As identidades comprometidas se consolidaram como o principal vetor de acesso inicial em ataques de ransomware. É o que mostra a sétima edição do relatório “State of Ransomware”, da Sophos, baseado em uma pesquisa com mais de 2,1 mil líderes de TI e cibersegurança de 17 países, incluindo o Brasil. Segundo o levantamento, 79% dos incidentes registrados tiveram início com o comprometimento de credenciais de acesso.

O estudo identifica uma mudança relevante na dinâmica das invasões. Pela primeira vez em quatro anos, a exploração de vulnerabilidades deixa de ocupar a primeira posição entre as causas iniciais dos ataques. Em seu lugar aparecem e-mails maliciosos, responsáveis por 26% das ocorrências, seguidos por campanhas de phishing, com 24%.

Embora tenham perdido protagonismo como ponto de entrada, as falhas de segurança continuam sendo altamente exploradas pelos criminosos. Entre os ataques iniciados por vulnerabilidades em firewalls, 59% dos pedidos de resgate superaram US$ 1 milhão, percentual superior aos 48% registrados na média geral dos ataques.

IA amplia a velocidade das ameaças

O avanço da inteligência artificial também modifica o cenário das ameaças digitais. Segundo a Sophos, criminosos já começam a utilizar IA para acelerar processos de invasão, localizar ativos de maior valor e ampliar a escala das operações de ransomware.

Ross McKerchar, Chief Information Security Officer (CISO) da Sophos, contou em nota que “à medida que observamos os criminosos de ransomware experimentarem o uso de inteligência artificial, essa tecnologia tem o potencial de acelerar sua capacidade de roubar ativos valiosos, mantê-los como reféns e realizar esses ataques em uma escala muito superior à que conseguiam anteriormente. Essa velocidade exige um monitoramento contínuo e criterioso dos principais vetores de invasão, que, segundo nossos dados, continuam sendo contas válidas roubadas ou comprometidas. Além disso, a evolução dos modelos abertos de IA, sem mecanismos robustos de proteção, tende a ampliar a vantagem dos invasores na identificação e exploração de vulnerabilidades de software. Os defensores não podem depender apenas da aplicação de correções para acompanhar esse ritmo; por isso, reduzir a superfície de exposição externa e manter uma proteção robusta nos endpoints é fundamental”.

Os resultados indicam ainda que 56% das empresas atingidas tiveram dados criptografados, interrompendo uma sequência de dois anos de redução desse indicador. Em 16% dos casos, além da criptografia, houve também o roubo das informações, reforçando a estratégia de dupla extorsão adotada por grupos criminosos.

Criptografia de dados continua elevada

O levantamento aponta que dois terços das organizações vítimas de ransomware afirmaram que o incidente também representou o maior ataque relacionado à identidade já enfrentado pela empresa. O dado reforça que o comprometimento de contas passou a desempenhar papel central nas campanhas de ransomware.

Quando os dados são criptografados, a probabilidade de pagamento do resgate permanece elevada. Entre as empresas que tiveram informações bloqueadas, 48% realizaram o pagamento aos criminosos. Considerando os últimos quatro anos, a média permanece em torno de 50%.

A pesquisa também revela diferenças conforme o porte das organizações, com apenas 34% das empresas com 100 a 250 funcionários conseguindo interromper os ataques antes da fase de criptografia ou extorsão. Nas organizações com 3.001 a 5.000 colaboradores, esse índice sobe para 46%.

Autenticação multifator isolada não impede ataques

Outro resultado chama atenção para as limitações da autenticação multifator (MFA). Em 97% dos ataques iniciados por credenciais comprometidas, esse mecanismo já estava implementado em algum nível. Para a Sophos, o dado demonstra que a proteção depende da cobertura adequada da autenticação, da gestão de identidades e de camadas adicionais de monitoramento e resposta.

O Reino Unido apresentou a maior demanda mediana de resgate entre todos os países analisados, alcançando US$ 2,5 milhões. Apesar disso, a pesquisa identifica avanços na recuperação operacional. Mais da metade das empresas (55%) consegue restabelecer suas operações em até uma semana após um ataque, enquanto 16% retomam as atividades em menos de um dia, reflexo dos investimentos em infraestrutura de backup.

Entre as empresas que optaram pelo pagamento, 51% conseguiram reduzir o valor inicialmente exigido. Além disso, a demanda mediana por resgate caiu 65% nos últimos dois anos, enquanto a taxa de pagamento recuou para 48%, a segunda menor já registrada pela pesquisa.

Custo de recuperação segue elevado

Mesmo com a redução dos valores pagos em resgates, o impacto financeiro dos ataques continua significativo. Segundo o estudo, o custo médio de recuperação após um incidente de ransomware atingiu US$ 1,7 milhão por organização, considerando despesas com resposta, restauração dos sistemas e interrupção das operações.

“As organizações fortaleceram sua resiliência contra ransomware ao longo do último ano, e esses investimentos têm gerado resultados positivos. No entanto, o ransomware continua custando milhões às empresas. À medida que a inteligência artificial se torna mais sofisticada, os invasores poderão identificar configurações inadequadas de identidade e pontos fracos nos ambientes corporativos de forma muito mais rápida e barata. As organizações não podem mais contar com a complexidade ou com a falta de visibilidade para esconder vulnerabilidades. Ao mesmo tempo, essa mesma tecnologia oferece aos defensores a oportunidade de localizar e corrigir essas falhas com mais agilidade, desde que prevenção, detecção e resposta atuem de forma integrada dentro de uma estratégia unificada de cibersegurança”, complementou McKerchar.

Com base nos resultados, a Sophos recomenda ampliar o investimento em segurança de identidade, adotar soluções de detecção e resposta a ameaças voltadas para identidades (ITDR), fortalecer a infraestrutura de backup, manter programas contínuos de gerenciamento de exposição e utilizar inteligência artificial para acelerar a identificação e a correção de vulnerabilidades. A empresa também orienta reduzir a superfície de ataque por meio da atualização constante dos firewalls e da integração desses equipamentos com plataformas de detecção e resposta, como XDR e MDR.