A Sophos divulgou nesta quarta-feira (15), a mais nova edição do reporte “State of Ransomware” da companhia, que detectou mudanças centrais no cenário de ataque desse malware: 79% dos ataques de ransomware monitorados nas mais de 2 mil empresas em 17 países teve como pontapé inicial algum tipo de comprometimento via identidades, reforçando a posição desses incidentes como força dominante no cibercrime global.
De acordo com o estudo, a grande transformação dos ataques de ransomware em 2025 envolveram a diminuição da dependência da exploração de vulnerabilidades como porta de entrada principal da ameaça. Esse método – o mais utilizado nos quatro anos anteriores – representa apenas 18% das ações iniciais de ransomware, sendo superdado por e-mails maliciosos (26%); phishing (24%) e credenciais comprometidas (23%).
A explicação para essa mudança está na busca por meios mais simples de invasão. Conforme explia a Especialista global em Ameaças da Sophos, Alexandra Rose, as atividades de ransomware contam mais com movimentação através de identidade, e-mail, endpoint e rede, coordenando diversas ações diferentes com ferramentas de Inteligência Artificial para condensar essas informações e operá-las de forma rápida.
“Os ataques não dependem mais de eventos isolados ou acessos de vulnerabilidade exposta, tornando desnecessário cavar fundo na sua infraestrutura quando há a possibilidade de comprometer as ‘chaves do castelo’ e logar com credenciais comprometidas via e-mail ou pishing. E vale dizer que, em um mundo de ampla aceleração da IA, essas credenciais nem precisam mais ser humanas”, explica Alexandra, durante coletiva de imprensa sobre o estudo.
A executiva também alerta que as proteções convencionais de Cibersegurança não estão equipados para responder a essa variação de ações. Isso porque cada um desses eventos menores, embora correlacionados, ainda são vistos como incidentes menores e separados entre si, com cada ferramenta isolada não sendo capaz de compreender a operação toda e, assim, considerando um aumento do risco daquela ameaça.
Isso é relatado, por exemplo, nas telemetrias de firewall: o estudo aponta que 61% das vítimas de ransomware receberam alerta dessa ferramenta antes que os payloads fossem detonados, porém, isso não impediu que metade dessas vítimas ainda assim tivessem parte de seus dados encriptados. Entre os 39% que os firewalls não detectaram a ação de ransomware, 71% tiveram os dados bloqueados pelo agente hostil.
“Isso apenas reforça o quanto é preciso que as diversas soluções de Segurança aplicadas nas empresas se conversem e consigam coordenar um monitoramento que olhe por toda a superfície de ataque. Quando o monitoramento de firewall, endpoint e e-mail conseguem atuar juntas, a estratégia de resposta se torna mais precisa, e tem condições de parar o ataque antes que algo seja encriptado”, disse Joe Levy, CEO da Sophos.
Todavia, existe ainda uma tendência a ser enfrentada pela indústria de Cyber e seus usuários. “A estimativa do Gartner é uma empresa média pode ter que gerenciar mais de 45 ferramentas diferentes de SI. Essa realidade gera um gasto de quase um quarto de trilhão de dólares, sem dar a eficiência que as empresas precisam para se protegerem. É preciso reorganizar toda essa estratégia e aplicar tecnologias que otimizem essas tarefas”, acrescenta.
Defesas conectadas
Diante desse contexto, o posicionamento da Sophos passou a ser de interconectar cada uma das camadas de Segurança que podem gerar acessos maliciosos às empresas, de modo a oferecer observabilidade holística e capacidade de resposta mais apurada para os times de Cyber. Esse projeto visa, essencialmente, mitigar a ação de um malware que continua gerando prejuízos, mas que pode ser enfrentado de uma posição mais sólida.
Para Alexandra, essa realidade também se esboça nos números do “State of Ransomware”, pois estratégias que contem com defesas conectadas puxaram uma redução de 65% das demandas de resgate de ransomware nos últimos dois anos. Da mesma forma, os pagamentos efetivos desses resgates também caíram 62% nesse mesmo período.
“Não há dúvidas que os ataques se tornaram mais rápidos mesmo com o cruzamento de mais partes do ambiente ao mesmo tempo. Essa operacionalização do cibercrime acaba favorecido pela fragmentação das infraestruturas de proteção. Portanto, é essencial que olhemos cada vez mais para toda a superfície e responda como uma única estrutura coesa. Nesse aspecto, recursos que tenham a IA como parte da estrutura serão mais recomendadas”, encerra.
