Empresas brasileiras estão pagando, em média, R$ 4,2 milhões por resgate de dados por ransomware
Depois de picos de ataques do tipo ransomware durante a pandemia da Covid-19, agora os números se estabilizaram e houve até queda. Mas a diferença deve-se mais a uma mudança de comportamento dos cibercriminosos.
“Vemos um direcionamento maior dos ataques buscando empresas com mais capital, mas com times de tecnologia não tão grandes. E o Brasil está, cada vez mais, no cenário de direcionamento de ataque, com foco em empresas com mais de mil usuários, grande faturamento e equipe enxuta de TI”, comparou André Carneiro, diretor-sênior da Sophos no Brasil, durante a apresentação para a imprensa da pesquisa Estado do Ransomware 2024, encomendada pelo fabricante. Realizada entre janeiro e fevereiro de 2024, os entrevistados foram solicitados a responder com base em suas experiências de 2023.
Na comparação com outros países, o Brasil tem a menor taxa de ataque de ransomware: 59% das organizações globais disseram ter sido atacadas contra 44% no País. Em 2023, o porcentual era de 66% global e 68% no Brasil. Houve, portanto, uma queda nos ataques e ela está relacionada ao fato de que os criminosos estão direcionando os ataques. “Quanto maior a receita, maior é o porcentual de ataques. Os atacantes miram a receita para direcionar ataques”, disse André Carneiro.
Outro aspecto está no aumento de 500% no valor do pedido pagamento de resgates, alcançando uma mediana global de US$ 2 milhões — US$ 840 mil no Brasil, sendo que 80% dos resgates foram de US$ 500 mil ou mais —, número muito acima dos US$ 400 mil, segundo a pesquisa anterior. A média foi de US$ 4,321 milhões global e US$ 1,328 milhão no Brasil. A empresa entendeu como mediana o montante que está no meio entre o menor valor pago e o mais alto — e não a média aritmética dos valores.
O relatório de 2024 também apontou que, globalmente, 63% dos pedidos de resgate no mundo no ano passado foram de pelo menos US$ 1 milhão, sendo 30% de mais de US$ 5 milhões, o que sugere que os atacantes estão buscando grandes pagamentos. Contudo, esses valores mais altos não são apenas para as organizações com maior receita. Quase metade (46%) das empresas com receita inferior a US$ 50 milhões recebeu ao menos um pedido de resgate de sete dígitos em 2023.
E há uma diferença: o valor pedido de resgate não necessariamente é o que as organizações acabam, de fato, pagando. A pesquisa mostrou que 83% de quem está chegando à fase de pedido está pagando o resgate. “Esse é um índice muito alto, as companhias brasileiras indo para resgate o que incentiva os atacantes a seguirem com os ataques”, analisou Carneiro.
Com isso, o montante do resgate acaba sendo superior ao solicitado — em 110% no caso do Brasil, um contraste em relação à diminuição de 6 pontos porcentuais globais (94% atualmente). “Quando você começa esta negociação, lá fora quem a conduz são especialistas em negociação, que entendem como os grupos atuam. Não é raro ver ataques que começam com resgate de um valor e, com a demora, tem extorsão dos valores que vão aumentando. Precisa de serviço especializado no Brasil para negociação com os grupos”, apontou o executivo.
Empresas com maior faturamento viram aumento de resgate. Entre as corporações com faturamento de US$ 5 bilhões ou mais, a proporção entre o pedido e o pagamento foi de 115% (portanto, mais do que solicitado), enquanto as companhias com receitas de US$ 1 bilhão a US$ 5 bilhões foi de 85%. Entre as organizações brasileiras, 31% dos pagamentos de resgate foram financiados por múltiplas fontes, consideravelmente abaixo da média global de 82%. Os provedores de seguro cibernético contribuíram para o resgate em 31% dos incidentes, mas nunca pagaram o resgate total.
Sem considerar os pagamentos de resgate, a conta média contraída pelas organizações brasileiras para se recuperar de um ataque de ransomware foi de US$ 2,73 milhões, um aumento considerável em relação aos US$ 1,92 milhão registrados no levantame nto de 2023. Isso inclui custos de tempo de inatividade, tempo das pessoas, custo do dispositivo, custo da rede, perda de oportunidades etc.
A pesquisa também apontou que as companhias brasileiras estão ficando mais lentas na recuperação de ataques, visto que 28% se recuperaram totalmente em até uma semana, em comparação com 47% do estudo de 2023, e 38% levaram de um a seis meses, um aumento em relação aos 30% do ano anterior.
“As empresas não têm de esperar os ataques acontecerem; eles têm de ser impedidos antes de ocorrerem. As companhias precisam ter segurança mais robusta nas ferramentas que usam, aumentar o controle e a eficácia. Façam o planejamento com se fossem vítimas de ataques”, advertiu André Carneiro.
