O ransomware é malware que criptografa arquivos ou bloqueia sistemas e depois exige um pagamento para devolver o acesso. Quem o usa hoje quase sempre rouba os dados primeiro, então uma chave de descriptografia já não encerra o incidente.
Em fevereiro de 2024, o ataque à Change Healthcare custou ao UnitedHealth Group USD 3,1 bilhões só naquele ano e expôs dados de cerca de 190 milhões de pessoas. Os atacantes não quebraram nenhuma criptografia para entrar: usaram um portal Citrix sem autenticação multifator.
Esta página cobre o que é o ransomware, como um ataque moderno se desenrola, quais fraquezas de software abrem a porta e como encontrá-las e corrigi-las antes que outra pessoa as encontre.
O que é ransomware?
O ransomware é uma família de malware feita para a extorsão. Torna os dados de uma organização inutilizáveis e depois revende a ela a capacidade de usá-los. A criptografia é a parte visível; também é a última.
A categoria se divide em duas. O cryptor ransomware criptografa arquivos e deixa o sistema funcionando, de modo que a vítima consegue ler a nota de resgate, mas não seus documentos. O locker ransomware bloqueia o dispositivo sem tocar nos arquivos. Os cryptors dominam os incidentes corporativos porque escalam: um único payload pode alcançar milhares de hosts a partir de um só console de administração.
O que mudou é o negócio em volta. O trojan PC Cyborg de 1989 bloqueava uma única máquina e pedia ao usuário que renovasse uma licença por USD 189. Um incidente de ransomware em 2026 envolve pelo menos três partes que nunca se encontram, e o payload é a parte mais barata da operação.
O Data Breach Investigations Report 2025 da Verizon encontrou ransomware em 44 % das violações que analisou, contra 32 % no ano anterior. No mesmo conjunto de dados, 64 % das organizações vítimas não pagaram, e o resgate mediano pago caiu para USD 115.000.
Como funciona um ataque de ransomware?
Uma operação de ransomware é uma cadeia, e a criptografia fica no fim dela. Antes que um único arquivo seja bloqueado, o atacante precisa entrar, se mover, achar o que importa e copiar. Cada passo é uma chance de detê-lo enquanto ainda sai barato.
Etapa | O que acontece |
|---|---|
Acesso | Um corretor de acesso ou um afiliado entra com uma credencial roubada, uma isca de phishing ou um serviço exposto à Internet sem correção |
Escalonamento | O invasor eleva privilégios e desativa registros, backups e defesas de endpoint |
Movimento lateral | Mapeia a rede e alcança controladores de domínio, compartilhamentos de arquivos e servidores de backup |
Exfiltração de dados | Os dados sensíveis são copiados para fora, muitas vezes ao longo de dias ou semanas, de modo que a ameaça de vazamento sobrevive a qualquer restauração |
Criptografia | O payload roda no maior número possível de hosts, em geral fora do horário comercial |
Extorsão | A vítima recebe um prazo, um endereço de pagamento e uma contagem regressiva em um leak site |
Na Change Healthcare os atacantes passaram nove dias se movendo lateralmente antes de implantar qualquer coisa, segundo a nossa revisão dos dez maiores incidentes de ransomware. Nove dias de oportunidade, mas só para um defensor cujo primeiro passo não fosse trivialmente fácil.
Extorsão simples, dupla e tripla
Os atacantes modernos acumulam pressão em vez de contar apenas com a criptografia. Cada camada responde a um motivo para recusar o pagamento.
Nível | Técnica | Por que pressiona a vítima |
|---|---|---|
Simples | Criptografar os dados e vender a chave | A operação para até os sistemas serem restaurados |
Dupla | Exfiltração de dados primeiro, depois ameaça de publicá-los | Backups limpos já não eliminam o risco; começam a notificação de violação e a exposição regulatória |
Tripla | Somar ataques DDoS e contato direto com clientes ou reguladores | O dano reputacional se espalha para além do controle da vítima |
A dupla extorsão é hoje o padrão, e muda o que significa “recuperar-se”. Uma organização que restaura do backup em seis horas resolveu a disponibilidade e nada mais: os dados roubados continuam fora. Na Change Healthcare, depois que o primeiro grupo recebeu, um segundo extorquiu a vítima de novo com os mesmos arquivos.
Como a extorsão escalou: da criptografia aos vazamentos e à pressão externa. Elaboração própria.
Ransomware como serviço
O ransomware como serviço (RaaS) é um modelo de aluguel: um grupo escreve e mantém o malware, outro entra e executa o ataque, e eles dividem os ganhos. É por isso que ataques de aparência sofisticada costumam ser conduzidos por operadores de habilidade modesta.
Papel | O que contribui |
|---|---|
Desenvolvedor | Constrói o payload, o leak site e a infraestrutura de pagamento; fica com uma parte |
Corretor de acesso | Vende acesso funcional a um alvo, quase sempre uma credencial ou um serviço explorado |
Afiliado | Compra o acesso, se move lateralmente, exfiltra dados e dispara o payload |
Quem faz o quê no modelo de ransomware como serviço. Elaboração própria.
O alerta #StopRansomware da CISA sobre o Medusa diz que os desenvolvedores recrutam corretores de acesso em fóruns criminosos, e que esses corretores entram por phishing e pela exploração de vulnerabilidades de software sem correção. A divisão de trabalho importa para quem defende: o trabalho do corretor é a única parte que toca seus sistemas antes de o dano começar.
Ransomware na Fluid Attacks
Não respondemos a incidentes de ransomware. Trabalhamos um passo antes, sobre as fraquezas de software que dão a um corretor de acesso algo para vender: uma afirmação mais estreita do que a da maioria dos fornecedores, e a parte que conseguimos sustentar com dados.
O que avaliamos e sob quais regras
Avaliamos código-fonte, aplicações em execução e infraestrutura de organizações que desenvolvem o próprio software, sob um escopo definido pelo cliente e com autorização por escrito. Nossos pentesters trabalham como um afiliado trabalharia — encadeando achados, escalando privilégios, alcançando dados — e param antes do impacto. Os dados abaixo vêm do nosso Relatório de ataques 2026, que cobre 1.119.396 vulnerabilidades reportadas em sistemas de clientes entre janeiro e dezembro de 2025.
Como isso aparece na prática
Cada teste corresponde a um elo da cadeia acima.
Teste | Elo da cadeia de ransomware que atende | Evidência produzida |
|---|---|---|
Injeção de comandos e outras falhas que dão execução de código em um servidor | Linha vulnerável, arquivo e correção | |
Componentes de terceiros vulneráveis, a rota de cadeia de suprimentos tipo Kaseya | Dependência afetada, versão e se a função vulnerável é alcançável | |
Serviços expostos, autenticação fraca em aplicações acessíveis pela Internet | Requisição e resposta reproduzíveis | |
Testes de penetração manuais sobre caminhos encadeados de um achado de baixa severidade até o acesso privilegiado | Caminho de exploração funcional com evidência |
Três entradas do nosso catálogo de fraquezas correspondem a como os operadores de ransomware entram e escalam: execução remota de comandos, em que um sistema constrói comandos do sistema operacional com entradas manipuláveis de fora; ausência de autenticação multifator em serviços críticos, exatamente o que falhou na Change Healthcare; e informação sensível no código-fonte, em que usuários, senhas e endereços IP esperam em um repositório que alguém os leia.
O que os nossos próprios dados dizem sobre a lacuna
Três números do Relatório de ataques 2026 descrevem o problema e uma saída.
70 % dos sistemas que avaliamos em 2025 tinham pelo menos uma vulnerabilidade de severidade alta ou crítica, contra 53,3 % em 2024. Em todas as severidades, 62,2 % das vulnerabilidades reportadas foram remediadas.
A lacuna se abre em torno da automação no pipeline. Os sistemas com o nosso CI Gate chegaram a uma taxa de remediação de 72,2 % no fim do ano; os que não o usaram, a 58 %. Os clientes que configuraram a própria política de priorização remediaram 64,4 % dos achados, contra 34 % dos que mantiveram a configuração padrão.
O que a automação não encontra, inclusive a nossa
A varredura automatizada sozinha não resolve isso. No benchmark da Fluid Attacks de 36 ferramentas AppSec de terceiros contra uma aplicação web semeada com 1.201 vulnerabilidades em 105 categorias CWE, o scanner de melhor desempenho foi o nosso, e ele encontrou 22,7 % delas: apenas 8,8 % da exposição ao risco total da aplicação em CVSSF. Um pentester no mesmo alvo chegou a 89,6 % de recall com 100 % de precisão.
Vale dizer esse limite sem rodeios, porque ele vai contra o nosso próprio produto. É também o motivo pelo qual 87 % das vulnerabilidades de severidade crítica dos nossos dados de 2025 foram identificadas por revisão manual, e pelo qual vendemos a combinação e não o scanner.
Cabe aqui um segundo limite: os testes de segurança de aplicações reduzem as vias de entrada, mas não são um controle de ransomware por si só. Os backups offline, a detecção em endpoints e um modelo de segurança zero trust que bloqueie o movimento lateral fazem um trabalho que nenhuma revisão de código substitui.
A prática que decide o resto
Encontrar uma vulnerabilidade e corrigi-la são eventos diferentes, assim como corrigi-la e tê-la corrigido. Nossa documentação diz isso sem rodeios: uma correção pode adicionar novas vulnerabilidades, ou pode não corrigir a original. É para isso que existem os reattacks. Nossas ferramentas e pentesters testam de novo após cada tentativa de remediação e marcam o achado como Verified (safe) ou Verified (vulnerable), com a evidência de exploração anexada quando ele sobrevive. Uma correção não verificada é uma hipótese.
Mais a fundo: como prevenir ataques de ransomware.
Como os ataques de ransomware exploram vulnerabilidades de software
A exploração de vulnerabilidades é hoje uma das principais vias de entrada dos operadores de ransomware, e a que mais cresce. O DBIR 2025 da Verizon a colocou em 20 % das violações como vetor de acesso inicial, uma alta de 34 % em relação à edição anterior, com os dispositivos de borda e as VPNs passando de 3 % para 22 % dos alvos.
Os alertas da CISA nomeiam as falhas específicas. O alerta #StopRansomware sobre o grupo Play documenta a entrada por aplicações expostas ao público, especificamente vulnerabilidades conhecidas do FortiOS (CVE-2018-13379 e CVE-2020-12812) e do Microsoft Exchange ProxyNotShell (CVE-2022-41040 e CVE-2022-41082). Nenhuma delas era desconhecida quando foi usada.
Dois padrões se repetem nos incidentes de ransomware:
Serviços expostos à Internet sem correção: os gateways VPN, o software de transferência de arquivos e os servidores de e-mail são varridos em escala de Internet poucos dias após uma divulgação. O WannaCry se espalhou em 2017 por uma falha que a Microsoft havia corrigido meses antes.
Componentes de terceiros: em 2021 a campanha de ransomware da Kaseya usou falhas de dia zero no software VSA on-premises para alcançar de uma só vez os clientes de provedores de serviços gerenciados. Uma dependência vulnerável dentro da sua própria compilação é o mesmo problema com o seu nome, e o software composition analysis é o que a revela.
A conexão com a segurança de aplicações é direta. Uma falha de execução remota de comandos no seu próprio código dá a um afiliado de ransomware o mesmo apoio que um appliance sem correção, e nunca vai aparecer no boletim de correções de nenhum fornecedor, porque ninguém fora da sua organização sabe que ela existe.
Como priorizar as vulnerabilidades que os grupos de ransomware exploram
A severidade sozinha é um filtro ruim para o risco de ransomware. Uma pontuação CVSS crítica diz quão grave seria a exploração, não se alguém está explorando aquilo nem se a sua aplicação alcança o código vulnerável.
Nossa análise da severidade de vulnerabilidades defende dois sinais a mais. O Exploit Prediction Scoring System produz uma probabilidade entre 0 e 1, e a maioria das vulnerabilidades — inclusive muitas com pontuações CVSS altas — recebe valores muito baixos. O catálogo de vulnerabilidades exploradas conhecidas da CISA responde à pergunta mais direta, a que mais importa para o ransomware: isso já foi usado contra alguém?
Nossa plataforma combina as duas em vez de escolher. O valor de Priority é um percentil que integra o CVSS com a inclusão no KEV da CISA, o EPSS, a transitividade de dependências, o tempo estimado de correção e a alcançabilidade; a exposição ao risco é medida em CVSSF, a soma de tudo o que continua sem remediação.
A plataforma ordena os achados por Priority, que integra o CVSS com KEV, EPSS e alcançabilidade.
A alcançabilidade merece uma nota à parte para o código de terceiros. Nossas análises verificam se o seu software realmente chama a função vulnerável de uma dependência, o que separa os alertas que descrevem o seu risco dos que só descrevem o da biblioteca.
É isso que transforma uma lista de achados em uma gestão de vulnerabilidades que reduz a exposição ao ransomware em vez de gerar chamados.
Ataques de ransomware famosos
Cinco incidentes explicam quase tudo o que mudou entre 1989 e hoje, e a nossa revisão dos maiores incidentes de ransomware documenta cada um em detalhe.
Ataque | Ano | Ponto de entrada ou método | O que demonstrou |
|---|---|---|---|
WannaCry | 2017 | Falha de SMB corrigida meses antes | O atraso na correção é um vetor de ransomware |
NotPetya | 2017 | Exploração de dispositivos sem correção, propagação por redes | Os dados ficaram criptografados de forma irreversível; pagar não recuperou nada |
Colonial Pipeline | 2021 | Senha exposta de uma conta VPN | ~USD 4,4 milhões pagos; fornecimento de combustível interrompido na costa leste dos EUA |
Kaseya | 2021 | Dias zero no software VSA on-premises | A falha de um único fornecedor alcançou centenas de clientes a jusante |
Change Healthcare | 2024 | Portal Citrix sem MFA | USD 3,1 bilhões de custo, ~190 milhões de pessoas afetadas, duas tentativas de extorsão |
O incidente do LockerGoga contra a Norsk Hydro em 2019 fica ao lado destes pelo motivo oposto: a companhia disse que não pagaria nenhum resgate, operou suas plantas manualmente e publicou o que aconteceu. Estimou o custo entre USD 45,6 e 51,3 milhões.
O que fazer depois de um ataque de ransomware
Isolar primeiro, depois identificar, depois reportar — e tratar os dados roubados como um incidente separado dos dados criptografados. Desconecte os sistemas afetados da rede e do armazenamento compartilhado antes de tudo, inclusive as unidades de backup ainda montadas.
Identifique a família de ransomware pela nota de resgate e pelas extensões de arquivo. Isso determina se a recuperação sem pagamento é possível.
Reporte. O FBI pede que as vítimas de ransomware reportem pelo IC3, e a CISA oferece assistência técnica.
Consulte o No More Ransom antes de considerar o pagamento. O projeto da Europol e da polícia holandesa hospeda descriptografadores gratuitos para muitas famílias de ransomware, e diz que as vítimas nunca deveriam pagar.
Restaure a partir de backups offline, ou apague e reconstrua. Verifique se os backups estão limpos antes de reconectá-los.
Assuma que os dados já saíram. Quando foram roubados primeiro, as obrigações de notificação não esperam por uma chave de descriptografia.
O FBI desaconselha pagar, e os dados sustentam essa posição: 64 % das vítimas do conjunto de dados da Verizon de 2025 não pagaram. O NotPetya é o argumento mais claro. Ele exibia uma nota de resgate, mas a criptografia era irreversível por projeto e nenhum pagamento recuperou nada.
Conclusões
O ransomware deixou de ser um problema de criptografia há anos. É um problema de acesso com um passo de criptografia no fim, conduzido por especialistas que compram a entrada com credenciais e software sem correção em vez de quebrar criptografia.
Esse reenquadramento coloca a prevenção de ransomware dentro de um trabalho que você já faz. Os serviços expostos à Internet sem correção, a MFA ausente, as dependências vulneráveis e as falhas de execução de comandos no seu próprio código são todos encontráveis e corrigíveis antes que um afiliado os encontre. As organizações que integram essas verificações ao pipeline corrigem mais: uma taxa de remediação de 72,2 % com o nosso CI Gate no pipeline, contra 58 % sem ele.
Perguntas frequentes
O ransomware ainda é só criptografia de arquivos?
Não. A dupla extorsão — roubar os dados antes de criptografá-los e depois ameaçar publicá-los — já é o padrão, e alguns grupos somam ataques DDoS e pressão direta sobre clientes e reguladores. Backups limpos resolvem a disponibilidade e deixam intacto o problema da divulgação.
Como os grupos de ransomware conseguem o acesso inicial?
Principalmente com credenciais roubadas ou fracas, phishing e a exploração de software exposto à Internet sem correção. O DBIR 2025 da Verizon colocou a exploração de vulnerabilidades em 20 % das violações como vetor de entrada, uma alta de 34 % ano a ano, com os dispositivos de borda e as VPNs subindo de 3 % para 22 % dos alvos explorados.
Pagar o resgate recupera os dados?
Não de forma confiável. 64 % das organizações vítimas do conjunto de dados da Verizon de 2025 não pagaram. O NotPetya exibia uma nota de resgate enquanto criptografava os dados de forma irreversível, então o pagamento não recuperou nada. Na Change Healthcare, um segundo grupo extorquiu a vítima de novo com os mesmos arquivos depois que o primeiro recebeu.
Quais vulnerabilidades corrigir primeiro para reduzir o risco de ransomware?
Comece por tudo o que estiver no catálogo de vulnerabilidades exploradas conhecidas da CISA em um sistema exposto à Internet, e depois pondere pela probabilidade do EPSS e por se a sua aplicação alcança o código vulnerável. A severidade CVSS sozinha seleciona demais: a maioria das vulnerabilidades com pontuação alta tem probabilidade de exploração muito baixa, então o orçamento de prevenção de ransomware é gasto nos achados errados.
A Fluid Attacks previne ataques de ransomware?
Não sozinha, e não afirmaríamos o contrário. Reduzimos as vias de entrada com testes contínuos e testes de penetração sobre as fraquezas que dão aos operadores de ransomware o primeiro ponto de apoio. No benchmark da Fluid Attacks de 36 ferramentas AppSec de terceiros contra uma aplicação com 1.201 vulnerabilidades, um pentester encontrou 89,6 % delas com 100 % de precisão, enquanto o melhor scanner automatizado — o nosso — chegou a 22,7 %. Essa diferença é o motivo pelo qual combinamos IA, scanners e pentesters.
Feche a porta antes da criptografia
Nossos scanners e pentesters encontram as fraquezas exploráveis que dão aos operadores de ransomware o primeiro ponto de apoio, e verificam se as correções realmente se sustentam. Teste gratuito · Fale conosco.
Comece a usar a solução de ASPM da Fluid Attacks agora mesmo
