Detecção precoce muda o jogo no ransomware na indústria
O mais recente relatório Sophos State of Ransomware in Manufacturing and Production 2025 revela um cenário de transformação no ransomware na indústria. As empresas de manufatura e produção estão interrompendo mais ataques antes da fase crítica de criptografia de dados, mas os cibercriminosos responderam com táticas mais agressivas de roubo de informações e extorsão.
De acordo com o levantamento, apenas 40% dos ataques contra empresas industriais resultaram na criptografia de dados, o menor índice em cinco anos e uma queda acentuada frente aos 74% observados no período anterior. A redução está diretamente ligada a uma maior capacidade de detecção precoce, que permite interromper invasões antes da fase mais destrutiva.
O movimento defensivo, no entanto, deslocou a estratégia dos criminosos. Os ataques focados exclusivamente em extorsão, sem criptografia, ganharam espaço, e o vazamento de dados passou a ser usado como pressão adicional contra as vítimas. O relatório mostra que 39% das organizações industriais que tiveram dados criptografados também sofreram vazamento de informações, uma das taxas mais altas entre todos os setores analisados.
Queda na criptografia, alta na dupla extorsão e grupos mais ativos
O avanço das defesas aparece em outro dado relevante. Metade das empresas conseguiu interromper o ataque antes da criptografia, mais que o dobro do registrado no ano anterior, evidenciando a evolução das práticas de cibersegurança industrial. Mesmo assim, o ransomware na indústria não arrefeceu, apenas mudou de forma, com o roubo de dados assumindo protagonismo.
No monitoramento mais recente, o time Sophos X-Ops identificou 99 grupos distintos de ransomware mirando o setor industrial em sites de vazamento de dados. Entre os mais ativos estão Akira, Qilin e PLAY. Em mais da metade dos incidentes atendidos pela equipe de resposta a incidentes da Sophos, os atacantes combinaram roubo e criptografia de dados, reforçando o uso da chamada dupla extorsão.
Para além dos números, o relatório destaca uma pressão operacional permanente nas empresas de manufatura. A interconexão de sistemas, característica do ambiente industrial, amplia o impacto de qualquer interrupção e mantém os ataques de ransomware na indústria entre as ameaças mais críticas para o setor.
Impacto financeiro, pagamento de resgate e recuperação
Mesmo com a melhora na detecção, os custos permanecem elevados. Mais da metade das organizações industriais que tiveram dados criptografados optou por pagar o resgate, com valor médio desembolsado de US$ 1 milhão, muito próximo à quantia exigida pelos atacantes. Em paralelo, os custos de recuperação, excluindo o pagamento do resgate, apresentaram melhora e caíram 24%, para uma média de US$ 1,3 milhão.
O ritmo de retorno às operações também evoluiu. Segundo o estudo, 58% das empresas relataram recuperação completa em até uma semana. Esse resultado indica que o investimento em planos de resposta a incidentes, somado ao fortalecimento de controles preventivos e de monitoramento contínuo, contribui para reduzir o tempo de indisponibilidade e os danos operacionais.
Apesar disso, o relatório alerta que, enquanto persistirem os incentivos financeiros e a eficácia de táticas como o vazamento de dados, o ransomware na indústria continuará impondo custos e riscos relevantes. A combinação de criptografia com exposição pública de dados confidenciais cria um cenário de alta pressão, que tende a aumentar as taxas de pagamento e a complexidade da recuperação.
Fatores internos, pressão sobre equipes e prioridades de defesa
Os pesquisadores apontam que fatores internos ainda contribuem para o sucesso dos ataques. Entre os principais estão a falta de expertise especializada, brechas de segurança desconhecidas e proteção insuficiente. Esses elementos, somados a ambientes industriais altamente conectados, ampliam a superfície de ataque e exigem vigilância constante.
Os impactos humanos também são significativos. Além das perdas financeiras, os incidentes de ransomware na indústria elevam o estresse das equipes de TI e segurança, aumentam a pressão da liderança e, em alguns casos, provocam mudanças na alta gestão após os ataques. Como resume Alexandra Rose, diretora de Pesquisa de Ameaças da Sophos Counter Threat Unit, “Embora metade das empresas tenha conseguido interromper os ataques antes da criptografia, os custos de recuperação ainda são altos e a pressão da liderança permanece significativa”.
O relatório reforça que a melhor resposta é combinar defesas em camadas, monitoramento 24×7 e planos de resposta bem testados. A recomendação é priorizar detecção precoce e contenção rápida, fortalecer a segurança de endpoints e redes, revisar continuamente controles de acesso e gestão de vulnerabilidades, além de treinar equipes e realizar simulações de crise.
Com esse conjunto de medidas, as empresas de manufatura e produção tendem a reduzir o impacto operacional e financeiro do ransomware na indústria, mitigando o risco de interrupções e de danos reputacionais causados por roubo de dados e dupla extorsão.