Relatório da Sophos mostra que empresas brasileiras pagam menos resgates, enquanto valor exigido e roubo de dados aumentam
A resiliência técnica das empresas brasileiras começou a quebrar a dependência direta dos cibercriminosos, mas o custo da pressão financeira nunca foi tão alto. Dados do relatório State of Ransomware 2026, divulgado pela Sophos, mostram que, enquanto a parcela de organizações que cedem à extorsão caiu para 45%, o valor médio exigido pelos atacantes subiu para US$ 640 mil. O avanço da exfiltração de dados confidenciais antes do bloqueio dos sistemas redefine a governança de riscos, exigindo que a proteção corporativa vá além da guarda de backups.
O cenário das ameaças cibernéticas corporativas no Brasil atingiu um ponto de inflexão em 2026. Historicamente apontado como um dos alvos preferenciais de quadrilhas de cibercrime devido a assimetrias estruturais de governança e investimentos desiguais em infraestrutura digital, o ecossistema empresarial brasileiro vive agora uma reorganização profunda de forças.
Os dados mais recentes do relatório anual State of Ransomware 2026, conduzido pela Sophos, revelam um quadro complexo e simultaneamente revelador: enquanto a pressão financeira e a sofisticação tática dos criminosos atingiram patamares sem precedentes, as lideranças corporativas começam a apresentar uma resistência técnica sólida, alterando a dinâmica das negociações de resgate.
O levantamento, que analisou as operações de 71 tomadores de decisão em Tecnologia da Informação e Segurança da Informação no país — cobrindo organizações de médio e grande porte, com quadros entre 100 e 5.000 colaboradores —, evidencia uma transição clara no modelo operacional das ofensivas. A era do sequestro puramente destrutivo ou oportunista cedeu espaço a esquemas de extorsão multifacetados, com impactos diretos sobre a liquidez, a integridade da propriedade intelectual e a conformidade legal das empresas.
A Escalada Financeira: O Resgate Mediano Salta 63%
O dado que salta aos olhos dos conselhos de administração e diretores financeiros diz respeito à precificação da extorsão: o valor mediano exigido pelos operadores de ransomware no Brasil disparou 63% em apenas doze meses, fixando-se em US$ 640 mil em 2026.
Esse crescimento vertiginoso não ocorre por acaso. Ele reflete a consolidação definitiva do modelo de Ransomware-as-a-Service (RaaS), no qual grupos desenvolvedores e operadores de ataque terceirizados (affiliates) atuam de maneira quase corporativa.
Antes de disparar o código malicioso, os atacantes executam um reconhecimento minucioso dos alvos. Eles investigam balanços financeiros, faturamento anual divulgado ou estimado, apólices de seguro contra riscos cibernéticos (cyber insurance) e os potenciais impactos regulatórios de uma paralisação.
Ao estabelecer uma exigência inicial muito superior à praticada em anos anteriores, as quadrilhas buscam ancorar a negociação em patamares elevados. Sabem que, mesmo sob descontos obtidos por empresas especializadas em resposta a incidentes, o montante líquido final continuará historicamente alto. Para as companhias nacionais, o salto para US$ 640 mil representa um choque financeiro imediato de fluxo de caixa, sobretudo em um contexto macroeconômico de taxa de juros exigente e controle orçamentário rigoroso.
Dupla Extorsão: O Roubo de Dados Saltou de 22% para 38%
Durante anos, o ransomware foi encarado primariamente como um incidente de disponibilidade operacional: os arquivos eram cifrados, os sistemas congelavam e a rotina produtiva estagnava até a recuperação dos dados. Esse paradigma mudou de forma drástica. O relatório aponta que, em 38% dos incidentes em que houve criptografia no Brasil, os invasores também conseguiram exfiltrar dados sensíveis antes de travar as máquinas. Em 2025, essa taxa era de 22%.
O salto na taxa de roubo de dados confirma o domínio da dupla extorsão. Cientes de que as empresas estão investindo mais em recuperação técnica e cópias de segurança, os criminosos removem antecipadamente bases cadastrais de clientes, relatórios fiscais, segredos industriais e dados confidenciais de colaboradores.
Essa manobra anula a tranquilidade que uma boa arquitetura de restauração poderia oferecer. Ainda que a organização consiga subir um sistema operacional limpo a partir de cópias locais ou em nuvem em poucas horas, ela continua refém do risco reputacional e regulatório.
A ameaça de vazamento em canais públicos do Telegram ou em fóruns na Dark Web coloca a empresa diretamente sob a mira das sanções administrativas da Autoridade Nacional de Proteção de Dados (ANPD), além de abrir espaço para ações coletivas de indenização e perdas irreparáveis de imagem perante parceiros comerciais e investidores.
O Fator Humano como Elo Mais Vulnerável: O Brasil Lidera em E-mails Maliciosos
Se os efeitos dos ataques se sofisticaram, o vetor inicial de penetração continua a explorar uma vulnerabilidade crônica: o comportamento humano e as rotinas de comunicação corporativa. De acordo com a Sophos, os e-mails maliciosos foram apontados como a causa-raiz técnica de 37% de todas as invasões registradas no Brasil. Este percentual confere ao país a desconfortável liderança global no indicador entre todas as geografias investigadas.
A prevalência expressiva das mensagens fraudulentas demonstra que os atacantes aprimoraram consideravelmente suas campanhas de spear phishing, social engineering e comprometimento de contas corporativas legítimas (BEC — Business Email Compromise).
O uso intensivo de ferramentas automatizadas e modelos de Inteligência Artificial generativa por cibercriminosos permitiu eliminar erros clássicos de concordância gramatical ou termos estrangeiros que antes facilitavam a detecção de fraudes por usuários atentos.
As iscas contemporâneas chegam contextualizadas ao mercado corporativo brasileiro: falsas notificações fiscais, cobranças bancárias com dados de aparência legítima, propostas falsas de contratação ou alertas fraudulentos de redefinição de credenciais de acesso corporativo.
O fato de o Brasil despontar no topo do ranking internacional de contaminação por e-mail expõe uma fragilidade que ultrapassa firewalls perimetrais e sistemas convencionais de filtragem. Fica evidente a carência de treinamentos recorrentes de simulação de ataque, a ausência de autenticação multifatorial obrigatória e resistente a phishing (como chaves FIDO2), e a lentidão de times operacionais em segmentar permissões de acesso baseadas no conceito de privilégio mínimo.
A Reação Técnica: Mais Backups, Menos Pagamentos de Resgate
Apesar da escalada nos valores pedidos e do aumento no roubo de informações, o relatório da Sophos traz um indicador decisivo de maturidade operacional: a disposição das empresas brasileiras em ceder à extorsão caiu acentuadamente.
A parcela de organizações que declararam ter pago resgates aos criminosos despencou de 66% para 45%. Trata-se de uma retração significativa de 21 pontos percentuais, revelando uma postura executiva mais pragmática e alinhada às melhores práticas internacionais de resposta a incidentes. Pagar resgates, historicamente desaconselhado por órgãos de segurança, financia a engrenagem do crime internacional e nunca garantiu a restauração integral ou a exclusão dos dados roubados.
| Indicador Estratégico (Brasil) | Levantamento Anterior (2025) | Levantamento Atual (2026) | Variação |
| Valor Mediano Exigido | ~ US$ 392 mil (estimado) | US$ 640 mil | +63% |
| Criptografia com Exfiltração de Dados | 22% | 38% | +16 p.p. |
| Ataques via E-mails Maliciosos (Vetor) | Posição intermediária | 37% (1º lugar global) | Alta histórica |
| Organizações que Pagaram Resgate | 66% | 45% | -21 p.p. |
| Organizações Apoiadas em Backups | 73% | 85% | +12 p.p. |
Essa retração no pagamento coincide com uma melhoria substancial na infraestrutura de resiliência: o uso de backups como rota principal de recuperação operacional subiu de 73% para 85% entre as empresas afetadas.
Esse avanço de doze pontos percentuais no uso de cópias funcionais comprova que a mensagem da continuidade de negócios finalmente penetrou o escalão C-Level. As organizações compreenderam que o investimento preventivo em cópias imutáveis, estruturas segregadas fisicamente e testes periódicos de restauração em larga escala custa uma fração do valor de um resgate em criptoativos.
O Futuro da Governança de Riscos Cibernéticos
Os dados da Sophos mostram que o Brasil abandonou a ingenuidade perante o ransomware. As empresas não aceitam passivamente as condições impostas pelos criminosos, buscando criar rotas operacionais alternativas que garantam a retomada das operações sem transferir capital para carteiras anônimas.
No entanto, o crescimento acelerado da dupla extorsão e a liderança nas falhas provocadas por e-mails deixam uma mensagem de alerta urgente: proteger apenas o backup não basta mais para resguardar a existência do negócio.
A segurança corporativa contemporânea exige a transição para modelos rigorosos de Zero Trust, proteção contínua de identidade, criptografia ponta a ponta dos repositórios de dados internos e programas contínuos de educação humana. Somente ao fechar a porta de entrada dos e-mails e impedir a movimentação lateral nos servidores será possível desarmar a engrenagem que ainda alimenta as cifras milionárias do cibercrime.
Huge Networks é reconhecida em estudo global de cibersegurança da ISG
Nenhum regulador brasileiro pergunta quantas vulnerabilidades você fechou
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
