Um terço das organizações da ANZ ainda opta por pagar

O relatório State of Data Resilience ANZ 2026 da Commvault constatou que 34% das organizações na Austrália e na Nova Zelândia que sofreram um ataque de ransomware acabaram pagando o resgate, apesar de não terem nenhuma garantia real de que seus dados seriam devolvidos ou seus sistemas restaurados e voltariam a funcionar.

A constatação chega em um momento em que o ransomware deixou de ser um evento raro de crise e se tornou mais uma realidade operacional para as empresas da região. No entanto, a decisão de pagar ainda é, em muitos casos, tomada sob extrema pressão, no meio de um incidente ativo, e não como parte de uma estratégia de resposta calma e previamente planejada.

Por que pagar raramente resolve o problema real

O detalhe mais importante nas conclusões da Commvault não é que as organizações estejam pagando, mas o que acontece depois. Entregar um resgate não significa automaticamente que os dados roubados ou criptografados voltem intactos, nem que o invasor exclua as cópias que fez antes de bloquear os sistemas. Essa distinção importa enormemente do ponto de vista da privacidade. Muitos incidentes de ransomware hoje envolvem tanto roubo de dados quanto criptografia, o que significa que registros de clientes, dados de funcionários ou informações financeiras podem já ter saído da rede da organização antes mesmo de qualquer conversa sobre resgate começar.

Uma pesquisa relacionada que abrange a mesma região reforça esse ponto. Esse estudo constatou que 36% dos pagamentos de resgate não conseguem restaurar os dados, o que significa que mais de um terço das organizações que pagaram ainda terminaram sem seus sistemas ou arquivos funcionando adequadamente. Pagar, em outras palavras, não é uma transação com resultado garantido. É uma aposta feita com um adversário que não tem obrigação legal ou de reputação de cumprir o combinado.

Para organizações que detêm dados pessoais sensíveis, sejam registros de saúde, informações financeiras ou dados de identidade de clientes, isso cria um risco de privacidade cumulativo. Mesmo um pagamento bem-sucedido não desfaz a exposição que já ocorreu. Dados que foram copiados pelos invasores antes da criptografia ainda podem ser vazados, vendidos ou usados para extorsão adicional, independentemente de o resgate ter sido pago. A pesquisa da Commvault sugere que organizações demais da ANZ estão tratando o pagamento de resgate como uma estratégia de recuperação, quando ele funciona mais como uma aposta feita depois que o estrago já está feito.

A pressão para decidir em meio a uma crise

Parte do que torna esse padrão persistente é o ambiente em que essas decisões são tomadas. Ataques de ransomware tendem a escalar rapidamente, muitas vezes bloqueando o acesso da equipe a sistemas críticos em questão de horas. Sob esse tipo de pressão, com as operações paralisadas e clientes ou parceiros fazendo perguntas, pagar pode parecer o caminho mais rápido de volta à normalidade. O relatório da Commvault enquadra isso como organizações tomando decisões de alto risco sobre ransomware no meio de uma crise, em vez de como parte de um plano pré-existente e testado.

Essa tomada de decisão orientada pela crise é exatamente o motivo pelo qual a preparação importa muito mais do que a reação. Organizações com sistemas de backup testados, planos claros de resposta a incidentes e critérios predefinidos sobre se devem ou não negociar com invasores estão em uma posição muito mais forte do que aquelas que improvisam em tempo real. Os dados sugerem que muitas empresas da ANZ ainda não atingiram esse nível de preparação e, em vez disso, estão recorrendo ao pagamento porque ele parece ser a única alavanca disponível no momento.

O que isso significa para você

Se você é consumidor, funcionário ou cliente de alguma organização, esta pesquisa é um lembrete de que o pagamento de resgate por uma empresa não significa que seus dados estejam seguros. Mesmo que uma empresa anuncie que resolveu um incidente, as informações que foram expostas durante o ataque ainda podem estar circulando. Vale a pena prestar atenção aos avisos de violação de dados de qualquer serviço que você use e tratá-los com seriedade, mesmo que a organização afirme que o resgate foi pago ou que os sistemas foram restaurados.

Se você trabalha em uma empresa, especialmente uma que lida com dados de clientes ou funcionários, a lição é mais direta: não deixe que a decisão de pagar um resgate seja tomada pela primeira vez durante um ataque real. Organizações que planejam com antecedência, testam seus backups e têm um protocolo de resposta claro têm muito menos probabilidade de enfrentar o tipo de cenário sem saída que a Commvault descreve, no qual o pagamento não garante a devolução dos dados e a exposição da privacidade muitas vezes já aconteceu quando a nota de resgate chega.

Principais conclusões

  • Pagar um resgate de ransomware não garante que seus dados ou sistemas serão restaurados e não desfaz nenhum roubo de dados que já tenha ocorrido.
  • A exposição de dados e o risco de privacidade podem existir independentemente do pagamento do resgate, pois os invasores geralmente roubam informações antes de criptografá-las.
  • As organizações devem criar planos de resposta a ransomware e testar backups antes de um incidente ocorrer, e não durante ele.
  • Os indivíduos devem continuar atentos aos avisos de violação de dados, mesmo quando uma empresa relata um incidente como resolvido.

O ransomware não vai desaparecer, e a pesquisa da Commvault deixa claro que as organizações da ANZ ainda estão lidando com essas decisões de forma reativa, e não estratégica. Desenvolver resiliência antes que um ataque aconteça continua sendo a maneira mais confiável de proteger tanto as operações de negócios quanto os dados pessoais que as organizações têm a responsabilidade de proteger.