CiberProteçãoCiberProteção
    Guia prático · Atualizado agosto 2026

    Ransomware: o que é, como remover e como recuperar os ficheiros

    O ransomware encripta os teus ficheiros e pede dinheiro para os devolver. Este guia explica como reconhecer um ataque, o que fazer nos primeiros minutos, como tentar recuperar dados sem pagar resgate e que medidas evitam que aconteça outra vez.

    Miguel Fernandes · Editor de Tecnologia & Cibersegurança
    Estás a ser atacado agora? Desliga o equipamento da rede (Wi-Fi e cabo) imediatamente e passa para a secção como remover. Não pagues nada antes de ler o ponto 2.

    O que é ransomware

    Ransomware é software malicioso concebido para tornar os teus dados inacessíveis e depois cobrar por os devolver. Na variante mais comum, encripta ficheiros com uma chave que só os atacantes têm, muda a extensão dos ficheiros e deixa uma nota de resgate em cada pasta com instruções de pagamento, quase sempre em criptomoeda.

    Não é um vírus qualquer: por trás está uma indústria organizada. Os grupos operam em modelo de ransomware-as-a-service, alugando o software a afiliados que fazem a intrusão e dividem o lucro. Isso explica por que motivo alvos pequenos — uma clínica, uma oficina, um escritório de contabilidade — são hoje tão visados como as grandes empresas.

    Tipos de ransomware

    Crypto-ransomware

    Encripta ficheiros pessoais (documentos, fotos, bases de dados) e exige resgate pela chave. É a forma mais comum — LockBit, Akira, Play e Qilin dominaram os incidentes reportados na Europa em 2024-2025.

    Locker-ransomware

    Bloqueia o acesso ao próprio sistema (ecrã de bloqueio permanente) sem encriptar ficheiros. Mais frequente em Android e mais fácil de resolver — muitas vezes basta arrancar em modo de segurança.

    Dupla extorsão

    Além de encriptar, os atacantes copiam os dados e ameaçam publicá-los. Pagar pela chave já não resolve: a fuga acontece na mesma. É hoje o modelo dominante em ataques a empresas.

    Scareware / falso ransomware

    Mensagens que fingem ter encriptado o disco (ou acusam de crimes) para assustar. Nada foi encriptado — um antivírus resolve. Se os ficheiros abrem normalmente, é scareware.

    Como se apanha ransomware

    • Anexos de email e faturas falsas (o vetor nº1 em PMEs portuguesas) — ficheiros .zip, .iso, .xlsm com macros.
    • Software pirata, cracks e instaladores fora das lojas oficiais.
    • Acesso remoto exposto (RDP/VPN) com palavras-passe fracas ou reutilizadas de fugas anteriores.
    • Vulnerabilidades por corrigir em servidores, firewalls e VPNs empresariais.
    • Pen USB e discos partilhados infetados dentro da mesma rede.

    Repara no padrão: quase todas as entradas são humanas ou de higiene básica. Um clique num anexo, uma palavra-passe reutilizada que já andava numa fuga, uma atualização adiada. Podes verificar em segundos se o teu email já apareceu numa fuga conhecida no nosso verificador de fugas, e treinar a deteção de mensagens falsas com os exemplos reais de phishing.

    Sinais de que estás infetado

    • Ficheiros que deixaram de abrir e mudaram de extensão (por exemplo .locked, .akira, sequências aleatórias).
    • Ficheiros de texto ou HTML novos em todas as pastas, com nomes como README, HOW_TO_DECRYPT ou restore-files.
    • Disco a trabalhar intensamente sem motivo e computador subitamente lento.
    • Antivírus desativado sem intervenção tua, ou Cópias de Sombra do Windows apagadas.
    • Impossibilidade de aceder a pastas partilhadas de rede ou ao NAS.

    Como remover ransomware: passo a passo

    1. 1

      Isola o equipamento imediatamente

      Desliga o Wi-Fi e o cabo de rede. O ransomware propaga-se para pastas partilhadas e NAS em minutos. Não desligues a máquina à força se estiveres a meio da encriptação — desligar da rede é o essencial.

    2. 2

      Não pagues o resgate

      Segundo dados da Europol e do CNCS, entre 30% e 40% de quem paga não recupera os ficheiros na íntegra, e o pagamento marca-te como alvo pagante para novos ataques. Pagar também pode ter implicações legais em casos de sanções.

    3. 3

      Identifica a variante

      A extensão dos ficheiros e a nota de resgate identificam a família. O portal europeu No More Ransom (nomoreransom.org, iniciativa da Europol) tem decifradores gratuitos para mais de 180 variantes.

    4. 4

      Faz cópia dos ficheiros encriptados

      Copia-os para um disco externo antes de qualquer limpeza. Algumas variantes só têm decifrador meses depois — se apagares tudo, perdes essa hipótese.

    5. 5

      Limpa o sistema

      Arranca em modo de segurança e corre uma análise completa com um antivírus atualizado, ou reinstala o sistema de raiz — a opção mais segura. Vê o nosso guia de como remover vírus para o passo a passo.

    6. 6

      Restaura a partir de backup e muda palavras-passe

      Restaura só depois de o sistema estar limpo. Altera todas as palavras-passe a partir de outro equipamento — muitos ataques começam com credenciais roubadas.

    7. 7

      Reporta o incidente

      Particulares e empresas: CNCS/CERT.PT e Polícia Judiciária (Unidade Nacional de Combate ao Cibercrime). Se houve dados pessoais expostos, notificação à CNPD nas 72 horas.

    Como recuperar ficheiros sem pagar

    Por ordem de probabilidade de sucesso:

    1. Backups offline. Se tens uma cópia desligada da rede, é aqui que acaba o problema. Restaura só depois de o sistema estar limpo.
    2. Decifradores gratuitos. O No More Ransom (Europol) identifica a variante a partir da nota de resgate e de um ficheiro encriptado, e disponibiliza ferramentas oficiais quando existem.
    3. Histórico de versões na cloud. OneDrive, Google Drive e Dropbox guardam versões anteriores durante 30 dias ou mais. Muitas vezes recupera-se tudo por aqui.
    4. Cópias de Sombra do Windows. Frequentemente apagadas pelo ataque, mas vale a tentativa com ferramentas de recuperação de versões anteriores.
    5. Software de recuperação de dados. Algumas variantes encriptam uma cópia e apagam o original — nesse caso, ferramentas de recuperação de ficheiros apagados podem resgatar parte dos dados.

    Como prevenir

    Regra 3-2-1 de backups

    3 cópias, 2 suportes diferentes, 1 fora do local e desligada da rede. Um backup ligado permanentemente é encriptado com o resto — é o erro mais comum.

    Antivírus com proteção anti-ransomware

    As suites atuais protegem pastas críticas contra alterações não autorizadas e revertem encriptação em curso.

    MFA em tudo o que é acesso remoto

    RDP, VPN corporativa, email e painéis de administração. Bloqueia a esmagadora maioria dos acessos com credenciais roubadas.

    Atualizações sem atraso

    A maioria das intrusões explora falhas com correção publicada há meses.

    Palavras-passe únicas por serviço

    Um gestor de palavras-passe elimina a reutilização, que é como uma fuga antiga se transforma num ransomware novo.

    Melhor antivírus 2026 →

    Comparação das suites com melhor proteção anti-ransomware para uso pessoal.

    Antivírus para empresas →

    Endpoint centralizado, backups e resposta a incidentes para PMEs portuguesas.

    Como remover vírus →

    Passo a passo de limpeza em Windows, Mac e Android.

    Proteção de dados pessoais →

    O que fazer, legalmente, quando os teus dados são expostos numa fuga.

    Perguntas frequentes

    O que é ransomware, em palavras simples?

    É um tipo de software malicioso que encripta os teus ficheiros — ou bloqueia o acesso ao computador — e exige um pagamento, normalmente em criptomoeda, para os libertar. Muitas variantes atuais copiam também os dados e ameaçam publicá-los.

    Devo pagar o resgate?

    Não. As autoridades portuguesas e europeias desaconselham. Uma parte significativa de quem paga não recupera tudo, o pagamento financia novos ataques e não impede a publicação dos dados já roubados. Verifica primeiro se existe decifrador gratuito no No More Ransom.

    É possível recuperar ficheiros encriptados sem pagar?

    Às vezes. Depende da variante: existem decifradores gratuitos para mais de 180 famílias. Fora isso, a recuperação passa por backups, versões anteriores do Windows (Cópias de Sombra, se não tiverem sido apagadas) ou serviços de cloud com histórico de versões.

    Um antivírus consegue travar ransomware?

    Um antivírus atualizado bloqueia a maioria das variantes conhecidas e tem camadas dedicadas de proteção de pastas e reversão de alterações. Mas nenhum produto é infalível — o backup offline continua a ser a única garantia real.

    O ransomware afeta telemóveis?

    Sim, sobretudo Android, e quase sempre na forma de locker (bloqueio de ecrã) vindo de apps fora da Play Store. Em iPhone é praticamente inexistente; os alertas de 'iPhone infetado' em páginas web são scareware.

    Quantos ataques de ransomware há em Portugal?

    O CNCS reporta o ransomware como uma das principais causas de incidentes graves em Portugal, com impacto especial em PMEs, autarquias e unidades de saúde. Os casos mediáticos são a minoria: a maior parte nunca é tornada pública.

    A prevenção mais barata contra ransomware

    Grande parte dos ataques começa com credenciais já expostas. Verifica em 10 segundos se o teu email consta em fugas conhecidas.

    Verificar o meu email →