — nunca a pressa de quem está com prazo correndo.

Perguntas frequentes

Antivírus sozinho protege contra ransomware?

Não. Antivírus é uma camada entre várias. Sem MFA, privilégios controlados, atualizações e backup testado, a proteção fica incompleta.

Sincronizar arquivos na nuvem substitui backup?

Não. A sincronização replica o estado atual dos arquivos, inclusive quando já estão cifrados. Backup exige versões anteriores retidas e proteção contra alteração.

Escritório pequeno também é alvo?

Sim. Grande parte das tentativas é automatizada e busca falhas conhecidas, sem selecionar o porte da organização.

O que é mais urgente implantar primeiro?

Autenticação em duas etapas no e-mail e no acesso remoto, e backup com restauração testada. São as duas medidas que mais mudam o desfecho de um incidente.

Devo desligar o computador atacado?

Isole-o da rede primeiro. O desligamento pode apagar informações úteis para a análise; siga a orientação da equipe técnica.

Pagar o resgate resolve?

Não há garantia de recuperação nem de que os dados não sejam divulgados. A decisão exige avaliação técnica e jurídica.

E a LGPD, se dados de clientes forem afetados?

O escritório continua responsável pelos dados pessoais sob sua guarda. Por isso registrar o incidente, preservar evidências e documentar as medidas adotadas é parte da resposta, não burocracia.

Como saber se as proteções estão realmente ativas?

Com verificação periódica: relatório do antivírus, confirmação de MFA em todas as contas, lista de acessos ativos e teste de restauração de backup documentado.

Segurança para escritórios jurídicos

Se o seu escritório precisa revisar acesso, backup e proteção de rede antes de um incidente acontecer, conheça o suporte de TI para escritórios de advocacia da Resolve Tecnologias. Também atendemos empresas na região do Centro do Rio e cuidamos do parque de computadores que sustenta essa operação.