- As vulnerabilidades exploradas deixaram de ser a principal causa de origem dos ataques de ransomware, à medida que os cibercriminosos dão prioridade a emails maliciosos e campanhas de phishing.
A Sophos, líder global de cibersegurança, publicou hoje a sétima edição anual do seu relatório State of Ransomware, um estudo agnóstico quanto a fornecedores realizado a responsáveis de TI e cibersegurança em 17 países, que identifica o impacto do ransomware nas empresas e o grau de preparação destas para se defenderem destes ataques. O relatório deste ano revela que a identidade é o vetor de acesso inicial (IAV, na sua sigla em inglês) dominante, com quatro em cada cinco ataques de ransomware (79%) a começarem através de identidades comprometidas.
A predominância dos ataques de identidade no ransomware indica uma mudança de método, à medida que os atacantes reconhecem cada vez mais a identidade como um componente essencial na disseminação de ransomware. Para além disso, pela primeira vez em quatro anos, as vulnerabilidades exploradas deixaram de ser a causa de origem mais comum, com os emails maliciosos (26%) e o phishing (24%) a ocuparem os primeiros lugares.
No entanto, as vulnerabilidades exploradas continuam a ser um alvo de elevado valor: 59% dos pedidos de resgate resultantes de ataques que começam com a exploração de uma vulnerabilidade na firewall são de 1 milhão de dólares ou mais, em comparação com 48% no total de ataques.
“À medida que vemos os criminosos de ransomware a experimentar a IA, isto tem o potencial de acelerar a sua capacidade de roubar ativos valiosos, mantê-los como reféns e fazê-lo a uma escala superior à que anteriormente conseguiam atingir,” afirmou Ross McKerchar, Chief Information Security Officer da Sophos. “Esta rapidez exige uma monitorização cuidadosa e permanente dos meios de entrada mais explorados, que, segundo os nossos dados, são contas válidas roubadas e comprometidas. No entanto, a evolução dos modelos de IA de pesos abertos sem salvaguardas dará aos atacantes uma vantagem crescente na identificação e exploração de vulnerabilidades de software. As equipas de defesa não podem depender apenas da aplicação de patches para acompanhar este ritmo, pelo que reduzir a exposição externa e manter uma proteção de endpoints robusta é essencial.”
O relatório concluiu ainda que, entre as organizações atingidas por ransomware, 56% viram os seus dados ser encriptados, um aumento que inverteu uma tendência descendente de dois anos.
Outras descobertas adicionais do State of Ransomware 2026 da Sophos incluem:
- Dois terços das vítimas de ransomware (67%) confirmaram que o incidente de ransomware foi também o seu ataque de identidade mais significativo, estabelecendo o comprometimento de identidades como um dos principais mecanismos de disseminação de ransomware.
- Em mais de metade dos ataques de ransomware (56%) os cibercriminosos conseguiram encriptar dados, incluindo 16% de casos em que os dados foram simultaneamente encriptados e roubados. Esta taxa de sucesso aumentou face aos 50% registados em 2025, mas permanece abaixo do máximo de 75% registado em 2023.
- Quando os dados são encriptados, os atacantes têm uma probabilidade de 50% de receber um pagamento de resgate. Entre as organizações cujos dados foram encriptados, 48% pagaram o resgate, elevando a taxa média de pagamento dos últimos quatro anos para 50%.
- Apenas 34% das pequenas organizações (100-250 colaboradores) conseguiram impedir os ataques antes da encriptação ou extorsão. Este valor é significativamente inferior ao das organizações com 3.001-5.000 colaboradores, que conseguiram impedir os ataques em 46% dos casos.
- A autenticação multifator (MFA) estava implementada, de alguma forma, em 97% dos incidentes em que credenciais comprometidas foram a causa de origem dos ataques de ransomware, deixando claro que este método, por si só, não é suficiente para impedir o ransomware e que as lacunas de cobertura criam exposição.
- O Reino Unido registou o pedido de resgate mediano mais elevado de todos os países, no valor de 2.5 milhões de dólares (~2.19 milhões de euros).
Embora as organizações enfrentem desafios ao nível da prevenção, à medida que os agentes de ameaça evoluem as suas técnicas, foram alcançados progressos significativos na melhoria da capacidade de recuperação. O aumento do investimento em infraestruturas de backup terá provavelmente contribuído para uma recuperação mais rápida das organizações após um ataque de ransomware: mais de metade (55%) consegue recuperar no prazo de uma semana e 16% em menos de um dia.
As organizações continuam também a demonstrar eficácia na negociação com operadores de ransomware. Entre as que optaram por pagar, 51% conseguiram negociar um acordo abaixo do pedido de resgate inicial dos atacantes. O valor mediano dos pedidos de resgate feitos pelos atacantes diminuiu 65% nos últimos dois anos e a proporção de organizações que pagaram o resgate para recuperar os dados caiu para 48% - a segunda taxa mais baixa de que há registo, depois dos 46% registados em 2023.
Embora a melhoria das estratégias tenha afetado a capacidade dos adversários para obter ganhos financeiros através dos pedidos de resgate, os custos médios de recuperação após um ataque aumentaram, situando-se agora em 1.7 milhões de dólares (~1.86 milhões de euros) por incidente.
“As organizações reforçaram a sua resiliência ao ransomware no último ano e estes investimentos estão, em grande medida, a produzir resultados,” acrescentou Ross McKerchar. “No entanto, o ransomware continua a custar milhões às organizações. À medida que a IA se torna mais avançada, os atacantes vão poder identificar configurações incorretas de identidade e pontos fracos nas organizações de forma muito mais rápida e económica do que anteriormente. As organizações já não podem depender da complexidade ou da obscuridade para ocultar lacunas nos seus ambientes. A mesma tecnologia oferece também às equipas de defesa uma oportunidade de encontrar e corrigir essas lacunas mais rapidamente – mas apenas se a prevenção, a deteção e a resposta funcionarem em conjunto como parte de uma estratégia unificada de cibersegurança.”
A Sophos recomenda as seguintes boas práticas para ajudar as organizações a desenvolver defesas integradas e orientadas por IA, que combinem tecnologia, pessoas e processos:
- Tratar a identidade como uma camada de segurança essencial – As organizações devem dar prioridade ao ITDR, implementar autenticação multifator resistente a phishing em todos os pontos de acesso e auditar regularmente tanto as identidades humanas como as não humanas.
- Investir em infraestruturas de backup e recuperação – Os backups devem ser testados regularmente, armazenados offline ou em formatos imutáveis e integrados num plano documentado de resposta a incidentes que possa ser executado sob pressão.
- Manter programas de gestão da exposição – As organizações devem manter calendários rigorosos de aplicação de patches, dar prioridade aos ativos expostos à Internet e considerar de que forma as ferramentas emergentes assistidas por IA podem acelerar a identificação e correção de vulnerabilidades.
- Reduzir a exposição através da firewall e tirar partido da telemetria da firewall para detetar ataques precocemente – Garantir que a firewall recebe atualizações rápidas, idealmente automatizadas, e minimizar os serviços expostos à Internet, como acessos de administração e portais de utilizador. Ligar as firewalls a soluções XDR e MDR, permitindo que a telemetria da firewall ajude a detetar ataques de ransomware antes da implementação das cargas maliciosas.
Este estudo foi realizado pela Vanson Bourne, em nome da Sophos, no primeiro trimestre de 2026. Foram entrevistados 2.158 decisores de TI e cibersegurança de organizações que tinham sido atingidas por ransomware nos 12 meses anteriores, em 17 países: EUA, Brasil, Chile, Colômbia, México, Reino Unido, França, Alemanha, Itália, Espanha, Suíça, Austrália, Índia, Japão, Singapura, África do Sul e Emirados Árabes Unidos. Os inquiridos pertenciam a organizações com entre 100 e 5.000 colaboradores, de 15 setores de atividade.
Descarregue o relatório completo State of Ransomware 2026 em Sophos.com.
Sobre a Sophos: A Sophos é líder em cibersegurança e defende 600.000 organizações em todo o mundo com uma plataforma orientada por IA e serviços liderados por especialistas. A Sophos acompanha as organizações em qualquer fase da sua maturidade em cibersegurança e cresce com elas para combater os ciberataques. As suas soluções combinam machine learning, automação e inteligência de ameaças em tempo real com a experiência humana de primeiro nível da equipa Sophos X-Ops, com vista a proporcionar monitorização, deteção e resposta a ameaças avançadas 24/7. A Sophos oferece serviços de deteção e resposta geridas (MDR) líderes de mercado, juntamente com um portefólio abrangente de tecnologias de cibersegurança – incluindo segurança de endpoints, redes, e-mail e Cloud, deteção e resposta ampliadas (XDR), deteção e resposta a ameaças à identidade (ITDR) e SIEM de próxima geração. Juntamente com serviços de consultoria especializados, estas capacidades ajudam as organizações a reduzir riscos de forma proativa e a responder-lhes mais rapidamente, com a visibilidade e escalabilidade necessárias para estarem um passo à frente das ameaças em constante evolução. A Sophos chega ao mercado através de um ecossistema global de parceiros, incluindo Fornecedores de Serviços Geridos (MSPs), Fornecedores de Serviços de Segurança Geridos (MSSPs), revendedores e distribuidores, integrações em marketplaces e parceiros de gestão de ciberrisco – proporcionando às organizações a flexibilidade de escolherem relações de confiança para protegerem os seus negócios. A Sophos tem sede em Oxford, no Reino Unido. Mais informação em www.sophos.com.