O Que a Sophos Acertou Sobre o Ransomware em 2025 — E a Pergunta Sobre Backup Que Ninguém Está a Fazer

Um Número Silencioso Que Devia Estar a Soar o Alarme

Todos os anos, a Sophos publica o seu relatório State of Ransomware, baseado num inquérito independente de fornecedores a milhares de líderes de TI e cibersegurança. A edição de 2025 inquiriu 3.400 participantes em 17 países, incluindo 1.733 de organizações empresariais (1.000+ colaboradores). As conclusões principais são de leitura convincente: as taxas de encriptação de dados estão a cair, a recuperação está a tornar-se mais rápida, e mais organizações estão a recusar-se a pagar o resgate.

Mas, escondido nos dados empresariais, está um número que devia estar no quadro branco de todos os CISO:

A utilização de backups para recuperar de ataques de ransomware caiu de 73% em 2024 para 53% em 2025 — o valor mais baixo em quatro anos.

Leia isto outra vez. No ano em que os defensores supostamente ficaram melhores a travar o ransomware, ficaram mensuravelmente piores a confiar nos seus próprios backups para recuperar dele.

Isto não é uma nota de rodapé menor. É a conclusão estrategicamente mais importante de todo o conjunto de dados da Sophos — e quase ninguém está a falar sobre isso.

Na BackupSec, lemos o relatório da Sophos de 2025 de forma diferente da maioria dos resumos de analistas. Os números principais contam uma história; os dados operacionais subjacentes contam outra. Este artigo percorre aquilo que acreditamos ser o que o relatório realmente revela sobre a resiliência moderna ao ransomware — e porque é que a confiança no backup se tornou, silenciosamente, a métrica mais importante na ciberdefesa empresarial.

A Narrativa de Superfície: A Defesa Está a Ganhar

Comecemos pelas boas notícias, porque genuinamente existem algumas.

Segundo a Sophos:

• As taxas de encriptação de dados caíram para 50% a nível global — o nível mais baixo nos seis anos de história do relatório, face aos 70% do ano anterior.
• Nas organizações empresariais, as taxas de encriptação caíram para apenas 49%, face aos 66% em 2024.
• A percentagem de ataques travados antes da encriptação mais do que duplicou em dois anos — de 22% em 2023 para 47% em 2025.
• O custo médio de recuperação caiu de $2,73 milhões para $1,53 milhões a nível global.
• O pagamento mediano de resgate caiu 50% — de $2 milhões em 2024 para $1 milhão em 2025.
• 53% das organizações recuperaram totalmente no prazo de uma semana, um forte aumento face aos 35% do ano anterior.

Se lesse apenas estes números, concluiria que o setor virou uma página. O EDR está a amadurecer. Os tempos de deteção estão a diminuir. A negociação está a tornar-se mais sofisticada. As seguradoras estão a pressionar mais os controlos mínimos. Tudo verdade.

Mas depois chegamos aos dados de recuperação — e a história deixa de fazer sentido.

A Contradição Que Revela Tudo

Eis o dado que quebra a narrativa otimista:

Entre as organizações empresariais atingidas por ransomware em 2025, apenas 53% utilizaram backups para recuperar os seus dados encriptados. Esse número era de 73% apenas um ano antes. Entretanto, 48% das empresas pagaram o resgate mesmo assim — um valor globalmente estável face aos anos anteriores.

Por outras palavras: a encriptação está a acontecer com menos frequência, mas quando acontece, menos organizações confiam nos seus backups para as safar. Em vez disso, recorrem à carteira.

A própria análise da Sophos enquadra isto como "confiança reduzida nas capacidades de recuperação de backup". Esta é uma forma educada de dizer algo mais contundente:

A infraestrutura de backup que garantiram às empresas que as protegeria está, em incidentes reais, a falhar na entrega.

Esta é a contradição no cerne do relatório de 2025. Os defensores estão a ficar melhores a travar ataques numa fase precoce. Mas no momento em que um ataque de facto é bem-sucedido e os dados são encriptados, a camada de recuperação que devia ser a rede de segurança está cada vez mais a ser contornada em favor do pagamento aos criminosos.

Isto não é uma história sobre o ransomware a tornar-se mais difícil de combater. É uma história sobre a arquitetura de backup a ser exposta.

Porque Estão os Backups a Falhar no Momento da Verdade?

O relatório da Sophos não responde diretamente a esta pergunta, mas os dados circundantes ligam-se para formar um quadro coerente. Do ponto de vista arquitetural, três padrões explicam o colapso na confiança nos backups.

Padrão 1: Os Backups Estão a Ser Comprometidos Juntamente com a Produção

O relatório de 2025 mostra que 75% dos ataques de ransomware envolvem agora exfiltração de dados antes da encriptação. Isto significa que os agentes de ameaça modernos passam dias ou semanas dentro da rede, identificando e acedendo a sistemas críticos — incluindo a infraestrutura de backup — antes de sequer implementarem a carga de encriptação.

Nos casos de resposta a incidentes que observamos em todo o setor, este tempo de permanência é consistentemente utilizado para fazer uma coisa específica: localizar o repositório de backup, recolher as suas credenciais e, em seguida, encriptá-lo, corrompê-lo ou eliminar as suas políticas de retenção horas antes de a carga de produção detonar.

Se o seu sistema de backup partilha um domínio, um fornecedor de identidade ou um conjunto de credenciais com o seu ambiente de produção, não é uma camada de recuperação. É o segundo alvo na cadeia de ataque.

Padrão 2: "Sucesso do Backup" Não Equivale a "Sucesso do Restauro"

Os dados da Sophos mostram claramente o custo humano: todos os inquiridos em organizações que tiveram dados encriptados relataram que as suas equipas de TI/cibersegurança foram afetadas de alguma forma. O aumento do stress (40% dos inquiridos empresariais), o aumento da pressão da liderança sénior (41%) e as mudanças de liderança na sequência do incidente foram todos resultados comuns.

Um padrão que se repete nestas histórias é o de a equipa descobrir, a meio do incidente, que os backups que têm operado durante anos não conseguem, de facto, ser restaurados à velocidade ou com a integridade que o negócio exige. Os registos das tarefas dizem "sucesso". O restauro conta uma história diferente.

Este é exatamente o modo de falha que o "0" na regra 3-2-1-1-0 foi concebido para resolver: zero erros na verificação do backup. Mas a verificação é algo que a maioria das organizações afirma fazer e muito poucas fazem de forma contínua, à escala, contra os cenários de recuperação reais que enfrentarão num incidente real.

Padrão 3: A Camada Organizacional É o Elo Mais Fraco

Pela primeira vez em 2025, a Sophos perguntou aos inquiridos sobre os fatores organizacionais que contribuíram para terem sido atingidos. As conclusões são impressionantes:

• 40,2% citaram "falta de especialização" — competências ou conhecimentos insuficientes para detetar e travar o ataque a tempo.
• 40,1% citaram "lacunas de segurança desconhecidas" — fragilidades nas defesas de que não tinham conhecimento.
• Os inquiridos identificaram, em média, 2,7 fatores contribuintes por incidente.

Traduzindo isto da linguagem de inquérito: as equipas de segurança empresarial sabem que estão subdimensionadas, sabem que têm pontos cegos, e sabem que a complexidade ultrapassou a sua capacidade de a gerir. A infraestrutura de backup — tipicamente a camada menos valorizada e menos modernizada da stack empresarial — situa-se exatamente na interseção destas três fragilidades.

Quando as pessoas que gerem o seu ambiente de backup são as mesmas que gerem a resposta a incidentes, a aplicação de patches, a identidade e uma dúzia de outras prioridades, a camada de backup não recebe a atenção arquitetural de que necessita. E assim, quando lhe é pedido que responda num incidente, não o consegue fazer.

O Que os Relatórios Específicos por Setor Acrescentam ao Quadro

A Sophos publicou vários recortes setoriais dos dados de 2025, e cada um acrescenta nuances que merecem atenção.

Na indústria transformadora, as taxas de encriptação caíram para um mínimo de cinco anos de 40%, mas o resgate mediano pago ainda atingiu $1 milhão, e 47% dos fabricantes relataram um aumento do stress das equipas após um incidente. A dependência do setor face à continuidade operacional — em que minutos de indisponibilidade se repercutem por cadeias de fornecimento inteiras — torna a confiança na recuperação existencialmente importante.

No retalho, 46% dos incidentes foram atribuídos a uma lacuna de segurança desconhecida, e 58% das organizações com dados encriptados pagaram o resgate — a segunda taxa de pagamento mais alta em cinco anos. As exigências medianas de resgate no retalho duplicaram para $2 milhões.

O padrão entre setores é consistente: as organizações estão a ficar melhores a travar ataques. Não estão a ficar proporcionalmente melhores a recuperar deles. O fosso entre a maturidade da prevenção e a maturidade da recuperação está a alargar-se — e é nesse fosso que vivem os pagamentos de resgate.

O Que o Relatório da Sophos Recomenda (E O Que Deixa de Fora)

As próprias recomendações da Sophos centram-se em quatro áreas: prevenção, proteção, deteção e resposta. São sensatas e bem fundamentadas pelos dados. Especificamente, o relatório recomenda:

• Eliminar as causas-raiz técnicas e operacionais comuns (vulnerabilidades exploradas, controlos de identidade fracos).
• Reforçar a segurança fundamental com configurações reforçadas (hardening), MFA e disciplina na aplicação de patches.
• Investir em capacidades de Managed Detection and Response (MDR).
• Preparar planos detalhados de resposta a incidentes.

Tudo correto. Tudo necessário. Mas há um quinto pilar que o relatório não coloca no centro, e os números de utilização de backup de 2025 são a razão pela qual devia colocar:

A própria arquitetura de recuperação tem de ser modernizada — não apenas defendida.

Um ambiente de backup concebido para recuperar de falhas de hardware e eliminações acidentais não é o mesmo que um ambiente de backup concebido para recuperar de um adversário determinado que esteve dentro da rede durante duas semanas. O primeiro é um problema de redundância. O segundo é um problema arquitetural. E os dados mostram que a maioria dos ambientes de backup empresariais ainda opera como o primeiro.

O Fosso de Confiança no Backup: O Que Medir em Vez Disso

Se levar apenas uma mudança operacional do relatório da Sophos de 2025, que seja esta: deixe de medir a taxa de sucesso do backup e comece a medir a confiança no backup.

A taxa de sucesso do backup é a métrica que o seu software de backup lhe dá de graça. Diz apenas: "A tarefa foi concluída?" Essa métrica é agora irrelevante como indicador de recuperação. Os agentes de ameaça sabem-no, os defensores estão lentamente a aprendê-lo, e o fosso entre aquilo que o dashboard mostra e aquilo que um incidente realmente proporciona é precisamente de onde veio a queda de 20 pontos na recuperação baseada em backup.

A confiança no backup é uma métrica diferente. Ela pergunta:

• Conseguimos restaurar sistemas tier-one a partir de armazenamento imutável dentro do nosso RTO declarado, hoje, sob condições contestadas?
• Os nossos procedimentos de recuperação funcionam quando os fornecedores de identidade de produção estão comprometidos?
• Validámos que as nossas políticas de retenção não podem ser modificadas por nenhuma credencial de nível de produção?
• Monitorizamos a telemetria do sistema de backup à procura de comportamento adverso — e não apenas a conclusão das tarefas?
• Quando à equipa de IR é perguntado "devemos pagar?" — qual é a base técnica para a resposta?

Estas perguntas têm respostas. A maioria das empresas não sabe atualmente quais são as suas, e os dados da Sophos são a consequência dessa incerteza a manifestar-se em grande escala.

O Que Retiramos dos Dados da Sophos de 2025

Ao ler o relatório completo com atenção, a história que vemos não é a que a maioria dos resumos contou. É esta:

O setor tornou-se significativamente melhor a impedir que o ransomware chegue à sua carga completa. Esta é uma melhoria real e importante, e merece reconhecimento.

Mas a camada de recuperação — a promessa arquitetural de que as organizações nunca teriam de pagar um resgate porque conseguiriam restaurar a partir de backups limpos — está a ser silenciosamente esvaziada. A queda de 20 pontos na recuperação baseada em backup é o fumo. O fosso arquitetural por baixo é o fogo.

Para as empresas que operam em setores regulados, gerem estruturas híbridas complexas, ou simplesmente não estão dispostas a financiar a próxima campanha de ransomware com o seu próprio tesouro, esta é a conversa prioritária para 2026. Não "temos backups?" — todas as organizações no inquérito da Sophos tinham backups. A pergunta é: a nossa arquitetura de backup sobrevive a um adversário real, e conseguimos prová-lo antes de precisarmos?

Como a BackupSec Aborda o Fosso de Confiança

Na BackupSec, construímos o nosso serviço em torno da premissa de que os ambientes de backup têm de ser observáveis, aconselháveis e demonstráveis sob condições adversas — não apenas operacionais em condições nominais. Cada elemento da nossa abordagem corresponde diretamente às falhas que os dados da Sophos expõem:

• ZeroMON — a nossa plataforma de observabilidade — proporciona monitorização contínua das operações de backup e de sinais de segurança: acompanhamento de tarefas em tempo real, alertas de desvio de configuração, trilhos de auditoria forense, análise de capacidade, e visibilidade pronta para Veeam. Esta é a camada que apanha as falhas silenciosas de backup que os dados da Sophos sugerem. É a resposta operacional à pergunta "os nossos backups estão de facto a fazer o que o dashboard diz que estão a fazer?"
• ZeroTAM — o nosso serviço de aconselhamento especializado — dá às equipas empresariais um consultor dedicado de segurança de backup para revisões de arquitetura, planeamento de recuperação de ransomware, estratégia de capacidade e resposta a crises. Esta é a camada humana que responde à conclusão sobre "falta de especialização" citada por 40,2% dos inquiridos da Sophos — sem tickets de suporte rotativos nem orientação genérica.
• ZeroPEN — o nosso serviço de testes de intrusão a backups e validação da recuperação — responde diretamente ao fosso de 53% na utilização de backup. Realizamos pentests aos planos de gestão de backup, controlos de acesso, definições de imutabilidade e postura de isolamento, da mesma forma que um adversário real o faria. Depois, executamos cenários de restauro reais em função dos seus objetivos de RTO/RPO e verificamos que os dados recuperados estão limpos, completos e livres de persistência do atacante. O resultado não é uma lista de conclusões — é prova documentada de que a recuperação funciona.

A BackupSec é implementada on-premise. Ligamo-nos através de acesso API apenas de leitura (read-only). Os seus dados de backup, telemetria e detalhes de configuração nunca saem do seu ambiente. Não substituímos a sua plataforma de backup — tornamos observável, aconselhável e demonstrável aquela que já opera.

A taxa de 53% de utilização de backup nos dados empresariais da Sophos não é um destino inevitável. É a consequência de uma era arquitetural que está a chegar ao fim. As organizações que fecharem o fosso de confiança nos próximos doze meses serão as organizações que deixarão de aparecer na coluna "pagou o resgate" do relatório do próximo ano.

Fale com a BackupSec sobre a validação da sua prontidão de recuperação →

Esta análise baseia-se no relatório State of Ransomware 2025 da Sophos e em publicações setoriais relacionadas. A interpretação e o enquadramento aqui apresentados são da própria BackupSec. Para discutir a forma como as conclusões de 2025 se aplicam ao seu ambiente específico, entre em contacto com a nossa equipa →