O que o Relatório da Sophos Descobriu sobre Identidades Comprometidas

Um relatório recém-publicado da Sophos coloca um número concreto em algo que as equipes de segurança suspeitam há anos: as gangues de ransomware não estão mais arrombando a porta da frente, estão entrando com uma chave roubada. De acordo com as descobertas, 79% dos ataques de ransomware agora se originam de identidades comprometidas, o que significa que o ponto de acesso inicial, na maioria dos casos, é um nome de usuário e senha válidos, em vez de uma exploração de software ou um anexo malicioso.

O relatório também destaca uma diferença gritante na forma como organizações de diferentes tamanhos respondem quando um ataque começa. Apenas 34% das pequenas organizações conseguiram interromper um ataque antes que ocorresse a criptografia ou extorsão. Compare isso com organizações com 3.001 a 5.000 funcionários, que interromperam ataques 46% das vezes. Essa diferença sugere que recursos, pessoal e maturidade de detecção ainda importam muito, mesmo quando o método de entrada do invasor parece semelhante entre os tamanhos de empresa.

Geograficamente, o relatório observa que o Reino Unido registrou a maior demanda mediana de resgate entre todas as regiões cobertas pelo estudo. Embora o detalhamento completo dos números não tenha sido detalhado, o padrão reforça uma tendência mais ampla: as demandas de resgate estão sendo calibradas com base na capacidade de pagamento percebida, e não apenas no valor dos dados em si.

Por que Apenas MFA Não Está Impedindo o Ransomware

Aqui está a descoberta que deve reformular muitos orçamentos de segurança: a autenticação multifator (MFA) estava implantada em alguma capacidade em 97% dos incidentes onde as credenciais comprometidas foram a causa raiz. Em outras palavras, quase todas as organizações que foram violadas por meio de credenciais roubadas já tinham MFA ativado em algum lugar do seu ambiente.

Isso não significa que o MFA seja inútil. Significa que o MFA não é uma solução completa quando aplicado de forma inconsistente. Lacunas de cobertura, como sistemas legados que não suportam autenticação moderna, contas de serviço excluídas das políticas de MFA ou ferramentas de acesso remoto configuradas com verificação mais fraca, dão aos invasores exatamente a abertura de que precisam. Um invasor determinado não precisa derrotar o MFA em todos os lugares; ele só precisa encontrar o único caminho de login onde nunca foi aplicado.

Esta é a tensão central que os dados da Sophos expõem. As equipes de segurança passaram anos tratando o MFA como uma caixa de seleção, mas os operadores de ransomware se adaptaram, caçando as contas, sistemas e integrações que ficam fora dessa caixa. O resultado é uma estratégia de defesa que parece forte no papel, mas tem buracos reais na prática.

Passos Práticos de Higiene de Identidade Além do MFA

Se o comprometimento de credenciais é o ponto de entrada dominante, então a higiene de identidade merece a mesma atenção operacional que o gerenciamento de patches ou a detecção de endpoints normalmente recebem. Alguns passos práticos se destacam com base nas implicações do relatório:

  • Audite a cobertura do MFA, não apenas sua existência. Confirme que cada ponto de acesso remoto, conta de administrador e integração de terceiros realmente exige MFA, não apenas a tela de login principal.
  • Priorize a autenticação resistente a phishing sempre que possível, pois os códigos tradicionais de uso único ainda podem ser interceptados ou obtidos por engenharia social.
  • Monitore a reutilização de credenciais e contas obsoletas. Contas inativas e logins compartilhados são pontos cegos comuns que os invasores exploram muito depois que os funcionários saíram ou mudaram de função.
  • Segmente o acesso por função e necessidade. Mesmo uma credencial comprometida é muito menos útil para um invasor se ela não conceder amplo movimento lateral pela rede.
  • Desenvolva capacidade mais rápida de detecção e resposta, especialmente para organizações menores. A diferença entre as taxas de contenção de 34% e 46% sugere que a velocidade de detecção, não apenas a prevenção, é onde as equipes com recursos limitados estão perdendo terreno.

Nenhum desses passos exige ferramentas exóticas. Eles exigem disciplina, visibilidade e a disposição de tratar a identidade como um sistema vivo que precisa de auditoria regular, e não como uma tarefa de configuração única.

Onde Ferramentas Criptografadas e VPNs se Encaixam na Defesa em Camadas

VPNs e ferramentas de acesso criptografado continuam sendo uma camada útil em uma estratégia mais ampla de proteção de identidade, particularmente para proteger logins remotos e reduzir a exposição em redes não confiáveis. Mas as descobertas da Sophos são um lembrete de que nenhuma ferramenta isolada, seja uma VPN, MFA ou proteção de endpoint, pode substituir a governança de identidade consistente em toda a organização. Os invasores procuram a lacuna entre as ferramentas, não as ferramentas em si.

Este também é um bom momento para pensar em como os controles de acesso e a política de internet se cruzam de forma mais ampla. Assim como os governos estão cada vez mais examinando como os provedores de VPN lidam com restrições de acesso, as organizações estão sendo solicitadas a examinar como suas próprias ferramentas de acesso são configuradas e monitoradas. Entender como os sistemas de restrição em camadas funcionam, semelhante a como os sistemas nacionais de censura na internet são construídos com várias camadas de fiscalização em vez de uma única barreira, oferece uma analogia útil para o motivo pelo qual a defesa contra ransomware também exige múltiplos controles sobrepostos, em vez da dependência de uma única salvaguarda.

O Que Isso Significa Para Você

Se você gerencia segurança de TI em qualquer tamanho de organização, este relatório é um sinal para revisar suposições. Ter o MFA ativado não é o mesmo que ter o MFA aplicado em todos os lugares onde ele importa. A defesa contra ransomware por roubo de credenciais em 2026 exige tratar a identidade como uma disciplina operacional contínua, e não como um projeto que foi concluído quando a implementação do MFA foi marcada como completa.

Para organizações menores especialmente, a diferença na taxa de contenção merece ser levada a sério. Isso sugere que o investimento em capacidade de detecção e resposta, mesmo melhorias modestas, pode mudar significativamente o resultado de um ataque que já obteve o acesso inicial.

Principais Conclusões

  • 79% dos ataques de ransomware agora começam com credenciais comprometidas, de acordo com a Sophos.
  • O MFA estava presente em 97% dos incidentes de ransomware baseados em credenciais, mostrando que as lacunas de cobertura, e não a ausência de MFA, são o verdadeiro problema.
  • Pequenas organizações interromperam ataques apenas 34% das vezes, em comparação com 46% para organizações maiores com 3.001 a 5.000 funcionários.
  • O Reino Unido registrou a maior demanda mediana de resgate no relatório.
  • A defesa eficaz contra ransomware por roubo de credenciais exige auditoria da cobertura de MFA, monitoramento de credenciais obsoletas ou reutilizadas, segmentação de acesso e desenvolvimento de capacidade de detecção mais rápida, em vez de depender de uma única ferramenta de segurança.