Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade
Resposta direta: nas primeiras 24 horas de um ransomware em órgão público, a prioridade é conter sem destruir evidências, proteger serviços essenciais ao cidadão e acionar os fluxos de notificação. Não formate máquinas, não pague o resgate por iniciativa própria e não trate o incidente como “problema de TI”: ele envolve continuidade, dados pessoais, comunicação e possíveis obrigações legais.
Regra de ouro: contenção primeiro, evidência sempre. Cada ação precisa ser registrada com horário, responsável e justificativa. Isso protege a organização, o cidadão e a investigação.
1. Linha do tempo das primeiras 24 horas
| Janela | Prioridade | Ações concretas |
|---|---|---|
| 0–1h | Comando e contenção | Acionar o comitê de crise; isolar segmentos afetados; bloquear acessos remotos; preservar logs; identificar serviços essenciais em risco. |
| 1–4h | Escopo e evidências | Mapear ativos afetados; coletar imagens e artefatos; verificar propagação; confirmar se o backup está íntegro e isolado. |
| 4–8h | Notificação e comunicação | Acionar jurídico e comunicação; avaliar CTIR Gov, ANPD e boletim de ocorrência; preparar comunicado factual ao cidadão. |
| 8–24h | Restauração controlada | Restaurar em ambiente isolado; validar credenciais e integridade; reconectar por etapas; monitorar recorrência. |
2. O que fazer
- Ative o comitê de crise. Defina um comandante do incidente, um responsável técnico, um jurídico e um porta-voz. Decisões sem dono viram atraso.
- Contenha o movimento lateral. Isole VLANs e segmentos, desabilite VPNs e contas comprometidas e bloqueie destinos de comando e controle no perímetro. Em OT, avalie o impacto operacional antes de desligar enlaces.
- Preserve evidências. Colete logs, imagens de disco, memória quando possível, artefatos, hashes e a linha do tempo. Mantenha cadeia de custódia.
- Proteja o backup. Verifique se as cópias imutáveis estão fora do alcance do atacante. Não restaure sobre o ambiente comprometido.
- Comunique-se com fatos. Comunicado curto, sem especulação, com canais alternativos de atendimento ao cidadão.
- Notifique o que for aplicável. CTIR Gov para órgãos federais do SISP; ANPD e titulares quando houver dados pessoais com risco relevante; autoridade policial em caso de crime.
- Registre tudo. Um único relatório com decisões, horários, responsáveis e evidências reduz retrabalho e sustenta a prestação de contas.
3. O que não fazer
- Não pagar o resgate por decisão isolada da TI. É uma decisão institucional, com jurídico, alta direção e autoridades.
- Não formatar máquinas antes da coleta forense.
- Não reconectar tudo de uma vez após o restore: o atacante pode manter persistência.
- Não esconder o incidente da alta direção, do jurídico ou dos órgãos competentes.
- Não usar o mesmo canal comprometido para coordenar a resposta.
- Não prometer prazo de normalização sem validação técnica.
4. Prefeituras e órgãos municipais
Municípios raramente têm equipe dedicada de resposta. O caminho prático é:
- acionar o comitê de crise com secretaria de administração, jurídico, TI e comunicação;
- priorizar serviços essenciais: saúde, educação, folha de pagamento, arrecadação e atendimento ao cidadão;
- usar canais alternativos (telefone, atendimento presencial) enquanto os sistemas estiverem indisponíveis;
- verificar obrigações de notificação com o jurídico e, quando cabível, com o órgão de controle;
- registrar boletim de ocorrência e preservar evidências para a polícia.
5. Como reduzir a chance de recorrência
Se o incidente estiver em andamento, veja o serviço de resposta a incidentes OT. Para o contexto municipal, leia cibersegurança para prefeituras.
Perguntas frequentes
Quanto tempo leva a recuperação?
Depende do escopo, da integridade dos backups e da complexidade do ambiente. Organizações com backup imutável testado e inventário confiável recuperam mais rápido. Prometer prazo antes do diagnóstico é um erro de comunicação.
Devemos desligar tudo imediatamente?
Não automaticamente. Desligar sistemas pode destruir evidências em memória e interromper serviços essenciais. A contenção deve ser planejada por segmento, com registro das decisões e avaliação de impacto.
O seguro cibernético cobre o incidente?
Depende da apólice, das exclusões e da comprovação de controles. Acione o corretor e o jurídico cedo, mas lembre que a seguradora não substitui a resposta institucional.
Precisamos avisar o cidadão?
A comunicação pública deve ser factual e coordenada. Se houver dados pessoais afetados com risco relevante, avalie a comunicação à ANPD e aos titulares. Serviços essenciais indisponíveis também exigem informação clara sobre canais alternativos.
O que guardar para a investigação?
Logs, imagens de disco, artefatos do ransomware, notas de resgate, endereços de C2, contas comprometidas, horários e decisões. Preserve com hash e cadeia de custódia; não “limpe” o ambiente antes da coleta.
Como testar o playbook sem esperar um ataque?
Faça exercícios de mesa com jurídico, comunicação e operação. Simule indisponibilidade de serviços essenciais, teste a restauração de backup e valide os contatos de notificação.
Fontes
- CISA — StopRansomware Guide e #StopRansomware.
- NIST SP 800-61 — Computer Security Incident Handling Guide.
- IN GSI/PR 7/2022 — notificação de incidentes no âmbito federal.
- Lei 13.709/2018 (LGPD) — comunicação de incidentes com dados pessoais.
Conteúdo informativo e de boas práticas, não é aconselhamento jurídico. Em um incidente real, acione o jurídico, a alta direção e as autoridades competentes. Não pague resgate sem decisão institucional fundamentada.
Como citar esta página
SeniorFlow. Ransomware em órgão público: as primeiras 24 horas. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/governo/ransomware
Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.