Em 2025, o ransomware já custa à economia global cerca de US$ 57 bilhões por ano — o equivalente a US$ 156 milhões por dia, segundo estimativas da Cybersecurity Ventures. No Brasil, o cenário segue a mesma curva: os ataques cresceram 25% só no primeiro semestre de 2025, com mais de 3.600 incidentes registrados no período.

Esses números não são de empresas gigantes de tecnologia. Manufatura, construção, saúde e órgãos públicos estão entre os setores mais visados — justamente porque combinam alto impacto operacional com defesas mais frágeis. Se a sua empresa depende de sistemas, planilhas ou servidores para funcionar (ou seja, praticamente qualquer empresa), o ransomware é um risco que já bateu na porta de alguém do seu setor.

Neste artigo, explicamos o que é ransomware, como o ataque realmente acontece por dentro, o que os dados mais recentes mostram e — talvez o ponto mais importante — por que a decisão de pagar o resgate é muito mais arriscada do que parece.

O que é ransomware, na prática

Ransomware é um tipo de malware (vírus) que sequestra os dados de uma empresa, e não os equipamentos. Ele age em silêncio: percorre a rede e criptografa cada arquivo — planilhas, PDFs, bancos de dados, backups acessíveis — usando chaves de criptografia longas o suficiente para tornar a quebra por força bruta praticamente inviável, mesmo com poder computacional considerável.

O aviso de sequestro só aparece depois que a criptografia já terminou. Às vezes é uma tela vermelha, dramática, chamando atenção. Às vezes é algo discreto, quase burocrático — um arquivo de texto na área de trabalho informando que os dados foram “protegidos” e que é preciso pagar para recuperá-los. Nos dois casos, quando o alerta aparece, o estrago já está feito.

O ataque não escolhe a sua empresa — ele escolhe quem clica

Um mal-entendido comum é achar que só empresas “visadas” sofrem ransomware. Na prática, a maior parte dos ataques não é direcionada: criminosos disparam campanhas de phishing em massa, para milhares ou milhões de endereços de e-mail ao mesmo tempo, e o alvo é simplesmente quem clicar no link ou abrir o anexo errado.

Os dados de 2025 confirmam essa mudança de estratégia. Segundo o relatório da CrowdStrike, 45% das vítimas apontam o phishing como o ponto inicial da invasão, e e-mails maliciosos combinados a credenciais comprometidas respondem pela maioria dos acessos iniciais — superando até a exploração de vulnerabilidades técnicas. Os atacantes descobriram que é mais barato enganar uma pessoa do que quebrar um sistema.

E o tempo entre o clique e o estrago está cada vez menor: o tempo mediano de permanência silenciosa do invasor na rede caiu para menos de 24 horas, com mais da metade dos ataques sendo concluídos no mesmo dia do acesso inicial.

Os números que mostram o tamanho real do problema

• US$ 57 bilhões: prejuízo global estimado do ransomware em 2025 (Cybersecurity Ventures)
• 25%: crescimento dos ataques de ransomware no Brasil no 1º semestre de 2025, com mais de 3.600 incidentes
• US$ 5,08 milhões: custo médio de uma violação envolvendo extorsão/ransomware, incluindo resposta a incidente e paralisação (IBM Cost of a Data Breach 2025)
• US$ 1 milhão a US$ 1,82 milhão: faixa de pagamento médio de resgate reportada em 2025 (Sophos e outras fontes) — com mediana de US$ 267,5 mil segundo a Palo Alto Networks
• 73% das empresas brasileiras ainda não têm seguro contra riscos cibernéticos
• 98% das contas em nuvem de empresas brasileiras operam sem autenticação multifator
• 64% das empresas atacadas em 2025 optaram por não pagar o resgate, recorrendo a backup e plano de resposta a incidentes

Esse último ponto é o mais revelador: a maioria das empresas que sofre ransomware hoje já entendeu que pagar não é o caminho — e recupera os dados de outra forma.

Por que pagar o resgate não é a saída que parece ser

Aqui entra a lição mais dura que quem trabalha na linha de frente de resposta a incidentes já viu de perto: pagar não é garantia de nada.

Os criminosos por trás de um ataque de ransomware raramente se apresentam como extorsão pura. É comum que a “negociação” seja embrulhada em um discurso quase corporativo — algo como “identificamos uma vulnerabilidade na sua empresa, protegemos seus arquivos, e agora é preciso pagar pelo serviço”. É uma tentativa deliberada de suavizar o crime e empurrar a empresa para o pagamento como se fosse uma transação legítima.

Na prática, o processo costuma travar a operação da empresa por dias ou semanas — entre identificar o ataque, decidir internamente o que fazer, negociar (quando a diretoria opta por isso) e só então, se tudo correr “bem”, recuperar acesso aos dados. E mesmo pagando, não existe qualquer garantia contratual, legal ou técnica de que os arquivos serão devolvidos — nem de que os criminosos não venderão os dados de qualquer forma, ou não voltarão a atacar a mesma empresa mais tarde, sabendo que ela já pagou uma vez.

É por isso que a recomendação técnica quase unânime no setor é: não pague. Invista o valor que seria gasto no resgate em prevenção, backup e resposta a incidentes — porque, ao final das contas, o cálculo mais honesto que uma empresa pode fazer é comparar quanto custa a ferramenta de proteção por mês contra quanto custa cada dia de operação parada.

Como se proteger de verdade: checklist prático

1. Backup 3-2-1, testado de verdade. Três cópias dos dados, em dois tipos de mídia diferentes, uma delas fora da rede principal (offline ou isolada). Backup que nunca foi testado não é backup, é uma esperança.
2. Autenticação multifator (MFA) em tudo. E-mail, VPN, sistemas em nuvem, acessos administrativos — sem exceção.
3. Antivírus com monitoramento comportamental (EDR). Ferramentas modernas não dependem só de assinaturas de vírus conhecidos: elas detectam padrões anômalos de modificação de arquivos em massa (a assinatura clássica de um ransomware agindo) e conseguem isolar automaticamente a máquina infectada da rede antes que o estrago se espalhe.
4. Firewall monitorando tráfego de entrada e saída. Não basta proteger a borda da rede; é preciso visibilidade sobre o que está saindo, já que exfiltração de dados costuma acompanhar o sequestro.
5. Treinamento contínuo contra phishing. Já que o e-mail é a porta de entrada mais usada, simulações periódicas e cultura de “desconfiar antes de clicar” valem mais que qualquer ferramenta isolada.
6. Segmentação de rede. Se uma máquina for comprometida, ela não deveria ter caminho livre até todos os servidores da empresa.
7. Plano de resposta a incidentes por escrito. Quem aciona quem, em que ordem, com quais contatos — decidido com a cabeça fria, antes do ataque, não durante o pânico.

O ponto central

Ransomware não é mais uma questão de “se”, é uma questão de “quando” — e o fator que mais separa empresas que se recuperam rápido das que ficam semanas paradas não é sorte, é preparo. Backup testado, monitoramento ativo e um plano de resposta valem, na prática, mais do que qualquer valor de resgate.

Sua empresa tem alguém cuidando disso todo dia — ou só quando dá problema?

Backup testado, monitoramento contínuo e atualização de segurança não são tarefas de “quando sobrar tempo”. São rotina. E é justamente a ausência dessa rotina que transforma um clique errado em uma empresa parada por semanas.

Se hoje ninguém acompanha isso de forma contínua na sua operação, esse é o tipo de lacuna que só aparece — tarde demais — no meio de um incidente. Fale com um especialista sobre TI Terceirizada.