Ransomware 3.0: Da extorsão ao colapso operacional

Quando pagar o resgate deixou de ser a única ameaça

Houve um tempo em que ransomware seguia uma lógica simples e brutal: o criminoso invadia um sistema, criptografava os arquivos, exigia um pagamento em criptomoeda e prometia devolver o acesso após a transferência. Era um sequestro digital com regras conhecidas. Esse modelo ainda existe, mas tornou-se apenas a camada mais básica de uma ameaça que evoluiu em complexidade, escala e ambição de forma dramática.

O ransomware de hoje não é mais apenas sobre arquivos bloqueados. É sobre a paralisação de operações inteiras, sobre a exposição pública de dados sigilosos de clientes e pacientes, sobre o colapso de cadeias de suprimentos que conectam dezenas de empresas, e sobre pressão psicológica exercida diretamente sobre os stakeholders da vítima. Para compreender o que está em jogo, basta observar o caso Change Healthcare: em fevereiro de 2024, o grupo BlackCat (ALPHV) criptografou os sistemas da empresa, interrompendo o processamento de faturamento e prescrições médicas nos Estados Unidos em escala nacional. A organização pagou 22 milhões de dólares em Bitcoin, mas os atacantes retiveram os dados e realizaram uma segunda extorsão por meio de afiliados do RansomHub.

Esse episódio ilustra com precisão o que a indústria passou a chamar de Ransomware 3.0: uma ameaça que combina múltiplas camadas de extorsão, exploração de cadeias de suprimentos e capacidade de causar colapso operacional real, muito além de qualquer resgate financeiro.

A evolução em três gerações

Para entender onde estamos, é preciso compreender o caminho percorrido.

O Ransomware 1.0, predominante até meados da década de 2010, era relativamente primitivo. O ataque criptografava arquivos locais, exigia um resgate modesto e, em muitos casos, uma solução de backup bem estruturada era suficiente para neutralizar o impacto. O objetivo do criminoso era escala: infectar o maior número possível de vítimas com o menor esforço técnico.

O Ransomware 2.0 trouxe a dupla extorsão, consolidada entre 2019 e 2022. Antes de criptografar os dados, os atacantes passaram a exfiltrá-los. A mensagem para a vítima ficou clara: mesmo com um backup perfeito, o pagamento ainda seria necessário, pois os dados roubados seriam publicados em sites de vazamento caso o resgate não fosse quitado. O modelo de Ransomware-as-a-Service (RaaS) democratizou ainda mais o acesso a essa capacidade, permitindo que criminosos sem conhecimento técnico avançado “alugassem” a infraestrutura de ataque e compartilhassem os lucros com os desenvolvedores.

O Ransomware 3.0 é o estágio atual. A tripla e quádrupla extorsão definem esse novo momento: na tripla extorsão, os atacantes levam a pressão diretamente aos stakeholders da vítima, contatando clientes, pacientes e parceiros para informar que seus dados foram roubados e incentivá-los a pressionar a organização pelo pagamento. Na quádrupla extorsão, enquanto a vítima tenta restaurar os servidores e gerenciar as consequências legais de um vazamento, os atacantes lançam simultaneamente um ataque de DDoS contra os sistemas públicos, paralisando canais de comunicação e criando pânico adicional. O objetivo não é mais somente extrair um resgate. É criar uma pressão tão intensa e multidirecional que a capitulação se torna a única saída percebida.

O modelo RaaS e a industrialização do crime

Um dos fatores que tornam o Ransomware 3.0 tão persistente é a profissionalização extrema do ecossistema criminoso que o sustenta. O modelo de Ransomware-as-a-Service transformou o que antes era uma operação artesanal em uma cadeia produtiva altamente eficiente, com divisão de trabalho, especialização de funções e estrutura de afiliados.

Nesse ecossistema, os desenvolvedores criam e mantêm o ransomware. Os Initial Access Brokers (IABs) são especializados em comprometer ambientes corporativos e vender esse acesso a outros grupos. Os afiliados executam os ataques usando a infraestrutura alugada e dividem os lucros com os operadores. O resultado é uma operação que escala com eficiência industrial, onde o criminoso que executa o ataque não precisa ser o mesmo que desenvolveu a ferramenta, e onde a queda de um grupo não paralisa o ecossistema, apenas redistribui os afiliados.

Em 2025, com a queda do LockBit e o encerramento do RansomHub em abril, outros operadores como Akira, Qilin, Safepay e DragonForce expandiram rapidamente, absorvendo os afiliados dos grupos desarticulados. Os grupos Qilin, Akira e Cl0p foram os mais ativos em 2025, acumulando quase 2.200 vítimas entre si, enquanto grupos emergentes como Play, Incransom e Safepay apresentaram atividade relevante. A fragmentação do mercado não significou redução da ameaça: significou sua descentralização e resiliência.

Ataques à cadeia de suprimentos: O golpe multiplicador

Se a extorsão múltipla representa a evolução na pressão sobre a vítima, os ataques à cadeia de suprimentos representam a evolução na eficiência do ataque em si. A lógica é simples e devastadora: em vez de comprometer uma empresa por vez, os grupos de ransomware passaram a mirar nos elos que conectam múltiplas organizações, fornecedores de software, prestadores de serviços gerenciados (MSPs), plataformas de transferência de arquivos e integradores de sistemas.

Os ataques à cadeia de suprimentos quase dobraram em 2025, com 297 eventos registrados, um aumento de 93% em relação aos 154 ocorridos em 2024. Como os grupos de ransomware estão consistentemente por trás de mais da metade desses ataques, os dois vetores tornaram-se cada vez mais interligados.

Um exemplo emblemático dessa tática foi a exploração do grupo Cl0p contra vulnerabilidades em plataformas de transferência de arquivos corporativos. Após campanhas contra o GoAnywhere MFT em 2023 e o MOVEit Transfer em 2023, que afetou mais de 3.000 entidades nos Estados Unidos e 8.000 organizações globalmente, o Cl0p continuou em 2025 explorando vulnerabilidades em produtos da Cleo como vetor de entrada para roubo de dados em escala massiva, sem sequer implantar ransomware com criptografia. A extorsão passou a acontecer sem que as vítimas chegassem a ter sistemas bloqueados, apenas a ameaça de publicação dos dados roubados já era suficiente.

Esse modelo, chamado de extorsão sem criptografia, representa uma mudança significativa de paradigma. Em 2025, quando considerados os ataques que não envolvem criptografia e dependem apenas do roubo de dados como alavanca de extorsão, o número total de incidentes de extorsão chegou a 6.182, um aumento de 23% em relação a 2024.

O Brasil no mapa do Ransomware 3.0

O Brasil não é um observador distante desse cenário. É um dos palcos centrais. Cerca de 29% das empresas brasileiras relataram ter sofrido um ataque de ransomware em 2024, segundo o ESET Security Report, e 73% das organizações ainda não contrataram seguro contra riscos cibernéticos.

Os casos recentes revelam a diversidade dos alvos e a gravidade dos impactos. Um ataque ao Instituto Nacional do Câncer (INCA) causou a suspensão de sessões de radioterapia, afetando pelo menos 100 pacientes diretamente. No setor farmacêutico, o Grupo Jorge Batista, proprietário das Farmácias Globo no Piauí, foi alvo do ransomware Gunra, com prejuízo estimado em R$ 400 milhões. No setor de defesa, a Nuclep, empresa vinculada ao programa nuclear brasileiro, foi vítima de um ataque que resultou no vazamento de mais de 1,7 TB de informações, incluindo dados sobre mineração, artefatos nucleares e submarinos.

O CTIR Gov, Centro de Prevenção, Tratamento e Resposta a Incidentes de Governo, apontou que em apenas sete meses de 2025, o número de incidentes já superou os totais registrados em 2023, 2022 e 2021 combinados. O ransomware deixou de ser uma ameaça abstrata no horizonte. Para o Brasil, já é uma realidade operacional cotidiana.

Construindo resiliência contra o Ransomware 3.0

Diante de uma ameaça com múltiplas camadas de extorsão e capacidade de atingir toda a cadeia de valor de uma organização, a resposta não pode ser igualmente simples. Defesa contra o Ransomware 3.0 exige uma estratégia em profundidade, construída sobre cinco pilares:

Backup imutável e testado: A solução mais antiga ainda é inegociável, mas precisa evoluir. Backups devem ser imutáveis, ou seja, não podem ser alterados ou criptografados por um atacante que comprometa a rede e armazenados em ambiente isolado, seguindo a regra 3-2-1: três cópias dos dados, em dois tipos de mídia diferentes, com uma cópia offsite. E o mais crítico: o processo de restauração precisa ser testado regularmente. Um backup que nunca foi restaurado em ambiente de teste é um backup de confiabilidade desconhecida.

Segmentação de rede e princípio do menor privilégio: A movimentação lateral é o que transforma um ponto de comprometimento inicial em um desastre organizacional. Redes segmentadas e políticas de acesso restritivas limitam drasticamente o alcance de um atacante que já está dentro do perímetro. Cada usuário, sistema e aplicação deve ter acesso apenas ao estritamente necessário para sua função.

Gestão proativa de vulnerabilidades: A exploração de vulnerabilidades cresceu 8,1% em 2025, com mais de 40.000 falhas publicadas ao longo do ano. Manter sistemas atualizados, priorizar a correção de vulnerabilidades conhecidas e exploradas ativamente (as listadas no catálogo KEV da CISA) e monitorar ativamente o ambiente em busca de exposições são ações que reduzem significativamente a janela de oportunidade dos atacantes.

Plano de resposta a incidentes com cenário de ransomware: Organizações que chegam a um ataque de ransomware sem um plano documentado e testado tomam decisões críticas sob pressão máxima e com tempo mínimo. O plano deve cobrir: critérios para isolamento de sistemas comprometidos, cadeia de comunicação interna e externa, orientações sobre pagamento de resgate (e as implicações legais associadas no Brasil), e procedimentos de notificação à ANPD quando dados pessoais forem comprometidos, conforme exigido pela LGPD.

Avaliação contínua de terceiros: No contexto do Ransomware 3.0, a segurança de uma organização é tão forte quanto a segurança do elo mais fraco de sua cadeia de fornecedores. Avaliar as práticas de segurança de parceiros, fornecedores de software e prestadores de serviços gerenciados passou a ser uma responsabilidade de gestão de risco, não apenas uma boa prática técnica.

O resgate é o menor dos problemas

O ransomware evoluiu de um crime financeiro para uma arma de disrupção operacional. O valor do resgate, que pode chegar a dezenas de milhões de dólares, é frequentemente a menor das consequências. O tempo de inatividade, os custos de recuperação, os danos reputacionais, as multas regulatórias por vazamento de dados pessoais e o impacto sobre clientes, pacientes e parceiros compõem um custo total que pode ser ordens de grandeza maior do que o resgate original.

Nesse cenário, a resiliência não é construída no momento em que o ataque acontece. É construída antes, nas decisões sobre arquitetura de rede, nas políticas de acesso, nos backups testados, nos planos ensaiados e na cultura de segurança que permeia toda a organização. Organizações que tratam ransomware como um risco de TI a ser gerenciado tecnicamente ainda não compreenderam o estágio em que a ameaça se encontra. O Ransomware 3.0 é um risco de negócio, de reputação e, em setores críticos, de segurança pública. Merece ser tratado com a mesma seriedade estratégica.