O que é ransomware? Como os ataques funcionam, quem paga e como se proteger

O que é ransomware?

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA define ransomware como um malware projetado para criptografar arquivos em um dispositivo, tornando-os inutilizáveis, assim como os sistemas que dependem deles; depois, os criminosos exigem um resgate em troca da descriptografia ^[1]. Criptografar, aqui, significa embaralhar os arquivos com uma chave que só o atacante tem. O National Cyber Security Centre (NCSC) do Reino Unido observa que o próprio computador pode ser bloqueado, ou os dados podem ser roubados, apagados ou criptografados, e que alguns ransomwares se espalham para outras máquinas da rede, como fez o WannaCry ao atingir o NHS em maio de 2017 ^[3].

As vítimas geralmente recebem a instrução de contatar o atacante por um endereço de e-mail ou página web anônimos e de pagar em uma criptomoeda como o Bitcoin ^[2]. A Microsoft observa que uma infecção normalmente não se revela até que uma janela, um app ou uma mensagem em tela cheia exija dinheiro, muitas vezes quando os arquivos já foram criptografados ^[7].

O que é dupla extorsão?

Com o tempo, os atacantes passaram também a copiar os dados das vítimas e ameaçar publicá-los para pressioná-las a pagar; usar ao mesmo tempo a criptografia e a ameaça de vazamento é o que se chama de dupla extorsão ^[1]. Em alguns casos, os criminosos dispensam totalmente a criptografia e usam os dados roubados como única forma de pressão ^[1].

Como funciona um ataque de ransomware?

O NCSC descreve uma sequência típica ^[2]:

1. Os atacantes obtêm acesso à rede, estabelecem controle e instalam o software malicioso de criptografia; também podem copiar dados para ameaçar um vazamento ^[2].
2. O malware é ativado, bloqueando dispositivos e criptografando dados em toda a rede ^[2].
3. Um aviso na tela explica o resgate e como pagar, geralmente por uma página web anônima e em criptomoeda ^[2].

Como os atacantes entram?

A CISA agrupa os vetores de acesso inicial mais comuns em vulnerabilidades e configurações incorretas de sistemas expostos à internet, credenciais comprometidas, phishing, infecções anteriores por malware, engenharia social avançada e terceiros ou provedores de serviços gerenciados ^[1]. O NCSC diz que o ransomware é cada vez mais implantado por atacantes que obtêm acesso remoto por serviços expostos, como o Remote Desktop Protocol (RDP), ou por dispositivos de acesso remoto sem atualização ^[3]. Para usuários domésticos, a Microsoft aponta como caminhos comuns abrir anexos inesperados e links maliciosos em e-mails, redes sociais, apps de mensagens ou SMS ^[7].

Quem está por trás disso?

Segundo a empresa de análise de blockchain Chainalysis, o ransomware hoje funciona como um mercado interligado de acesso, infraestrutura e serviços de pagamento ^[5]. As grandes operações de “ransomware como serviço” (RaaS) se fragmentaram em 2025 em muitos agentes menores e independentes, e algumas análises acompanham até 85 grupos de extorsão ativos ^[5]. Os corretores de acesso inicial (IABs) facilitam a entrada em redes comprometidas para que os afiliados, os criminosos que de fato implantam o ransomware, ataquem com relativa facilidade; a Chainalysis constatou que picos na atividade dos IABs costumam anteceder em cerca de 30 dias os aumentos de pagamentos e vazamentos de ransomware ^[5].

Qual é o tamanho do problema do ransomware?

O Internet Crime Complaint Center (IC3) do FBI recebeu 3.611 denúncias de ransomware em 2025, ante 3.156 em 2024, com prejuízos declarados de 32.320.105 dólares americanos ^[4]. O FBI ressalta que esse valor normalmente não inclui perda de negócios, tempo, salários, arquivos ou equipamentos, nem a remediação feita por terceiros, que algumas vítimas não declaram nenhum prejuízo e que o resultado é uma taxa de prejuízo artificialmente baixa ^[4]. As variantes mais denunciadas em 2025 foram Akira, Qilin, INC./Lynx/Sinobi, BianLian e Play, e as dez principais afetaram a indústria crítica, a saúde e a saúde pública e instalações governamentais ^[4]. O IC3 identificou 63 novas variantes no ano ^[4].

A Chainalysis estima que os agentes de ransomware receberam mais de 820 milhões de dólares americanos em pagamentos on-chain em 2025, cerca de 8% menos que sua estimativa atualizada de 892 milhões para 2024, embora as vítimas reivindicadas tenham subido 50%, no ano mais ativo já registrado ^[5]. Ela sugere que a parcela de vítimas que pagam pode ter caído para a mínima histórica de 28% ^[5]. Ao mesmo tempo, o pagamento mediano subiu 368%, de 12.738 para 59.556 dólares americanos ^[5]. Essas são estimativas obtidas por rastreamento em blockchain e podem ser revisadas à medida que mais pagamentos forem atribuídos ^[5].

Incidentes isolados podem custar muito caro. A Chainalysis cita o ataque cibernético de 2025 à Jaguar Land Rover, que parou linhas de produção e causou danos econômicos estimados em 1,9 bilhão de libras, o evento cibernético mais caro da história do Reino Unido ^[5].

Você deve pagar o resgate?

As orientações oficiais são coerentes: não pague, se puder evitar. A CISA e seus parceiros não recomendam pagar, porque o pagamento não garante que seus dados sejam descriptografados, que seus sistemas deixem de estar comprometidos nem que seus dados não sejam vazados ^[1]. O NCSC diz que as autoridades policiais do Reino Unido não incentivam, endossam nem toleram o pagamento, e alerta que, se você pagar, não há garantia de acesso e você tem mais chance de ser alvo de novo ^[3]. Acrescenta que alguns malwares apenas fingem ser ransomware: são wipers, e os arquivos não são descriptografados após o pagamento ^[3].

Quais são os riscos jurídicos?

Em setembro de 2021, o Office of Foreign Assets Control (OFAC), do Tesouro dos EUA, atualizou um alerta sobre possíveis riscos de sanções por facilitar pagamentos de ransomware, ressaltando que o governo dos EUA desencoraja fortemente o pagamento de resgates cibernéticos e incentivando as vítimas a denunciar os ataques ^[10]. O guia da CISA também observa que pagar resgates pode trazer riscos de sanções ^[1].

No Reino Unido, o governo anunciou em 22 de julho de 2025, após uma consulta pública, que levaria adiante medidas para proibir órgãos do setor público e operadores de infraestrutura nacional crítica, incluindo o NHS, as prefeituras e as escolas, de pagar exigências de resgate ^[9]. Pelas propostas, as demais empresas teriam de notificar o governo da intenção de pagar, e um regime de comunicação obrigatória está sendo desenvolvido ^[9]. Em 3 de novembro de 2026, os leitores devem consultar o GOV.UK para saber se essas medidas já viraram lei.

Estas são informações gerais, não aconselhamento jurídico ou financeiro. Uma organização diante de uma exigência de resgate deve envolver as autoridades policiais, assessoria jurídica e um fornecedor de resposta a incidentes.

Como se proteger do ransomware em casa?

1. Faça backup do que importa. O NCSC define backup como uma cópia de dados importantes guardada em outro local seguro, como armazenamento em nuvem ou mídia removível, e inclui malwares como o ransomware entre os motivos pelos quais você pode perder o acesso ^[8].
2. Mantenha pelo menos um backup desconectado. O NCSC recomenda que dispositivos de backup, como discos externos e pen drives, não fiquem conectados permanentemente, porque os atacantes miram backups conectados ^[3].
3. Use o histórico de versões. Escolha um serviço em nuvem que guarde versões anteriores, porque os serviços em nuvem costumam sincronizar logo depois que os arquivos são substituídos por cópias criptografadas ^[3]. A Microsoft diz que o OneDrive inclui detecção de ransomware e controle de versões de arquivos ^[7].
4. Atualize tudo. Mantenha o Windows e outros programas atualizados e a Segurança do Windows ativada ^[7]; o NCSC recomenda, sempre que possível, atualizações automáticas para sistemas operacionais, aplicativos e firmware ^[3].
5. Ative o Acesso controlado a pastas no Windows 10 ou 11 para proteger pastas importantes contra programas não autorizados ^[7].
6. Tenha cuidado com anexos e links que você não esperava, inclusive em apps de mensagens e SMS ^[7].

Como as organizações reduzem o risco de ransomware?

As recomendações de 2025 do FBI para empresas incluem backups offline ou fora do local, criptografados e imutáveis (que não podem ser alterados nem apagados), eliminação de senhas padrão, desativação de protocolos desnecessários, limitação dos direitos de administrador, autenticação multifator (MFA) para webmail, VPNs e sistemas críticos, segmentação de rede e aplicação rápida de patches em sistemas expostos à internet ^[4].

A CISA recomenda manter backups offline e criptografados e testá-los regularmente, porque a maioria dos agentes de ransomware tenta encontrar e apagar ou criptografar os backups acessíveis ^[1]. Também recomenda manter “imagens douradas”, modelos de sistema pré-configurados que permitem reconstruir servidores rapidamente, e não expor serviços como o RDP à internet ^[1]. O NCSC acrescenta que as organizações devem planejar e ensaiar sua resposta, incluindo como manter serviços críticos funcionando se os sistemas ficarem indisponíveis e como responderão a uma exigência de resgate ^[3]. O governo do Reino Unido também pede backups offline e planos testados para operar sem TI por um período prolongado ^[9].

O que fazer se o ransomware atacar?

1. Isole os dispositivos afetados. A CISA diz para desconectá-los do cabo de rede ou tirá-los do Wi-Fi; se uma rede inteira for afetada, tire-a do ar no nível do switch ^[1].
2. Desligue o equipamento só se não conseguir desconectá-lo. A CISA observa que desligar destrói evidências na memória, por isso é uma alternativa de último caso ^[1].
3. Use comunicação fora de banda. Os atacantes podem estar monitorando e-mails e chats, por isso a CISA sugere ligações telefônicas para coordenar a resposta ^[1].
4. Limpe o dispositivo antes de restaurar. A Microsoft recomenda limpar totalmente o PC com software de segurança antes de tentar recuperar arquivos ^[7]; o NCSC diz para verificar os backups em busca de malware e conectá-los apenas a dispositivos sabidamente limpos ^[3].
5. Procure um descriptografador gratuito. O projeto No More Ransom, citado pelo NCSC, oferece ferramentas de descriptografia para algumas famílias de ransomware, embora nem todo tipo tenha solução ^[6][3].
6. Denuncie. No Reino Unido, incidentes podem ser comunicados ao NCSC e ao Report Fraud ^[3]; nos EUA, o FBI pede que as vítimas registrem uma denúncia no IC3 ^[4]. A Microsoft diz que quem já pagou deve contatar o banco e as autoridades locais imediatamente ^[7].

Qual é a ligação do Irã com a atividade de ransomware?

Em agosto de 2024, o FBI, a CISA e o Department of Defense Cyber Crime Center alertaram que um grupo de agentes cibernéticos baseados no Irã, que o FBI avalia estar associado ao governo iraniano, vinha obtendo acesso a redes nos EUA e em outros países e colaborando com afiliados de ransomware, incluindo NoEscape, Ransomhouse e ALPHV (BlackCat), em troca de uma porcentagem dos resgates pagos ^[12]. O alerta diz que os agentes muitas vezes entravam explorando dispositivos de rede como Citrix NetScaler e F5 BIG-IP ^[12].

Em setembro de 2022, o Tesouro dos EUA impôs sanções a dez pessoas e duas entidades ligadas à Guarda Revolucionária Islâmica por atividades cibernéticas maliciosas, incluindo ransomware; segundo o órgão, o grupo ativava o Microsoft BitLocker nas redes das vítimas sem autorização e mantinha as chaves de descriptografia como resgate ^[11]. Essas são conclusões de órgãos dos EUA. Designações de sanções desse tipo são um dos motivos pelos quais o OFAC alerta que pagar um resgate pode trazer risco de sanções ^[10].