As vítimas de ransomware que pagam esperando que o problema desapareça muitas vezes se decepcionam. Um estudo global recém-divulgado, o Relatório de Ransomware na Era da IA, entrevistou quase 1.000 profissionais de segurança em 12 mercados e descobriu que pagar um resgate está longe de ser uma solução garantida. As descobertas reforçam um alerta que pesquisadores de segurança repetem há anos: pagamentos de extorsão repetida por ransomware são um risco real e crescente, não um caso raro e isolado.

O Que o Relatório de Ransomware na Era da IA Descobriu

A pesquisa traça um quadro preocupante de como as organizações respondem quando o ransomware ataca. Mais da metade das organizações que sofreram um ataque, 54%, acabou pagando um resgate na tentativa de restaurar seus dados sensíveis. Daqueles que pagaram, 56% recuperaram o acesso aos seus arquivos ou sistemas. Mas o número mais preocupante é o que aconteceu em seguida: mais de um terço das vítimas, 37%, recebeu uma segunda demanda de extorsão depois de já ter pago a primeira.

Essa estatística por si só deveria mudar a forma como as organizações pensam a resposta a ransomware. Pagar não é uma transação única que encerra o incidente. Para mais de um terço das vítimas neste estudo, foi simplesmente o movimento inicial em um ciclo mais longo e mais caro.

Por Que Pagar Não Garante Segurança ou Recuperação de Dados

Vale a pena refletir sobre a matemática aqui. Mesmo entre as organizações que pagaram, quase metade não recuperou totalmente seus dados. E uma grande parcela daquelas que recuperaram os arquivos foi alvo novamente, seja pelo mesmo atacante exigindo mais dinheiro ou por um grupo diferente que viu o pagamento como prova de que a vítima estava disposta a negociar.

Esse padrão está alinhado com outras pesquisas recentes. Uma pesquisa da Proofpoint coberta pelo vpn.social descobriu de forma semelhante que pagar gangues de ransomware muitas vezes sai pela culatra, com uma parcela significativa das vítimas pagantes enfrentando novas tentativas de extorsão. Uma vez que uma organização paga, ela pode acabar em uma lista de pagadores confirmados, informação que circula entre grupos criminosos e torna essa organização um alvo mais atraente para ataques futuros, não menos atraente.

Também não há contrato executável em uma negociação de ransomware. Os atacantes não têm incentivo legal ou de reputação para honrar sua parte do acordo depois que o dinheiro é transferido. As chaves de descriptografia podem estar incompletas, com erros ou simplesmente nunca serem entregues. Os dados roubados e usados como alavanca ainda podem ser vendidos, vazados ou retidos para uma segunda rodada de extorsão, independentemente do que foi prometido.

As Alternativas de Prevenção: Backups, Criptografia e Segmentação de Rede

Diante dessas probabilidades, a estratégia mais resiliente é reduzir a chance de você ter que decidir se vai pagar em primeiro lugar. Algumas práticas aparecem consistentemente como defesas eficazes:

  • Mantenha backups offline e testados. Backups desconectados da rede principal e regularmente testados para restauração significam que uma organização pode se recuperar sem negociar com um atacante.
  • Criptografe dados sensíveis em repouso e em trânsito. Mesmo que os atacantes exfiltrem arquivos, criptografia forte limita o que eles podem realmente usar ou vender, reduzindo a alavancagem por trás de uma ameaça de vazamento de dados.
  • Segmente redes. Dividir sistemas em zonas isoladas limita até onde o ransomware pode se espalhar uma vez que ganha uma posição inicial, contendo o dano a uma fatia menor da organização.
  • Aplique patches e monitore de forma consistente. Muitas invasões de ransomware ainda exploram vulnerabilidades conhecidas e sem correção ou credenciais fracas de acesso remoto, então a higiene básica elimina uma grande parcela dos pontos de entrada.

Nenhuma dessas medidas torna uma organização imune a ataques, mas juntas elas reduzem tanto a probabilidade de uma violação bem-sucedida quanto a pressão para pagar se uma ocorrer.

Construindo um Plano de Resposta a Incidentes Antes de um Ataque Acontecer

As organizações que se saem melhor após um incidente de ransomware tendem a ser aquelas que já haviam ensaiado sua resposta antes do ataque acontecer. Isso significa ter um plano documentado que especifique quem toma a decisão sobre pagar ou não, quais contatos legais e de aplicação da lei são notificados, como as comunicações com funcionários e clientes são tratadas, e como os sistemas são isolados e restaurados.

Realizar exercícios de mesa, onde a equipe percorre um cenário de ataque simulado, ajuda a identificar lacunas no plano enquanto não há pressão real em jogo. Também acelera a resposta real quando um incidente ocorre, reduzindo a janela de exposição e diminuindo a tentação de pagar simplesmente porque nenhuma outra opção parece pronta.

O Que Isso Significa Para Você

Para líderes de TI e equipes de segurança, este relatório é um lembrete de que pagamentos de extorsão repetida por ransomware são comuns o suficiente para serem incluídos no planejamento, não um caso extremo improvável. Trate o pagamento de resgate como último recurso com uma chance real de falha, não como uma apólice de seguro confiável. Orce para prevenção (backups, segmentação, monitoramento) da mesma forma que você orçaria para qualquer outro custo de infraestrutura essencial, porque os números sugerem que é mais barato a longo prazo do que negociações repetidas com atacantes.

Para usuários individuais e organizações menores sem uma equipe de segurança dedicada, os mesmos princípios se aplicam em escala reduzida: mantenha uma cópia offline de qualquer coisa insubstituível, use criptografia onde estiver disponível e saiba com antecedência quem você chamaria se seus sistemas fossem bloqueados.

Principais Conclusões

  • 54% das organizações pesquisadas que sofreram um ataque de ransomware pagaram o resgate, mas apenas 56% dos pagadores recuperaram totalmente o acesso aos seus dados.
  • 37% das organizações que pagaram foram atingidas por uma segunda demanda de extorsão, mostrando que pagar não encerra o risco.
  • Backups offline, criptografia e segmentação de rede reduzem tanto as chances de um ataque bem-sucedido quanto a pressão para pagar.
  • Um plano de resposta a incidentes testado, construído antes de um ataque acontecer, encurta o tempo de recuperação e reduz a dependência de pagamentos de resgate.
  • Os leitores podem revisar as descobertas da pesquisa da Proofpoint para obter dados adicionais corroborantes sobre com que frequência pagamentos de resgate não resolvem um ataque.