Ransomware em 2026: identidades comprometidas estão por trás de 79% dos ataques
O ransomware está mudando de estratégia. Vulnerabilidades de software, servidores expostos e configurações inadequadas continuam sendo riscos relevantes, mas deixaram de concentrar sozinhos a atenção dos criminosos. Cada vez mais, os grupos especializados nesse tipo de extorsão preferem utilizar identidades legítimas, credenciais roubadas e acessos já autorizados para entrar nas redes corporativas.
O relatório *State of Ransomware 2026*, da Sophos, indica que 79% dos ataques analisados começaram com algum tipo de abordagem relacionada à identidade. Isso significa que, em muitos casos, o invasor não precisou explorar uma falha técnica complexa. Bastou obter, comprar ou abusar de uma conta válida para iniciar a operação.
A estatística não deve ser interpretada como se todos os incidentes tivessem começado exclusivamente com uma senha vazada. O conceito de ataque baseado em identidade inclui diferentes métodos de uso indevido de contas, sessões, privilégios e mecanismos de autenticação. A lógica central, porém, é a mesma: o criminoso consegue se comportar como um usuário legítimo, dificultando a detecção inicial.
Credenciais roubadas viraram um ativo criminoso
Senhas corporativas, tokens de sessão, cookies de autenticação e contas com privilégios são negociados em mercados clandestinos. Grupos conhecidos como *Initial Access Brokers* atuam justamente na obtenção e revenda desses acessos para operadores de ransomware e outros criminosos.
Esse modelo reduz o tempo necessário para iniciar um ataque. Em vez de procurar uma vulnerabilidade, desenvolver uma exploração e enfrentar controles de perímetro, o invasor pode adquirir uma conta funcional e começar a movimentação dentro do ambiente.
E-mails maliciosos estiveram presentes em 26% dos incidentes observados pela Sophos, enquanto o phishing apareceu em 24%. Esses números reforçam a importância de campanhas de engenharia social, páginas falsas de login e mensagens direcionadas a funcionários, fornecedores e administradores.
Uma conta comprometida também pode permitir acesso a VPNs, sistemas de acesso remoto, plataformas em nuvem, ferramentas de colaboração e aplicações internas. Quando a autenticação ocorre a partir de um canal aparentemente legítimo, os alertas tradicionais podem não ser acionados.
Vulnerabilidades continuam importantes, mas não são suficientes
A exploração de vulnerabilidades conhecidas caiu de 32% em 2025 para 18% em 2026, segundo o levantamento. A redução não significa que a correção de falhas tenha perdido importância. Sistemas sem atualização continuam oferecendo caminhos rápidos para invasão, especialmente quando estão expostos à internet.
O dado demonstra, na verdade, que o gerenciamento de vulnerabilidades não pode ser tratado como a única frente de defesa. Uma empresa pode manter seus servidores atualizados e ainda assim sofrer um ataque grave se uma conta privilegiada for comprometida.
A superfície de proteção precisa abranger toda a cadeia de acesso:
Identidade → autenticação → privilégios → sessões → dispositivos → aplicações → dados.
Essa visão amplia o foco da segurança. Não basta perguntar se um sistema possui uma vulnerabilidade. Também é necessário verificar quem pode acessá-lo, de onde, em qual dispositivo, por quanto tempo e com quais permissões.
MFA é indispensável, mas não resolve todos os problemas
A autenticação multifator continua sendo uma das medidas mais importantes contra o roubo de senhas. Ela dificulta o uso de credenciais obtidas por phishing ou vazamentos, principalmente quando utiliza chaves físicas, aplicativos autenticadores ou métodos resistentes a ataques de interceptação.
Entretanto, o MFA não é uma proteção absoluta. Os criminosos podem tentar induzir o usuário a aprovar solicitações repetidas, aplicar técnicas de *MFA fatigue*, roubar tokens de sessão ou explorar fluxos de recuperação de conta. Também podem atacar ambientes que possuem exceções, contas antigas ou aplicações que não exigem o segundo fator.
Por isso, a estratégia moderna deve evoluir de “senha mais MFA” para um programa completo de Identity Security. Essa abordagem combina autenticação forte, análise de comportamento, controle de privilégios, governança de contas e monitoramento contínuo das sessões.
PAM ganha importância no combate ao ransomware
O gerenciamento de acesso privilegiado, conhecido como PAM, ocupa uma posição estratégica nesse cenário. Contas administrativas normalmente oferecem capacidade para desativar ferramentas de segurança, acessar servidores, alterar configurações e criptografar grandes volumes de dados.
Entre as práticas recomendadas estão:
– eliminar privilégios permanentes sempre que possível;
– adotar acesso just-in-time;
– limitar permissões ao mínimo necessário;
– registrar e revisar sessões administrativas;
– separar contas de uso diário das contas privilegiadas;
– exigir aprovação para operações de alto risco;
– impedir o compartilhamento de credenciais administrativas.
A redução de privilégios também limita a movimentação lateral. Mesmo que um atacante consiga entrar por uma conta comum, ele encontrará mais dificuldades para alcançar controladores de domínio, sistemas de backup, bancos de dados e servidores críticos.
A janela de reação está cada vez menor
Os grupos de ransomware automatizaram várias etapas do ataque. Depois de obter o acesso inicial, o criminoso pode realizar reconhecimento, localizar ativos importantes, coletar informações e preparar a criptografia em poucas horas.
Essa velocidade transforma a detecção em um fator decisivo. Alertas analisados apenas no dia seguinte podem chegar tarde demais. Organizações precisam correlacionar eventos de login, localização, horário, dispositivo, aplicação utilizada e padrão de comportamento.
Um acesso legítimo realizado de um país incomum, seguido por consultas massivas a arquivos e tentativas de elevar privilégios, deve ser investigado imediatamente. A combinação de análise de identidade, detecção e resposta a ameaças e monitoramento de endpoints aumenta a capacidade de interromper o ataque antes da criptografia.
Ransomware também mira a recuperação
Os criminosos não se limitam a bloquear arquivos. Operações modernas procuram destruir ou comprometer backups, desativar ferramentas de recuperação e obter dados para pressionar a vítima com dupla extorsão.
Por isso, os backups precisam ser protegidos como ativos críticos. É recomendável manter cópias offline ou imutáveis, utilizar contas administrativas separadas, aplicar MFA aos consoles de backup e testar periodicamente a restauração.
Um backup que nunca foi restaurado em um exercício real não pode ser considerado plenamente confiável. Os testes devem verificar não apenas a existência dos arquivos, mas também o tempo necessário para recuperar serviços essenciais e a integridade das informações.
O impacto financeiro e operacional permanece elevado
Mesmo quando a empresa consegue recuperar os dados, o prejuízo pode envolver paralisação de operações, perda de produtividade, custos jurídicos, comunicação de incidentes, investigação forense e danos à reputação.
A interrupção de um sistema de faturamento, atendimento, logística ou produção pode gerar perdas superiores ao custo imediato de recuperação. Além disso, dados roubados podem ser utilizados posteriormente em novos golpes, extorsões ou ataques direcionados a clientes e parceiros.
A resposta, portanto, precisa envolver tecnologia, processos e pessoas. Planos de continuidade de negócios devem definir responsabilidades, canais de comunicação, critérios para isolamento de sistemas e procedimentos para contato com autoridades e especialistas.
O que as organizações devem priorizar
As empresas podem começar por uma avaliação completa das identidades existentes. Contas inativas, usuários terceirizados, acessos excessivos e permissões acumuladas representam riscos frequentemente ignorados.
Também é importante:
1. aplicar MFA resistente a phishing em contas críticas;
2. revisar acessos de funcionários, fornecedores e prestadores;
3. adotar PAM para administradores e sistemas sensíveis;
4. monitorar comportamentos anômalos de autenticação;
5. bloquear protocolos legados e métodos inseguros de login;
6. segmentar redes e restringir a movimentação lateral;
7. proteger backups com isolamento e imutabilidade;
8. treinar funcionários para reconhecer tentativas de phishing;
9. testar planos de resposta e restauração;
10. integrar equipes de segurança, infraestrutura, identidade e continuidade.
A avaliação também deve considerar aplicações em nuvem e serviços terceirizados. A identidade de um fornecedor pode oferecer acesso indireto a ambientes internos, mesmo quando a rede corporativa está bem protegida.
Conclusão
O avanço dos ataques baseados em identidade mostra que o perímetro tradicional perdeu parte de sua relevância. A defesa contra ransomware precisa acompanhar o modo como as organizações trabalham: com serviços em nuvem, acesso remoto, dispositivos pessoais, fornecedores conectados e aplicações distribuídas.
O indicador de 79% apresentado pela Sophos reforça uma mudança de prioridade. Corrigir vulnerabilidades continua indispensável, mas não basta. A proteção deve controlar quem acessa cada recurso, em quais condições, com quais privilégios e durante quanto tempo.
Identidades fortes, autenticação resistente a phishing, privilégios mínimos, monitoramento contínuo e backups protegidos formam uma combinação mais adequada para reduzir o risco. No cenário de 2026, impedir que uma identidade comprometida se transforme em domínio total da rede é uma das tarefas centrais da segurança corporativa.