Ransomware intensifica-se, mas menos vítimas pagam resgates

O ransomware continua a ser uma das maiores ameaças à cibersegurança em todo o mundo. Apesar de as campanhas estarem cada vez mais sofisticadas e frequentes, há um dado que pode indicar uma mudança de tendência: as vítimas estão cada vez menos dispostas a pagar os resgates exigidos pelos cibercriminosos.

Ataques aumentaram 7% em apenas seis meses

Segundo a ESET, as deteções de ransomware cresceram 7% face ao semestre anterior, demonstrando que este tipo de ameaça continua em expansão e sem sinais de abrandamento.

Contudo, enquanto o número de ataques aumenta, a percentagem de organizações que acaba por pagar o resgate continua a diminuir.

Os dados reunidos pela empresa, com base em três estudos independentes, mostram essa tendência:

• A Chainalysis estima que 28% das vítimas pagaram resgates em 2025;
• A Coveware aponta para uma taxa de 23%;
• Já a seguradora Coalition indica que 86% das vítimas recusaram efetuar qualquer pagamento, o que corresponde a apenas 14% de pagamentos.

Segundo Ricardo Neves, responsável de Comunicação da ESET Portugal, estes números poderão refletir uma maior maturidade das organizações na prevenção e resposta a incidentes.

A atividade de ransomware não mostra sinais de abrandamento, mantendo-se o recurso a ferramentas concebidas para desativar software de segurança durante os ataques. Ao mesmo tempo, dados de várias fontes mostram que uma percentagem cada vez menor de vítimas opta por pagar resgates, o que poderá refletir algum progresso nas medidas de prevenção, mitigação e resposta.

Cibercriminosos recorrem cada vez mais aos chamados "EDR Killers"

Um dos aspetos que mais preocupa os investigadores da ESET é a crescente utilização de ferramentas conhecidas como EDR Killers.

Estas ferramentas têm como objetivo desativar ou bloquear as soluções de segurança instaladas nos computadores antes da execução do ransomware.

Em vez de tentarem esconder a atividade do malware — algo difícil devido à elevada quantidade de ficheiros cifrados num curto espaço de tempo — os atacantes optam por eliminar previamente as capacidades de deteção e resposta das soluções de segurança.

A ESET revela que acompanha atualmente mais de 100 ferramentas deste tipo.

Entre as conclusões do relatório destacam-se:

• Mais de 100 ferramentas concebidas para desativar software de segurança;
• Mais de 60 exploram vulnerabilidades existentes em mais de 40 drivers legítimos;
• Novas variantes destas ferramentas surgem praticamente todas as semanas.
• Grupo Gentlemen continua entre os mais ativos

O relatório destaca ainda o grupo Gentlemen, identificado como o segundo grupo de ransomware-as-a-Service (RaaS) mais ativo durante o período analisado.

Além do próprio ransomware, este grupo desenvolve ferramentas específicas para contornar mecanismos de proteção, incluindo várias versões do GentleKiller, destinadas a neutralizar soluções de segurança antes do início da cifragem dos dados. O grupo também adapta ferramentas desenvolvidas por terceiros às suas campanhas.

Pagar menos não significa sofrer menos

Apesar da redução do número de vítimas que aceitam pagar os resgates, a ESET alerta que isso não significa uma diminuição do impacto provocado pelos ataques.

Segundo Ricardo Neves, os custos associados a um incidente de ransomware continuam a ser elevados, mesmo quando não existe qualquer pagamento aos atacantes.

Os grupos criminosos continuam a intensificar a sua atividade e a aperfeiçoar as ferramentas usadas para neutralizar as defesas, enquanto as organizações demonstram maior resistência ao pagamento. A redução dos resgates pagos não elimina, contudo, os custos associados à interrupção da atividade, à recuperação dos sistemas, à perda de dados e à resposta ao incidente.

O relatório mostra, assim, que o ransomware continua a evoluir rapidamente. Embora as organizações estejam hoje mais preparadas para resistir às exigências dos cibercriminosos, a crescente sofisticação das técnicas utilizadas demonstra que investir em prevenção, deteção e resposta continua a ser essencial para minimizar o impacto deste tipo de ataques.

Relatório Completo