Toda empresa de TI enxuta já ouviu a mesma recomendação: treine o time contra phishing, filtre o e-mail, feche a porta. E ela ainda vale — mas o relatório mais recente da Sophos sobre ransomware no Brasil aponta para um problema que fica escondido atrás dessa recomendação óbvia.

A Sophos entrevistou 71 líderes de TI e segurança no Brasil que sofreram ransomware nos últimos 12 meses, parte de uma pesquisa global com 2.158 organizações, realizada entre janeiro e março de 2026. O retrato que emerge não é de empresas negligentes — é de empresas que fizeram o básico e, ainda assim, foram atingidas.

A porta de entrada continua sendo o e-mail — mas a causa raiz é outra

O e-mail malicioso segue como a causa técnica primária mais comum no Brasil, presente em 37% dos ataques — a maior proporção entre todos os países cobertos pela pesquisa. Depois vêm vulnerabilidades exploradas (24%, caindo dos 44% do ano passado) e phishing (18%).

Mas existe um dado novo nesta edição que muda a leitura desses números: 74% das organizações brasileiras confirmam que o incidente de ransomware que sofreram foi o mesmo evento que o ataque de identidade mais grave que já enfrentaram. Ou seja: o e-mail é a porta, mas quem realmente entra usa uma identidade comprometida — uma senha vazada, um MFA mal configurado, uma credencial de serviço sem monitoramento.

Isso reposiciona a pergunta que toda liderança de TI deveria estar fazendo. Não é só “nosso filtro de e-mail está bom o suficiente?”. É “conseguimos detectar quando uma identidade legítima começa a se comportar de forma anormal?”.

O que acontece depois que o atacante entra

56% dos ataques no Brasil resultaram em dados criptografados — em linha com a média global e um pouco acima dos 54% do ano anterior. Mais preocupante: em 38% dos casos em que os dados foram criptografados, também houve roubo de dados — quase o dobro dos 22% registrados em 2025. O ataque deixou de ser só “travar o sistema” e passou a incluir exfiltração como padrão.

Do lado financeiro, o pedido de resgate mediano no Brasil saltou 63% em um ano, de US$ 392,5 mil para US$ 640 mil. E o custo médio para se recuperar de um ataque — sem contar o resgate em si, apenas período de inatividade, pessoal, equipamento, rede e oportunidade perdida — foi de US$ 1,05 milhão.

Um dado que merece atenção de quem ainda vê o pagamento do resgate como “plano B” viável: das empresas que pagaram, apenas 45% conseguiram reaver os dados — uma queda forte em relação aos 66% do ano passado. Pagar está cada vez menos garantindo retorno.

O que realmente funciona

Enquanto pagar resgate virou uma aposta pior, o backup segue como a estratégia mais confiável: 85% das organizações brasileiras usaram backup para recuperar dados criptografados, um salto em relação aos 73% de 2025. E das empresas que tiveram dados criptografados, 98% conseguiram recuperá-los de alguma forma — a maioria via backup, não via pagamento.

Isso não é coincidência. É o resultado de tratar recuperação como estratégia central, e não como plano de contingência esquecido num canto do datacenter.

O custo humano que os números também mostram

Nas equipes de TI e segurança que passaram por essa criptografia de dados, o relatório mostra um lado que raramente aparece nas planilhas: 48% relatam aumento em ansiedade e estresse sobre ataques futuros (subiu de 31% em 2025), 43% relatam mudanças na estrutura da equipe, e 28% viram a liderança do time ser substituída depois do incidente.

O lado positivo é que 43% também relatam aumento do reconhecimento pelos líderes seniores — o incidente, por mais doloroso que seja, muitas vezes é o que finalmente traz orçamento e atenção pra segurança. Mas é um jeito caro de conseguir esse reconhecimento.

O que isso significa na prática

Juntando os achados, o relatório aponta três frentes de defesa que se reforçam mutuamente:

• Segurança de identidade como prioridade, não como item de checklist. Com 74% dos ataques ligados ao maior incidente de identidade já sofrido pela empresa, MFA em todos os pontos de acesso e monitoramento contínuo de credenciais — humanas e não-humanas — deixou de ser “boa prática” e passou a ser linha de frente.
• Segurança de e-mail robusta, mas sem depender só dela. Com 37% dos ataques ainda entrando por e-mail malicioso, filtragem avançada e protocolos como DMARC/DKIM/SPF continuam essenciais — mas como uma camada, não como a única.
• Backup testado e recuperação documentada. O dado de 85% de recuperação via backup mostra que investir em continuidade compensa mais do que apostar em pagar o resgate.

Nenhuma dessas três frentes funciona isolada. Detectar uma vulnerabilidade sem corrigi-la não protege ninguém; ter backup sem um plano de resposta documentado atrasa a recuperação; e MFA sem monitoramento contínuo de identidade só empurra o problema pra frente. É por isso que a Strati trata essas frentes de forma integrada — assessment inicial para mapear onde está o risco real, detecção e resposta contínuas, e recuperação testada — em vez de vender pontos isolados de segurança.

Se esse relatório trouxe alguma dúvida sobre onde sua empresa está exposta hoje, vale conversar. Um assessment de segurança mostra, com dados concretos, onde estão as brechas — antes que alguém mais rápido as encontre primeiro.