O que é malware: tipos, riscos e proteção prática

Malware é software ou firmware criado para executar ações não autorizadas que prejudicam a confidencialidade, a integridade ou a disponibilidade de dados, aplicativos ou sistemas. O termo cobre vírus, worms, trojans, spyware, ransomware e outras formas de código malicioso, em geral instaladas de modo oculto para furto, sabotagem ou controle remoto do dispositivo.

Você abre um anexo “urgente” no celular, aceita uma atualização falsa no computador ou baixa um instalador “grátis” e, minutos depois, a conta do banco manda alerta de login estranho. Em muitos casos o problema não começou no banco. Começou no código malicioso que entrou pelo clique.

Entender o mecanismo ajuda a escolher o próximo passo sem pânico e sem achar que um único antivírus resolve tudo. Ao fim deste guia você sabe distinguir famílias comuns, reconhecer vetores típicos, aplicar camadas de proteção e agir quando a infecção já ocorreu, inclusive quando há dado pessoal envolvido.

Como o malware chega ao computador ou ao celular?#

O malware chega, na maior parte das vezes, porque alguém ou algum processo executa código que não deveria. Segundo a definição de malware do glossário CSRC do NIST, trata-se de software ou firmware destinado a um processo não autorizado com impacto adverso na confidencialidade, integridade ou disponibilidade do sistema. Na prática do dia a dia, isso costuma acontecer por anexo, link, instalador adulterado, página comprometida ou exploração de falha sem patch.

O phishing é um dos caminhos mais comuns. A cartilha do CERT.br descreve mensagens que imitam instituição conhecida e induzem o usuário a abrir página falsa, preencher dados ou baixar arquivo que instala código malicioso. O link parece legítimo, porém o domínio troca uma letra, usa zero no lugar de “o” ou aponta para um encurtador que esconde o destino final.

Há também infecção por vulnerabilidade em navegador, plugin ou aplicativo desatualizado. Nesse caso você pode nem “abrir” um vírus de computador de propósito. Basta visitar um site malicioso ou comprometido enquanto o software explorável ainda está sem correção. Mídias removíveis, compartilhamento de arquivos e apps fora da loja oficial ampliam a superfície, sobretudo em celulares com fontes de instalação liberadas sem critério.

Um exemplo concreto. Ana, autônoma, recebe no WhatsApp um PDF de “comprovante de pagamento”. O arquivo pede para “habilitar edição” ou instalar um visualizador. Em seguida surge um teclado falso ou um aplicativo de “segurança”. O custo escondido não é só o tempo perdido. É a senha reutilizada em e-mail, nuvem e banco, além da dificuldade de saber o que vazou.

E se o dispositivo for de trabalho com acesso remoto? O risco sobe porque o mesmo malware pode servir de ponte para a rede da empresa. Por outro lado, privilégio mínimo e autenticação de dois fatores não impedem a infecção local, porém limitam o que o atacante faz com a senha capturada.

Na prática, o que eu vejo com mais frequência é a pessoa tratar o clique como detalhe e só reagir quando o dinheiro ou o arquivo já sumiu. O hábito que muda o jogo é desconfiar de urgência, digitar o endereço oficial no navegador e manter atualização automática ligada antes de qualquer ferramenta nova.

Quais são os principais tipos de malware?#

Os tipos de malware mais citados em material de referência incluem vírus, worm, trojan, spyware, rootkit, bot e ransomware. O fascículo de códigos maliciosos da Cartilha de Segurança para Internet do CERT.br trata “códigos maliciosos (malware)” como intermediários para golpes, ataques e spam, e reforça que a melhor prevenção é impedir a infecção inicial, porque nem sempre dá para reverter o que já foi feito.

Vírus, worm e trojan no cotidiano#

O vírus de computador depende, em regra, de um arquivo ou programa hospedeiro e da execução desse hospedeiro para seguir infectando. O worm se propaga sozinho pela rede, explorando falhas ou enviando cópias, e por isso costuma consumir banda e recursos. O trojan (cavalo de troia) se apresenta como algo útil ou inofensivo e, depois de instalado, executa funções maliciosas sem o conhecimento do usuário. Assim, o nome “vírus” no coloquial quase sempre é genérico, ou seja, as pessoas usam a palavra para qualquer código malicioso.

Spyware, bot, rootkit e ransomware#

Spyware observa hábitos, captura teclas ou coleta dados. Bot adiciona canal de comando e controle, transformando o equipamento em “zumbi” de uma botnet. Rootkit tenta esconder processos e persistência. Já o ransomware torna dados inacessíveis, em geral com criptografia, e exige pagamento para devolver o acesso. A OWASP, no item DATA4 de 2025 sobre malware e ransomware, destaca infecções que comprometem disponibilidade, confidencialidade e integridade, muitas vezes via phishing ou software sem patch.

Imagine um escritório pequeno com pasta compartilhada sem versionamento. Um único posto infectado por ransomware pode criptografar o compartilhamento inteiro em minutos. O benefício de um backup offline testado aparece exatamente aí, porém o backup conectado o tempo todo na mesma rede também pode ser apagado ou criptografado se o atacante tiver tempo.

E se o “antivírus” da tela for falso? Existe malware que se passa por ferramenta de segurança, assusta com ameaças inventadas e pede pagamento. Nesse caso, pagar não limpa o sistema e ainda entrega cartão ou chave de acesso a quem está atacando.

Muita gente acha que só empresas grandes são alvo, e quase sempre está enganada, porque campanhas em massa buscam volume e o pequeno negócio costuma ter menos monitoramento. Classificar o tipo ajuda a estimar dano e resposta, mas não substitui isolamento rápido do equipamento suspeito.

Como se proteger de malware no dia a dia?#

Como se proteger de malware começa por reduzir a chance da primeira execução maliciosa e limitar o dano se ela ocorrer. A orientação do CERT.br no fascículo de códigos maliciosos inclui antimalware atualizado, firewall pessoal ativo, correções de segurança regulares e autenticação forte, porque o código malicioso pode capturar senhas. A Microsoft, em guia de prevenção de infecção por malware, reforça cuidado com sites suspeitos, atualizações e navegação com proteções modernas de download.

Camadas que realmente importam#

Atualize sistema operacional, navegador e aplicativos com correção automática sempre que possível. Use conta sem privilégio de administrador no uso cotidiano. Mantenha proteção em tempo real ligada e configure verificação automática. Ative verificação em duas etapas nas contas que recuperam as demais, por exemplo e-mail e gerenciador de senhas. Prefira passkey ou outro fator resistente a phishing quando o serviço oferecer. Um firewall bem configurado e, no acesso remoto, uma VPN de confiança ajudam, porém não dispensam patch nem bom senso com anexo.

Backup e o custo de achar que “nunca vai acontecer”#

Faça backups regulares, guarde cópia offline ou imutável e teste restauração. O CERT.br, nas orientações de como proteger contra ransomware, trata backup offline e MFA como peças de defesa em camadas, porque o ataque costuma mirar também as cópias de segurança. O benefício do backup é recuperar operação sem negociar com criminoso. O custo é disciplina e espaço de armazenamento. O risco de backup só na nuvem sincronizada é replicar a criptografia para o espelho remoto se o posto ainda estiver logado.

E se você precisa instalar programa desconhecido para o trabalho? Baixe só do site oficial ou da loja reconhecida, confira assinatura digital quando existir e evite empacotadores “grátis” cheios de software extra. Enquanto isso, desconfie de pop-ups agressivos e de botões que imitam o fechamento da janela.

Se fosse comigo, eu priorizaria patch, backup testado e MFA nas contas-chave antes de discutir marca de antivírus. Ferramenta ajuda a detectar e remover ameaças conhecidas, no entanto variantes novas aparecem o tempo todo e nenhum produto promete proteção total.

O que fazer se o dispositivo já estiver com malware?#

Primeiro isole. Desconecte da rede Wi-Fi e dos cabos, pare de usar o equipamento para banco ou trabalho e troque senhas importantes a partir de outro dispositivo limpo. Em seguida avalie se há criptografia de arquivos, cobrança de resgate, redirecionamento de navegador ou processos que o antimalware aponta de forma consistente.

Remover só o arquivo detectado quase nunca basta quando houve persistência, alteração de configuração ou credencial roubada. Em incidentes graves, a abordagem mais segura descrita em material de resposta a ransomware do CERT.br é reinstalar o sistema a partir de mídia confiável, aplicar atualizações e corrigir a falha que permitiu a entrada. Pagar resgate não garante recuperação completa nem impede nova extorsão, e o dinheiro pode financiar novos ataques.

Um exemplo de pequeno comércio. O caixa trava com tela de resgate e a pasta de notas fiscais some. Se existir backup offline de ontem, a loja recupera operação após formatação e restauração. Se o único backup estava no mesmo HD criptografado, o custo sobe para recriação de cadastro, possível multa reputacional perante clientes e horas sem venda.

E se o celular corporativo tiver perfil de gestão? Avise o responsável de TI ou o canal de incidente da empresa antes de resetar por conta própria, porque evidência e revogação de tokens podem ser necessárias. Por isso, anote horários, mensagens e sintomas sem ficar “testando” cartão no aparelho suspeito.

O erro que mais custa caro aqui é tentar “limpar rápido” e continuar logado nas mesmas sessões. Trate senhas, cookies de sessão e tokens de aplicativo como potencialmente comprometidos até provar o contrário.

Malware, dados pessoais e deveres na LGPD#

Quando o malware alcança base de clientes, planilha de RH ou sistema de atendimento, o problema deixa de ser só técnico. A Lei nº 13.709/2018 (LGPD), no texto compilado do Planalto, exige medidas de segurança técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda ou alteração, entre outras (art. 46). Em incidente com risco ou dano relevante aos titulares, o controlador deve comunicar a autoridade nacional e o titular em prazo razoável, com as informações mínimas do art. 48.

Isso não significa que toda infecção doméstica vira processo administrativo. Significa que empresa e profissional que tratam dado pessoal precisam prevenir com camadas razoáveis, registrar o que aconteceu e mitigar efeito sobre titulares. Criptografia adequada dos dados em repouso e em trânsito pode reduzir gravidade, porém não apaga sozinha o dever de avaliar o incidente.

Imagine uma clínica com prontuários em notebook sem disco cifrado e sem backup. Um ransomware trava o equipamento. Além da parada do atendimento, há risco de exposição se o atacante também tiver exfiltrado arquivos antes da criptografia. O benefício de inventário de dados e privilégio mínimo aparece nesse cenário, enquanto o custo de improvisar “planilha em vários pen drives” é perder o controle de onde a cópia mora.

E se você for só o prestador de TI? Documente escopo, oriente o controlador e não prometa resultado de “garantia total contra malware”. A lei fala em medidas aptas e estado da técnica, não em imunidade absoluta.

Quando o assunto mistura infecção e dado pessoal, eu separo três filas no mesmo dia: conter o sistema, proteger as pessoas afetadas e registrar fatos com horário. Misturar tudo numa conversa de corredor atrasa as três.

Termos relacionados#

• ransomware Família de malware que criptografa ou bloqueia dados e exige pagamento para restaurar o acesso.
• phishing Fraude que usa mensagem e página falsa para roubar dados ou entregar código malicioso.
• firewall Controle de tráfego que ajuda a limitar conexões indesejadas, sem substituir patch nem antimalware.
• criptografia Técnica usada tanto para proteger dados legítimos quanto, em ataques, para tornar arquivos inacessíveis no ransomware.
• autenticação de dois fatores (2FA) Camada extra que reduz o valor de senha capturada por malware ou página falsa.
• VPN (rede privada virtual) Canal cifrado de acesso remoto que exige endurecimento próprio, porque também pode ser alvo se mal configurado.
• passkey (chave de acesso) Método de autenticação mais resistente a phishing do que senha digitada em formulário falso.

Perguntas frequentes sobre malware#

Estas dúvidas aparecem quando a pessoa já suspeita de infecção ou quer prevenir sem jargão. As respostas abaixo são gerais e autossuficientes, com foco em critério prático, limites de ferramenta e quando escalar para suporte especializado ou canal oficial da instituição afetada.

O que é malware na prática do usuário comum?#

Malware é qualquer programa feito para prejudicar ou abusar do seu dispositivo sem autorização legítima, por exemplo roubando senha, criptografando arquivo ou abrindo porta remota. Na vida comum ele chega sobretudo por anexo, instalador falso ou página enganosa. Por isso a prevenção mistura atualização, desconfiança de urgência e backup testado.

Antivírus sozinho elimina o risco de código malicioso?#

Não. Antimalware atualizado ajuda a detectar, bloquear e remover muitas ameaças conhecidas, porém variantes novas e falhas sem patch continuam existindo. Além disso, senha reutilizada e backup inexistente transformam uma infecção contida em prejuízo longo. Use a ferramenta como camada, não como escudo único.

Qual a diferença entre vírus de computador e worm?#

O vírus de computador em geral precisa se anexar a arquivo ou programa e da execução desse hospedeiro para seguir. O worm se espalha de forma mais autônoma pela rede, explorando vulnerabilidades ou copiando-se entre equipamentos. Ambos são tipos de malware, no entanto a resposta operacional muda conforme a velocidade de propagação.

Pagar o resgate de ransomware resolve?#

Não há garantia. Pagamento pode não devolver todos os arquivos, não impede nova cobrança e pode financiar crime. A linha defensiva recomendada em orientações públicas enfatiza isolamento, restauração a partir de backup íntegro e reinstalação limpa quando houver dúvida de persistência.

Celular também pega malware?#

Sim. Aplicativos fora de fontes confiáveis, links em mensagens e permissões excessivas são vetores frequentes. Assim, atualize o sistema, revise permissões, evite “APK misterioso” e ative bloqueio forte com biometria ou senha longa. Se houver suspeita, use outro aparelho para trocar senhas críticas.

Empresa pequena precisa se preocupar com tipos de malware?#

Sim, porque campanhas automatizadas não escolhem alvo pelo tamanho do prédio. Conta de e-mail comprometida, pasta compartilhada e backup frágil bastam para prejuízo desproporcional. Em seguida venha inventário simples, MFA e teste de restauração, mesmo sem equipe grande de segurança.

Conclusão#

Para a maioria das pessoas e dos pequenos negócios, o caminho mais racional é tratar malware como risco cotidiano de clique e de software desatualizado, não como enredo de filme. Defesa em camadas vence discurso de produto milagroso, porque patch, backup offline testado, MFA e hábito de digitar o site oficial reduzem tanto a entrada quanto o tamanho do estrago.

A resposta muda quando há dado pessoal de terceiros, operação crítica ou sinal claro de ransomware com comprometimento amplo. Nesses casos a prioridade passa a ser contenção, evidência mínima e restauração controlada, com apoio profissional quando a equipe interna não der conta.

O primeiro passo útil hoje é escolher uma conta essencial, ativar fator extra, conferir se o backup restaura de verdade e só então revisar o que ainda está desatualizado no computador e no celular.

Este texto é informativo e geral sobre malware e código malicioso. Não constitui consulta jurídica, parecer de conformidade com a LGPD nem serviço de resposta a incidente para um caso concreto. Medidas técnicas, prazos de comunicação e impactos dependem dos fatos, dos sistemas e das obrigações de cada controlador ou titular. Em dúvida jurídica, procure advogado inscrito na OAB ou a Defensoria Pública; em incidente corporativo, acione o canal interno ou provedor de resposta especializado.