Ataques de Identidade Ultrapassam Exploits como Principal Causa de Ransomware

Durante anos, as gangues de ransomware eram mais conhecidas por explorar software sem correção, o tipo de vulnerabilidade que faz as equipas de TI correrem para aplicar atualizações de segurança. Já não é essa a principal forma como esses ataques começam. De acordo com novas descobertas relatadas pelo Dark Reading, o phishing e e-mails maliciosos são agora responsáveis por metade de todos os ataques de ransomware, ultrapassando oficialmente as vulnerabilidades de software como o principal ponto de entrada.

Ainda mais notável: a autenticação multifator (MFA), há muito considerada uma das defesas mais fortes contra credenciais roubadas, já estava implementada em 97% dos ataques baseados em credenciais estudados. Por outras palavras, os atacantes não estão a ter sucesso porque as organizações ignoraram a higiene básica de segurança. Eles estão a ter sucesso porque encontraram formas de contorná-la.

Esta mudança é importante porque altera onde o risco real reside. Aplicar correções aos servidores e fechar brechas de software continua a ser importante, mas os dados sugerem que os atacantes transferiram a sua energia para enganar pessoas em vez de quebrar código. Um e-mail convincente, uma página de login falsa ou uma chamada telefónica oportuna podem agora fazer o que um exploit de dia zero costumava fazer.

Por que a MFA por si só não está a parar os atacantes

A MFA tem sido comercializada durante anos como uma salvaguarda quase infalível contra o roubo de credenciais. A ideia é simples: mesmo que uma palavra-passe seja roubada, um atacante ainda precisa de um segundo fator, como um código enviado para o telemóvel ou uma aplicação de autenticação, para entrar. Essa lógica funciona contra ataques básicos de adivinhação de palavras-passe. Funciona muito menos contra kits de phishing modernos.

Os atacantes adaptaram-se com técnicas concebidas especificamente para derrotar a MFA. Os proxies de phishing em tempo real podem intercetar tanto uma palavra-passe como um código de uso único no momento em que a vítima os insere, e depois retransmitir essa informação para o sistema de login real antes que o código expire. Outros métodos visam diretamente os tokens de sessão, permitindo que os atacantes assumam uma sessão já autenticada sem nunca precisar do segundo fator. O facto de a MFA estar presente em 97% dos ataques de ransomware baseados em credenciais neste conjunto de dados mostra que ter a MFA ativada já não é suficiente por si só. A forma como é implementada e se resiste especificamente ao phishing importa tanto quanto a sua existência.

Isto não significa que a MFA seja inútil. Ela ainda bloqueia um grande volume de ataques automatizados e de baixo esforço. No entanto, as organizações e indivíduos que confiam nela como uma única solução milagrosa estão a trabalhar com um modelo de ameaça desatualizado.

Como Isto se Compara ao Panorama Mais Amplo de Violações

Esta tendência específica do ransomware coexiste com uma mudança relacionada, mas distinta, documentada noutros lugares do setor. Conforme abordado na análise do vpn.social sobre o Relatório de Investigações de Violações de Dados da Verizon de 2026, as falhas de software ultrapassaram as palavras-passe roubadas ou fracas como o principal ponto de entrada para violações em geral. À primeira vista, isto parece contradizer as conclusões sobre ransomware, mas os dois conjuntos de dados estão a medir coisas diferentes. O DBIR analisa violações em todas as categorias e indústrias, enquanto esta investigação sobre ransomware foca especificamente na forma como os operadores de ransomware obtêm o seu ponto de apoio inicial.

Em conjunto, o quadro que emerge é de especialização. Alguns atacantes estão a aperfeiçoar a exploração automatizada de vulnerabilidades de software em escala, enquanto os grupos de ransomware, em particular, estão a reforçar a engenharia social dirigida a humanos, provavelmente porque oferece um caminho mais rápido e fiável para o tipo de acesso privilegiado necessário para implementar ransomware numa rede. Ambas as tendências podem ser verdadeiras em simultâneo, e ambas apontam para a mesma realidade subjacente: os atacantes vão para onde o caminho de menor resistência os leva, e esse caminho muda constantemente.

O Que Isto Significa Para Si

Se usa e-mail de alguma forma, seja para trabalho ou contas pessoais, esta tendência afeta-o diretamente. O ransomware não visa apenas grandes empresas com departamentos de TI dedicados; pequenos negócios, prestadores de cuidados de saúde, escolas e profissionais independentes são todos regularmente visados através das mesmas táticas de phishing. Um único e-mail convincente aberto no momento errado pode ser o ponto de entrada para um ataque que encripta os ficheiros de uma organização inteira.

A conclusão prática não é abandonar a MFA. É reconhecer que a MFA é uma camada numa defesa mais ampla, não uma meta final. Métodos de autenticação resistentes a phishing, um exame cuidadoso de pedidos de login inesperados e um ceticismo básico perante e-mails que soam urgentes continuam a ser essenciais, mesmo para contas já protegidas por MFA.

Medidas Práticas a Adotar

  • Trate os pedidos de MFA que não solicitou como um sinal de alerta, não como uma notificação de rotina, e nunca aprove um que não tenha iniciado.
  • Sempre que possível, utilize métodos de autenticação resistentes a phishing, como chaves de segurança de hardware, em vez de apenas códigos enviados por SMS ou gerados por aplicações.
  • Desconfie da urgência em e-mails que lhe pedem para iniciar sessão, redefinir uma palavra-passe ou verificar uma conta; estas são táticas clássicas de entrada de ransomware.
  • Mantenha o software atualizado, mesmo que os ataques baseados em identidade liderem agora as causas de ransomware; os ataques baseados em exploits não desapareceram, apenas foram ultrapassados em frequência.
  • Se gere uma equipa ou organização, invista em formação de sensibilização para phishing a par das defesas técnicas, uma vez que os dados mostram que as pessoas, e não apenas os sistemas, são agora o alvo principal.

À medida que as táticas de ransomware continuam a mudar para a identidade e a engenharia social, manter-se informado sobre como estes ataques realmente se desenrolam é uma das defesas mais eficazes disponíveis. Compreender onde o risco real reside hoje é o primeiro passo para fechar essa lacuna antes que os atacantes a possam explorar.