Ransomware Mira Pequenas Empresas com o Dobro da Força

O Inimigo Escolheu o Lado Mais Fraco

Quando o relatório anual da Verizon sobre violações de dados — o DBIR 2025 — revelou que 88% das invasões em pequenas e médias empresas envolvem ransomware, contra apenas 39% em grandes corporações, a mensagem foi clara e brutal: os criminosos digitais fizeram uma escolha estratégica, e essa escolha foi você.

Não é paranoia. É aritmética criminosa. PMEs oferecem dados valiosos, processos críticos e, na maioria dos casos, infraestrutura de segurança significativamente mais frágil. Para um grupo de ransomware operando como empresa — com divisão de tarefas, suporte técnico e metas de receita — atacar uma empresa de médio porte no Brasil, na Itália ou nos EUA é mais eficiente do que enfrentar o time de segurança de uma multinacional com dezenas de analistas e orçamento de oito dígitos.

A Lógica da Dupla Extorsão

O ransomware moderno não funciona mais como antes. A narrativa de "criptografaram meus arquivos, paguei o resgate, acabou" é um conto do passado.

Hoje, os atacantes operam com o que o setor chama de dupla extorsão: antes de criptografar qualquer coisa, eles extraem os dados. Contratos, dados de clientes, informações financeiras, propriedade intelectual. Depois vem a criptografia — e com ela, dois pedidos de resgate simultâneos: um para recuperar o acesso aos sistemas, outro para garantir que os dados roubados não sejam publicados ou vendidos.

Para uma PME, isso cria uma pressão existencial. Não estamos falando apenas de um sistema travado. Estamos falando de uma ameaça à reputação, a clientes, a contratos vigentes — e, em casos com dados pessoais envolvidos, a obrigações legais sob a LGPD.

Eu vejo esse cenário de perto no trabalho que fazemos com clientes no Brasil. A pergunta não é mais "será que vão me atacar?" A pergunta é "quando — e eu estou preparado?"

Por Que Pagar Não Resolve

A pressão para pagar é compreensível. Quando um sistema de ERP está bloqueado, quando pedidos não saem, quando a operação para — cada hora tem um custo real. A tentação de pagar para "resolver logo" é enorme.

Mas os dados são contundentes: pagar o resgate não garante recuperação completa dos dados, não elimina a ameaça e frequentemente sinaliza ao mercado criminoso que a empresa é um alvo pagador. Empresas que pagam são atacadas novamente com frequência desproporcional.

Além disso, dependendo do grupo criminoso envolvido, o pagamento pode configurar violação de sanções internacionais — uma camada de risco legal que poucos gestores de PME consideram.

O Que Realmente Funciona

A boa notícia — e existe uma — é que as medidas de proteção mais eficazes contra ransomware não exigem o orçamento de uma Fortune 500. Exigem disciplina, consistência e as ferramentas certas.

Backups offline, testados e recentes

Este é o ponto inegociável. Um backup que vive conectado à mesma rede que foi comprometida não é um backup — é uma segunda vítima esperando. Backups offline, com pelo menos uma cópia fora do ambiente de produção e testados regularmente para garantir que a restauração funciona, são a diferença entre uma interrupção de horas e uma crise de semanas.

EDR acessível já existe

Ferramentas de Endpoint Detection and Response (EDR) — que monitoram comportamentos suspeitos em tempo real, não apenas assinaturas de vírus conhecidos — deixaram de ser exclusividade de grandes empresas. Soluções como CrowdStrike Falcon Go, SentinelOne e outras opções de mercado médio estão ao alcance de PMEs com dezenas ou centenas de endpoints. O custo mensal por dispositivo é fração do custo de um único incidente.

Gestão de patches: a porta que ninguém fecha

A maioria dos ataques de ransomware bem-sucedidos não explora vulnerabilidades de dia zero. Eles exploram falhas conhecidas, com correções disponíveis há meses. Manter sistemas operacionais, softwares de terceiros e firmwares atualizados é uma das ações com maior retorno de segurança por unidade de esforço — e ainda assim é negligenciada sistematicamente.

A Decisão Que Ninguém Quer Tomar Até Ser Tarde

Na consultoria, eu aprendi que o maior obstáculo não é técnico. É psicológico. A maioria dos donos e diretores de PME sabe, em algum nível, que a proteção está aquém do necessário. O que falta é transformar esse conhecimento difuso em prioridade orçamentária concreta — antes do incidente.

O relatório da Verizon é um dado externo. O custo médio de um ataque de ransomware para PMEs — que inclui tempo de inatividade, recuperação, honorários jurídicos e danos reputacionais — frequentemente ultrapassa centenas de milhares de reais. O investimento preventivo é uma fração disso.

A pergunta para todo CEO e diretor de operações de PME hoje não é se cybersecurity é importante. É por que ainda não está na agenda desta semana.