Estado do ransomware em 2026

O relatório anual de ameaças da ARX consolida 14 meses de telemetria de clientes, resposta a incidentes e inteligência aberta. O retrato de 2026 tem três eixos: o e-mail voltou ao centro, a identidade virou o alvo preferencial e o prejuízo cresceu mesmo com menos pagamentos de resgate.

O e-mail voltou a ser o principal vetor de ataque

Depois de dois anos em queda, o phishing retomou a liderança entre os vetores de acesso inicial. A diferença é a qualidade: mensagens escritas por modelos de linguagem passaram a reproduzir o tom interno da organização, incluindo assinaturas, siglas de projeto e o horário típico do remetente.

Não é mais o e-mail com erro de português. É o e-mail que parece ter vindo do seu diretor, na terça de manhã, sobre o projeto certo.

Na prática, o filtro técnico continua necessário mas deixou de ser suficiente. O que separa as organizações que contiveram o incidente das que não contiveram foi o tempo entre o clique e a detecção — não o clique em si.

Ataques baseados em identidade dominam o cenário

Em 62% dos incidentes analisados, o atacante não explorou nenhuma vulnerabilidade: usou uma credencial válida. Contas de serviço sem rotação, integrações de terceiros com escopo amplo demais e sessões que nunca expiram foram as três portas mais comuns.

• Credenciais de fornecedor sem rotação há mais de 12 meses
• Tokens de integração com escopo de administrador
• Sessões persistentes em dispositivos não gerenciados
• Contas de ex-colaboradores ainda ativas em SaaS periféricos

Ter MFA não significa estar protegido

O segundo fator é eficaz contra o roubo de senha, não contra o roubo de sessão. Nas campanhas observadas, o atacante interceptou o cookie de sessão já autenticado — o MFA foi cumprido pela própria vítima, e o acesso seguiu válido por semanas.

Os pagamentos diminuíram, mas os prejuízos continuam crescendo

A proporção de vítimas que pagaram caiu pelo terceiro ano seguido. O custo médio do incidente, porém, subiu 18%: o dinheiro migrou do resgate para a recuperação, a resposta jurídica e a perda de receita durante a parada.

O lado positivo

Backups testados e planos de recuperação exercitados deixaram de ser exceção nas empresas de médio porte. Onde havia ensaio, o tempo de retorno caiu pela metade.

O lado preocupante

Pequenas empresas concentram hoje a maior taxa de incidentes com parada superior a cinco dias — justamente onde a estrutura de resposta é menor.

O que a sua empresa pode aprender com esse cenário

Três movimentos concentram a maior parte do ganho: reduzir o tempo entre detecção e resposta, tratar identidade como perímetro e ensaiar a recuperação antes de precisar dela. Nenhum dos três depende de comprar mais ferramentas.