GAB: CERTO

O ransomware criptografa tudo o que consegue alcançar: arquivos locais, pastas de rede, HDs externos conectados, compartilhamentos mapeados. Se o backup estiver acessível com as mesmas permissões do usuário infectado, ele também vai pro saco.

Por isso as duas medidas do item funcionam:

Backup desconectado (offline / air gap) -> a cópia fica fisicamente ou logicamente separada da rede (HD guardado na gaveta, fita, mídia removida após o backup). O ransomware simplesmente não enxerga esse backup.

Backup protegido contra alteração (imutável) -> o usuário comum não tem permissão de alterar ou apagar a cópia (armazenamento WORM, snapshots imutáveis, permissões restritas). Mesmo que o malware rode com a conta desse usuário, não consegue criptografar.

Regra 3-2-1 de backup (muito cobrada):

3 cópias dos dados (a original + 2 backups);

2 mídias diferentes;

1 cópia fora do local (off-site).

Versões mais novas falam em 3-2-1-1-0: mais 1 cópia offline ou imutável e 0 erros na verificação de restauração.

Detalhe importante: não basta fazer backup, tem que testar a restauração de tempos em tempos. Backup que não restaura não serve pra nada.

Macete: ransomware só criptografa o que alcança. Backup offline ou imutável fica fora do alcance.