Pagar o resgate ou restaurar do backup não encerra um incidente de extorsão. Três levantamentos técnicos de 2026 — da Sophos, da Semperis e da LevelBlue — mostram que o dado já roubado e o acesso remanescente à camada de identidade mantêm a vítima sob pressão mesmo depois da recuperação. Organizações que sofreram extorsão, com ou sem criptografia, são o público afetado. A ação prioritária é tratar o fim da criptografia como começo de uma investigação sobre persistência e vazamento, não como encerramento do caso.
Por que o ataque retorna
O 2026 Ransomware Risk Report da Semperis, publicado em 14 de outubro, ouviu apenas organizações vítimas nos últimos 12 meses em nove países, entre eles Estados Unidos, Reino Unido, Alemanha e Canadá. O retrato é direto: quase 70% das vítimas de ransomware foram atacadas mais de uma vez, e 31% fizeram pagamentos múltiplos aos atacantes. O pagamento não compra exclusividade; sinaliza ao grupo que a organização tem caixa, processo e pressa — três motivos para voltar.
A recaída tem base técnica, não apenas tática. Credenciais comprometidas, tokens emitidos, aplicativos OAuth autorizados e ferramentas de acesso remoto sobrevivem quando a remediação para na descriptografia dos arquivos. O mesmo relatório registra que 84% dos ataques usaram inteligência artificial de alguma forma e que 40% envolveram ameaças psicológicas ou físicas contra funcionários; em 53% dos casos relatados, os atacantes cumpriram o que ameaçaram. A pressão sobre pessoas passou a fazer parte da negociação, e o plano de resposta precisa prever isso.
Tratar persistência como hipótese padrão muda a ordem do trabalho: antes de discutir valores, a equipe precisa fechar as portas que permitiram o retorno. Os sinais clássicos incluem contas de serviço com senhas antigas, chaves de API esquecidas em integrações e implantação silenciosa de malware em estações que receberam reimagem parcial. Cada um desses restos é uma porta de reentrada que independe do resgate ter sido pago.
O dado roubado sustenta a extorsão
O TTP Briefing Q3 2026 da LevelBlue, construído a partir de casos reais de resposta a incidentes no trimestre, mostra por que o roubo de dados virou o centro da operação: a exfiltração apareceu em 83% dos casos de intrusão, enquanto a criptografia apareceu em 67%. No trimestre anterior, os dois indicadores estavam em 77%. Pela primeira vez na série da empresa, exfiltrar arquivos superou apenas acessar ou visualizar dados como desfecho mais comum quando havia informação em risco.
Os ataques de extorsão sem criptografia foram a categoria de maior crescimento do período: grupos copiam informação e ameaçam publicá-la sem implantar qualquer carga de criptografia. Isso redesenha a negociação — não existe chave de descriptografia a comprar, apenas a promessa do atacante de apagar o que já copiou. O histórico do ecossistema de extorsão mostra o valor limitado dessa promessa, e a decisão de pagar precisa partir dessa premissa.
O kit de trabalho observado nos casos é banal: rclone, MegaSync, WinSCP, 7-Zip e WinSCP aparecem como utilitários de coleta, empacotamento e transferência — a lista correta inclui também o WinRAR. A recomendação prática da LevelBlue é objetiva: detecção construída apenas sobre eventos de criptografia perde uma fatia crescente das invasões. Monitore transferências de saída de grande volume, criação incomum de arquivos compactados e destinos novos de armazenamento em nuvem. A janela também encolheu: 56% dos incidentes foram resolvidos entre 0 e 10 dias, com invasões que se completam em horas.
O mesmo briefing amarra o fio da identidade ao roubo de dados. O phishing segue como vetor inicial mais comum, e atores cada vez mais abusam de registro de dispositivo confiável em vez de interceptar o prompt de autenticação — a vítima aprova o cadastro do aparelho do atacante e o acesso parece legítimo. Tokens válidos, e não senhas quebradas, sustentam o movimento lateral até o repositório de dados que interessa extorquir.
Recuperação começa pela identidade
Se a extorsão continua após o pagamento, a recuperação de verdade precisa cobrir o que o atacante deixou para trás. A Semperis aponta que 87% dos ataques miraram sistemas de identidade como Active Directory, Entra ID e Okta, mas apenas cerca de metade das empresas mantém backups dedicados dessa camada — e 60% dos planos de resposta a crises não incluem procedimento de recuperação de identidade. Restaurar arquivos sem restaurar o diretório devolve o ambiente com as mesmas portas abertas do primeiro incidente.
Do lado econômico, o State of Ransomware 2026 da Sophos, sétima edição do levantamento com 2.158 líderes de TI e segurança de 17 países, mostra a recuperação baseada em backups alcançando 66% dos casos com dados criptografados, alta de 12 pontos percentuais sobre 2025. O custo médio de recuperação chegou a US$ 1,7 milhão por incidente, acima da mediana de US$ 769.000 paga por quem negociou — e 51% dos que pagaram conseguiram um valor menor que o exigido. A conta da recuperação supera a do resgate, o que reforça investir em restauração testada em vez de aposta no pagamento.
O tamanho da organização pesa: apenas 34% das empresas com 100 a 250 funcionários conseguiram parar o ataque antes da criptografia ou da extorsão, contra 46% nas organizações com 3.001 a 5.000 funcionários. E-mail malicioso (26%) e phishing (24%) somaram metade das causas iniciais, o que desloca parte do esforço para proteção de e-mail e conscientização — não apenas correção de falhas.
O elo entre identidade e extorsão também aparece na fase inicial: credenciais e tokens roubados alimentam o acesso que depois sustenta o roubo de dados. Quem já sofreu vazamento de logs de infostealer deve tratar essas credenciais como comprometidas para sempre, e não apenas até a próxima troca de senha.
Plano de ação priorizado
O quadro abaixo resume as medidas que fecham o ciclo de recaída, ordenadas pela relação entre esforço e redução de risco.
| Prioridade | Ação | Sinal de verificação |
|---|---|---|
| P1 | Revogar credenciais, tokens e aplicativos OAuth emitidos durante a janela de comprometimento | Relatório de auditoria sem tokens antigos ativos |
| P1 | Varrir a rede por utilitários de transferência (rclone, WinSCP, MegaSync) e acesso remoto (ScreenConnect, MeshAgent) | Nenhum binário fora do inventário em hosts críticos |
| P1 | Incluir a camada de identidade no teste de restauração, não apenas arquivos e bancos | Restauração de AD ou Entra ID validada em ambiente isolado |
| P2 | Monitorar saída incomum de dados: arquivos compactados, destinos novos de nuvem, volumes anômalos | Alerta configurado e testado em proxy, firewall e logs de nuvem |
| P2 | Adicionar ao plano de crise o procedimento de recuperação de identidade e o protocolo de ameaças a funcionários | Plano atualizado com responsável e canal de apoio psicológico |
A decisão de pagar ou não segue pertencendo à organização e a seus assessores jurídicos, mas os dados de 2026 mudam a pergunta certa: o pagamento resolve a criptografia, não resolve o dado roubado nem o acesso restante. A questão operacional é o que impede o segundo ataque — e a resposta está em identidade protegida, telemetria de saída de dados e restauração testada de ponta a ponta.