Pela primeira vez desde que esses dados começaram a ser compilados, o Brasil apareceu entre os dez países mais atingidos por ransomware no mundo. Foram cerca de 99 ataques só entre janeiro e o início de julho de 2026, volume que já representa dois terços de tudo o que o país registrou no ano passado inteiro e que nos coloca na liderança isolada da América Latina. O custo médio de um único incidente para uma empresa de médio porte pode passar de R$ 1,4 milhão, somando parada operacional, recuperação, honorários e estrago de imagem. Diante desse cenário, quase toda empresa que atendo faz a mesma afirmação tranquilizadora: “mas nós temos backup”. E é justamente aí que mora o problema.
Ter backup e ter resiliência são coisas diferentes. O Gartner, no relatório Build Adaptive Cyber Resilience to Thrive Amid Volatility, trata resiliência como a capacidade de antecipar, resistir e se recuperar de um incidente, não apenas de tentar preveni-lo, e observa que boa parte das organizações ainda falha na execução da continuidade de negócios quando o ataque acontece de verdade. No How to Prepare for Ransomware Attacks, a recomendação é de recuperação em camadas, validada por testes reais de restauração, e não por um plano que dorme numa gaveta esperando o dia em que ninguém vai ter tempo de lê-lo. A diferença é medida por um número que pouca gente sabe responder de cabeça: o RTO, o tempo objetivo de recuperação. Quanto tempo, com o relógio correndo, a sua empresa leva para voltar a operar? Restaurar dados não é o mesmo que restaurar a operação.
O que vejo no mercado brasileiro confirma o tamanho do ponto cego. As táticas que dominam os ataques de 2026 por aqui são conhecidas: dupla extorsão, abuso de credenciais corporativas vazadas e invasão de VPNs sem autenticação multifator. Grupos que operam no modelo de ransomware como serviço industrializaram a extorsão, e o backup, quando existe, quase nunca é testado sob condição real de incidente. Muita empresa descobre no pior momento possível que a cópia estava na mesma rede que foi criptografada, que a última restauração completa nunca foi cronometrada, ou que o processo inteiro depende de uma única pessoa que está de férias. Backup que nunca foi testado é fé, não é controle.
Já abordei aqui na coluna o ransomware destrutivo, quando falei do VECT 2.0 e do fim da lógica do pague e recupere, e também da dupla extorsão que transforma o vazamento em alavanca junto à ANPD. Esses dois pontos convergem para a mesma conclusão: se o pagamento não garante mais a volta, a única saída confiável é a recuperação testada. Na prática, isso significa quatro disciplinas simples e contínuas. Segregar o backup do ambiente de produção, para que a mesma invasão não leve o original e a cópia juntos. Torná-lo imutável, de modo que nem uma credencial de administrador comprometida consiga apagá-lo. Medir o RTO de verdade, com exercícios de restauração cronometrados, e não com estimativas otimistas. E ensaiar o incidente com o time do jeito que se ensaia evacuação de incêndio, porque plano nenhum sobrevive ao primeiro contato com a crise se nunca foi treinado.
Tratar backup como resiliência é mudar a pergunta que se leva à mesa. Não é mais “temos cópia dos dados?”, e sim “em quantas horas voltamos a faturar, e alguém já cronometrou isso?”. Enquanto essa resposta for um palpite, e não um número validado, a sua continuidade de negócio é uma aposta. Se um ransomware criptografasse o seu ambiente principal esta noite, você conseguiria dizer ao seu conselho, com precisão, a que horas de amanhã a empresa estaria operando de novo? Agradeço por acompanhar mais um artigo do Café com Bytes. Se esse tema fizer sentido para alguém da sua rede, compartilhe e deixe seu comentário.
Rodrigo Rocha
Co-fundador e Head de Soluções de Cibersegurança da Gruppen it Security
Fontes
- Gartner, Build Adaptive Cyber Resilience to Thrive Amid Volatility (relatório licenciado, sem link)
- Gartner, How to Prepare for Ransomware Attacks (relatório licenciado, sem link)
- Brasil entra na lista dos 10 países com mais ataques de ransomware (TI Inside)
- Brasil lidera ataques de ransomware na América Latina (CISO Advisor)
- Custo do ransomware no varejo brasileiro em 2026 (VIVA Security)
