Ransomware em 2025: A Ameaça Que Não Para de Evoluir
À frente da NESS, raramente vi uma ameaça evoluir tão rapidamente quanto o ransomware. O que começou como ataques oportunistas nos anos 2000 transformou-se em operações criminosas altamente sofisticadas, com modelos de negócio que rivalizam empresas legítimas.
Como CISO da IONIC Health e com experiência em múltiplos setores críticos, testemunho diariamente o impacto devastador que essas ameaças causam. Mas também observo padrões, aprendizados e, mais importante, oportunidades de defesa efetiva. No setor de saúde, onde a IONIC Health atua, a segurança de dados é especialmente crítica devido à sensibilidade das informações e às regulamentações rigorosas como HIPAA e LGPD.
O Cenário Atual
O ransomware de 2025 pouco se parece com aquele de uma década atrás. A evolução foi impressionante e preocupante.
Hoje enfrentamos o que chamamos de Ransomware-as-a-Service, ou RaaS. Grupos criminosos operam como startups legítimas, oferecendo "franquias" de ransomware. Afiliados compram acesso às ferramentas, executam ataques e dividem lucros com desenvolvedores. É a industrialização do crime digital. Não precisa mais ser um hacker experiente para lançar um ataque devastador. Basta ter dinheiro e má intenção.
A extorsão também evoluiu. Não basta mais criptografar dados. Criminosos agora praticam dupla e até tripla extorsão. Primeiro, criptografam sistemas. Depois, exfiltram dados sensíveis e ameaçam vazar. Em seguida, atacam clientes e parceiros da vítima. E durante a negociação, lançam ataques DDoS para aumentar a pressão. É uma estratégia multifacetada que maximiza o lucro e minimiza as chances de recuperação sem pagamento.
Os ataques também se tornaram altamente direcionados. Reconnaissance extensivo precede cada ataque. Criminosos estudam estrutura organizacional, fluxos financeiros, estratégias de backup, até mesmo calendários corporativos para atacar em feriados e fins de semana, quando as equipes de resposta estão reduzidas.
Um Caso Real
Recentemente, durante uma consultoria forense através da forense.io, investigamos um ataque que exemplifica perfeitamente essa sofisticação.
Era uma empresa de médio porte do setor financeiro, com o que consideravam uma boa postura de segurança. Ou assim pensavam.
O atacante passou 45 dias em reconnaissance silencioso antes de acionar o ransomware. Durante esse período, mapeou toda a rede, identificou backups, comprometeu credenciais administrativas, exfiltrou 2TB de dados sensíveis, e sabotou sistemas de backup. Quando acionaram a criptografia numa sexta-feira às 23h, era tarde demais. E tinham prova de exfiltração de dados de clientes.
O resultado foi devastador: a empresa pagou o resgate, enfrentou multas regulatórias, e sofreu perda de reputação significativa. Um ataque que poderia ter sido prevenido ou pelo menos mitigado com as práticas certas.
Por Que Continuam Vencendo?
Há várias razões pelas quais os atacantes continuam tendo sucesso, e entender isso é crucial para construir defesas efetivas.
Primeiro, há uma assimetria de recursos. Grupos criminosos investem milhões em infraestrutura e desenvolvimento. Empresas médias raramente conseguem igualar esse investimento em defesa. É uma corrida desigual, onde os atacantes têm recursos quase ilimitados e as vítimas precisam fazer mais com menos.
Segundo, a cadeia de suprimentos se tornou o alvo preferido. Atacar um fornecedor pequeno para alcançar clientes grandes é muito mais eficiente que atacar diretamente alvos bem defendidos. Um fornecedor com acesso a sistemas críticos de uma grande empresa é uma porta de entrada perfeita.
Terceiro, o fator humano continua sendo o vetor número um. Phishing evoluiu para ser extremamente sofisticado. E-mails personalizados, timing perfeito, contexto relevante. É difícil defender contra isso, porque explora a natureza humana, não apenas vulnerabilidades técnicas.
E por fim, criptomoedas facilitam a operação e dificultam o rastreamento. Pagamentos anônimos tornam quase impossível rastrear os criminosos, o que reduz significativamente o risco para eles.
Estratégias de Defesa Efetivas
Aprendi que segurança absoluta não existe. Mas resiliência sim. Aqui está o que realmente funciona na prática.
Segmentação radical de rede é fundamental. Não apenas VLANs básicas, mas micro-segmentação real. Zero Trust entre segmentos, least privilege sempre, monitoramento constante de lateral movement. Se um atacante conseguir acesso a um segmento, não deve conseguir se mover livremente pela rede.
Backup imutável e testado é outra camada essencial. Imutável significa backups que não podem ser alterados ou deletados mesmo com credenciais administrativas. E testado significa recovery drill mensal, não anual. A regra 3-2-1-1 funciona: três cópias, duas mídias diferentes, uma offsite, e uma offline ou air-gapped. Ter backup não adianta se não funciona quando você precisa.
EDR, ou Endpoint Detection Response, é essencial. Mas algoritmos não bastam. Ter analistas experientes fazendo threat hunting proativo é o diferencial. Máquinas detectam padrões, humanos detectam anomalias e intenções.
Treinamento contínuo também é crucial. Não aquele "clique aqui anualmente" que todo mundo ignora. Simulações realistas, frequentes, com feedback imediato. As pessoas precisam vivenciar situações reais para aprender a reagir corretamente.
E por fim, ter um plano de resposta a incidentes. Não se faz playbook durante incêndio. Precisa ter equipe definida, runbooks testados, comunicação pré-estabelecida, decisores autorizados. Quando o ataque acontece, não há tempo para pensar. Precisa agir.
Organizações que precisam de suporte especializado em segurança operacional e resposta a incidentes podem contar com serviços como os oferecidos pela NESS, que há décadas desenvolve soluções de segurança da informação para empresas de todos os portes.
E Se Acontecer Comigo?
Se acontecer, não pague imediatamente. Sei que a pressão é enorme, mas pagar deve ser o último recurso, não o primeiro.
Primeiro, contenha. Isole sistemas infectados imediatamente. Quanto mais rápido isolar, menor o dano.
Segundo, avalie. Que dados foram comprometidos? Qual a extensão do comprometimento? Isso vai determinar os próximos passos.
Terceiro, acione forense. Especialistas, como os da forense.io, podem determinar o vetor de entrada, identificar a extensão do comprometimento, e às vezes até recuperar dados sem pagar. Forense digital é investimento, não custo.
Quarto, notifique. ANPD se houver dados pessoais, seguradoras, autoridades. Transparência é crucial, e tentar esconder só piora a situação.
E por fim, decida sobre pagamento. Como membro da Comissão de Privacidade da OAB SP, posso afirmar: há implicações legais sérias em ambas as decisões, pagar ou não pagar. Cada caso é único, e a decisão deve ser tomada com base em análise cuidadosa de riscos, não em pânico.
O Futuro
IA está mudando o jogo, para ambos os lados.
Atacantes usam IA para phishing ultra-personalizado, evasão de detecção, identificação automática de alvos lucrativos. É assustador ver como IA pode tornar ataques mais eficientes e difíceis de detectar.
Mas defensores também usam IA para detecção de anomalias, resposta automatizada, threat intelligence. A corrida armamentista continua, e IA é a nova arma em ambos os lados.
Reflexão Final
Como pai de duas filhas navegando o mundo digital, preocupo-me com a democratização dessas ameaças. RaaS significa que qualquer um, sem skills técnicos, pode lançar ataques devastadores. Isso é novo e perigoso.
Mas também vejo esperança. Nunca houve tanta consciência sobre cibersegurança. Nunca tivemos tantas ferramentas e frameworks. E nunca tivemos uma comunidade tão colaborativa. Através de organizações como HackerOne, OWASP e ERII, compartilhamos inteligência e aprendizados. A comunidade de segurança está mais unida e colaborativa do que nunca.
A pergunta não é "se" você será atacado, mas "quando". E quando acontecer, sua preparação fará toda diferença. Empresas preparadas se recuperam mais rápido, sofrem menos danos, e aprendem mais. Empresas despreparadas pagam o preço completo.
Com décadas de experiência em segurança da informação, a NESS tem ajudado organizações a construir programas efetivos de segurança operacional, preparando-as para enfrentar ameaças modernas como ransomware com resiliência e eficiência.
Recursos Adicionais
Se você quer se aprofundar, recomendo alguns recursos excelentes:
E você? Sua organização está preparada para um ataque de ransomware? Quais estratégias têm funcionado no seu contexto?
Adoraria ouvir suas experiências e trocar insights. Conecte-se comigo no LinkedIn para continuarmos essa conversa.
Ricardo Esper é CEO da NESS Processos e Tecnologia (desde 1991), CISO da IONIC Health, e CEO da forense.io. Certificado CCISO e CEHIv8, é membro ativo de HackerOne, OWASP e da Comissão de Privacidade de Dados da OAB SP.
