O Verdadeiro Motor de Lucro do Ransomware Não é a Encriptação

Durante anos, a defesa contra ransomware concentrou-se num único momento: o instante em que os ficheiros são bloqueados. Mas novas descobertas divulgadas pelo The National CIO Review deixam claro que a encriptação é muitas vezes a parte menos valiosa de um ataque de ransomware para os criminosos que o praticam. O verdadeiro retorno vem do roubo de dados, e esse retorno não termina quando o resgate é pago ou os sistemas são restaurados.

De acordo com o relatório, 54% das organizações afetadas pagaram um pedido de resgate. Por si só, isso não surpreende, dada a perturbação que os sistemas encriptados podem causar. O que se destaca é o que aconteceu a seguir: 37% dessas organizações que pagaram receberam mais tarde outro pedido do mesmo atacante ou de um diferente. Por outras palavras, mais de um terço das vítimas que pensavam ter encerrado o incidente viram-se de volta ao ponto de partida, a negociar novamente os mesmos dados roubados.

Porque é que os Dados Roubados Continuam a Render aos Atacantes

Quando os atacantes exfiltram dados antes de aplicar a encriptação, ganham múltiplas fontes de receita separadas que não dependem de os sistemas da vítima permanecerem bloqueados. O relatório descreve várias destas:

  • Ameaças de divulgação pública: Os atacantes ameaçam divulgar ficheiros confidenciais a menos que seja feito um segundo pagamento, mesmo depois do resgate original pelas chaves de desencriptação.
  • Revenda de dados roubados: As informações são vendidas em mercados criminosos a outros agentes de ameaças, independentemente de a vítima original ter ou não pago.
  • Abuso de credenciais: Nomes de utilizador, palavras-passe e tokens de acesso encontrados nos ficheiros roubados são reutilizados para comprometer outras contas ou sistemas, por vezes em organizações parceiras ou fornecedores.
  • Ataques subsequentes: Detalhes recolhidos de uma violação, como diagramas de rede, contratos com fornecedores ou comunicações internas, tornam as futuras intrusões mais fáceis e direcionadas.

É por isso que os investigadores de segurança descrevem cada vez mais o ransomware moderno como um problema de roubo de dados com encriptação anexada, e não o contrário. A encriptação perturba as operações durante dias ou semanas. Os dados roubados podem ser utilizados como arma durante meses ou anos.

Um exemplo recente desta dinâmica a desenrolar-se publicamente envolveu a violação da Tata Electronics que vazou segredos do iPhone 18 Pro, onde um grupo de ransomware que se autodenomina World Leaks publicou informações confidenciais de produtos ainda não lançados após obter acesso aos sistemas internos. Casos como este ilustram como os dados empresariais roubados mantêm valor para os atacantes muito para além da intrusão inicial, e como as ameaças de divulgação, por si só, podem forçar as organizações a tomar decisões difíceis mesmo sem uma carga útil de encriptação funcional.

Porque é que Pagar Não Garante o Fim da História

O valor de 37% de novas exigências merece particular atenção porque contraria um pressuposto comum: o de que pagar um resgate encerra o incidente. Na realidade, uma vez que os dados saem da rede de uma organização, a vítima não tem como verificar se as cópias foram destruídas, se o atacante não revenderá as informações, ou se um grupo diferente já não obteve os mesmos ficheiros. Pagar resolve o problema da encriptação. Não resolve o problema do roubo de dados, porque esses dados já estão fora do controlo da vítima no momento em que são exfiltrados.

Isto tem implicações diretas na forma como as organizações pensam a preparação para o ransomware. O planeamento de cópias de segurança e de recuperação é importante para repor os sistemas online, mas não faz nada para impedir uma fuga de informação, uma revenda ou uma segunda tentativa de extorsão. Impedir a exfiltração à partida, através da segmentação da rede, controlos de acesso rigorosos e minimizando a quantidade de dados confidenciais armazenados ou acessíveis, é tão importante como o planeamento da recuperação.

O Que Isto Significa Para Si

Quer esteja a gerir a TI de uma pequena empresa ou apenas a proteger as suas próprias contas, a lição destes dados é a mesma: parta do princípio de que qualquer violação que envolva as suas informações pode resultar numa exposição contínua, e não num incidente isolado. Se uma empresa com a qual interage divulgar um ataque de ransomware, trate-o como um risco em aberto. Palavras-passe reutilizadas, credenciais de contas antigas e dados pessoais associados a essa violação podem ressurgir em tentativas de credential stuffing ou burlas subsequentes muito depois de as notícias desaparecerem.

Para as organizações, a conclusão é tratar a minimização de dados e a segmentação da rede como defesas essenciais contra o ransomware, e não como algo secundário. Limitar os dados confidenciais acessíveis a partir de qualquer ponto comprometido reduz o que os atacantes conseguem roubar, mesmo que consigam entrar.

Medidas Práticas a Adotar

  • Utilize palavras-passe únicas para cada conta e atualize-as se for notificado de uma violação que envolva os seus dados, mesmo meses depois.
  • Ative a autenticação multifator sempre que possível para reduzir o valor das credenciais roubadas.
  • Se gere uma empresa, audite os dados confidenciais armazenados e quem lhes pode aceder; menos dados expostos significa menos poder de chantagem para os atacantes.
  • Não presuma que um incidente de ransomware terminou assim que um resgate é pago ou os sistemas são restaurados. Monitorize sinais de fuga de dados ou de novas tentativas de extorsão.
  • Segmente as redes para que um único dispositivo ou conta comprometida não possa expor todo o seu ambiente de dados.

A maior vantagem do ransomware não é a encriptação que faz manchetes. É o roubo de dados que acontece discretamente antes e continua a gerar valor para os atacantes muito depois de a crise inicial parecer resolvida.