Como proteger sua empresa contra ransomware em 2026?
A proteção contra ransomware mudou.
Durante muito tempo, a preocupação principal era impedir que um arquivo malicioso chegasse ao computador de um usuário. Em 2026, esse ainda é um risco — mas representa apenas uma parte do problema.
Ataques atuais podem começar por credenciais comprometidas, vulnerabilidades em serviços expostos, acessos remotos, aplicações SaaS e outros recursos legítimos da própria infraestrutura.
Depois do primeiro acesso, o invasor pode tentar avançar pelo ambiente, elevar privilégios, localizar backups e copiar informações antes mesmo de iniciar a criptografia.
E esse processo está ficando mais rápido.
Segundo o CrowdStrike Global Threat Report 2026, o tempo médio de breakout observado em atividades de cibercrime caiu para 29 minutos em 2025.
Ou seja: em determinados ataques, a janela entre o primeiro comprometimento e a movimentação para outros sistemas pode ser inferior a meia hora.
Essa mudança exige uma estratégia de proteção que considere prevenção, detecção, contenção e recuperação.
O ransomware de 2026 não busca apenas criptografar arquivos.
A criptografia ainda é uma das consequências mais visíveis de um ataque, mas não necessariamente o principal objetivo.
O Microsoft Digital Defense Report 2025, referência mais recente publicada pela empresa, aponta que 80% dos incidentes analisados envolveram tentativa de roubo de dados. Extorsão e ransomware também representaram mais de 52% dos ataques com motivação conhecida.
Isso muda a pergunta que uma empresa precisa fazer.
Não basta:
“Meu backup consegue restaurar os arquivos?”
Também é necessário perguntar:
“Conseguiríamos detectar alguém acessando nossos dados antes da criptografia?”
É justamente por isso que uma estratégia baseada apenas em antivírus e backup pode deixar pontos importantes descobertos.
Por que identificar qual ransomware atacou a empresa?
A criptografia costuma ser o momento em que o ataque se torna evidente, mas o comprometimento pode ter começado muito antes.
Durante uma intrusão, criminosos podem obter credenciais, acessar servidores, realizar movimentação lateral, comprometer backups e até extrair informações antes da execução do ransomware.
Identificar a ameaça ajuda a relacionar as evidências encontradas no ambiente a comportamentos conhecidos e, principalmente, a avaliar quais caminhos de contenção e recuperação fazem sentido naquele caso.
Também é fundamental verificar se existe alguma ferramenta de descriptografia compatível com a variante identificada.
🔗 Saiba quando é possível recuperar arquivos após um ataque de ransomware.
O que é o ransomware Akira?
O Akira é uma operação de ransomware identificada em 2023 e associada a ataques contra organizações de diferentes setores.
Além da criptografia dos sistemas, campanhas ligadas ao Akira também podem envolver roubo de informações antes da indisponibilidade dos arquivos, aumentando o impacto do incidente.
A operação evoluiu ao longo do tempo, incluindo diferentes versões e capacidade de atingir ambientes Windows, Linux e infraestrutura VMware ESXi. Autoridades internacionais continuaram atualizando seus alertas sobre novas técnicas e variantes do Akira, reforçando que ataques com o mesmo nome não devem ser considerados tecnicamente idênticos.
Em alguns incidentes, extensões associadas ao Akira podem aparecer nos arquivos criptografados. Porém, a extensão sozinha não confirma a identificação.
Logs, nota de resgate, processos executados, credenciais utilizadas e outras evidências também precisam ser considerados.
Atenção na resposta a incidentes: A presença de uma extensão específica nos arquivos criptografados pode indicar a presença do Akira, mas não basta por si só para fechar o diagnóstico. Uma identificação precisa exige a análise do conjunto de evidências — incluindo logs de rede, nota de resgate, artefatos de persistência, processos executados e credenciais comprometidas.
O que é o ransomware LockBit?
O LockBit é uma das operações de ransomware mais devastadoras e resilientes do cibercrime global.
Sua operação funciona no modelo Ransomware-as-a-Service (RaaS), no qual uma estrutura central fornece o malware e a infraestrutura para diferentes afiliados executarem os ataques.
Entender o modelo RaaS é fundamental: como cada afiliado possui suas próprias estratégias, nem todos os ataques seguem o mesmo padrão. A CISA e órgãos internacionais alertam para uma enorme variação de Táticas, Técnicas e Procedimentos (TTPs) observadas no ecossistema da gangue.
Evolução e Versões
Ao longo dos anos, o grupo reescreveu seu código e expandiu seu alcance:
Atenção na resposta a incidentes:
Assim como ocorre com o Akira e outros grupos de destaque, a identificação precisa do LockBit deve considerar o conjunto de evidências da invasão (artefatos, logs de rede e comportamento), e jamais basear-se unicamente em uma extensão de arquivo ou nota de resgate deixada no servidor.
O que é o ransomware Medusa?
O Medusa é uma operação de ransomware observada desde 2021.
Em março de 2025, FBI, CISA e MS-ISAC publicaram um alerta conjunto sobre a ameaça após registrarem ataques contra centenas de vítimas, incluindo organizações de setores considerados críticos.
O ataque pode envolver não apenas criptografia, mas também extração de informações e extorsão da vítima.
Entre os acessos associados às campanhas estão credenciais comprometidas e exploração de vulnerabilidades, reforçando novamente que a criptografia pode representar apenas a parte mais visível da invasão.
Atenção na resposta a incidentes:
A criptografia de arquivos costuma ser apenas a fase final e mais visível do ataque Medusa. A contenção e investigação do incidente não devem focar apenas na recuperação dos arquivos, mas sim na varredura completa da rede para identificar o vetor de invasão, mapear o volume de dados exfiltrados e eliminar eventuais artefatos de persistência mantidos pelos atacantes.
Medusa e MedusaLocker são o mesmo ransomware?
Não!
Apesar dos nomes semelhantes, Medusa e MedusaLocker são ameaças diferentes.
Essa distinção é importante principalmente quando a empresa pesquisa ferramentas de recuperação ou indicadores técnicos. Confundir as duas famílias pode levar à tentativa de utilizar informações ou soluções que não correspondem ao incidente real.
Direcionamento na resposta a incidentes:
Jamais assuma que um incidente seja “MedusaLocker” apenas ao ouvir o nome “Medusa” em relatórios ou matérias de inteligência.
Valide a amostra do malware, o formato das notas de resgate e a infraestrutura de pagamento/extorsão para identificar com precisão qual é o grupo atacante.
Akira x LockBit x Medusa: quais são as principais diferenças?
| Característica | Akira | LockBit | Medusa |
|---|---|---|---|
| Criptografia de arquivos | Sim | Sim | Sim |
| Roubo de dados associado a ataques | Sim | Sim | Sim |
| Dupla extorsão | Pode ocorrer | Pode ocorrer | Pode ocorrer |
| Diferentes variantes ou versões | Sim | Sim | Sim |
| Pode atingir ambientes corporativos | Sim | Sim | Sim |
| Pode ser identificado apenas pela extensão? | Não | Não | Não |
| Possui recuperação garantida? | Não | Não | Não |
Como identificar qual ransomware criptografou os arquivos?
Não existe uma única evidência capaz de confirmar todos os casos. A identificação pode considerar a extensão adicionada aos arquivos, o nome e o conteúdo da nota de resgate, identificadores e canais de contato, logs de servidores e endpoints, acessos e autenticações suspeitas, processos executados, ferramentas utilizadas durante o ataque, amostras do malware e o comportamento observado antes da criptografia.
Um dos erros mais comuns é pesquisar somente a extensão encontrada nos arquivos e assumir que o primeiro resultado corresponde ao ransomware do incidente. Extensões podem mudar entre variantes, ser personalizadas ou até apresentar semelhanças com outras ameaças.
Quanto mais evidências forem preservadas, maior será a possibilidade de realizar uma identificação consistente.
Existe decrypter para Akira, LockBit ou Medusa?
O que fazer depois de identificar o ransomware?
Quando procurar ajuda especializada?
O apoio especializado é especialmente importante quando a empresa não consegue identificar com segurança qual ransomware atingiu o ambiente, qual variante está envolvida, se ainda existe acesso indevido, se os backups podem ser utilizados, se há um decrypter compatível ou qual estratégia oferece menor risco para recuperar os arquivos.
Quanto mais alterações forem realizadas antes dessa análise, maior pode ser a dificuldade para preservar evidências, compreender o incidente e definir os próximos passos com segurança.
Nesses casos, contar com uma análise técnica especializada pode acelerar a identificação da ameaça e orientar a contenção e a recuperação do ambiente.
Akira, LockBit e Medusa podem produzir consequências semelhantes, mas são ameaças diferentes e podem exigir estratégias distintas de investigação e recuperação.
A presença de arquivos criptografados, uma extensão específica ou uma nota de resgate pode fornecer pistas, porém a identificação precisa considerar o conjunto de evidências do ambiente.
Mais importante do que simplesmente descobrir o nome do ransomware é entender como o invasor entrou, até onde conseguiu chegar e quais caminhos de recuperação continuam disponíveis.