Quatro em cada cinco ataques de ransomware (sequestros digitais de dados) já começam com uma identidade comprometida, como um login ou uma senha roubada, segundo o sétimo relatório anual State of Ransomware, da empresa de cibersegurança Sophos.

A empresa aponta que 79% das invasões partem hoje de credenciais válidas obtidas por criminosos, uma virada no método dos ataques.

Pela primeira vez em quatro anos, as vulnerabilidades de software exploradas deixam de ser a causa raiz mais comum das invasões.

No lugar estão os e-mails maliciosos, responsáveis por 26% dos casos, e o phishing (as mensagens fraudulentas que enganam o usuário), com 24%.

A identidade vira a nova porta de entrada

A mudança mostra que os invasores passaram a enxergar a identidade como peça central para entregar o ransomware. Entre as organizações atingidas, dois terços (67%) confirmaram que o incidente foi também o ataque de identidade mais grave que já sofreram.

Um dado chama a atenção sobre os limites das defesas atuais. A autenticação multifator (MFA, na sigla em inglês), considerada uma das principais barreiras contra invasões, estava implementada, em alguma medida, em 97% dos incidentes em que credenciais comprometidas foram a causa principal.

Para a Sophos, isso mostra que a MFA, sozinha, não basta — e que falhas em sua cobertura ampliam a exposição.

O papel crescente da inteligência artificial

O relatório associa a evolução dos ataques ao uso incipiente de inteligência artificial (IA) pelos criminosos.

"À medida que observamos os criminosos de ransomware experimentarem o uso de inteligência artificial, essa tecnologia tem o potencial de acelerar sua capacidade de roubar ativos valiosos", afirma Ross McKerchar, diretor de segurança da informação (CISO) da Sophos.

Segundo o executivo, a disseminação de modelos abertos de IA sem mecanismos robustos de proteção tende a ampliar a vantagem dos invasores na identificação de falhas.

A recomendação é que as empresas não dependam apenas da correção de sistemas, mas reduzam sua superfície de exposição e reforcem a proteção dos dispositivos.

Quanto custa e como as empresas reagem

O impacto financeiro segue alto. O custo médio de recuperação após um ataque subiu e chegou a US$ 1,7 milhão por incidente. Entre os países analisados, o Reino Unido registrou a maior demanda mediana de resgate, com US$ 2,5 milhões.

Há, porém, sinais de que as organizações reagem melhor. Mais da metade (55%) consegue se recuperar de um ataque em até uma semana, e 16% retomam as operações em menos de um dia.

A demanda mediana de resgate caiu 65% nos últimos dois anos, e a proporção de empresas que pagaram para recuperar dados recuou para 48%, a segunda menor taxa já registrada.

Empresas menores são as mais vulneráveis

O tamanho da organização faz diferença na capacidade de defesa. Apenas 34% das pequenas empresas, com 100 a 250 funcionários, conseguiram interromper os ataques antes da fase de criptografia ou extorsão — índice bem inferior aos 46% das companhias com 3.001 a 5.000 funcionários.

No geral, 56% das organizações atingidas tiveram os dados criptografados, alta que reverteu uma tendência de queda de dois anos.

O levantamento foi conduzido pela consultoria Vanson Bourne, a pedido da Sophos, no primeiro trimestre de 2026, com 2.158 tomadores de decisão de TI e cibersegurança em 17 países, incluindo o Brasil.