Ransomware em 2026: identidades comprometidas se tornam uma das principais portas de entrada
O cenário de ransomware está passando por uma mudança relevante. Embora vulnerabilidades de software, sistemas expostos à Internet e falhas de configuração continuem sendo vetores importantes, criminosos estão cada vez mais explorando algo que já existe dentro das organizações: identidades legítimas.
O State of Ransomware 2026, publicado pela Sophos, aponta que 79% dos ataques de ransomware analisados começaram com algum tipo de abordagem baseada em identidade. Em outras palavras, em grande parte dos incidentes, o atacante não precisou necessariamente “invadir” a organização da maneira tradicional: ele conseguiu se autenticar ou explorar mecanismos relacionados a identidades e acessos.
Essa mudança reforça um princípio que vem ganhando importância na arquitetura moderna de cibersegurança: a identidade está se tornando parte fundamental do perímetro de segurança.
O que significa dizer que 79% começam com identidades?
É importante interpretar corretamente o dado.
O estudo da Sophos não afirma simplesmente que “79% dos ataques começaram com uma senha roubada”. O indicador engloba diferentes formas pelas quais identidades são utilizadas ou comprometidas durante o acesso inicial.
Segundo a análise reproduzida pela Security Magazine, os criminosos utilizaram identidades para acessar:
- sistemas ou aplicações — 38%;
- dispositivos remotos — 30%;
- firewalls — 21%;
- VPNs — 8%;
- dispositivos IoT — 3%.
A pesquisa também identificou crescimento de vetores diretamente relacionados à obtenção ou utilização de credenciais. E-mails maliciosos apareceram em 26% dos incidentes, enquanto phishing chegou a 24%.
A conclusão é relevante: uma credencial válida pode permitir que o atacante pareça, inicialmente, um usuário legítimo.
Vulnerabilidades deixam de ser o único foco
Durante anos, uma parcela significativa das estratégias de proteção contra ransomware concentrou-se em gerenciamento de vulnerabilidades, patching, antivírus e proteção de endpoints.
Esses controles continuam essenciais.
Entretanto, o relatório da Sophos mostra uma alteração importante na distribuição das causas técnicas observadas. A exploração de vulnerabilidades conhecidas caiu de 32% em 2025 para 18% em 2026, enquanto e-mails maliciosos e phishing ganharam importância.
Isso não significa que as organizações devam reduzir investimentos em gestão de vulnerabilidades.
Significa que patching, isoladamente, não constitui uma estratégia suficiente de proteção contra ransomware.
A superfície de ataque precisa incluir também: Identidade → Autenticação → Privilégios → Sessões → Dispositivos → Aplicações → Dados
Outros estudos mostram que o problema é mais amplo
A tendência identificada pela Sophos aparece, com métricas diferentes, em outras pesquisas relevantes.
O Verizon Data Breach Investigations Report (DBIR) 2026, por exemplo, identificou no padrão System Intrusion uma divisão praticamente equivalente entre uso de credenciais roubadas e exploração de vulnerabilidades, ambos com 39% entre os vetores comuns de acesso inicial analisados nesse contexto. O relatório também destaca o uso de VPN, aplicações de acesso remoto e credenciais comercializadas por Initial Access Brokers (IABs).
Os números não contradizem os 79% da Sophos. Os estudos possuem datasets, classificações e metodologias diferentes, portanto não devem ser comparados como se medissem exatamente a mesma variável.
O ponto de convergência é que credenciais e identidades comprometidas são componentes críticos do ecossistema moderno de intrusão e ransomware.
Credenciais roubadas viraram uma mercadoria
Esse fenômeno é potencializado pela industrialização do cibercrime.
Infostealers, phishing, credential stuffing, vazamentos de bases de dados e malware especializado produzem enormes volumes de credenciais que posteriormente podem ser comercializados.
O relatório State of the Underground 2026, da Bitsight, identificou 2,8 bilhões de credenciais comprometidas em seu levantamento do ecossistema clandestino. O mesmo estudo registrou 6.883 ataques de ransomware e crescimento de 34% nos sites ativos de vazamento associados a ransomware.
Isso cria uma cadeia de ataque cada vez mais especializada: Infostealer / phishing → roubo de credenciais → comercialização do acesso → Initial Access Broker → operador de ransomware → escalada de privilégios → movimentação lateral → exfiltração → criptografia/extorsão
Nesse modelo, quem obtém o primeiro acesso à organização não precisa necessariamente ser quem executará o ransomware.
O acesso tornou-se uma mercadoria.
O mercado de Initial Access Brokers agrava o problema
O DBIR 2026 também chama atenção para os Initial Access Brokers (IABs) — grupos especializados em comprometer organizações e posteriormente vender esse acesso para outros criminosos.
Entre os tipos conhecidos de conexão oferecidos por esses intermediários analisados pelo Verizon DBIR, 44% estavam associados a VPN, seguidos por diferentes formas de acesso remoto, incluindo RDP, RDP Web e VNC.
Isso altera significativamente a dinâmica do ransomware.
Um atacante pode comprometer uma VPN ou conta corporativa hoje e vender o acesso posteriormente para outro grupo especializado em ransomware.
Por isso, um evento aparentemente simples de comprometimento de credenciais deve ser tratado como um possível precursor de um incidente muito mais grave.
A janela de reação está diminuindo
O M-Trends 2026, da Mandiant/Google Cloud, apresenta outro dado preocupante.
Segundo as investigações realizadas pela empresa, o tempo mediano entre a obtenção do acesso inicial por determinados atores e a transferência desse acesso para um segundo grupo caiu de mais de oito horas em 2022 para apenas 22 segundos em 2025.
Nas operações relacionadas a ransomware analisadas pela Mandiant, comprometimentos anteriores representaram 30% dos vetores iniciais observados, o dobro dos 15% registrados no ano anterior.
Essa velocidade tem consequências diretas para SOCs e equipes de resposta a incidentes.
Um alerta de login suspeito, comprometimento de endpoint ou infostealer não pode mais ser tratado isoladamente. Ele pode representar apenas o primeiro estágio de uma cadeia que rapidamente evoluirá para comprometimento de infraestrutura crítica.
MFA continua essencial — mas não resolve tudo
Um dos resultados mais interessantes do levantamento da Sophos é que MFA estava implementado de alguma forma em 97% dos incidentes nos quais credenciais comprometidas foram identificadas como causa raiz.
Isso não significa que MFA seja ineficaz.
O problema está em interpretar “a organização possui MFA” como equivalente a “todos os caminhos relevantes de autenticação estão adequadamente protegidos por MFA”.
Ambientes corporativos podem possuir exceções, protocolos legados, contas de serviço, VPNs, equipamentos de rede, aplicações antigas, mecanismos de recuperação de conta e outros caminhos que não recebem a mesma proteção.
Além disso, atacantes vêm utilizando técnicas capazes de contornar determinados modelos de MFA, incluindo phishing interativo, roubo de cookies de sessão, tokens OAuth, engenharia social contra help desks e manipulação de processos de recuperação de contas.
O M-Trends 2026 destaca especificamente ataques envolvendo voice phishing (vishing) contra equipes de suporte, além do roubo de tokens OAuth e cookies de sessão para contornar controles tradicionais de autenticação.
A proteção precisa migrar de “senha + MFA” para Identity Security
O cenário atual exige uma abordagem mais abrangente de Identity Security.
Entre os controles prioritários estão:
- MFA resistente a phishing;
- aplicação consistente de MFA em VPNs, aplicações, cloud e acessos administrativos;
- Single Sign-On (SSO) adequadamente protegido;
- Conditional Access;
- Identity Threat Detection and Response (ITDR);
- Privileged Access Management (PAM);
- princípio do menor privilégio;
- eliminação de privilégios administrativos permanentes;
- Just-in-Time (JIT) e Just-Enough-Administration (JEA), quando aplicáveis;
- monitoração de autenticações anômalas;
- detecção de impossible travel e mudanças incomuns de dispositivo;
- proteção de contas de serviço e identidades não humanas;
- rotação e gerenciamento de secrets;
- revisão periódica de privilégios;
- revogação rápida de sessões e tokens comprometidos.
O objetivo deixa de ser apenas impedir que uma senha seja descoberta.
A organização precisa conseguir determinar continuamente:
Quem está acessando?
De onde está acessando?
Por qual dispositivo?
Qual privilégio está sendo utilizado?
Esse comportamento é compatível com o perfil esperado daquela identidade?
PAM assume papel estratégico contra ransomware
O Gerenciamento de Acesso Privilegiado (Privileged Access Management – PAM) ganha importância particular nesse cenário.
Após obter uma conta comum, operadores de ransomware normalmente precisam ampliar sua capacidade dentro do ambiente.
A cadeia pode assumir a seguinte forma: Credencial comprometida → acesso inicial → descoberta → credential dumping → escalada de privilégios → conta administrativa → movimentação lateral → comprometimento de backup/virtualização → ransomware
Impedir ou dificultar a transição entre uma identidade comum e uma identidade privilegiada pode interromper a progressão do ataque.
Por isso, controles como segregação de contas administrativas, cofres de credenciais, rotação automática, MFA para acessos privilegiados, gravação de sessões, JIT e redução de privilégios permanentes possuem impacto direto na redução da superfície operacional disponível ao ransomware.
Ransomware agora também ataca a capacidade de recuperação
Outra evolução importante identificada pela Mandiant é que operadores de ransomware estão indo além da simples criptografia de endpoints.
Grupos vêm direcionando ataques contra: serviços de identidade, infraestrutura de virtualização e sistemas de backup.
O objetivo é comprometer a capacidade de recuperação da organização antes de executar a fase final da extorsão.
Isso significa que Active Directory, Entra ID, hypervisors, consoles administrativos e infraestrutura de backup devem ser tratados como ativos de criticidade elevada — em muitos ambientes, verdadeiros componentes Tier 0.
A proteção contra ransomware passa, portanto, por dois pilares simultâneos: Identity Security + Cyber Resilience.
O impacto continua elevado
O estudo da Sophos também constatou que 56% das organizações atingidas tiveram dados criptografados, revertendo uma tendência de queda observada nos dois anos anteriores.
Em 16% dos incidentes, os dados foram simultaneamente roubados e criptografados.
Entre organizações que tiveram dados criptografados, 48% pagaram o resgate, mantendo a taxa média dos últimos quatro anos próxima de 50%.
Os números mostram que ransomware continua sendo muito mais do que um problema de malware.
Trata-se de uma operação de comprometimento empresarial envolvendo identidade, endpoints, infraestrutura, privilégios, dados, backups e capacidade de recuperação.
O que as organizações deveriam priorizar
A resposta ao cenário apresentado pelos relatórios não deve ser abandonar controles tradicionais, mas ampliar a arquitetura defensiva.
Uma estratégia consistente deveria conectar: Identidade → Endpoint → Rede → Cloud → Dados → Backup → Detecção → Resposta → Recuperação
Em termos de gestão de riscos, o raciocínio pode ser estruturado da seguinte maneira:
Risco: comprometimento de identidade legítima.
Controle: MFA resistente a phishing, PAM, Conditional Access, menor privilégio e ITDR.
Implementação: proteção de todas as superfícies de autenticação e eliminação de privilégios permanentes desnecessários.
Evidência: logs de autenticação, inventário de contas privilegiadas, políticas de acesso, relatórios de revisão e registros do SIEM.
Monitoramento: correlação contínua de autenticação, comportamento da identidade, endpoints e movimentação lateral.
Essa integração é importante porque, quando o atacante utiliza credenciais legítimas, um evento de autenticação isoladamente pode parecer perfeitamente normal.
É a correlação do contexto que permite identificar o comportamento malicioso.
Conclusão
O dado de que 79% dos ataques de ransomware analisados pela Sophos começaram com abordagens relacionadas a identidades representa mais do que uma nova estatística de segurança.
Ele evidencia uma transformação na superfície de ataque.
Durante muito tempo, a estratégia defensiva foi construída principalmente ao redor de redes, endpoints e vulnerabilidades. Esses componentes continuam indispensáveis, mas o crescimento do abuso de credenciais demonstra que identidades precisam receber nível equivalente de proteção, monitoração e governança.
Ao mesmo tempo, dados do Verizon DBIR, Mandiant M-Trends e outras pesquisas mostram um ecossistema de cibercrime cada vez mais especializado, no qual credenciais são roubadas, acessos são comercializados e operadores de ransomware podem assumir ambientes previamente comprometidos em questão de segundos.
Para organizações que desejam aumentar sua resiliência, a pergunta deixa de ser apenas: “Nossos sistemas estão atualizados?”
E passa também a incluir: “Conseguiríamos detectar se um atacante estivesse utilizando uma identidade legítima dentro da nossa infraestrutura neste momento?”
Essa talvez seja uma das perguntas mais importantes para a estratégia de proteção contra ransomware em 2026.
Referências
-
Security Magazine — “79% of Ransomware Attacks Start with Compromised Identities”
Fonte original que motivou esta análise. -
Sophos — State of Ransomware 2026
Pesquisa que identificou a predominância de abordagens baseadas em identidade nos ataques analisados. -
Verizon — 2026 Data Breach Investigations Report (DBIR)
Dados sobre credenciais roubadas, exploração de vulnerabilidades, ransomware e Initial Access Brokers. -
Google Cloud / Mandiant — M-Trends 2026
Análise baseada em mais de 500 mil horas de investigações de incidentes realizadas em 2025. -
Bitsight — State of the Underground 2026
Pesquisa sobre mercados clandestinos, credenciais comprometidas e atividade de ransomware. -
Infosecurity Magazine — “Compromised Logins Surge as the Most Common Entry Point for Ransomware Attacks”
Cobertura independente dos resultados do State of Ransomware 2026.
Clique e fale com representante oficial Netwrix Endpoint Protector
Veja também:
- AWS Kiro: quando uma página maliciosa transforma Prompt Injection em execução de código
- Pentest em Sistemas de IA
- Microsoft SharePoint sob ataque: CVE-2026-50522 permite execução remota de código e exige ação imediata
- Amatera Stealer usa blockchain para ocultar servidores C2
- Ransomware em 2026: número de vítimas bate recorde
- Top 10 Malware usados por Hackers
- O resgate não é o custo do ransomware
- Microsoft Defender pode ser transformado em arma contra EDR e antivírus
- Shadow AI: 47% do uso corporativo de IA ocorre em contas pessoais
- Cibersegurança: 95% das equipes enfrentam lacunas de habilidades
- Credenciais móveis avançam como pilar da segurança bancária
- Ransomware mira backups em 96% dos ataques
Be the first to comment