Os incidentes envolvendo ransomware mais que dobraram desde o início da pandemia, de acordo com a IEEE Computer Society, e as consequências se estenderam muito além do departamento de TI. Quando o Banco da Inglaterra citou o ataque cibernético à Jaguar Land Rover (JLR) como um fator direto para a desaceleração do crescimento do Produto Interno Bruto (PIB) no terceiro trimestre de 2025, foi a primeira vez que um evento cibernético causou danos significativos à economia britânica em nível nacional. No mesmo ano, a rede varejista britânica Marks & Spencer (M&S) estimou que o custo da recuperação após um ataque cibernético ultrapassaria 300 milhões de libras. Ao mesmo tempo, o Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido informou que o número de ataques cibernéticos de grande porte havia aumentado em 130%.
O cenário de ameaças está se intensificando de maneiras que tornam as defesas tradicionais cada vez mais inadequadas. O Projeto Glasswing, da Anthropic, já identificou milhares de vulnerabilidades de dia zero até então desconhecidas em todos os principais sistemas operacionais e navegadores, e a IA reduziu drasticamente o custo de descobrir e explorar essas falhas. Quando novas variantes de malware podem ser geradas mais rapidamente do que qualquer banco de dados de assinaturas consegue se atualizar, a relação custo-benefício dos ataques mudou permanentemente a favor dos invasores.
O que as empresas de serviços financeiros estão fazendo atualmente
Os órgãos reguladores em todas as principais jurisdições já não se limitam a perguntar se as organizações possuem cópias de segurança, mas agora questionam se elas são capazes de comprovar a recuperação após um incidente cibernético direcionado e malicioso.
O Artigo 12 da Lei Europeia de Resiliência Operacional Digital (DORA) exige que as entidades financeiras restaurem os dados utilizando sistemas que estejam “fisicamente e logicamente segregados da fonte”. O Banco da Inglaterra, a Autoridade de Regulamentação Prudencial (PRA) e a Autoridade de Conduta Financeira (FCA) publicaram conjuntamente orientações que exigem que as instituições de importância sistêmica demonstrem capacidades aprimoradas de resposta e recuperação cibernéticas.
A Comissão de Valores Mobiliários (SEC) agora exige a divulgação de incidentes cibernéticos relevantes no prazo de quatro dias úteis.
Outros marcos regulatórios e setoriais, incluindo a Autoridade Monetária de Hong Kong (HKMA), a Comissão de Valores Mobiliários da Índia (SEBI), a Diretiva de Segurança de Redes e Informações 2 (NIS2) e o Guia de Boas Práticas de Proteção de Dados em Nuvem do Grupo de Resiliência Operacional Intermercados do Reino Unido (CMORG) do Reino Unido, Guia de Boas Práticas para o Armazenamento de Dados em Nuvem, convergem para as mesmas expectativas:
Ambientes de recuperação segregados
Integridade comprovável dos dados
Capacidades de resposta documentadas
Em conjunto, esses requisitos vão muito além do que as soluções tradicionais de backup operacional foram projetadas para oferecer.
A maioria das empresas regulamentadas reagiu reforçando suas estratégias existentes de backup e recuperação de desastres. Elas investiram em mais cópias de backup, replicação mais frequente, failover mais rápido e orçamentos maiores para recuperação de desastres. Essa reação é compreensível, pois essas ferramentas têm atendido bem ao setor há décadas, mesmo diante de falhas de hardware, desastres naturais e exclusões acidentais.
O problema é que o ransomware não é nada disso. Trata-se de um ataque direcionado e hostil, projetado para fazer com que seus mecanismos de recuperação falhem.
Por que a alta disponibilidade, a continuidade de negócios/recuperação de desastres e o backup nunca foram projetados para isso
Os sistemas de alta disponibilidade e continuidade de negócios/recuperação de desastres (BC/DR) replicam dados em tempo real. Se um ransomware criptografar dados no ambiente primário, essa criptografia geralmente é replicada para o ambiente secundário antes que o ataque seja detectado. Como resultado, ambas as cópias dos dados podem ser comprometidas.
Os sistemas tradicionais de backup enfrentam um desafio diferente. Os invasores costumam permanecer indetectados em um ambiente por semanas antes de lançarem um ataque. Se um invasor estiver presente há 30 dias, muitos dos backups criados durante esse período já podem conter malware ou outras alterações maliciosas. A restauração a partir desses backups pode reintroduzir a ameaça junto com os dados.
Os operadores de ransomware modernos conhecem essa arquitetura profundamente. Eles têm como alvo específico a infraestrutura de backup, excluindo cópias de sombra, criptografando catálogos de backup e comprometendo as credenciais dos administradores de backup, pois sabem que, se eliminarem sua capacidade de recuperação, você pagará. Todo o modelo de negócios depende de deixar as organizações sem nenhuma alternativa viável.
Existe uma lacuna estrutural na pilha de segurança corporativa que nenhuma dessas ferramentas aborda. Os firewalls inspecionam o tráfego no perímetro. A Detecção e Resposta em Terminais (EDR) inspeciona os processos em execução nos terminais. O Gerenciamento de Informações e Eventos de Segurança (SIEM) analisa logs e padrões de tráfego. Mas nenhum deles examina o conteúdo dos arquivos armazenados no seu dispositivo, e é exatamente aí que o trabalho do invasor se concentra. Cada ação pós-exploração, desde a implantação do ransomware até o armazenamento temporário de dados e a criptografia de arquivos, deixa rastros na camada de dados. Se nada inspecionar essa camada, a invasão persistirá sem ser detectada, mesmo passando por todos os mecanismos de proteção que você possui.
Como a Qumulo resolve o problema
A Qumulo apresenta uma arquitetura moderna de resiliência cibernética que aborda os dois aspectos do desafio do ransomware: prevenir a corrupção de dados antes que ela se espalhe e preservar um ambiente de recuperação confiável e isolado, que permanece fora do alcance do movimento lateral do invasor. Ao combinar proteção ativa com um ambiente de recuperação arquitetonicamente isolado, a Qumulo estabelece um novo padrão de resiliência contra ransomware, que pressupõe a ocorrência de um comprometimento e garante a capacidade de recuperação.
NeuralProtect: Detecção na camada de armazenamento
O Qumulo NeuralProtect é um sistema de detecção em tempo real de ransomware e malware integrado diretamente à plataforma de armazenamento da Qumulo. Ao contrário de abordagens que dependem de assinaturas conhecidas ou de inferências comportamentais a partir do tráfego de rede, o NeuralProtect utiliza a Deep File Inspection para abrir e analisar cada arquivo no momento em que ele é gravado no armazenamento. Seu mecanismo de detecção multimodal identifica tanto famílias conhecidas de malware quanto ransomware de dia zero que nunca foram catalogados. Ao detectar uma ameaça, ele age imediatamente, encerrando a sessão maliciosa para impedir a criptografia lateral de arquivos, ao mesmo tempo em que cria snapshots defensivos para preservar um estado conhecido como seguro e possibilita a recuperação rápida a partir de dados verificados como limpos. Não se trata de um agente adicional nem de uma integração de terceiros que exija infraestrutura separada. É uma proteção incorporada na própria camada de armazenamento, exatamente onde o atacante causa os danos.
Qumulo Cloud Data Vault: Impedindo o movimento lateral
O Qumulo Cloud Data Vault é um padrão arquitetônico validado, baseado em implantações do Qumulo Cloud Native, projetado para criar um ambiente de recuperação isolado e imutável para dados críticos para os negócios. Não se trata de um produto separado, mas de uma arquitetura que aproveita os recursos existentes do Qumulo para oferecer resiliência cibernética.
O cofre está localizado em uma conta na nuvem separada, sem conexão persistente com o ambiente de produção, o que significa que não há caminho lateral de um sistema comprometido até o cofre. Os instantâneos dentro do cofre são bloqueados por meio de chaves criptográficas; portanto, um instantâneo bloqueado não pode ser excluído nem ter seu prazo de validade reduzido, mesmo por um administrador comprometido que não possua a chave privada. A conectividade com o cofre ocorre apenas durante janelas de replicação programadas, imitando o isolamento físico (airgap) de uma fita removida de uma biblioteca, mas implementada por meio de uma arquitetura nativa da nuvem que atende aos requisitos regulatórios da DORA, da CMORG e às orientações de práticas eficazes do Banco da Inglaterra.
O Efeito Compound
Esses dois recursos atuam em conjunto para resolver o problema fundamental que o backup por si só não consegue resolver e atendem diretamente às expectativas regulatórias que atualmente pesam sobre o setor de serviços financeiros. O NeuralProtect inspeciona os dados no momento da gravação, o que significa que os dados que fluem para suas camadas de backup, replicação e armazenamento seguro são verificados e confirmados como íntegros na origem. Sem essa inspeção, todas as camadas de proteção a jusante estão potencialmente preservando dados comprometidos e chamando isso de resiliência.
Se o NeuralProtect detectar um ataque precocemente, suas cópias de backup e de recuperação de desastres (DR) existentes permanecerão intactas e utilizáveis. Se um ataque sofisticado escapar da detecção inicial e for descoberto posteriormente, o Qumulo Cloud Data Vault fornece um ponto de recuperação comprovadamente intacto, anterior ao comprometimento, armazenado em um ambiente ao qual o invasor nunca teve acesso.
O Artigo 12 da DORA exige que os dados restaurados passem por “múltiplas verificações e reconciliações” para garantir “o mais alto nível de integridade dos dados”. O recurso Deep File Inspection da NeuralProtect oferece exatamente essa verificação, aplicada de forma contínua, e não apenas no momento da restauração.
O Guia de Boas Práticas para Armazenamento de Dados em Nuvem da CMORG especifica que os dados armazenados devem residir em um ambiente sem conectividade persistente com o ambiente de produção, com imutabilidade criptográfica e janelas de replicação definidas. O Qumulo Cloud Data Vault foi desenvolvido de acordo com essa especificação.
O prazo de quatro dias para divulgação estabelecido pela SEC não começa no momento do ataque, mas sim quando a empresa determina que o incidente é relevante, e essa determinação deve ser feita sem demora injustificada. A relevância é avaliada com base no fato de um investidor razoável considerar ou não o incidente importante para sua tomada de decisão. As organizações não podem se dar ao luxo de deixar margem para ambiguidade. A detecção em tempo real da NeuralProtect oferece às equipes de segurança visibilidade imediata sobre se um ataque atingiu a camada de dados e se os pontos de recuperação permanecem viáveis, reduzindo esse prazo de avaliação de semanas para minutos.
Juntas, elas oferecem o que os órgãos reguladores de todas as jurisdições estão exigindo atualmente e o que o backup por si só não consegue proporcionar: a capacidade de detectar ameaças antes que a criptografia seja concluída, isolar sessões comprometidas em tempo real, proteger dados críticos em um ambiente segregado e imutável e recuperar os dados de forma segura, sem pagar resgate.
Conclusão
O ransomware é um problema de sobrevivência empresarial, e as organizações que conseguirem lidar com ele com sucesso serão aquelas que reconheceram que suas ferramentas de resiliência operacional existentes foram projetadas para uma era diferente de ameaças. O Banco da Inglaterra está citando os ataques cibernéticos em suas previsões do PIB. A DORA é aplicável em toda a UE. A PRA e a FCA estão publicando orientações conjuntas sobre o que constitui uma recuperação cibernética “eficaz” para empresas sistêmicas. A SEC está responsabilizando pessoalmente os conselhos de administração pela governança da segurança cibernética. As seguradoras estão se retirando do mercado cibernético, à medida que os sinistros superam os prêmios, e as seguradoras que permanecem estão exigindo comprovação de arquiteturas de recuperação segregadas antes de subscreverem apólices.
O backup não é proteção contra ransomware.
A recuperação de desastres não é proteção contra ransomware.
A continuidade dos negócios não é proteção contra ransomware.
Todos esses são componentes necessários da resiliência operacional, mas nunca foram projetados para resistir a um adversário direcionado cuja estratégia inteira depende de fazer com que eles falhem. Mais importante ainda, eles não atendem mais aos requisitos regulatórios. Os órgãos reguladores não estão apenas perguntando se você consegue restaurar a partir do backup. Eles também estão perguntando se seu ambiente de recuperação está segregado, se a integridade dos seus dados é comprovável e se você pode demonstrar que sua última cópia válida conhecida está genuinamente livre de ameaças.
O Qumulo NeuralProtect e o Qumulo Cloud Data Vault ajudam as organizações a desenvolver os recursos cada vez mais exigidos pelos órgãos reguladores. A detecção de ameaças no momento da gravação, a preservação de dados críticos em um ambiente de recuperação isolado e a recuperação a partir de cópias limpas e verificadas fortalecem a resiliência cibernética e apoiam uma estratégia de recuperação comprovável diante de ataques de ransomware.
Pronto para ver como o Qumulo NeuralProtect e o Cloud Data Vault funcionam juntos? Solicite uma demonstração em qumulo.com/product/neural-protect ou leia o Resumo da solução NeuralProtect para saber mais.
Sobre o autor
Tom Tasker é arquiteto sênior de soluções em nuvem na Qumulo, com foco em proteção de dados na nuvem e resiliência contra ransomware para o setor de serviços financeiros e setores regulamentados nas regiões da EMEA e APJ. Ele é coautor da publicação no blog de armazenamento da AWS Resiliência desde a concepção: como criar uma estratégia eficaz de recuperação contra ransomware, e ministra palestras na Universidade de Loughborough sobre Arquitetura Moderna de Dados.