O documento O Estado do Ransomware no Brasil 2026, da Sophos, ouviu 71 líderes de TI brasileiros que sofreram um ataque no último ano. Dois números contam a mesma história por lados opostos: 85% recuperaram os dados criptografados a partir de backup — 73% no relatório anterior — e 45% ainda pagaram o resgate, contra 66%.
Se quase todo mundo tinha backup, por que quase metade pagou mesmo assim?
O resgate perdeu força e ficou mais caro
O valor mediano exigido no Brasil saltou para US$ 640 mil, alta de 63% em um ano. Não é preço para decisão tomada às três da manhã, sob pressão, sem alternativa testada.
O custo médio de recuperação — sem contar resgate — ficou em US$ 1,05 milhão: inatividade, horas de equipe, equipamento, rede, oportunidade perdida. Esse a empresa paga de qualquer forma.
E um dado novo muda o lugar do problema: 74% disseram que o ataque de ransomware foi o mesmo evento que o ataque de identidade mais significativo que sofreram. O ransomware deixou de ser o começo da história: é o fim dela, depois que uma credencial caiu.
O que o backup não resolve
Em 38% dos ataques que criptografaram dados houve também roubo de dados — quase o dobro dos 22% do ano anterior.
Com dado pessoal fora da empresa, o relógio da LGPD começa a correr: restaurar devolve a operação, não o que já foi copiado. Pagar o resgate não compra silêncio, compra uma promessa de quem invadiu.
Ter e voltar são coisas diferentes
58% recuperaram em até uma semana. 18% levaram de um a seis meses.
Os dois grupos provavelmente têm backup. O que os separa é em quanto tempo a volta acontece e quem sabe executá-la. Retenção que ninguém revisou, cópia dentro da mesma rede, restauração que sempre dependeu de uma pessoa só — nada disso aparece no relatório diário, que segue dizendo “sucesso”.
A pergunta que separa os 85% dos 45%
Pergunte à sua equipe, ou ao seu fornecedor: quando foi a última restauração completa de um servidor de produção, quanto tempo levou e quem executou? Se a resposta citar o relatório, você não tem backup testado — tem uma rotina que roda.
O mínimo que sustenta essa resposta por escrito:
- Retenção imutável ou cópia fora do alcance da rede, definida em contrato e conferida.
- Teste de restauração em calendário, com registro do que foi restaurado, em quanto tempo e por quem.
- Um responsável nomeado por executar o procedimento — não “o pessoal de TI”.
- MFA em todos os acessos, incluindo os administrativos e os de fornecedor.
- Procedimento de resposta impresso, que funcione sem depender de quem está de férias.
Nenhum dos cinco exige ferramenta nova. Exigem alguém responsável por fazê-los e por comprovar que foram feitos.
A defesa que devolve a operação sem depender de quem atacou é uma cópia que já foi restaurada antes, por alguém que sabia onde ela estava. É isso que uma rotina de backup gerenciado coloca por escrito: o que é copiado, por quanto tempo fica guardado e quando a restauração foi testada pela última vez.
Fonte dos dados: documento técnico “O Estado do Ransomware no Brasil 2026” (Sophos, julho de 2026). Pesquisa independente com 2.158 líderes de TI no mundo, 71 deles no Brasil, realizada entre janeiro e março de 2026.
Quer avaliar isso no seu ambiente?
O diagnóstico é sem custo e termina com um plano por escrito, com prioridades e prazos.