O Relatório do Custo de uma Violação de Dados de 2025 da IBM atribuiu um número concreto a algo sobre o qual os profissionais de segurança alertam há anos: o valor do resgate nunca é o custo real de um ataque de ransomware. De acordo com o relatório, o custo total médio de um incidente de ransomware atingiu os US$ 4,4 milhões, mais de 38 vezes superior ao pedido de resgate médio de US$ 115.000. Quando a análise se restringe a violações que envolvem especificamente ransomware ou extorsão, o custo médio sobe ainda mais, para US$ 5,08 milhões.

Para as pequenas e médias empresas (PMEs), estes números não são abstratos. Representam a diferença entre aquilo para que as empresas se preparam financeiramente (um pagamento de resgate que esperam nunca ter de efetuar) e o que um ataque realmente drena da organização quando se contabilizam a recuperação, o tempo de inatividade, a exposição legal e os danos à reputação.

Os números por detrás do título

O multiplicador de 38 vezes entre o pedido de resgate e o custo total do incidente é o valor mais importante do relatório da IBM, e merece mais atenção do que normalmente recebe. A maioria das conversas sobre ransomware foca-se no próprio resgate: quanto é que os atacantes estão a pedir, se se deve pagar e como negociar. Mas os dados da IBM sugerem que a fixação no valor do resgate obscurece a verdadeira ameaça financeira.

Um pedido de resgate de US$ 115.000 parece uma despesa empresarial gerível, ainda que dolorosa. Um custo total de US$ 4,4 milhões é uma conversa completamente diferente, que afeta a folha de pagamento, os contratos com fornecedores, a confiança dos clientes e, em alguns casos, a própria sobrevivência da empresa. O valor de US$ 5,08 milhões para violações com ransomware e extorsão confirma especificamente que esta categoria de incidente está consistentemente entre as mais caras que uma organização pode enfrentar.

Porque é que o pedido de resgate é a parte mais pequena da fatura

A diferença entre o resgate e o custo total existe porque o ransomware não se limita a encriptar ficheiros; ele interrompe as operações. Os sistemas ficam offline. Os funcionários não conseguem aceder às ferramentas de que precisam para fazer o seu trabalho. Os serviços virados para o cliente deixam de funcionar. As equipas de recuperação têm de ser contratadas, muitas vezes em regime de emergência, para reconstruir a infraestrutura a partir do zero, em vez de confiarem simplesmente numa chave de desencriptação fornecida pelo atacante.

Para além da disrupção operacional, há os custos que se acumulam muito depois de os sistemas serem restaurados: notificações regulatórias, potenciais multas, perda de clientes, honorários legais e o impacto reputacional que pode seguir-se à divulgação pública de uma violação. A investigação mais alargada do Custo de uma Violação de Dados da IBM tem mostrado consistentemente que são estes custos a jusante, e não a exigência inicial de extorsão, que constituem a maior parte do que uma organização acaba por gastar. O ransomware simplesmente concentra todos estes custos num período de tempo mais curto e caótico.

Porque é que as pequenas e médias empresas são o alvo nº 1

As PMEs são alvos atrativos precisamente porque tendem a ter orçamentos de segurança mais reduzidos e equipas de TI mais enxutas do que as grandes empresas, ao mesmo tempo que detêm frequentemente dados valiosos de clientes ou financeiros. Os atacantes sabem que é menos provável que uma organização mais pequena tenha sistemas redundantes, pessoal dedicado à resposta a incidentes ou reservas de caixa para absorver uma interrupção prolongada sem consequências graves.

Esta dinâmica tem-se verificado de forma visível em campanhas recentes de ransomware. Grupos como Qilin e The Gentlemen têm intensificado os ataques especificamente contra pequenas e médias empresas, competindo pelo domínio no espaço do ransomware como serviço, concentrando-se em organizações menos preparadas para se defenderem. Os números de custos da IBM ajudam a explicar porquê: para os atacantes, as PMEs representam uma combinação de potencial real de pagamento e defesas relativamente fracas, uma combinação que mantém este segmento firmemente na mira.

O que significa para si

Se gere ou trabalha numa pequena ou média empresa, estes números devem reformular a forma como pensa sobre o risco de ransomware. A pergunta relevante não é "podemos pagar um resgate se chegar a isso", mas sim "podemos sobreviver ao custo total de um incidente, incluindo semanas de inatividade, despesas de recuperação e as consequências posteriores". Esse custo total, de acordo com os dados da IBM, mede-se em milhões, não em dezenas de milhares.

Isto também tem implicações diretas na privacidade. Os incidentes de ransomware envolvem frequentemente o roubo de dados juntamente com a encriptação, o que significa que as informações pessoais de clientes e funcionários podem acabar expostas, mesmo que o resgate seja pago. As empresas que tratam o ransomware puramente como um risco de interrupção de TI subestimam as obrigações de privacidade e conformidade que se seguem a uma violação que envolva dados roubados.

Conclusões práticas

Dada a escala destes custos, a prevenção e a preparação são muito mais importantes do que a estratégia de negociação. Alguns passos concretos que vale a pena priorizar:

  • Manter cópias de segurança regulares e testadas, armazenadas offline ou de uma forma que os atacantes não consigam alcançar e encriptar juntamente com os sistemas principais.
  • Criar um plano de resposta a incidentes antes de ocorrer um ataque, e não durante o mesmo, incluindo funções claras sobre quem toma decisões sobre tempo de inatividade, divulgação e contacto com as autoridades.
  • Investir em higiene básica de segurança: autenticação multifator, aplicação atempada de patches e sensibilização dos funcionários para o phishing, uma vez que muitas infeções de ransomware começam com uma única credencial comprometida ou um clique num email.
  • Compreender antecipadamente as suas obrigações de notificação de violações de dados, já que o ransomware que envolva roubo de dados pode desencadear requisitos legais, independentemente de o resgate ser pago.

As conclusões de 2025 da IBM tornam uma coisa clara: o pedido de resgate é uma distração da verdadeira ameaça financeira que o ransomware representa. Para as PMEs, fechar a lacuna entre um pedido de US$ 115.000 e uma fatura de US$ 4,4 milhões começa muito antes de um atacante enviar a primeira mensagem.