O Zscaler ThreatLabz divulgou em 1º de outubro de 2026 o seu relatório anual de ransomware com um número que muda a prioridade das equipes defensivas: os grupos mais ativos de ransomware exfiltraram 275.8% mais dados em um ano, somando 896.2 terabytes de informações corporativas roubadas — volume mais de sete vezes maior que o do período 2023–2024. A mensagem para quem opera segurança é direta: o dado que sai da rede, e não o arquivo criptografado, virou a principal alavanca da extorsão de dados. A ação prioritária é mapear quais informações sensíveis deixam o ambiente, por quais canais, e preparar a resposta ao vazamento antes do primeiro contato dos criminosos.
O dado virou o alvo
A leitura do relatório mostra uma inversão do modelo clássico do ataque. As campanhas contra governo, saúde e educação diminuíram na contagem anual — quedas de 27%, 24% e 17%, respectivamente —, mas o tamanho do roubo por incidente cresceu. As maiores reivindicações individuais do conjunto de dados incluem 30 terabytes supostamente furtados de um órgão governamental pelo grupo Babuk2, 20 terabytes de uma grande operadora de saúde reivindicados pelo INC Ransom e 16 terabytes de uma universidade americana atribuídos ao grupo Pear, um dos mais novos do mercado. A síntese dos pesquisadores resume o movimento: as campanhas são menos numerosas, e o dano por campanha é maior.
O setor de utilidades saltou de uma amostra pequena para 65 vítimas, alta de 622% em um ano. Serviços essenciais concentram três pressões que interessam ao extorsionário: obrigação regulatória, confiança da comunidade e baixa tolerância a paralisação. A publicação do material roubado faz parte do plano de pressão, e não é efeito colateral — casos recentes como o ataque de ransomware à Advantest e o vazamento de dados de clientes da ASOS mostram a sequência roubo, cobrança e exposição pública em funcionamento.
O mercado por trás disso também mudou de forma. A Chainalysis registra a fragmentação das grandes operações de ransomware como serviço, com análises que chegam a acompanhar 85 grupos de extorsão ativos, e aponta a atividade dos corretores de acesso inicial como indicador antecedente: picos de recebimento desses intermediários precedem, em cerca de 30 dias, aumentos de pagamentos e de vítimas publicadas em sites de vazamento. Menos centrais, os grupos ficaram mais numerosos, mais voláteis e mais difíceis de atribuir — o que reforça a importância de resposta e rastreamento de longo prazo.
Por que pagar resolve menos
Em paralelo ao aumento do roubo, a economia do crime encolheu. Segundo o capítulo de ransomware do 2026 Crypto Crime Report da Chainalysis, os pagamentos on-chain a grupos de ransomware caíram cerca de 8%, para 820 milhões de dólares em 2025, enquanto os ataques reivindicados subiram 50% — o ano mais ativo já registrado em sites de vazamento, com dados da eCrime.ch. A fatia de vítimas que pagou pode ter caído a 28%, o menor patamar da série histórica da empresa. Ao mesmo tempo, o pagamento mediano subiu 368%, de 12.738 dólares em 2024 para 59.556 dólares em 2025: menos organizações pagam, mas quem paga desembolsa mais.
Para a Chainalysis, a divergência entre mais ataques e menos pagamentos reflete resposta a incidentes mais madura, pressão regulatória sobre a decisão de pagar e ações coordenadas contra a infraestrutura do crime, incluindo hospedagem blindada e redes de lavagem. A firma de resposta a incidentes Arete, citada no relatório, acrescenta que backups melhores e ferramentas de detecção em endpoint têm interrompido grupos antes de alcançarem o objetivo. A conclusão operacional para a vítima é incômoda, mas clara: pagar não elimina a obrigação legal diante do vazamento. A exposição de registros protegidos já configura incidente notificável, com ou sem resgate.
Como a negociação endureceu
A queda na disposição de pagar mudou o comportamento dos grupos na mesa de cobrança. O relatório da Zscaler registra que os criminosos citam diretamente exigências regulatórias — HIPAA, regras de divulgação da SEC e a GDPR europeia — para intensificar a pressão sobre a vítima, transformando o capítulo de compliance em argumento de extorsão. A Chainalysis descreve o mesmo movimento por outro ângulo: diante da redução dos pagamentos, alguns grupos passaram a contatar funcionários e até clientes das empresas atacadas, enquanto outros passaram a analisar o material exfiltrado para formular ameaças específicas sobre o que será exposto e quando.
Isso muda a preparação. Negociar sem inventário do que foi roubado entrega à outra parte informação que a própria empresa não tem; saber quais dados saíram, de quais sistemas e sob qual regime legal permite estimar o dano real e decidir com base em evidência. A conversa com o criminoso deve ser tratada como processo gerenciado por jurídico e comunicação, com registro documentado, e nunca como acordo improvisado pela equipe de TI sob pressão de prazo.
Extorsão sem criptografia na prática
O caso mais ilustrativo do novo modelo veio do setor de saúde. Segundo o relatório da Zscaler, uma vítima pagou 2 milhões de dólares de resgate sem que nenhum arquivo tivesse sido criptografado: os atacantes usaram spam bombing e personificação da equipe de TI para obter acesso inicial e partiram direto para a extorsão pelo dado roubado. O documento também descreve corretores de acesso mirando gerentes de áreas não técnicas — contabilidade e finanças, vendas, operações, RH e marketing —, onde uma única identidade comprometida abre caminho para dados sensíveis e serviços essenciais, com apoio de IA generativa no reconhecimento, na engenharia social e no desenvolvimento de novas famílias de malware.
O dado de ameaça complementar da Mandiant, no M-Trends 2026, aponta na mesma direção: grupos de ransomware passaram a destruir ativamente a capacidade de recuperação, atacando infraestrutura de backup, serviços de identidade e camadas de virtualização. A extorsão sem criptografia e a destruição da recuperação são as duas faces da mesma estratégia — reduzir as alternativas da vítima ao pagamento.
Sinais de exfiltração a monitorar
Como o dado saiu antes de qualquer criptografia, a detecção precoce depende de telemetria de saída e de identidade, não apenas de endpoints. Vale monitorar com prioridade: transferências de volume anômalo para armazenamento externo e serviços de compartilhamento; operações em massa via API em janelas curtas, inclusive à noite e em finais de semana; uso suspeito de tokens de integração SaaS e de OAuth de longa duração; acessos administrativos a dispositivos de borda sem telemetria de EDR; e novas permissões concedidas a contas de gerência em áreas não técnicas após contato telefônico de suporte. Cada um desses sinais, isolado, parece rotina; em sequência, é o roteiro clássico de exfiltração.
Plano de resposta à exfiltração
Se a criptografia deixou de ser etapa obrigatória do ataque, o plano de resposta precisa tratar exfiltração como cenário principal, e não como detalhe do playbook de ransomware. A tabela abaixo organiza as medidas por prioridade:
| Prioridade | Ação | Resultado esperado |
|---|---|---|
| P1 | Inventariar dados sensíveis e canais de saída — web, e-mail, APIs, sincronização em nuvem | Lista de rotas de exfiltração com responsável definido |
| P1 | Ativar controle DLP inline e alertas de volume anômalo de upload | Detecção de transferência em massa antes do prazo de cobrança |
| P1 | Revisar privilégios e verificação de identidade para contas de gestão não técnicas | Limite ao alcance de uma identidade comprometida por vishing |
| P1 | Montar playbook de extorsão com jurídico e comunicação, incluindo decisão sobre notificação | Decisão documentada em vez de negociação improvisada |
| P2 | Segmentar acesso a dados por aplicativo, em modelo de confiança zero e menor privilégio | Barreira ao movimento lateral após o acesso inicial |
| P2 | Inspecionar tráfego TLS/SSL em tempo real nos pontos de saída | Visibilidade de entrega de carga e de comando e controle |
| P2 | Ensaiar a resposta ao vazamento com o inventário real de dados | Tempo de decisão reduzido no primeiro contato do criminoso |
Recuperação continua no centro da resiliência, mas com conteúdo novo: além de backups testados e imutáveis, desconectados do domínio corporativo, para tirar o valor da criptografia, a recuperação agora inclui responder ao vazamento — notificação às autoridades de proteção de dados, atendimento aos titulares e comunicação pública. Quem só ensaia a restauração de sistemas permanece cego para a metade do incidente que já aconteceu antes do primeiro arquivo ser travado.