Ataque de ransomware é a operação em que um grupo criminoso obtém acesso à rede de uma organização, copia os dados para fora, cifra os sistemas e cobra resgate para devolver o acesso e não publicar o que levou. Como a cópia sai antes da cifragem, restaurar o backup parou de encerrar o incidente. Quase sempre começa por uma credencial válida vazada ou por um serviço exposto na internet com falha conhecida.
Quase todo relatório de incidente que chega às nossas mãos tem a mesma frase escondida em algum parágrafo do meio. O ativo por onde entraram já era conhecido. Estava no inventário, ou pelo menos deveria estar. A correção existia. Só não tinha sido aplicada, porque estava na posição 400 de uma fila de 3.000 itens ordenada por severidade teórica.
Essa é a parte incômoda do assunto. O ransomware moderno raramente depende de uma técnica inédita. Ele depende da janela de tempo entre a publicação de uma falha e a correção dela, e de uma fila de trabalho que não sabe distinguir a falha que está sendo explorada hoje da falha que provavelmente nunca será.
O Verizon Data Breach Investigations Report 2025 encontrou ransomware em 44% das violações analisadas. No mesmo relatório, a exploração de vulnerabilidades responde por cerca de 20% dos acessos iniciais e cresceu 34% em um ano, puxada por falhas em dispositivos de borda e VPNs. Desses equipamentos comprometidos, apenas 54% chegaram a ser corrigidos, com prazo mediano de 32 dias entre a publicação e a correção. Trinta e dois dias é uma eternidade quando existe exploit público circulando.
O que é ransomware
Ransomware é o software malicioso que sequestra os dados de uma organização, cifra os arquivos e exige pagamento para devolver o acesso. Essa é a definição de manual, e ela ficou incompleta faz tempo.
O modelo que domina hoje é o da dupla extorsão. Antes de cifrar qualquer coisa, o grupo copia os dados para fora. Assim, o backup deixa de ser a salvaguarda que era. Você restaura os sistemas em um fim de semana e continua sendo chantageado com a publicação do que foi levado. Em alguns casos a pressão vai além, com contato direto a clientes, parceiros e reguladores da vítima, ou ataque de negação de serviço enquanto a negociação corre.
A consequência prática é que proteger a empresa contra ransomware virou trabalho de barrar acesso. Recuperação continua importando, e continua chegando tarde: depois que os dados saem, não existe restauração que resolva.
Tipos de ransomware
A classificação por família de malware envelhece rápido, porque os grupos trocam de código com frequência. A classificação por modelo de extorsão é a que muda o seu plano de resposta.
Crypto ransomware. Cifra arquivos e mantém a máquina funcionando. É a forma mais comum em ambiente corporativo, e a que trava sistema de produção inteiro em uma madrugada.
Locker ransomware. Bloqueia a tela ou o dispositivo sem cifrar arquivo por arquivo. Aparece mais em desktop e em celular do que em servidor.
Dupla extorsão. Exfiltração antes da cifragem, com prazo para publicação em site de vazamento. Virou o padrão dos grupos maiores.
Extorsão sem cifragem. O grupo rouba os dados e nem se dá o trabalho de cifrar. As campanhas do Cl0p contra ferramentas de transferência de arquivo seguiram esse caminho, com centenas de vítimas a partir de uma única falha em produto de borda.
Ransomware como serviço (RaaS). O operador desenvolve o código e a infraestrutura de negociação, e afiliados executam o ataque em troca de percentual do resgate. É o motivo de a mesma família aparecer em vítimas que não têm nada em comum.
Wiper disfarçado. Se apresenta como ransomware e destrói os dados sem chave de recuperação nenhuma. O NotPetya, em 2017, foi o caso mais caro dessa categoria.
Como funciona um ataque de ransomware, etapa por etapa
Existe uma versão folclórica do ransomware, com o funcionário abrindo um anexo e a tela ficando vermelha no segundo seguinte. A realidade tem mais etapas e costuma levar dias.
- Acesso inicial. Vem, na maioria dos casos, de três origens: uma credencial válida comprada ou vazada, um serviço exposto na internet com falha conhecida, ou um phishing bem construído. O DBIR 2025 aponta credenciais roubadas em 22% dos casos e phishing em 16%.
- Persistência. Depois de entrar, o operador não cifra nada. Ele garante que consegue voltar, criando contas, agendando tarefas e instalando ferramentas de acesso remoto legítimas que passam despercebidas pelo antivírus.
- Escalada e movimentação lateral. Busca privilégio administrativo e começa a andar pela rede, mapeando controladores de domínio, servidores de arquivo e o console de backup.
- Sabotagem do backup. Um operador experiente apaga ou corrompe as cópias antes de qualquer outra coisa, porque backup íntegro derruba o preço do resgate.
- Exfiltração. Pode durar dias e passar por serviços de nuvem comuns para não chamar atenção no tráfego de saída.
- Cifragem. O último passo, normalmente disparado em uma madrugada de sexta para sábado, quando o time de resposta está reduzido.
Quando a tela aparece, o adversário já está no ambiente há bastante tempo e já levou o que queria. Cada etapa dessa cadeia é uma oportunidade de detecção que a organização teve e não usou. Mas a etapa mais barata de bloquear continua sendo a primeira.
Por que a fila de correção por severidade não protege
Toda equipe de segurança convive com o mesmo problema aritmético. O scanner devolve milhares de vulnerabilidades. A capacidade de correção do time comporta algumas dezenas por sprint. Alguém precisa escolher.
A escolha quase sempre é feita por CVSS, o que parece razoável e não é. O CVSS mede o dano potencial de uma falha em condições ideais para o atacante. Ele não diz nada sobre a probabilidade de alguém tentar. Existem CVEs 9.8 publicados há três anos sem um único exploit conhecido, e existem falhas de nota média sendo usadas em campanha ativa de ransomware neste momento.
O resultado é uma fila que consome a capacidade do time em itens graves no papel enquanto deixa passar o item que o adversário vai usar na semana que vem. É por isso que o percentual de dispositivos de borda corrigidos no DBIR é tão baixo. O time não é relapso. A fila que ele recebeu está na ordem errada.
Três sinais melhoram muito essa ordenação, e nenhum deles é o CVSS:
- A vulnerabilidade está no catálogo CISA KEV, o que significa exploração confirmada no mundo real.
- Existe exploit público e funcional, o que reduz o custo de uso a quase zero.
- O EPSS estima probabilidade alta de exploração nos próximos 30 dias.
Quem cruza os três já opera muito melhor do que a média. Ainda falta uma coisa, e é a que mais importa. Saber o que está sendo atacado agora, não o que foi atacado em algum momento do passado.
Ameaça emergente: ver a exploração enquanto ela acontece
A CSURFACE opera uma malha de sensores que se apresenta na internet como infraestrutura vulnerável e registra o que é tentado contra ela. Quando um grupo começa a varrer a internet em busca de uma falha específica, essa varredura chega nos sensores antes de virar incidente em cliente. É assim que sabemos quais CVEs estão sob ataque em curso, com que intensidade e desde quando.
Esse dado está aberto em threatsensor.csurface.io, de uso gratuito. Qualquer pessoa pode consultar o que está sendo explorado no momento, sem contrato e sem cadastro comercial. Achamos que a informação bruta de ameaça emergente deve circular, inclusive para quem não é nosso cliente.
O que o dado aberto não faz é responder à única pergunta que interessa ao seu time: isso me atinge?
É aí que entra a qualificação, e é o trabalho que a plataforma faz. Saber que uma CVE está sob ataque tem valor limitado se você não sabe se aquele produto existe no seu ambiente, em que versão, exposto a quem, em qual unidade de negócio e sustentando qual processo. A descoberta contínua levanta o que sua organização de fato expõe na internet, incluindo o que ninguém cadastrou. A priorização cruza esse inventário com o sinal de exploração observada e devolve uma fila curta, específica da sua superfície, em que o primeiro item é o que um grupo de ransomware conseguiria usar contra você ainda esta semana.
A diferença entre as duas coisas aparece no número. Das milhares de vulnerabilidades divulgadas em um ano, poucas centenas reúnem KEV, exploit público e EPSS alto ao mesmo tempo. Dentro desse núcleo, uma fração menor está sob ataque observado. E dessa fração, o que existe no seu ambiente costuma caber em uma página. Sair de milhares de itens para uma página é o que torna a correção possível dentro da capacidade real do time. O detalhamento do método está em Exploit & Threat Intelligence.
Como evitar um ataque de ransomware: dez medidas
Nenhuma delas é novidade. A ordem é que importa, porque reflete por onde os ataques entram nas empresas.
- Mantenha o inventário do que você expõe atualizado sozinho. Nenhuma das nove medidas abaixo alcança o ativo que ninguém sabe que existe, e planilha revisada por trimestre não acompanha um ambiente que muda toda semana. A gestão da superfície de ataque descobre em escala cada domínio, subdomínio, IP, porta e serviço novo, atribui cada um à unidade de negócio que o detém e avisa quando algo aparece, sem agente e sem depender de alguém lembrar de cadastrar.
- Corrija primeiro o que está exposto na internet e sob exploração ativa. Serviços de acesso remoto, VPNs, firewalls, appliances de borda e portais de autenticação, nessa ordem, antes de qualquer item interno de severidade alta.
- Exija MFA resistente a phishing em todo acesso remoto, VPN e painel administrativo. Credencial válida é o vetor inicial mais comum, e senha sozinha não sustenta mais nada.
- Monitore vazamento de credenciais corporativas. Boa parte dos acessos iniciais é comprada pronta de intermediários. Detectar a credencial exposta antes do uso interrompe a cadeia no começo, que é o que faz o monitoramento de credenciais resolver.
- Proteja o backup como se ele fosse o alvo principal, porque é. Cópia imutável, fora do domínio, com credencial separada, e teste de restauração com prazo medido. Backup que nunca foi restaurado ainda é hipótese.
- Segmente a rede de forma que um endpoint comprometido não alcance o controlador de domínio nem o console de backup. A movimentação lateral é a etapa em que o incidente pequeno vira desastre.
- Mantenha EDR em todos os endpoints e servidores, com alerta monitorado por alguém, e restrinja o que pode executar nos servidores. Ferramenta instalada sem plantão de resposta apenas produz registro do que aconteceu, e as ferramentas de acesso remoto legítimas usadas por operadores de ransomware passam pelo antivírus justamente por serem legítimas.
- Trate seus fornecedores como parte da sua superfície. O DBIR 2025 mostra participação de terceiros dobrando de 15% para 30% das violações. O acesso do parceiro é seu problema, e é isso que a gestão de risco da cadeia de fornecedores endereça.
- Tenha plano de resposta escrito e testado, com decisão sobre pagamento tomada antes do incidente, contato jurídico definido, obrigação de notificação à ANPD mapeada e comunicação preparada. Ninguém decide bem às três da manhã.
- Valide os controles em vez de confiar na configuração. A validação contínua confirma se a exposição é de fato explorável e se o controle que deveria bloquear o caminho bloqueia mesmo.
O primeiro item é pré-requisito dos outros nove: sem inventário você corrige o que conhece, e o adversário entra pelo que você não conhece. Feito isso, se a sua empresa só conseguir executar mais três neste trimestre, execute o segundo, o terceiro e o quinto. É a combinação que fecha as portas mais usadas e preserva a capacidade de recuperação.
Onde o CTEM entra
A Gartner organizou esse trabalho em cinco fases sob o nome de Continuous Threat Exposure Management: delimitação de escopo, descoberta, priorização, validação e mobilização. O ciclo interessa aqui porque ataca exatamente as duas falhas que descrevemos.
A descoberta resolve o inventário incompleto, que é o motivo de o ativo esquecido virar porta de entrada. A priorização resolve a fila errada, desde que seja alimentada por exploração real e não por severidade teórica. A validação confirma que a exposição é explorável de fato. A mobilização transforma tudo isso em ticket com dono e prazo, e é aí que a maioria dos programas trava.
Como isso se monta na prática está descrito em CTEM, e a cobertura de superfície externa em gestão da superfície de ataque.
Quanto custa um ataque de ransomware
Segundo o State of Ransomware 2025 da Sophos, que ouviu 3.400 líderes de TI e segurança em 17 países, o custo médio de recuperação ficou em US$ 1,53 milhão, sem contar o resgate. Perto da metade das organizações atingidas pagou. Metade das que pagaram não recuperou tudo.
Esses são números globais e servem como ordem de grandeza, não como estimativa do seu caso. O valor que interessa à sua diretoria é o seu. Quanto custaria a parada dos seus processos críticos, pelo tempo que a sua operação levaria para voltar. É esse cálculo que a quantificação de risco cibernético faz, e traduz exposição técnica em reais. Dá para começar pela calculadora de risco, que roda sem cadastro.
No Brasil, os casos que viraram notícia seguem o mesmo padrão. A JBS confirmou pagamento de US$ 11 milhões em 2021. O Ministério da Saúde teve sistemas de imunização paralisados no fim do mesmo ano. Em nenhum deles a discussão pública girou em torno de uma técnica sofisticada de invasão.
Perguntas frequentes
Qual é o principal objetivo de um ataque de ransomware?
Extorquir dinheiro. A cifragem e o roubo de dados são os meios de pressão, e o resgate é o fim. Por isso o operador ataca o backup antes de cifrar, e por isso copia os dados antes: cada camada de pressão aumenta o valor que ele consegue cobrar e reduz a sua margem de recusa.
Qual a diferença entre vírus e ransomware?
Vírus é o programa que se replica anexando código a outros arquivos, e a replicação é o comportamento que o define. Ransomware é definido pelo objetivo, extorquir por meio do sequestro de dados. Um ransomware pode se espalhar sozinho, como o WannaCry em 2017, mas a maioria hoje é instalada manualmente pelo operador depois que ele já está dentro da rede.
Qual a diferença entre phishing e ransomware?
Phishing é uma técnica de acesso, ransomware é o desfecho do ataque. O phishing serve para roubar a credencial ou entregar o primeiro programa na máquina da vítima, e o ransomware entra dias depois, quando o operador já mapeou a rede. Segundo o DBIR 2025, phishing aparece em 16% dos acessos iniciais, atrás de credenciais roubadas.
Pagar o resgate resolve?
Na metade dos casos, não resolve por completo. A pesquisa da Sophos mostra que parte relevante de quem pagou não recuperou todos os dados. O pagamento também não impede a publicação do que foi exfiltrado, já que a única garantia é a palavra do criminoso.
Backup não é suficiente?
Backup resolve a cifragem e não resolve a extorsão por vazamento. Ele continua sendo obrigatório, desde que seja imutável, fora do domínio e efetivamente testado, porque o console de backup está entre os primeiros alvos do operador.
Qual é o vetor de entrada mais comum?
Credencial válida e serviço exposto com falha conhecida, nessa ordem. Segundo o DBIR 2025, credenciais roubadas aparecem em 22% dos casos e exploração de vulnerabilidade em cerca de 20%, com crescimento forte em dispositivos de borda.
Quanto tempo o atacante fica na rede antes de cifrar?
Varia de horas a semanas. Campanhas oportunistas contra falha de borda podem cifrar em menos de um dia. Operações que priorizam exfiltração costumam levar dias, tempo em que a detecção ainda é possível.
Como remover um ransomware do ambiente?
Remover o binário é a parte fácil e a menos útil. O que precisa sair é o acesso do operador: contas criadas por ele, tarefas agendadas, ferramentas de acesso remoto instaladas e credenciais comprometidas de domínio. Reinstalar a máquina cifrada sem fechar o caminho de entrada devolve o ambiente ao mesmo grupo em poucas semanas.
Como saber se uma vulnerabilidade do meu ambiente está sob ataque?
Consulte threatsensor.csurface.io para o dado aberto de exploração em curso. Para cruzar esse sinal com o que a sua organização expõe e receber a fila já ordenada, é o que a plataforma faz em priorização.
Como proteger a empresa se o time de segurança é pequeno?
Concentre a capacidade que existe no que está exposto na internet e sob exploração confirmada, e automatize o resto do inventário. Um time de três pessoas que corrige as dez exposições certas por mês fica mais protegido que um time de dez corrigindo cem itens escolhidos por severidade.
Seguro cibernético substitui o programa de segurança?
Não. A apólice transfere parte da perda financeira e não reduz a probabilidade do incidente. Seguradoras têm exigido evidência de controles para subscrever e para pagar, o que está tratado em cyber insurance.
Por onde começar
Se você lê isso com uma fila de correção que não cabe na capacidade do seu time, o passo seguinte é reordenar a fila, não aumentá-la. Consulte o dado aberto de ameaça emergente em threatsensor.csurface.io e verifique quantos dos CVEs sob ataque hoje existem no seu perímetro.
Se quiser esse cruzamento feito sobre a sua superfície real, com atribuição de ativos e fila pronta para virar ticket, fale com a gente.