Como Uma Empresa de Contabilidade Perdeu Tudo em Um Ataque Ransomware

Pontos-Chave deste Caso

• Um escritório contábil com 15 funcionários e 200+ clientes teve todos os dados criptografados pelo ransomware LockBit 3.0 após um e-mail de phishing
• O único backup existia em um HD externo conectado 24 horas ao servidor — e também foi criptografado
• A empresa ficou 23 dias sem operar, perdeu 40% dos clientes e acumulou prejuízos superiores a R$ 500 mil
• O ataque poderia ter sido evitado com backup imutável em nuvem, proteção contra ransomware e um plano de disaster recovery testado
• Este caso é um cenário composto baseado em padrões reais documentados pelo CERT.br e pela Coveware — os detalhes refletem situações recorrentes em escritórios contábeis brasileiros

A Sexta-Feira que Mudou Tudo

Era uma sexta-feira de maio, véspera do prazo final para entrega de obrigações acessórias do SPED Fiscal. Às 7h15 da manhã, a primeira funcionária a chegar ao escritório ligou o computador e encontrou uma tela que mudaria para sempre a história daquela empresa: uma mensagem em inglês, com letras vermelhas sobre fundo preto, informando que todos os arquivos haviam sido criptografados. O pedido de resgate: 0,8 Bitcoin — equivalente a aproximadamente R$ 320 mil na cotação da época.

Ela tentou abrir uma planilha fiscal de um cliente. A extensão do arquivo havia mudado de .xlsx para .lockbit. Tentou outra pasta. A mesma coisa. Ligou para o colega responsável pela TI, que confirmou em minutos: todos os cinco computadores da rede estavam comprometidos. O servidor de arquivos, o sistema de contabilidade, as pastas de clientes com declarações de Imposto de Renda, balanços patrimoniais, SPED Contábil, certificados digitais A1 — tudo estava inacessível.

E o backup? O HD externo de 2 TB que ficava permanentemente conectado à porta USB do servidor também exibia a mesma extensão .lockbit em cada arquivo.

Naquele momento, o escritório contábil que durante 12 anos havia construído uma carteira sólida de mais de 200 clientes — entre MEIs, pequenas empresas e até médias indústrias — percebeu que não tinha mais absolutamente nada.

O Cenário Antes do Ataque

Para entender a dimensão do desastre, é preciso conhecer o perfil do escritório. O cenário descrito aqui é um composto baseado em padrões reais relatados em pesquisas de segurança da Kaspersky, do CERT.br e de análises de incidentes publicadas pela Coveware. Os detalhes representam situações que se repetem com frequência preocupante no Brasil.

• Porte: 15 funcionários, incluindo 8 contadores, 3 auxiliares administrativos, 2 assistentes de departamento pessoal, 1 recepcionista e 1 responsável por TI (que também acumulava funções administrativas)
• Clientes: 207 empresas ativas, predominantemente do Simples Nacional e Lucro Presumido
• Sistemas: software contábil desktop (instalação local), SPED Fiscal, SPED Contábil, e-Social, certificados digitais Certisign A1 armazenados no servidor
• Infraestrutura de TI: 5 estações de trabalho Windows 10, 1 servidor Windows Server 2016 (sem atualizações desde 2023), switch de rede simples sem segmentação, roteador doméstico com Wi-Fi
• Backup: único HD externo de 2 TB conectado permanentemente ao servidor, com cópia manual feita "quando o Marcos lembrava" — sem agenda definida, sem teste de restauração
• Antivírus: versão gratuita de um antivírus popular, sem gerenciamento centralizado
• Treinamento de segurança: nenhum

É um cenário familiar? Segundo dados da Kaspersky, PMEs do setor de serviços profissionais — incluindo contabilidade e advocacia — estão entre os cinco segmentos mais atacados por ransomware no Brasil. A combinação de dados financeiros sensíveis, equipes de TI reduzidas e baixo investimento em segurança transforma esses escritórios em alvos ideais.

Como o Ransomware Entrou

A investigação posterior revelou que o ataque começou três dias antes da criptografia, na terça-feira. Uma funcionária do departamento pessoal recebeu um e-mail aparentemente enviado por um cliente — uma transportadora que de fato fazia parte da carteira do escritório. O assunto dizia: "Planilha atualizada de funcionários — urgente".

O e-mail continha um arquivo .xlsm (planilha Excel com macros habilitadas). Ao abrir, o Excel exibiu o aviso padrão sobre macros. A funcionária clicou em "Habilitar Conteúdo" — como fazia rotineiramente com planilhas de clientes. Naquele clique, um script PowerShell foi executado silenciosamente em segundo plano.

O malware permaneceu dormindo por 72 horas, período em que realizou reconhecimento da rede, identificou o servidor de arquivos, mapeou as unidades de rede compartilhadas e — crucialmente — localizou o HD externo de backup. Na madrugada de sexta-feira, às 3h42, o LockBit 3.0 iniciou a criptografia simultânea de todas as máquinas da rede.

Esse padrão de ataque é amplamente documentado. Segundo o Verizon Data Breach Investigations Report (DBIR), mais de 90% dos ataques de ransomware começam com phishing ou credenciais comprometidas. O período de permanência silenciosa (chamado de dwell time) permite ao atacante maximizar o dano e eliminar backups antes de detonar a criptografia.

O Impacto: 200 Clientes Sem Dados

As consequências do ataque se desdobraram em ondas sucessivas, cada uma mais devastadora que a anterior.

Paralisação Total: 23 Dias Sem Operar

O escritório ficou completamente paralisado por 23 dias — alinhado à média de 21 dias de inatividade reportada pela Coveware em seus relatórios trimestrais sobre ransomware. Durante esse período:

• Obrigações fiscais venceram: declarações do SPED Fiscal, DCTF, DEFIS e ECD de dezenas de clientes não foram entregues no prazo, gerando multas automáticas da Receita Federal
• Folhas de pagamento atrasaram: sem acesso ao e-Social e aos dados de funcionários dos clientes, o departamento pessoal não conseguiu processar folhas. Trabalhadores de empresas clientes ficaram sem salário
• Certificados digitais perdidos: os certificados A1 armazenados no servidor foram criptografados. A reemissão levou semanas e custou milhares de reais
• Histórico fiscal irrecuperável: declarações de anos anteriores, balancetes, livros razão e documentos de auditoria — tudo perdido. A reconstrução exigiria solicitar cópias a cada cliente e à própria Receita Federal
• CRC notificado: o Conselho Regional de Contabilidade foi informado por clientes sobre o descumprimento de obrigações, iniciando processo de averiguação profissional

Para contextualizar: o IBM Cost of a Data Breach Report 2024 demonstra que o tempo de inatividade é o componente mais caro de uma violação de dados, respondendo por quase 40% do custo total.

Êxodo de Clientes

A reação dos clientes foi imediata e implacável. Na primeira semana após o incidente, o escritório recebeu 34 solicitações formais de transferência de responsabilidade contábil. Em 60 dias, 83 dos 207 clientes — quase 40% da carteira — haviam migrado para outros escritórios.

Os motivos iam além da paralisação operacional:

• Quebra de confiança: clientes não confiavam mais que seus dados financeiros estariam seguros
• Preocupação com a LGPD: empresários temiam ser corresponsabilizados pela exposição de dados pessoais de seus próprios funcionários e clientes
• Danos imediatos: multas fiscais geradas pelo atraso nas obrigações foram atribuídas ao escritório, gerando conflitos jurídicos
• Risco reputacional: nenhuma empresa queria ter seu nome associado a um escritório que "perdeu os dados"

Pesquisas de mercado indicam que entre 30% e 40% dos clientes abandonam prestadores de serviço após uma violação de dados significativa. No caso de escritórios contábeis, esse percentual tende a ser ainda maior, dado que a relação é fundamentalmente baseada em confiança e sigilo.

O Custo Real: Mais de R$ 500 Mil

O prejuízo total ultrapassou R$ 500 mil — um valor que ameaçou a sobrevivência do escritório. A tabela a seguir detalha os componentes:

Esse montante não inclui o dano reputacional intangível — a dificuldade de conquistar novos clientes quando o mercado sabe que o escritório "perdeu os dados". O IBM Cost of a Data Breach Report estima que o custo médio de uma violação de dados no Brasil atinge R$ 6,75 milhões; para PMEs, a proporção sobre o faturamento é ainda mais devastadora.

Os 5 Erros que Permitiram o Desastre

Analisando o caso retrospectivamente, cinco falhas críticas transformaram um incidente de segurança em um desastre empresarial. Cada um desses erros é evitável com medidas acessíveis para qualquer escritório contábil.

1. Backup apenas em HD externo conectado 24 horas ao servidor

   Este é o erro mais grave e mais comum. Um HD externo permanentemente conectado ao servidor é tratado pelo sistema operacional como uma unidade de rede local — e pelo ransomware, como mais um alvo. O LockBit 3.0 enumerou todas as unidades mapeadas e criptografou o backup junto com os dados originais. Um backup imutável em nuvem teria permanecido intacto, pois utiliza tecnologia WORM (Write Once, Read Many) que impede qualquer alteração ou exclusão, mesmo com credenciais de administrador comprometidas.

2. Sem antivírus empresarial — usavam versão gratuita

   A versão gratuita do antivírus não oferecia detecção comportamental (EDR), não tinha gerenciamento centralizado e não atualizava definições automaticamente em todos os endpoints. Um antivírus corporativo com detecção de comportamento anômalo — como criptografia em massa de arquivos — teria bloqueado o LockBit nos primeiros segundos de execução.

3. Sem treinamento de phishing para funcionários

   Nenhum funcionário do escritório havia recebido qualquer treinamento sobre identificação de e-mails maliciosos. A funcionária que abriu a planilha infectada não sabia que arquivos .xlsm com macros representam risco. Segundo o Verizon DBIR, o fator humano está envolvido na vasta maioria das violações de segurança. Simulações periódicas de phishing e treinamento básico de segurança custam uma fração do prejuízo causado. Veja nosso guia sobre treinamento de segurança da informação.

4. Sistema SPED e dados fiscais sem backup separado

   Os arquivos do SPED Fiscal, SPED Contábil, ECD, ECF e todas as declarações de Imposto de Renda ficavam exclusivamente no servidor local, sem nenhuma cópia em nuvem ou em mídia offline. Esses dados têm obrigação de guarda de pelo menos 5 anos conforme o Código Tributário Nacional — e a perda pode gerar responsabilidade profissional perante o CRC e responsabilidade legal perante os clientes.

5. Sem plano de disaster recovery

   O escritório não tinha nenhum plano documentado de resposta a incidentes ou recuperação de desastres. Quando o ataque aconteceu, ninguém sabia o que fazer: quem contactar, como isolar a rede, como comunicar os clientes, quais eram as obrigações legais. A ausência de um plano transformou horas de confusão em semanas de paralisia. Conheça nosso template de plano de disaster recovery.

O Que Deveria Ter Sido Feito

Cada um dos cinco erros descritos acima tem uma contrapartida direta — uma prática comprovada que teria evitado ou minimizado drasticamente o impacto do ataque. A seguir, detalhamos as três medidas mais críticas.

Backup em Nuvem com Imutabilidade

A medida mais importante é substituir o HD externo por um backup em nuvem com imutabilidade (WORM). Em um backup imutável, os dados gravados não podem ser alterados, criptografados ou excluídos durante o período de retenção configurado — mesmo que o invasor tenha acesso às credenciais de administrador do sistema de backup.

Na prática, isso significa que quando o LockBit 3.0 criptografou o servidor, as cópias de segurança na nuvem teriam permanecido 100% íntegras. A restauração poderia ter começado imediatamente, reduzindo o tempo de inatividade de 23 dias para menos de 4 horas.

Características essenciais de um backup imutável para escritórios contábeis:

• Criptografia AES-256 em trânsito e em repouso
• Retenção mínima de 90 dias para atender obrigações fiscais
• Backup automático diário sem intervenção manual
• Armazenamento em data center Tier III no Brasil, garantindo soberania dos dados e conformidade com a LGPD
• Verificação automática de integridade a cada ciclo de backup

Regra 3-2-1 na Prática

A Regra 3-2-1 de backup é o padrão ouro reconhecido por especialistas em segurança da informação no mundo inteiro. Para um escritório contábil, a implementação prática seria:

• 3 cópias dos dados: a original no servidor, uma cópia em nuvem imutável, uma cópia em mídia offline (HD externo desconectado, guardado em cofre)
• 2 tipos de mídia diferentes: disco local (servidor) + nuvem (object storage com WORM)
• 1 cópia offsite: obrigatoriamente fora do escritório — a nuvem cumpre essa função automaticamente

Se o escritório deste caso tivesse seguido a Regra 3-2-1, mesmo com o HD externo conectado sendo criptografado, a cópia em nuvem imutável permaneceria disponível para restauração imediata.

Disaster Recovery Testado

Ter um plano de disaster recovery não basta — ele precisa ser testado periodicamente. Um plano testado garante que a equipe sabe exatamente o que fazer nas primeiras horas críticas de um incidente:

• Quem é o responsável por cada etapa da resposta
• Como isolar a rede para conter a propagação
• Como iniciar a restauração a partir do backup em nuvem
• Como comunicar clientes, colaboradores e autoridades (ANPD, conforme artigos 46 e 52 da LGPD)
• Qual o RTO (Recovery Time Objective) — tempo máximo aceitável para retomar operações
• Qual o RPO (Recovery Point Objective) — quantidade máxima de dados que se pode perder

Para escritórios contábeis em período de obrigações fiscais, o RTO recomendado é de no máximo 4 horas. Saiba mais em nosso artigo sobre RTO e RPO.

Como a DataBackup Teria Evitado Este Cenário

Se o escritório contábil deste caso tivesse contratado uma solução como a DataBackup para contabilidade, o desfecho teria sido radicalmente diferente. Veja a linha do tempo comparativa:

A DataBackup oferece backup em nuvem com imutabilidade WORM, criptografia AES-256, retenção configurável de 30 a 365 dias, data center Tier III no Brasil e suporte técnico especializado. Para escritórios contábeis, os planos começam a partir de R$ 159,90/mês — um valor inferior ao custo de um único certificado digital reemitido.

Quer ver como funciona na prática? Solicite uma demonstração gratuita e simule a restauração de um cenário de ransomware com seus próprios dados de teste.

Lições para Todo Escritório Contábil

O caso descrito neste artigo não é uma exceção — é um padrão que se repete com variações mínimas em escritórios contábeis de todo o Brasil. As lições a seguir formam um checklist prático que todo gestor de escritório deveria implementar antes do próximo ataque:

1. Implemente backup em nuvem com imutabilidade hoje. Não amanhã, não na próxima semana. A cada dia sem backup imutável, seus 200+ clientes estão a um clique de phishing da perda total. Conheça as opções da DataBackup.
2. Siga a Regra 3-2-1. Três cópias, duas mídias, uma offsite. O HD externo pode fazer parte da estratégia — mas nunca como cópia única, e nunca conectado permanentemente.
3. Teste a restauração periodicamente. Um backup que nunca foi testado é um backup que pode não funcionar. Agende testes de restore pelo menos trimestrais.
4. Invista em antivírus empresarial com EDR. A diferença de custo entre a versão gratuita e uma solução corporativa é insignificante comparada ao custo de um ataque. Detecção comportamental bloqueia ransomware desconhecido.
5. Treine sua equipe contra phishing. Uma simulação mensal de phishing custa menos de R$ 500 e pode evitar um prejuízo de R$ 500 mil. Leia nosso guia sobre treinamento de segurança.
6. Faça backup separado dos dados do SPED. Arquivos do SPED Fiscal, SPED Contábil, ECD, ECF e declarações de IR devem ter cópias independentes com retenção mínima de 5 anos.
7. Documente e teste seu plano de disaster recovery. Defina RTO e RPO para cada sistema crítico. Para o período de obrigações fiscais, o RTO não pode exceder 4 horas.
8. Conheça suas obrigações legais. Os artigos 46 e 52 da LGPD exigem medidas técnicas de proteção e notificação à ANPD em caso de incidente. A ausência de backup adequado agrava a penalidade. Consulte nosso guia de LGPD e backup.
9. Segmente sua rede. Mesmo em escritórios pequenos, separar a rede do servidor de backup das estações de trabalho impede que o ransomware alcance as cópias de segurança.
10. Mantenha sistemas atualizados. O Windows Server 2016 sem patches desde 2023 tinha vulnerabilidades conhecidas que facilitaram a movimentação lateral do atacante. Atualizações de segurança são gratuitas e automáticas.

Conclusão: O Backup Mais Barato É o Que Você Tem Antes do Ataque

O escritório contábil deste caso gastou R$ 519 mil tentando se recuperar de um desastre que teria custado menos de R$ 2.000 por ano para prevenir. A matemática é implacável: o custo de um backup profissional em nuvem com imutabilidade é uma fração microscópica do prejuízo de um ataque ransomware.

Mas o número mais importante não é financeiro. São os 207 clientes que confiaram seus dados financeiros mais sensíveis — CPFs, CNPJs, declarações de renda, balanços patrimoniais, informações de funcionários — a um escritório que não tinha capacidade técnica de protegê-los. São as famílias que ficaram sem salário porque a folha de pagamento não pôde ser processada. São os pequenos empresários que receberam multas fiscais por culpa de terceiros.

Se você gerencia um escritório de contabilidade e ainda não tem backup profissional em nuvem, a pergunta não é se você vai sofrer um ataque, mas quando. E quando esse dia chegar, a diferença entre fechar as portas e retomar as operações em 4 horas será definida por uma decisão que você toma hoje.

Não espere pela sua sexta-feira. Solicite uma demonstração gratuita da DataBackup e proteja seus clientes — antes que seja tarde demais.

Para um guia completo sobre o que fazer caso sua empresa já tenha sido atacada, leia nosso artigo sobre como recuperar dados após ransomware. E para entender o panorama de ameaças no Brasil, consulte nosso levantamento sobre ransomware no Brasil.