Ransomware: o que é, como age e como proteger a sua empresa

Ransomware é um programa malicioso que torna os dados ou os equipamentos de uma vítima inacessíveis, quase sempre por criptografia, e cobra um resgate para devolver o acesso. Esse é o resumo de o que é ransomware, mas o golpe mudou: hoje os grupos passam dias dentro da rede, copiam os dados, apagam os backups e só então cifram tudo, cobrando pela chave e pelo silêncio. A defesa que decide o desfecho é ter um backup que o atacante não consiga destruir e um plano de resposta ensaiado antes do ataque.

O que é ransomware e por que ele virou o maior risco digital das empresas

O nome junta ransom (resgate, em inglês) e software. O CERT.br, centro de resposta a incidentes ligado ao NIC.br, descreve dois tipos. O locker trava o acesso ao próprio equipamento. O crypto, o mais comum, cifra os arquivos e mantém o aparelho funcionando para exibir a nota de resgate. Nos dois casos, o código ainda procura outros computadores e servidores conectados para se espalhar.

O que fez do ransomware um problema de diretoria, e não só de TI, é a escala. Os números mais recentes mostram um crime que se espalhou para empresas de todos os portes, ainda que receba menos por vítima.

A combinação parece contraditória, mas não é. Segundo o relatório de 2026 da Chainalysis, empresa de análise de blockchain, os pagamentos somaram mais de US$ 820 milhões em 2025, contra US$ 892 milhões em 2024, enquanto o número de vítimas exibidas nos sites dos criminosos cresceu cerca de 50%. Ou seja: há mais ataques, mais pulverizados, e menos gente pagando. O valor mediano pago, por outro lado, subiu de US$ 12.738 para US$ 59.556. Quem paga, paga mais.

O Brasil não fica de fora. Em julho de 2026, a ANPD abriu processo sancionador contra uma organização social que administra unidades públicas de saúde, depois de um ataque de ransomware em 2025 que atingiu cerca de 500 mil registros de pacientes, entre eles 78.772 de crianças e adolescentes, com exames, prontuários e diagnósticos.

Como um ataque de ransomware acontece, etapa por etapa

A criptografia é o último ato. Antes dela, o atacante percorre um caminho previsível, e cada etapa é uma chance de ser barrado. Entender essa sequência ajuda a escolher onde investir.

1. Entrada. O atacante consegue o primeiro acesso, comprando uma senha vazada, explorando um sistema exposto na internet sem atualização ou enganando alguém com um e-mail.
2. Escalada de privilégio. Com um usuário comum, ele busca credenciais de administrador guardadas na memória das máquinas, em scripts ou em planilhas.
3. Expansão. Ele mapeia a rede, descobre onde estão os servidores de arquivos, o banco de dados e, principalmente, o sistema de backup, que tenta apagar ou cifrar primeiro.
4. Roubo de dados. Antes de cifrar, copia contratos, dados de clientes e de funcionários para servidores próprios. É o material da segunda cobrança.
5. Criptografia e extorsão. Muitas vezes à noite ou no fim de semana, dispara a criptografia em todos os equipamentos ao mesmo tempo e deixa a nota com o prazo e o contato para negociar.

Dupla extorsão e ransomware como serviço (RaaS)

Até o fim da década passada, o ransomware em geral só cifrava e cobrava. Bastava ter um bom backup para ignorar o pedido. Os criminosos reagiram com a dupla extorsão: roubar os dados antes e ameaçar publicá-los num site de vazamentos se o resgate não for pago. A Coveware, empresa que negocia e responde a incidentes de ransomware, registrou roubo de dados em 76% dos casos que atendeu no terceiro trimestre de 2025.

Alguns grupos foram além, no que se convencionou chamar de tripla extorsão. O relatório da Chainalysis descreve atacantes que entram em contato direto com funcionários e clientes da vítima e que analisam os arquivos roubados para fazer ameaças mais específicas. Em empresas que guardam dados pessoais, o efeito é duplo: além da paralisação, há um vazamento de dados com obrigações legais, como explica o guia sobre vazamento de dados.

O outro motor do crescimento é o ransomware como serviço, ou RaaS (do inglês ransomware as a service). Funciona como uma franquia: um grupo desenvolve o programa, o site de vazamentos e a estrutura de negociação, e aluga tudo para afiliados, que fazem as invasões e repassam uma parte do resgate. Quando uma operação grande é derrubada pela polícia, os afiliados migram para outra. A Chainalysis aponta que o mercado se fragmentou, com análises contando até 85 grupos de extorsão ativos, muitos deles pequenos e independentes, que miram empresas menores.

Por onde o ransomware entra

O guia #StopRansomware, da CISA, a agência de cibersegurança dos Estados Unidos, lista seis vetores de entrada recorrentes. Os dados de 2025 e 2026 mostram quais pesam mais. Na Coveware, o comprometimento de acesso remoto respondeu por mais da metade dos incidentes do terceiro trimestre de 2025. No DBIR 2026, a exploração de vulnerabilidades em software passou a ser a porta de entrada de 31% das violações, à frente das senhas roubadas.

Repare que quase todos os vetores passam por uma credencial. Por isso a CISA recomenda MFA resistente a phishing, como chaves físicas e passkeys, em e-mail, VPN e contas de sistemas críticos. Os tipos de segundo fator e seus limites estão no artigo sobre autenticação de dois fatores.

Backup 3-2-1 e imutável: a defesa que decide

A regra 3-2-1 é conhecida: três cópias dos dados, em dois tipos de mídia, com uma fora do ambiente principal. Contra ransomware, ela é necessária, mas não suficiente, porque o atacante procura justamente o backup. Se o servidor de backup usa a mesma senha de administrador da rede, ou se a cópia na nuvem pode ser apagada pela conta invadida, as três cópias somem juntas.

Por isso o mercado passou a falar em 3-2-1-1-0: além do 3-2-1, uma cópia imutável ou desconectada e zero erros na verificação da restauração. Na prática:

• Imutável. Armazenamento com bloqueio de escrita por prazo definido (o chamado WORM, de write once, read many), em que nem o administrador consegue apagar a cópia antes do vencimento.
• Desconectado. Uma cópia offline, fisicamente separada da rede, como recomenda a CISA, que também pede backups cifrados.
• Credenciais próprias. O console de backup tem login e MFA separados do domínio da empresa. Quem invadiu a rede não deve conseguir entrar nele.
• Imagens de referência. A CISA sugere manter as chamadas golden images: versões limpas e prontas dos sistemas críticos, para reconstruir servidores sem reinstalar tudo do zero.
• Restauração testada. Meça quanto tempo leva para voltar a operar e quantas horas de dados você aceita perder. Esses números orientam a frequência das cópias.

O que fazer nas primeiras horas de um ataque

O ciclo geral de resposta a incidentes está no guia de segurança cibernética para empresas. No ransomware, alguns cuidados específicos fazem a diferença, a maioria tirada da lista de verificação da CISA:

1. Isole sem desligar. Desconecte da rede as máquinas afetadas, de preferência no switch, mas não as desligue: a memória guarda pistas úteis para a investigação.
2. Converse fora da rede atacada. Use telefones e um canal de mensagens que não dependa do e-mail corporativo, que pode estar sendo lido pelo invasor.
3. Preserve evidências. Guarde a nota de resgate, registros de acesso e cópias das máquinas afetadas antes de qualquer limpeza.
4. Procure a polícia e especialistas. A CISA orienta consultar as autoridades sobre ferramentas de decifração. O projeto No More Ransom, da Europol com polícias e empresas, oferece decifradores gratuitos para famílias de ransomware já quebradas.
5. Reconstrua a partir do limpo. Remova a forma de persistência do invasor, reconstrua os sistemas por prioridade a partir de imagens limpas e só então troque todas as senhas, para não entregá-las de novo.
6. Avalie a LGPD desde o primeiro dia. Se houve roubo de dados pessoais com risco relevante, a comunicação à ANPD e aos titulares tem prazo de três dias úteis, contados de quando a empresa soube que dados pessoais foram afetados.

O caso de 2025 analisado pela ANPD mostra o custo de errar nessa etapa. Segundo a autoridade, a organização atacada só publicou um aviso no site, sem comunicar individualmente os pacientes, e afirmou que não havia risco relevante sem apresentar provas. O processo examina também as medidas de segurança e a falta de informações sobre o encarregado de dados, temas do guia de LGPD para empresas.

Pagar ou não o resgate?

A recomendação das autoridades é não pagar. O CERT.br lembra que o pagamento não garante que o acesso aos dados será restabelecido, e o No More Ransom acrescenta que pagar confirma aos criminosos que o modelo funciona. Há ainda três problemas práticos:

• A chave pode não funcionar. O decifrador entregue pelos criminosos pode ser lento ou falhar em parte dos arquivos.
• Os dados roubados não voltam. Não há como verificar que a cópia foi apagada. O vazamento continua sendo um vazamento, com as mesmas obrigações legais.
• Risco de sanções. Nos Estados Unidos, o Tesouro alertou em 2021 que pagar a grupos sob sanção pode violar a lei, inclusive para quem intermedeia o pagamento. Empresas com operações ou parceiros no exterior devem considerar esse ponto.

As vítimas parecem ter entendido. A Coveware registrou que só 23% dos casos acabaram em pagamento no terceiro trimestre de 2025, o menor índice da série, e a Chainalysis estima que 2025 pode ter tido a menor fatia de vítimas pagando já registrada. A escolha, no fim, é da direção, com apoio jurídico e de especialistas. Mas quem tem backup imutável e plano ensaiado raramente precisa fazê-la. Este conteúdo é informativo e não substitui orientação jurídica para o caso concreto.

Checklist de prevenção contra ransomware

Um roteiro curto para revisar com a equipe de TI e a direção:

• Há uma lista atualizada de tudo o que está exposto na internet, e as falhas críticas são corrigidas em dias, não em meses?
• Acesso remoto, e-mail e painéis de nuvem exigem MFA para todo mundo, inclusive fornecedores?
• Contas de administrador são separadas das de uso diário e revisadas a cada trimestre?
• Existe ao menos uma cópia de backup imutável ou offline, com credenciais próprias, e a restauração foi testada nos últimos seis meses?
• A rede é segmentada, de forma que um computador do escritório não alcance o servidor de backup?
• O plano de resposta tem contatos impressos, nomes de quem decide e um rascunho de comunicação à ANPD e aos clientes?
• A equipe sabe reconhecer phishing e reportar um e-mail suspeito, como mostra o guia sobre golpes digitais e phishing?

Para fechar a porta das credenciais, o TKI Pass é um app gratuito da TKI que reúne autenticador de dois fatores e cofre de senhas, com tudo cifrado no próprio aparelho. Ajuda a equipe a adotar MFA e senhas únicas em cada serviço sem complicar a rotina.

Perguntas frequentes

O que é ransomware, em poucas palavras?

É um programa malicioso que bloqueia o acesso a um equipamento ou, mais comum, cifra os dados e cobra um resgate, em geral em criptomoeda, para devolver o acesso. Hoje a maioria dos grupos também copia os dados antes e ameaça publicá-los.

O que é dupla extorsão no ransomware?

É quando o criminoso cobra duas vezes pela mesma invasão: pela chave que decifra os arquivos e pelo silêncio sobre os dados roubados. Por isso o backup, sozinho, não encerra a crise: ele devolve a operação, mas não desfaz o vazamento.

O que é ransomware como serviço (RaaS)?

É o modelo em que um grupo desenvolve o ransomware e a infraestrutura de cobrança e aluga tudo para afiliados, que fazem as invasões e dividem o resgate. Ele baixou a barreira de entrada do crime e multiplicou o número de atacantes.

Backup na nuvem protege contra ransomware?

Só se o atacante não conseguir apagá-lo ou cifrá-lo. Uma cópia sincronizada que a conta invadida consegue alterar pode ser destruída junto. O ideal é ter ao menos uma cópia imutável ou desconectada, com credenciais separadas, e testar a restauração.

Devo pagar o resgate de um ransomware?

O CERT.br e o projeto No More Ransom, da Europol, recomendam não pagar: não há garantia de receber a chave nem de que os dados roubados sejam apagados, e o pagamento financia novos ataques. A decisão cabe à direção, com apoio jurídico, depois de esgotar a recuperação por backup.