Em junho de 2026, pesquisadores brasileiros da Vision Cybersecurity (spin-off da ISH Tecnologia) publicaram a análise do grupo Vect 2.0: um ransomware vendido como serviço por cerca de US$ 250 de entrada, que ataca Windows, Linux e VMware ESXi no mesmo golpe e mira educação, saúde, tecnologia, manufatura e energia no Brasil. O detalhe mais cruel é que o código tem falhas capazes de tornar os arquivos permanentemente irrecuperáveis — mesmo quem paga pode não receber os dados de volta. E, antes de criptografar, o grupo já levou uma cópia das informações. Esse é o retrato do ransomware 2.0, a dupla extorsão. Não é mais problema de grande corporação: em fevereiro de 2026 o Brasil registrou média de 3.736 ataques cibernéticos por semana por organização, alta de 37% em um ano, e em junho chegou ao 3º lugar mundial em novos casos de ransomware num único mês. A empresa de 40 funcionários entrou nessa conta.
O que mudou: de sequestro para chantagem dupla
O ransomware clássico criptografava seus arquivos e vendia a chave. A defesa era simples de explicar — tenha backup, restaure, ignore o criminoso. Foi por isso que a tática morreu. Hoje o invasor entra na rede, passa dias se movendo lateralmente, copia os dados sensíveis para fora e só então dispara a criptografia. Se você restaurar do backup, vem a segunda cobrança: pague ou publicamos a base de clientes, os contratos e a folha de pagamento no site de vazamento do grupo.
Isso virou padrão, não exceção. Segundo a seguradora Travelers, 87,6% dos sinistros de ransomware envolvem criptografia e exfiltração com ameaça de publicação ao mesmo tempo, e a proporção de intrusões com roubo de dados saltou de cerca de 57% em 2024 para 77% em 2025-2026. Há até a variação em que o criminoso nem criptografa: só rouba e chantageia — 6.182 casos assim em 2025, 23% a mais que no ano anterior.
Pense em um ladrão que invade o escritório à noite. Antes, ele trocava a fechadura das salas e vendia a chave nova; você chamava o chaveiro — o backup — e resolvia. Hoje ele troca a fechadura e sai com fotocópias do que estava nas gavetas. O chaveiro devolve o acesso às salas, mas não faz as cópias voltarem para a gaveta. Backup resolve disponibilidade; não resolve confidencialidade.
Por que a PME virou o alvo preferido
Não é azar — é matemática do atacante. O modelo RaaS (Ransomware as a Service) transformou o ataque em produto de prateleira: por algumas centenas de dólares, um afiliado sem conhecimento profundo aluga o painel, o malware e o site de vazamento, e fica com a maior parte do resgate. Com entrada barata, o volume compensa — e a empresa de médio porte tem dados valiosos o bastante para render pagamento e defesas fracas o bastante para não atrapalhar. Os pontos de entrada são quase sempre os mesmos, e nenhum é sofisticado:
- Credenciais roubadas ou vazadas reutilizadas em outro serviço;
- VPN e acesso remoto expostos na internet sem segundo fator;
- Servidores e firewalls com atualizações atrasadas;
- Phishing bem escrito, hoje com apoio de IA generativa;
- Contas de administrador compartilhadas entre várias pessoas.
A conta real de um ataque no Brasil
Estimativas para o varejo brasileiro em 2026 colocam o custo consolidado de um incidente entre R$ 6 milhões e R$ 7,19 milhões, somando recuperação técnica, faturamento perdido, sanções e reputação. Na PME, o resgate raramente é a maior linha — o que quebra o negócio é o tempo parado e o que vem depois. E aqui entra a parte que muitos descobrem tarde: a LGPD obriga, no artigo 48, a comunicar à ANPD e aos titulares os incidentes com risco relevante aos dados pessoais. Dupla extorsão é, por definição, vazamento de dados pessoais — o ataque deixa de ser problema de TI e vira problema jurídico e de imagem.
Como proteger sua empresa
1. Backup 3-2-1 com cópia imutável — e teste de restauração
Três cópias dos dados, em dois tipos de mídia, uma fora do ambiente. A camada que falta na maioria das PMEs é a imutabilidade (WORM): uma cópia que nem o administrador apaga dentro do prazo de retenção — porque o invasor procura o backup antes de criptografar. E backup nunca restaurado é hipótese, não plano: teste e cronometre, para saber seu RTO e RPO reais.
2. Feche a porta da frente com MFA
Habilite autenticação multifator em VPN, e-mail, acesso remoto e painéis administrativos, sem exceção para a diretoria. Tire da internet o que não precisa estar exposto e desative contas de ex-funcionários no dia do desligamento.
3. Detecte a exfiltração, não só a criptografia
Quando os arquivos travam, o roubo já aconteceu. É preciso enxergar a fase anterior: saída anômala de dados, ferramentas de administração usadas fora de hora, escalada de privilégio. Isso é trabalho de EDR/XDR com monitoramento 24/7, não de antivírus tradicional.
4. Reduza o alcance de cada conta
Aplique privilégio mínimo e segmente a rede. O estrago é proporcional ao que a conta comprometida enxerga — se o usuário do financeiro alcança o servidor de arquivos inteiro, o ataque também alcança.
5. Escreva o plano de resposta antes de precisar dele
Quem liga para quem, quem aciona o jurídico para o prazo da ANPD, qual sistema volta primeiro. Faça um simulado por ano: a decisão sobre pagar resgate não pode ser tomada às três da manhã, sem plano.
Pagar resolve?
Pagar compra uma promessa, não uma garantia — o Vect 2.0, cujo código pode destruir arquivos de forma irreversível, mostra que nem sempre existe volta. E nada impede o grupo de vender depois os dados que já copiou. A saída não é negociar melhor: é impedir que o invasor chegue lá e garantir que, se chegar, você volte a operar sem depender dele.
🔐 Sua empresa aguentaria uma semana parada e a base de clientes publicada na internet? Fale com os especialistas da Trinity TI e faça uma avaliação de risco de ransomware — backup imutável, MFA e monitoramento contínuo, no tamanho da sua operação.
