Ransomware 2026: roubo de dados sobe 275% e mira executivos

A descoberta mais importante para conselhos e CISOs é quem os atacantes estão escolhendo. Segundo o relatório, 62 por cento das vítimas ocupavam cargos de nível gerencial ou superior, o que a Zscaler interpreta como um foco deliberado em pessoas com acesso privilegiado e influência no negócio. Executivos controlam aprovações financeiras, contratos sensíveis e documentos estratégicos, de modo que uma única conta comprometida abre muito mais portas que a de um funcionário de nível inicial.

O segundo desafio são as ferramentas. A Zscaler relata que os agentes de ameaça abusam cada vez mais de ferramentas de trabalho confiáveis, como Microsoft Teams e Quick Assist, para engenharia social, movimentação lateral, roubo de dados e criptografia de arquivos. Uma falsa ligação de suporte de TI pelo Teams que convence um executivo a iniciar uma sessão remota parece atividade normal para muitas defesas. O atacante não precisa invadir, porque o próprio usuário abre a porta.

As ferramentas baseadas em scripts aumentam a dificuldade. JavaScript, PowerShell e Python permitem criar utilitários rapidamente e se confundir com a atividade legítima, enquanto a IA generativa acelera o reconhecimento, a redação de phishing e o desenvolvimento de ferramentas. O relatório acrescenta que manufatura e tecnologia continuam sendo os setores mais atacados, que frete e logística (725 por cento a mais) e serviços públicos (622 por cento a mais) crescem mais rápido, e que os Estados Unidos concentram 50,7 por cento da atividade observada.

No conjunto, o quadro é claro. Os atacantes precisam de menos exploits e mais conversas, e miram as pessoas cujas contas alcançam mais dados. Defesas baseadas em bloquear o perímetro e em backups noturnos deixam uma lacuna importante.

Um ataque de extorsão moderno segue uma cadeia previsível, e cada etapa é uma chance de detê-lo. Entender a cadeia ajuda a decidir onde colocar os controles.

1. Acesso inicial. O atacante obtém um ponto de apoio por meio de uma mensagem de phishing, uma credencial roubada, um dispositivo vulnerável exposto à internet ou uma ligação de engenharia social. Contas de executivos e gerentes são alvos preferenciais.

2. Abuso de ferramentas confiáveis. Em vez de implantar um malware evidente, o atacante usa ferramentas já permitidas no ambiente, como o chat do Teams, o Quick Assist ou os interpretadores de scripts nativos. Assim a intrusão passa despercebida.

3. Movimentação lateral e descoberta. O atacante mapeia compartilhamentos de arquivos, armazenamento em nuvem e caixas de e-mail em busca de propriedade intelectual, dados de clientes e registros financeiros.

4. Preparação e exfiltração. Os dados são reunidos e enviados para fora, às vezes em volumes de gigabytes ou terabytes. É a etapa que a Zscaler destaca, porque os dados roubados é que sustentam a extorsão mesmo que nada seja criptografado.

5. Extorsão. A vítima recebe uma exigência, frequentemente com provas dos arquivos roubados e a ameaça de publicá-los. Alguns grupos ainda criptografam os sistemas, o que dobra a pressão.

A lição prática coincide com a orientação da Zscaler: reduzir as oportunidades de acesso inicial, limitar a movimentação lateral e impedir a exfiltração de dados. Um SOC com correlação SIEM e MDR observa os comportamentos das etapas 2 a 4, como sessões de assistência remota incomuns, acessos em massa a arquivos e grandes transferências de saída, e pode conter uma conta comprometida antes da etapa 5.

Redirecionar a defesa para a proteção dos dados reduz a perda que os backups não conseguem recuperar. Os benefícios aparecem em vários pontos.

Menos poder de extorsão. Se as transferências de dados para fora forem monitoradas e controladas, os atacantes não conseguem retirar grandes volumes com facilidade. Com menos dados roubados, a ameaça de vazamento pesa menos.

Detecção mais rápida de abuso de contas privilegiadas. O monitoramento de comportamento em contas de executivos e administradores identifica anomalias que as ferramentas baseadas em assinaturas deixam passar, como uma conta gerencial que de repente lê milhares de arquivos de madrugada.

Colaboração mais segura. Restringir quem pode iniciar sessões de assistência remota e quais contatos externos podem escrever para sua equipe no Teams elimina um caminho favorito da engenharia social. Os serviços de Microsoft Teams Direct Routing e telefonia da HIT ajudam a manter chamadas e colaboração sob controles claros e governados.

Recuperação resiliente. Backups em nuvem imutáveis e testados continuam essenciais diante da metade de criptografia da ameaça. Os serviços gerenciados de TI e backup em nuvem da HIT cobrem os objetivos de recuperação para que restabelecer a operação seja rápido e previsível.

Proteção regulatória e de reputação. Muitas jurisdições da América Latina, dos Estados Unidos e da Europa exigem notificação quando dados pessoais são roubados, independentemente de os sistemas terem sido criptografados. Evitar a exfiltração reduz tanto a exposição jurídica quanto o dano à confiança dos clientes.

Com um pagamento médio próximo de 432.000 dólares segundo a Zscaler, e com o tempo de inatividade, o trabalho jurídico e a perda de confiança somando-se a qualquer pagamento, a prevenção costuma ser o caminho mais barato.

A HIT Communications traz mais de 30 anos de experiência em telecomunicações e TI corporativas na América Latina, nos Estados Unidos e na Europa, e reúne conectividade, colaboração e segurança em um único parceiro responsável. Isso importa para esta ameaça, porque o roubo de dados atravessa as três frentes: a rede por onde os dados trafegam, as ferramentas de colaboração que os atacantes abusam e os equipamentos e serviços em nuvem onde os dados estão.

Nossa prática de cibersegurança oferece monitoramento SOC 24/7, SIEM, detecção e resposta gerenciadas e orientação de confiança zero, com foco em contas privilegiadas e fluxos de dados de saída. Nossos serviços de Microsoft Teams ajudam a governar o acesso externo e a telefonia, e nossos serviços gerenciados de TI entregam backup, aplicação de patches e operações em nuvem que favorecem uma recuperação rápida.

Um projeto típico começa com uma avaliação curta: quais contas de executivos e administradores têm mais acesso, quais ferramentas de assistência remota são permitidas, onde estão os dados sensíveis e com que rapidez uma grande transferência de saída seria notada. A partir daí priorizamos os controles conforme o risco e os monitoramos continuamente, em português, inglês ou espanhol, para que suas equipes regionais recebam suporte no próprio idioma e fuso horário.

Os números de 2026 mostram que o ransomware é hoje tanto um negócio de roubo de dados quanto de criptografia. Com o roubo de dados crescendo mais de 275 por cento, 62 por cento das vítimas em cargos gerenciais ou superiores e atacantes que se escondem em ferramentas como Teams e Quick Assist, o modelo antigo de bloquear o perímetro e fazer backups já não é suficiente.

Três ações podem começar esta semana. Primeiro, revise quem pode iniciar sessões de assistência remota e quem pode escrever para seus funcionários de fora da empresa no Teams. Segundo, inclua monitoramento nas contas de executivos e administradores e nas grandes transferências de dados para fora. Terceiro, teste sua recuperação e seu plano de resposta a incidentes em um cenário em que os dados são roubados, mas nada é criptografado.

Se quiser uma visão independente da sua exposição, fale com a equipe da HIT Communications e ajudaremos você a transformar esses achados em um plano prático e priorizado.