Revisado em por Roberto Lima
Neste artigo
O que e Ransomware
Ransomware e um tipo de malware que criptografa arquivos e sistemas de uma vítima, exigindo pagamento de resgate (ransom) para fornecer a chave de descriptografia. Nos últimos anos, evoluiu de ataques oportunistas para operações sofisticadas conduzidas por grupos organizados que funcionam como verdadeiras empresas criminosas.
Dupla e Tripla Extorsão
Ransomware moderno não apenas criptografa dados. Na dupla extorsão, dados são roubados antes da criptografia e ameaça-se vazar publicamente. Na tripla extorsão, adiciona-se ataques DDoS ou contato direto com clientes/parceiros da vítima para aumentar a pressão.
Estatísticas e Impacto no Brasil
Segundo o IBM Cost of a Data Breach 2025, ataques de ransomware tiveram o maior custo médio entre todos os tipos de breach. No Brasil, o setor financeiro, saúde e varejo são os mais visados, com ataques crescendo 62% em relação a 2024.
A FEBRABAN reportou que fraudes cibernéticas no Brasil, incluindo ransomware, aumentaram significativamente, com prejuízos totais superando R$ 2.5 bilhões em 2025. PMEs são particularmente vulneráveis por terem menos recursos para defesa e recuperação.
Como Funciona um Ataque de Ransomware
Um ataque de ransomware moderno segue múltiplas fases, frequentemente mapeadas no framework MITRE ATT&CK. O tempo entre acesso inicial e criptografia pode variar de horas a meses, dependendo do grupo.
1. Acesso Inicial
Atacantes ganham acesso via phishing, vulnerabilidades expostas (RDP, VPN) ou credenciais vazadas. Grupos também compram acesso de "Initial Access Brokers".
2. Reconhecimento e Movimentação Lateral
Exploração do ambiente: mapeamento de rede, identificação de sistemas críticos, escalação de privilégios, comprometimento de Domain Controller.
3. Exfiltração de Dados
Antes de criptografar, dados sensíveis são copiados para servidores dos atacantes. Isso habilita dupla extorsão e aumenta pressão para pagamento.
4. Desativação de Defesas
EDR/antivírus são desabilitados, backups são deletados ou criptografados, shadow copies do Windows são removidas.
5. Deployment do Ransomware
Execução massiva via GPO, PsExec ou outras ferramentas. Criptografia de arquivos em endpoints e servidores. Nota de resgate e exibida.
6. Extorsão
Vítima recebe instruções de pagamento (geralmente em criptomoedas). Negociação pode ocorrer via chat. Prazo para vazamento de dados e estabelecido.
Principais Grupos de Ransomware (2025-2026)
LockBit 3.0 RaaS
Um dos grupos mais ativos globalmente, opera modelo Ransomware-as-a-Service (RaaS). Conhecido por velocidade de criptografia e programa de bug bounty próprio. Alvos incluem governo, saúde e manufatura.
BlackCat/ALPHV Rust-based
Primeiro ransomware escrito em Rust, dificultando detecção. Modelo RaaS com afiliados recebendo até 90% do resgate. Especializados em dupla extorsão com site de leaks.
Cl0p Supply Chain
Notorio por explorar vulnerabilidades em software amplamente utilizado (MOVEit, GoAnywhere). Ataque via supply chain permite comprometer múltiplas vítimas simultaneamente.
Royal/BlackSuit Manual
Grupo que prefere ataques manuais e direcionados vs. automatizados. Foco em grandes empresas com capacidade de pagar resgates altos. Conhecido por exfiltrar TBs de dados.
A Evolução da Extorsão em 2026
O ransomware deixou de girar apenas em torno da criptografia. Em 2026, a pressão sobre a vítima é construída em camadas, e várias das táticas mais eficazes nem sequer dependem de travar os sistemas. Entender essa evolução é essencial para dimensionar o risco — e as obrigações legais que vêm junto.
As camadas da extorsão moderna
- Extorsão simples: criptografia dos dados e pedido de resgate pela chave. O modelo "clássico", hoje minoria entre os grupos maduros.
- Dupla extorsão: os dados são exfiltrados antes de serem criptografados. Mesmo com backup íntegro, a vítima é ameaçada com o vazamento público das informações roubadas.
- Tripla extorsão: soma-se pressão adicional — ataques DDoS para derrubar serviços e contato direto com clientes, parceiros e imprensa para ampliar o dano reputacional.
- Quádrupla extorsão: os criminosos passam a usar a conformidade regulatória como arma, ameaçando denunciar o incidente a órgãos reguladores caso a empresa tente ocultá-lo.
A virada mais relevante é o crescimento da extorsão sem criptografia (encryptionless): na campanha contra a vulnerabilidade do MOVEit, o grupo Cl0p apenas roubou dados e cobrou pelo silêncio. É mais rápido, mais difícil de detectar e dispensa a parte mais "barulhenta" do ataque. Para a vítima, o efeito prático é direto: houve vazamento de dados pessoais, e isso aciona a LGPD independentemente de os sistemas terem sido travados ou não.
Quando o crime vira denúncia
A quádrupla extorsão já saiu do campo teórico. Em caso documentado no exterior, o grupo BlackCat/ALPHV denunciou uma vítima à SEC (reguladora do mercado de capitais dos EUA) por não ter reportado o incidente no prazo. No Brasil, o paralelo é evidente: o dever de comunicação à ANPD cria exatamente a alavanca que os criminosos exploram — "pague, ou nós avisamos o regulador por você".
Em paralelo, as operações ficaram mais rápidas e profissionais. O tempo entre o acesso inicial e a detonação do ransomware (time-to-ransom) caiu de semanas para, em muitos casos, menos de 24 horas. Ferramentas dedicadas a desligar EDR ("EDR killers") viraram commodity no modelo RaaS, e a desarticulação de grupos tradicionais apenas pulverizou os afiliados em novas marcas. A lição para 2026 é que o backup resolve a disponibilidade, mas não resolve o vazamento — e é o vazamento que gera obrigação legal.
Vetores de Ataque Mais Comuns
1. Phishing e Engenharia Social
O vetor mais comum (aproximadamente 40% dos casos). E-mails com anexos maliciosos (macros, ISO, OneNote) ou links para sites de phishing que capturam credenciais. Ataques cada vez mais direcionados (spear phishing) usam informações específicas da vítima.
Para entender melhor esse vetor, consulte nosso artigo sobre phishing e monitoramento contínuo.
2. Exploração de Vulnerabilidades
Serviços expostos na internet com vulnerabilidades conhecidas: VPNs (Fortinet, Pulse Secure, Citrix), Exchange Server, ferramentas de gerenciamento remoto. Patches atrasados são porta de entrada comum.
3. RDP Exposto
Remote Desktop Protocol exposto diretamente na internet e alvo frequente. Atacantes usam brute force ou credenciais vazadas. Milhões de servidores RDP estão expostos globalmente.
4. Initial Access Brokers (IABs)
Criminosos especializados vendem acesso já comprometido para grupos de ransomware. Preços variam de US$ 500 a US$ 100.000+ dependendo do alvo. Isso reduz a barreira de entrada para operadores de ransomware.
5. Supply Chain
Comprometimento de software legítimo ou provedores de serviços permite atingir múltiplas vítimas. Exemplos: Kaseya, SolarWinds, MOVEit. Impacto amplificado e mais difícil de detectar.
Estratégias de Proteção contra Ransomware
Controles Essenciais (Must-Have)
- Backup 3-2-1 testado: 3 cópias, 2 midias, 1 offsite/air-gapped. Teste restauração regularmente
- EDR em todos os endpoints: CrowdStrike, SentinelOne, Defender for Endpoint
- MFA em tudo: Especialmente VPN, e-mail, sistemas críticos e acesso administrativo
- Patch management: Vulnerabilidades críticas em menos de 72h, especialmente perímetro
- Segmentação de rede: Isolar sistemas críticos, limitar movimentação lateral
- Mínimo privilégio: Usuários e serviços apenas com permissões necessárias
- Email security: Filtro de anexos, sandbox para links, DMARC configurado
Controles Avançados (Should-Have)
- Monitoramento 24/7: SOC interno ou serviço MDR/MSSP
- Threat Hunting: Busca proativa de indicadores de comprometimento
- Application Whitelisting: Permitir apenas softwares autorizados
- LAPS: Senhas de admin local únicas por máquina
- Disable macros: Ou ao menos bloquear da internet
- Network Detection (NDR): Identificar exfiltração e C2
- Plano de resposta testado: Exercícios tabletop e simulações regulares
Estratégia de Backup Anti-Ransomware
Regra 3-2-1-1-0
Evolução da regra clássica para cenário de ransomware:
- 3 cópias dos dados
- 2 tipos de mídia diferentes
- 1 copia offsite (cloud ou localização física separada)
- 1 copia offline/air-gapped (desconectada da rede)
- 0 erros verificados (teste de restauração regular)
Considere backups imutaveis (WORM - Write Once Read Many) que não podem ser alterados mesmo com credenciais administrativas. Serviços de cloud como AWS S3 Object Lock, Azure Immutable Blob e Veeam Hardened Repository oferecem essa funcionalidade.
O que Fazer se For Atacado
Primeiros 15 Minutos (Contenção)
- NÃO desligue os sistemas - evidências volateis serão perdidas
- Isole sistemas afetados da rede (desconectar cabo, desabilitar Wi-Fi)
- Desconecte backups da rede imediatamente
- Preserve logs e evidências
- Ative o time de resposta a incidentes
Primeiras Horas (Avaliação)
- Identifique a variante de ransomware (pode haver decryptor gratuito)
- Determine extensão do comprometimento (quais sistemas, quais dados)
- Verifique integridade dos backups
- Documente tudo para investigação forense
- Comunique stakeholders internos (sem detalhes públicos ainda)
Primeiros Dias (Recuperação)
- Erradique a ameaça antes de restaurar (atacante pode ter persistência)
- Restaure sistemas críticos a partir de backups limpos
- Reset de todas as credenciais (assume que foram comprometidas)
- Monitore intensivamente para reinfeccao
- Cumpra obrigações legais (LGPD, reguladores, clientes)
Sobre Pagar o Resgate
A recomendação e NÃO pagar. Motivos: financia criminosos, não garante recuperação (30% não recebem chave mesmo pagando), pode violar sanções (OFAC), e marca a empresa como pagadora (alvo futuro). Invista o valor em prevenção e recuperação.
Para um guia completo sobre resposta a incidentes, consulte nosso artigo sobre Resposta a Incidentes: Guia Prático.
Precisa de Ajuda com Segurança contra Ransomware?
Oferecemos assessment de resiliência, implementação de controles e resposta a incidentes.
Falar com EspecialistaRansomware e LGPD: o Dever de Notificar a ANPD
Quando um ataque de ransomware envolve dados pessoais — e, com a dupla extorsão, quase sempre envolve — ele deixa de ser apenas um incidente de TI e passa a ser um incidente de segurança com dados pessoais nos termos da LGPD (Lei nº 13.709/2018). A partir daí, a empresa tem obrigações legais com prazo contado.
O art. 48 da LGPD determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O que antes era uma regra genérica ganhou prazo e formato concretos com a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança.
O que a Resolução 15/2024 exige na prática
- Prazo de 3 dias úteis para comunicar a ANPD, contados da ciência de que o incidente afetou dados pessoais e pode gerar risco ou dano relevante.
- Comunicação aos titulares afetados, em linguagem clara, quando houver risco ou dano relevante.
- Formulário eletrônico oficial da ANPD como canal da comunicação, com conteúdo mínimo obrigatório.
- Registro interno de todos os incidentes, inclusive os não comunicados, disponível para eventual fiscalização.
A comunicação precisa descrever, no mínimo, a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança adotadas, os riscos relacionados e as providências tomadas para reverter ou mitigar os efeitos. O regulamento considera risco ou dano relevante os incidentes que atinjam dados sensíveis, dados de crianças e adolescentes, dados em larga escala, ou que possam causar discriminação, fraude, dano à reputação, financeiro ou físico aos titulares — critérios que um vazamento típico de ransomware costuma cumprir com folga.
Ocultar o incidente é o pior caminho
Não comunicar — ou comunicar fora do prazo — expõe a empresa às sanções do art. 52 da LGPD: advertência e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Pior: a tentativa de esconder o ataque é exatamente a vulnerabilidade que a quádrupla extorsão explora. A postura defensável é tratar a notificação como parte do plano de resposta, não como uma decisão a ser tomada no calor do incidente.
Checklist de resposta sob a LGPD
- Antes: mapeie onde estão os dados pessoais e classifique-os, para saber de imediato o que foi exposto.
- Antes: inclua o encarregado (DPO) e o jurídico no plano de resposta a incidentes, não só o time técnico.
- Durante: ao confirmar exfiltração de dados pessoais, inicie a contagem dos 3 dias úteis e prepare a comunicação à ANPD.
- Durante: documente a linha do tempo e as evidências — elas sustentam a comunicação e a eventual defesa.
- Depois: comunique os titulares afetados e registre o incidente no inventário interno.
Estruturar esse fluxo exige integração entre segurança e privacidade. Se a sua empresa ainda trata LGPD e resposta a incidentes como trilhas separadas, conheça nosso trabalho de adequação à LGPD e o nosso guia de resposta a incidentes.
Perguntas Frequentes
Antivírus baseado em assinaturas tem eficácia limitada contra ransomware moderno, que usa técnicas de evasão e variantes customizadas. Soluções de EDR (Endpoint Detection and Response) com análise comportamental são mais eficazes, pois detectam atividades suspeitas como criptografia em massa mesmo sem conhecer a variante específica.
Depende da apólice. Muitos seguros cyber cobrem custos de resposta a incidentes, recuperação e até pagamento de resgate. Porém, seguradoras estão mais rigorosas: exigem controles mínimos (MFA, EDR, backups), podem negar cobertura por negligência, e premios aumentaram significativamente. Leia a apólice com atenção.
Sim. Embora Windows seja o alvo mais comum, existem variantes para Linux (especialmente servidores VMware ESXi) e macOS. Grupos como LockBit e BlackCat tem versões multiplataforma. Servidores Linux com dados críticos ou ambientes de virtualizacao são alvos crescentes.
Para algumas variantes antigas ou quando chaves são obtidas pela polícia, sim. O projeto No More Ransom mantem uma colecao de decryptors gratuitos. Sempre verifique antes de pagar. Porém, grupos modernos raramente tem falhas que permitam descriptografia sem a chave.
Sim, quando o ataque envolve dados pessoais e pode gerar risco ou dano relevante aos titulares — o que é a regra em ataques com exfiltração (dupla extorsão). O art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024 estabelecem prazo de 3 dias úteis para comunicar a ANPD, a partir da ciência do incidente, além da comunicação aos titulares afetados. Não notificar expõe a empresa a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
