Para muita empresa pequena, a lógica parece óbvia: "ninguém vai perder tempo atacando a gente". É uma crença compreensível — e errada. O ransomware, o sequestro de dados em que um programa embaralha os arquivos da empresa e cobra resgate para devolvê-los, não escolhe vítima a dedo. Ele é automatizado: varre a internet atrás de porta de acesso aberta e senha fraca, e ataca onde encontra as duas. E é exatamente aí que a empresa pequena costuma estar.
Segundo o mais recente Relatório de Investigações de Violações de Dados (DBIR) da Verizon, o sequestro de dados apareceu em 88% dos casos de violação sofridos por pequenas e médias empresas — contra 39% entre as organizações maiores. A Sophos, fornecedora de segurança que atende diretamente esse público, mediu um padrão parecido pela ótica de quem atende o incidente: em 2024, o sequestro de dados respondeu por 70% dos casos atendidos pela empresa entre clientes de até 500 funcionários, e por mais de 90% entre clientes de porte médio, de 500 a 5.000 funcionários.
Para quem decide o orçamento de TI numa empresa pequena, esse dado muda a pergunta que importa. Não é mais "isso vai acontecer com a gente?" — é "por onde entraria, se acontecesse amanhã?".
Por que o ataque acha a porta pequena
O ataque não é uma pessoa pesquisando a empresa antes de agir. É um programa que varre continuamente milhões de endereços de internet procurando um serviço de acesso remoto exposto, um equipamento de rede desatualizado ou uma senha repetida em mais de um sistema. Quando encontra, ataca ali — não importa se do outro lado está uma indústria de 40 funcionários ou uma rede varejista nacional.
No levantamento da Sophos sobre pequenas e médias empresas, cerca de um quarto dos comprometimentos iniciais confirmados por telemetria começou por um equipamento de rede exposto, como o ponto usado para entrar na rede da empresa de fora. Falhas de segurança já conhecidas, mas não corrigidas, apareceram em 14,53% dos casos de invasão que a equipe investigou. Nenhuma das duas portas exige um invasor talentoso — exige só um sistema desatualizado que ninguém lembrou de fechar, e é isso que costuma sobrar numa empresa sem alguém encarregado de cuidar disso todos os dias.
O mesmo levantamento mostra o tamanho do problema dentro da rotina de quem atende esse público: roubo de dados e sequestro juntos responderam por cerca de 30% de todos os incidentes de segurança que a Sophos atendeu entre pequenas e médias empresas em 2024.
No Brasil, o retrato nacional também não anima. A Kaspersky registrou 105 organizações atingidas por sequestro de dados em 2024, alta de 69% sobre as 62 do ano anterior — o levantamento não abre por porte de empresa, mas mostra que o país segue no radar dos ataques. Saúde, financeiro e varejo concentraram a maior parte dos casos.
O próprio recorte de porte usado pela Sophos já é revelador: até 500 funcionários entra na categoria de empresa pequena do levantamento, e mesmo aí o índice de sequestro de dados supera o de organizações bem maiores. Em outras palavras, o tamanho que a maioria dos donos de empresa brasileira classificaria como "pequeno demais para interessar alguém" já está dentro da faixa mais visada pelo tipo de ataque automatizado.
Por que o jeito comum não resolve
O jeito comum de lidar com isso numa empresa pequena é reativo: chamar alguém só quando algo trava, confiar numa cópia de segurança que nunca foi testada, deixar o assunto na mão de quem "entende mais de computador" na equipe — sem tempo, sem responsabilidade formal e sem rotina definida para cuidar disso todo dia.
O problema é que um ataque automatizado não avisa antes. Ele não manda um teste. A primeira notícia costuma ser a mensagem de resgate na tela, numa segunda-feira de manhã, com os arquivos já embaralhados. Nesse momento, a pergunta "quem cuida disso na nossa empresa?" já devia ter resposta havia meses.
Comprar mais uma ferramenta de proteção sem ninguém para configurar, manter atualizada e olhar o alerta todo dia produz o mesmo resultado de não comprar nada: o programa fica instalado, e ninguém lê o que ele avisa até ser tarde demais.
O CERT.br, centro nacional que reúne e trata notificações de incidentes de segurança no Brasil, publicou em 2025 um guia dedicado a esse tema justamente porque o padrão se repete. A maior parte das recomendações não pede comprar nada novo — pede rotina: corrigir a falha já conhecida, limitar quem acessa o quê e manter uma cópia isolada da rede principal. É um guia escrito pensando em quem não tem uma pessoa só para cuidar disso todo dia, não em empresa grande com equipe própria de segurança.
O que precisa existir na prática
Fechar essa porta não depende de um produto isolado. Depende de um conjunto pequeno de rotinas, sustentadas por alguém responsável por elas todos os dias — não só quando o problema já apareceu.
Cada porta de acesso remoto exposta na internet, fechada ou protegida por um segundo passo de confirmação além da senha. É o ponto de entrada mais comum nos ataques automatizados: se ele não existe aberto, o programa que varre a internet segue para o próximo alvo.
Senha única e forte em cada sistema, nunca repetida entre eles. Uma senha vazada num serviço qualquer não pode ser a mesma que abre o servidor da empresa.
Aviso de falha de segurança crítica virando atualização aplicada em dias, não guardada para o próximo projeto. É a diferença entre fechar a falha antes ou depois de alguém explorá-la.
Uma cópia dos arquivos guardada fora do alcance de quem já entrou na rede — desligada da rede principal ou impossível de alterar de fora. Um sequestro de dados também mira a cópia conectada; se ela estiver junto do resto, é embaralhada também.
Alguém observando o comportamento da rede, não só o antivírus de cada computador. Um sequestro de dados costuma avisar antes de embaralhar tudo: tráfego fora do padrão, acesso em horário estranho, arquivo sendo copiado em massa. Perceber isso a tempo é a diferença entre um alerta e uma crise.
Um combinado por escrito de quem decide o quê no dia do ataque — quem desliga a rede, quem avisa a diretoria, quem aciona o seguro ou o jurídico. Decidir isso no meio do incêndio custa um tempo que a empresa não tem.
É assim que a Skills IT trabalha: porta de acesso fechada por padrão, atualização de segurança aplicada assim que sai, e cópia de segurança guardada fora do alcance de quem tentar entrar.
O ganho para a empresa
O ganho de fechar essas portas não é a promessa de nunca ser atacado — ninguém garante isso. É reduzir a chance de o ataque encontrar caminho livre e, se encontrar, ter uma cópia intacta para recomeçar sem precisar negociar com quem sequestrou os dados.
Há um efeito que poucas empresas colocam na conta até precisar dele: negociar com quem sequestrou os dados não é rápido, não é barato, e não garante que os arquivos voltem completos. Ter uma cópia intacta muda essa conversa inteira — a empresa decide se recupera sozinha, em vez de depender da boa vontade de quem a atacou.
Do lado financeiro, o cálculo é simples de explicar para quem aprova o orçamento: o custo de manter essas rotinas rodando é previsível e mensal. O custo de não ter nenhuma delas só aparece depois do ataque, e chega maior, sem aviso e sem parcelamento.
Do lado operacional, o ganho é a empresa continuar funcionando enquanto o resto se resolve: pedido saindo, funcionário trabalhando, cliente sendo atendido — em vez de todo mundo parado esperando alguém "resolver o computador".
Um roteiro para começar
Antes da próxima reunião sobre orçamento de TI, vale levar estas perguntas prontas:
- Quais portas de acesso remoto da empresa estão abertas na internet hoje, e por quê? Se ninguém souber responder, essa é a primeira lacuna a fechar.
- Existe uma cópia de segurança que fica fora do alcance de quem invade a rede principal? Se a resposta for "está tudo no mesmo lugar", o risco é maior do que parece.
- Quem, na empresa, decide o que fazer no primeiro minuto de um ataque? Sem essa pessoa definida, a decisão trava justamente quando a velocidade importa mais.
- As atualizações de segurança dos sistemas críticos estão em dia ou "na fila"? Uma falha conhecida e não corrigida é a porta mais fácil de todas.
- Alguém observa o comportamento da rede, ou só o antivírus de cada computador? É essa diferença que separa perceber um ataque começando de só descobrir quando ele termina.
