Um levantamento da Sophos mostra como o roubo ou abuso de identidades virou uma das principais portas de entrada para ataques de ransomware contra instituições de ensino. Segundo o estudo “State of Ransomware in Education 2026”, 85% dos incidentes analisados envolveram falhas como phishing, e-mails maliciosos, credenciais comprometidas ou ataques de força bruta.

O percentual ficou acima da média registrada entre todos os setores, de 79%. O problema aparece tanto na educação básica quanto no ensino superior e ajuda a explicar por que escolas e universidades continuam enfrentando dificuldades para conter e recuperar ataques de ransomware.

E-mail é principal porta de entrada

Entre os diferentes métodos usados pelos criminosos, os e-mails maliciosos foram o vetor mais comum. Eles estiveram associados a 31% dos ataques contra instituições de educação básica e a 29% dos casos no ensino superior.

O impacto também aparece quando as instituições avaliam os ataques de identidade mais relevantes que sofreram. Para 71% das organizações de educação básica, o incidente de ransomware foi o ataque desse tipo mais significativo. No ensino superior, a proporção chegou a 77%.

Para Ross McKerchar, diretor de segurança da informação da Sophos, a combinação entre grande volume de dados e restrições de recursos mantém o setor como um alvo interessante para criminosos. Em nota McKerchar apontou que “os invasores de hoje não precisam de um pé de cabra quando podem roubar as chaves. O comprometimento de identidades se tornou um dos caminhos mais eficazes para entrar em uma organização, e a IA está apenas aumentando a velocidade, a escala e a sofisticação desses ataques. As instituições mais resilientes são aquelas que colocam a proteção de identidades no centro de sua estratégia de segurança e a combinam com recursos integrados de detecção e resposta, capazes de interromper ameaças antes que elas se transformem em incidentes de grande escala”.

Recuperação pode levar meses

O problema não termina quando o ransomware é contido. As instituições de ensino também apresentam um tempo de recuperação superior ao observado em outros setores.

Ao todo, 26% das organizações educacionais precisaram de um a três meses para recuperar completamente suas operações. A proporção é quase duas vezes maior que a média de 14% registrada entre todos os setores.

Na educação básica, o cenário foi ainda mais difícil. Cerca de 31% das instituições levaram pelo menos um mês para voltar completamente à normalidade, maior índice entre os setores analisados.

Os custos também pesam: a recuperação de ataques de ransomware custou, em média, US$ 2,26 milhões para organizações de ensino. O valor supera os US$ 1,7 milhão registrados na média geral.

Criptografia de dados dispara

A criptografia dos dados também ganhou força nos ataques contra escolas. Na educação básica, o percentual de instituições que tiveram dados criptografados passou de 29% em 2025 para 61% em 2026. Considerando todo o setor educacional, 58% dos ataques resultaram na criptografia de dados. Para voltar a operar, 77% das organizações de educação básica e 69% das instituições de ensino superior recorreram a backups.

A dependência dos backups ficou acima da média geral, de 66%. O dado reforça a importância de manter cópias de segurança disponíveis e utilizáveis mesmo quando os sistemas principais são comprometidos.

As limitações internas aparecem entre os fatores que dificultam a resposta aos incidentes. No ensino superior, 53% das instituições disseram não contar com conhecimento ou habilidades suficientes para detectar e interromper ataques no tempo necessário. Entre todos os setores, o índice foi de 35%.

Na educação básica, os principais problemas citados foram erro humano, apontado por 52% das organizações, falta de proteção (47%), lacunas de segurança desconhecidas (42%) e capacidade limitada (41%). A pressão sobre as equipes também aumentou. No ensino superior, 53% dos profissionais relataram maior cobrança da alta liderança depois dos ataques, contra 40% na média dos setores.

Resgates continuam altos

Mesmo com a redução dos valores exigidos nos últimos anos, o ransomware ainda representa uma ameaça financeira relevante para escolas e universidades.

O resgate mediano solicitado às instituições de ensino chegou a US$ 775.200. O valor ficou acima dos US$ 698 mil registrados na média de todos os setores. Os pagamentos, por sua vez, aumentaram US$ 15 mil entre os levantamentos de 2025 e 2026. O estudo aponta ainda que os valores medianos exigidos no setor educacional caíram pelo segundo ano consecutivo.

Os efeitos do ransomware ultrapassam sistemas, dados e orçamento, pois as equipes responsáveis por TI e segurança também sofrem impactos após os incidentes. Cerca de 39% das organizações de ensino relataram afastamentos de funcionários relacionados a estresse ou problemas de saúde mental depois de um ataque. Na média geral dos setores, o percentual foi de 29%.

A troca de lideranças é outro ponto que foi frequente. Líderes foram substituídos em 29% das instituições de ensino superior e em 27% das organizações de educação básica. A média entre todos os setores ficou em 21%.

O levantamento da Sophos foi baseado em entrevistas com 226 líderes de TI e cibersegurança de organizações educacionais em 17 países. Todas as instituições participantes haviam sido afetadas por ransomware no período de 12 meses anterior à pesquisa. Os dados foram coletados entre janeiro e março de 2026.

O relatório completo (em inglês) está disponível neste link.