Ransomware em 2026: 79% dos ataques começam com identidades comprometidas
O ransomware está mudando de estratégia. Embora vulnerabilidades de software, serviços expostos à internet e configurações inadequadas continuem entre os principais riscos, os criminosos passaram a explorar com mais frequência um recurso já presente nas empresas: as identidades digitais.
De acordo com o relatório *State of Ransomware 2026*, da Sophos, 79% dos ataques analisados começaram com algum tipo de abordagem relacionada a identidades. Isso significa que, em muitos casos, o invasor não precisou romper diretamente uma barreira tecnológica. Bastou obter, manipular ou abusar de uma conta válida para iniciar a operação.
A constatação reforça uma mudança importante na segurança corporativa: a identidade passou a funcionar como uma extensão do perímetro de proteção. Usuários, administradores, prestadores de serviço, contas de máquinas e aplicações precisam ser tratados como possíveis pontos de entrada.
O que significa dizer que 79% dos ataques começaram com identidades?
O percentual não deve ser interpretado como se todos os incidentes tivessem começado exclusivamente com uma senha vazada. A categoria inclui diferentes formas de utilização indevida de identidades, como credenciais roubadas, contas comprometidas, sessões sequestradas, abuso de privilégios e técnicas de engenharia social.
A lógica dos criminosos é simples: uma autenticação legítima pode reduzir a quantidade de alertas gerados. Em vez de explorar uma falha evidente, o atacante utiliza uma conta real, acessa serviços permitidos e tenta se misturar ao comportamento normal do ambiente.
A Sophos também registrou crescimento de vetores associados à obtenção de credenciais. E-mails maliciosos responderam por 26% dos incidentes, enquanto o phishing apareceu em 24%. Esses números mostram que o fator humano continua sendo explorado, especialmente quando as mensagens fraudulentas imitam fornecedores, executivos, departamentos internos ou plataformas conhecidas.
Vulnerabilidades continuam importantes, mas deixaram de ser o único foco
Durante anos, as estratégias contra ransomware priorizaram correções de segurança, antivírus, proteção de endpoints e varreduras de vulnerabilidades. Esses mecanismos seguem indispensáveis, porém não conseguem cobrir sozinhos a realidade atual.
Segundo o levantamento, a exploração de vulnerabilidades conhecidas caiu de 32% em 2025 para 18% em 2026. Ao mesmo tempo, phishing e mensagens maliciosas ganharam espaço como caminhos para o comprometimento inicial.
A redução não significa que o gerenciamento de patches perdeu relevância. Uma falha sem correção ainda pode permitir invasões graves. O ponto é que corrigir sistemas não impede, por exemplo, que um funcionário entregue voluntariamente sua senha em uma página falsa ou que uma conta privilegiada seja utilizada fora do padrão.
Por isso, a superfície de ataque deve ser analisada de forma mais ampla:
Identidade → autenticação → privilégios → sessões → dispositivos → aplicações → dados.
O mercado de credenciais roubadas aumenta a velocidade dos ataques
Credenciais comprometidas deixaram de ser apenas um subproduto de invasões. Elas se tornaram uma mercadoria comercializada em fóruns clandestinos e mercados especializados.
Os chamados *Initial Access Brokers* atuam como intermediários. Eles invadem uma organização, capturam acessos a VPNs, sistemas de acesso remoto, ambientes em nuvem ou ferramentas corporativas e vendem essas entradas para grupos especializados em ransomware.
Esse modelo reduz a barreira técnica para os criminosos. Um grupo pode comprar o acesso inicial e concentrar seus esforços na movimentação lateral, na elevação de privilégios e na criptografia dos dados.
O problema também diminui o tempo de reação. Quando uma credencial é comercializada, diferentes grupos podem tentar utilizá-la quase simultaneamente. Além disso, senhas reutilizadas em múltiplos serviços permitem que uma invasão externa se transforme em acesso a sistemas corporativos.
MFA é essencial, mas não elimina o risco
A autenticação multifator continua sendo uma das medidas mais eficientes para reduzir o impacto de senhas roubadas. Mesmo que o invasor consiga descobrir a senha, ele ainda precisará superar uma segunda etapa de verificação.
No entanto, o MFA não é uma solução absoluta. Ataques de fadiga podem enviar dezenas de solicitações de aprovação até que o usuário aceite uma delas por engano. Também existem técnicas de phishing capazes de capturar sessões autenticadas, além de golpes que induzem a vítima a fornecer códigos temporários.
A proteção mais robusta exige métodos resistentes a phishing, como chaves de segurança e padrões modernos de autenticação. Também é importante limitar solicitações repetidas, exigir informações contextuais e bloquear autenticações consideradas anômalas.
Em outras palavras, a estratégia não deve se resumir a “senha mais MFA”. É necessário avaliar quem está acessando, de qual dispositivo, em que horário, a partir de qual local e com qual finalidade.
Identity Security ganha papel central
A segurança de identidades precisa evoluir de um modelo baseado apenas em cadastro e autenticação para uma abordagem contínua. O objetivo é acompanhar todo o ciclo de vida dos acessos, desde a criação da conta até sua desativação.
Uma política eficiente deve incluir:
– revisão periódica de permissões;
– remoção imediata de contas de colaboradores desligados;
– identificação de contas órfãs e inativas;
– autenticação adaptativa baseada em risco;
– análise de comportamento dos usuários;
– controle sobre identidades não humanas;
– limitação de acessos entre aplicações;
– detecção de sessões suspeitas.
Esse modelo ajuda a encontrar situações perigosas, como funcionários com privilégios antigos, prestadores que mantêm acesso após o fim do contrato e contas de serviço com permissões excessivas.
PAM reduz o impacto de contas privilegiadas
O gerenciamento de acesso privilegiado, conhecido como PAM, deve ocupar posição estratégica na prevenção de ransomware. Contas administrativas oferecem aos invasores a capacidade de desativar ferramentas de segurança, modificar políticas, acessar servidores e alcançar grandes volumes de dados.
Entre as práticas recomendadas estão o uso de credenciais temporárias, a gravação de sessões administrativas, a aprovação para tarefas sensíveis e a separação entre contas comuns e contas privilegiadas.
Também é recomendável eliminar o uso compartilhado de senhas administrativas e armazenar credenciais críticas em cofres protegidos. Quanto menor o tempo de exposição de um privilégio elevado, menor tende a ser o impacto de um eventual comprometimento.
O atacante também tenta destruir a recuperação
O ransomware moderno não se limita a criptografar arquivos. Em muitos incidentes, os criminosos procuram primeiro atingir backups, servidores de gerenciamento, ferramentas de segurança e sistemas usados na recuperação.
A finalidade é impedir que a empresa retome as operações sem negociar. Por isso, backups conectados permanentemente à rede podem ser apagados ou criptografados junto com os demais dados.
Uma estratégia resiliente deve manter cópias isoladas, protegidas contra alterações e testadas regularmente. Não basta ter um backup: é preciso verificar se ele pode ser restaurado dentro do tempo necessário para a continuidade do negócio.
Simulações de recuperação ajudam a revelar problemas que não aparecem em auditorias documentais, como permissões incorretas, arquivos incompletos, dependências desconhecidas e equipes sem clareza sobre suas responsabilidades.
O impacto financeiro e operacional permanece elevado
Mesmo quando o pagamento do resgate não ocorre, os custos podem ser expressivos. A organização pode enfrentar paralisação de sistemas, perda de produtividade, investigação forense, contratação emergencial de especialistas, comunicação com clientes e possíveis consequências regulatórias.
Quando identidades privilegiadas são comprometidas, o alcance do incidente tende a ser maior. O invasor pode permanecer no ambiente por mais tempo, acessar múltiplas aplicações e selecionar os dados mais sensíveis antes de iniciar a criptografia.
Por essa razão, a resposta precisa considerar não apenas a detecção do malware, mas também a contenção de contas, sessões e tokens comprometidos.
O que as organizações devem priorizar
A primeira medida é elaborar um inventário confiável de identidades. A empresa precisa saber quais usuários, fornecedores, aplicações e dispositivos podem acessar cada sistema.
Em seguida, é necessário aplicar o princípio do menor privilégio. Cada identidade deve possuir apenas as permissões indispensáveis para sua função, com revisões periódicas e prazo definido para acessos temporários.
Também devem ser priorizados:
1. MFA resistente a phishing em contas críticas;
2. proteção reforçada para administradores;
3. monitoramento de logins e alterações de privilégios;
4. bloqueio de autenticações incompatíveis com o comportamento habitual;
5. segmentação de redes e aplicações;
6. correção contínua de vulnerabilidades;
7. treinamento contra phishing e engenharia social;
8. testes de restauração de backups;
9. planos de resposta específicos para comprometimento de identidades;
10. integração entre equipes de segurança, infraestrutura, recursos humanos e gestão de riscos.
Conclusão
O dado de que 79% dos ataques de ransomware começam com identidades comprometidas revela uma transformação no modo como as invasões são conduzidas. O criminoso não depende exclusivamente de uma falha técnica: ele pode explorar uma senha, uma sessão, um privilégio excessivo ou uma decisão tomada sob pressão.
A proteção eficaz exige uma combinação de controles. Patches, antivírus e segurança de endpoints continuam necessários, mas precisam trabalhar ao lado de autenticação forte, PAM, análise comportamental, segmentação, monitoramento de sessões e backups isolados.
Em 2026, proteger a empresa contra ransomware significa proteger também as identidades que acessam seus sistemas. Quanto mais cedo uma organização identificar acessos anômalos e limitar privilégios, maiores serão as chances de interromper o ataque antes que ele alcance os dados e paralise as operações.