A Sophos anunciou a sétima edição anual do seu relatório State of Ransomware que revela que com quatro em cada cinco ataques de ransomware (79%) a começaram através de identidades comprometidas.
O estudo agnóstico quanto a fornecedores realizado a responsáveis de TI e cibersegurança em 17 países mostra ainda que, pela primeira vez em quatro anos, as vulnerabilidades exploradas deixaram de ser a causa de origem mais comum, com os emails maliciosos (26%) e o phishing (24%) a ocuparem os primeiros lugares.
No entanto, as vulnerabilidades exploradas continuam a ser um alvo de elevado valor: 59% dos pedidos de resgate resultantes de ataques que começam com a exploração de uma vulnerabilidade na firewall são de 1 milhão de dólares ou mais, em comparação com 48% no total de ataques.
O relatório concluiu ainda que em mais de metade dos ataques de ransomware (56%) os cibercriminosos conseguiram encriptar dados, incluindo 16% de casos em que os dados foram simultaneamente encriptados e roubados. Esta taxa de sucesso aumentou face aos 50% registados em 2025, mas permanece abaixo do máximo de 75% registado em 2023.
Quando os dados são encriptados, os atacantes têm uma probabilidade de 50% de receber um pagamento de resgate. Entre as organizações cujos dados foram encriptados, 48% pagaram o resgate, elevando a taxa média de pagamento dos últimos quatro anos para 50%.
Além disso, a autenticação multifactor (MFA) estava implementada, de alguma forma, em 97% dos incidentes em que credenciais comprometidas foram a causa de origem dos ataques de ransomware, «deixando claro que este método, por si só, não é suficiente para impedir o ransomware e que as lacunas de cobertura criam exposição», salienta a Sophos.
Por outro lado, O aumento do investimento em infraestruturas de backup terá provavelmente contribuído para uma recuperação mais rápida das organizações após um ataque de ransomware: mais de metade (55%) consegue recuperar no prazo de uma semana e 16% em menos de um dia.
«À medida que vemos os criminosos de ransomware a experimentar a IA, isto tem o potencial de acelerar a sua capacidade de roubar ativos valiosos, mantê-los como reféns e fazê-lo a uma escala superior à que anteriormente conseguiam atingir», explica Ross McKerchar, Chief Information Security Officer da Sophos.
«Esta rapidez exige uma monitorização cuidadosa e permanente dos meios de entrada mais explorados, que, segundo os nossos dados, são contas válidas roubadas e comprometidas. No entanto, a evolução dos modelos de IA de pesos abertos sem salvaguardas dará aos atacantes uma vantagem crescente na identificação e exploração de vulnerabilidades de software. As equipas de defesa não podem depender apenas da aplicação de patches para acompanhar este ritmo, pelo que reduzir a exposição externa e manter uma protecção de endpoints robusta é essencial».
