Ransomware: 79% dos ataques começam com identidades comprometidas, revela Sophos

O panorama do ransomware está a mudar de forma significativa e as identidades comprometidas assumiram-se como o principal ponto de entrada dos cibercriminosos. De acordo com a sétima edição anual do relatório State of Ransomware da Sophos, quatro em cada cinco ataques de ransomware (79%) têm agora origem em credenciais roubadas ou comprometidas, deixando para trás a exploração de vulnerabilidades como principal vetor de acesso inicial.

Emails maliciosos e phishing lideram os ataques

Pela primeira vez em quatro anos, as vulnerabilidades exploradas deixaram de ocupar o topo das causas de origem dos ataques. Os emails maliciosos (26%) e o phishing (24%) assumiram a liderança, refletindo uma clara mudança de estratégia por parte dos atacantes, que passaram a apostar na engenharia social como via de entrada mais eficaz.

Ainda assim, as vulnerabilidades continuam a ser um alvo de elevado valor: 59% dos pedidos de resgate resultantes de ataques que exploram falhas na firewall ultrapassam o milhão de dólares, um valor bastante superior aos 48% registados na globalidade dos ataques.

Identidade: o novo campo de batalha da cibersegurança

Dois terços das vítimas (67%) confirmaram que o incidente de ransomware foi também o seu ataque de identidade mais significativo. Este dado consolida o comprometimento de identidades como um dos principais mecanismos de disseminação de ransomware nas organizações.

Curiosamente, a autenticação multifator (MFA) estava implementada, de alguma forma, em 97% dos incidentes em que credenciais comprometidas foram a causa de origem dos ataques. Este número deixa claro que a MFA, por si só, não é suficiente para travar o ransomware — as lacunas na cobertura acabam por criar exposição crítica.

IA acelera as capacidades dos atacantes

Ross McKerchar, Chief Information Security Officer da Sophos, alerta que a inteligência artificial está a mudar as regras do jogo. "À medida que vemos os criminosos de ransomware a experimentar a IA, isto tem o potencial de acelerar a sua capacidade de roubar ativos valiosos, mantê-los como reféns e fazê-lo a uma escala superior à que anteriormente conseguiam atingir", refere.

O responsável avisa ainda que a evolução dos modelos de IA de pesos abertos, sem salvaguardas, dará aos atacantes uma vantagem crescente na identificação e exploração de vulnerabilidades de software.

Encriptação de dados volta a subir

Em mais de metade dos ataques (56%), os cibercriminosos conseguiram encriptar dados, incluindo 16% de casos em que os dados foram simultaneamente encriptados e roubados. Esta taxa aumentou face aos 50% registados em 2025, invertendo uma tendência descendente de dois anos, embora ainda esteja longe do máximo de 75% alcançado em 2023.

Quando os dados são encriptados, os atacantes têm uma probabilidade de 50% de receber um pagamento. Entre as organizações afetadas, 48% acabaram por pagar o resgate.

Pequenas empresas são as mais vulneráveis

Apenas 34% das pequenas organizações (100-250 colaboradores) conseguiram travar os ataques antes da encriptação ou extorsão. Um valor significativamente inferior ao das empresas com 3.001-5.000 colaboradores, que impediram os ataques em 46% dos casos — um alerta importante para as PME portuguesas.

Custos de recuperação disparam para 1,7 milhões de dólares

Apesar dos progressos na recuperação — 55% das organizações consegue recuperar no prazo de uma semana e 16% em menos de um dia — os custos médios de recuperação após um ataque aumentaram, situando-se agora em 1,7 milhões de dólares (~1,86 milhões de euros) por incidente.

Há, no entanto, boas notícias: o valor mediano dos pedidos de resgate diminuiu 65% nos últimos dois anos e 51% das organizações que pagaram conseguiram negociar um valor inferior ao inicialmente exigido pelos atacantes. O Reino Unido registou o pedido de resgate mediano mais elevado, no valor de 2,5 milhões de dólares (~2,19 milhões de euros).

Como se defender: boas práticas recomendadas

Para reforçar a resiliência contra o ransomware, a Sophos recomenda quatro estratégias fundamentais:

• Tratar a identidade como camada de segurança essencial — implementar ITDR, autenticação multifator resistente a phishing e auditar regularmente identidades humanas e não humanas.
• Investir em infraestruturas de backup e recuperação — testar backups regularmente, armazená-los offline ou em formatos imutáveis e integrá-los num plano de resposta a incidentes.
• Manter programas de gestão da exposição — calendários rigorosos de patching, prioridade aos ativos expostos à Internet e recurso a ferramentas assistidas por IA para acelerar a correção de vulnerabilidades.
• Reduzir a exposição através da firewall — garantir atualizações automáticas, minimizar serviços expostos à Internet e ligar as firewalls a soluções XDR e MDR para detetar ataques precocemente.

Numa era em que a IA se torna cada vez mais avançada, os atacantes vão conseguir identificar configurações incorretas e pontos fracos com uma rapidez sem precedentes. A resposta passa por uma estratégia unificada onde prevenção, deteção e resposta funcionam em conjunto — porque a obscuridade já não é opção para esconder as lacunas de segurança.

Siga o NetThings no Google News

Fique a par de todas as novidades tecnológicas em tempo real.

⭐ SEGUIR NO GOOGLE NEWS

Acompanhe-nos também em:

FACEBOOK INSTAGRAM X