Um número discreto que deveria estar disparando alarmes
Todos os anos, a Sophos publica o relatório State of Ransomware, baseado no que ela descreve como uma pesquisa independente e neutra em relação a fornecedores com líderes de TI e cibersegurança cujas organizações foram atingidas por ransomware. A edição de 2025, publicada em junho de 2025, cobre 3.400 respondentes em 17 países, de organizações com 100 a 5.000 funcionários. Em dezembro de 2025, a Sophos publicou um recorte separado, The State of Ransomware in Enterprise 2025, com os 1.733 respondentes de empresas com 1.000 a 5.000 funcionários. A Sophos batiza cada relatório com o ano da pesquisa (janeiro a março de 2025), de modo que muitos dos ataques descritos aconteceram em 2024.
Os principais resultados são animadores: as taxas de criptografia de dados estão caindo, a recuperação está ficando mais rápida e menos vítimas estão pagando o resgate.
Mas o relatório corporativo traz um número que deveria estar no quadro branco de todo CISO:
Entre as empresas que tiveram dados criptografados, a parcela que usou backups para restaurá-los caiu de 73% em 2024 para 53% em 2025. A Sophos classifica isso como o menor nível em quatro anos.
Leia de novo. No ano em que os defensores ficaram melhores em deter o ransomware antes da criptografia, as empresas que sofreram criptografia ficaram, de forma mensurável, menos propensas a se recuperar a partir dos próprios backups.
Isso não é uma nota de rodapé. Achamos que é o resultado estrategicamente mais importante dos dados da Sophos. Os números principais contam uma história; os dados de recuperação contam outra. Este artigo percorre o que, a nosso ver, os dados revelam sobre a resiliência a ransomware, e por que a confiança no backup passou a ser a métrica que mais importa.
A narrativa de superfície: a defesa está vencendo
Vamos começar pelas boas notícias, porque elas de fato existem.
Considerando todos os 3.400 respondentes do relatório principal de 2025:
- A criptografia de dados caiu para 50% dos ataques, contra 70% em 2024, a menor taxa nos seis anos do estudo.
- O custo médio (média aritmética) de recuperação, sem contar qualquer resgate, caiu de US$ 2,73 milhões para US$ 1,53 milhão.
- O pagamento mediano de resgate caiu 50%, de US$ 2 milhões em 2024 para US$ 1 milhão em 2025.
- 53% das vítimas estavam totalmente recuperadas em até uma semana, contra 35% em 2024.
- 49% das vítimas com dados criptografados pagaram o resgate, contra 56% em 2024.
Entre as empresas, segundo o relatório corporativo:
- A criptografia de dados caiu para 49% dos ataques, contra 66% em 2024.
- A parcela de ataques detidos antes da criptografia mais que dobrou em dois anos, de 22% em 2023 para 47% em 2025.
A Sophos lê a queda na criptografia como sinal de que as organizações "are more capable of stopping attacks before the encrypted payload is deployed" (estão mais capazes de deter ataques antes que o payload de criptografia seja implantado), e a recuperação mais rápida como possível sinal de investimento em "cyber incident preparation and recovery readiness" (preparação para incidentes cibernéticos e prontidão para recuperação). Lidos isoladamente, esses números dizem que o setor virou a página.
Aí você chega aos dados de recuperação.
A contradição que revela tudo
Este é o dado que complica a narrativa otimista.
Entre as empresas que tiveram dados criptografados, 53% usaram backups para restaurá-los, contra 73% um ano antes. No mesmo período, 48% pagaram o resgate para recuperar os dados, contra 55% (relatório corporativo). Os dois caminhos encolheram. Perto de um terço (30%) das empresas com dados criptografados disse ter usado outros meios, que, segundo a Sophos, podem incluir "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" (restauração a partir de shadow copies, uso de recursos de rollback da proteção de endpoint ou recuperação de dados a partir de sistemas não afetados).
Em 2024, os backups estavam 18 pontos à frente do pagamento de resgate (73% contra 55%). Em 2025, a vantagem era de 5 pontos (53% contra 48%). Menos empresas estão pagando, o que é uma boa notícia. Mas a camada de recuperação que deveria tornar o pagamento desnecessário está carregando menos peso, e não mais.
O próprio resumo da Sophos é direto: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience" (em conjunto, esses resultados apontam para uma resistência maior às exigências, acompanhada de fragilidades e falta de resiliência dos backups).
Fragilidades e falta de resiliência dos backups: é essa a parte que nos interessa. Os defensores estão ficando melhores em deter os ataques cedo. Mas, quando um ataque dá certo e os dados são criptografados, os backups que deveriam ser a rede de segurança estão sendo usados com menos frequência.
Essa não é uma história sobre o ransomware ficar mais difícil. É uma história sobre a arquitetura de backup ficar exposta.
Por que os backups estão falhando na hora da verdade?
Os relatórios da Sophos não dizem por que o uso de backups caiu. A pesquisa registra como os dados foram recuperados, e não por que os backups foram ou não usados. Os três padrões abaixo são a nossa interpretação, apoiada em dados da Sophos quando eles existem.
Padrão 1: os backups estão sendo comprometidos junto com a produção
Os atacantes vão atrás dos backups de propósito. No estudo da Sophos de 2024 sobre backups comprometidos, 94% das organizações atingidas por ransomware disseram que os atacantes tentaram comprometer seus backups, e 57% dessas tentativas tiveram sucesso. As organizações cujos backups foram comprometidos tiveram quase o dobro de probabilidade de pagar o resgate (67% contra 36%), e o custo mediano de recuperação delas foi oito vezes maior (US$ 3 milhões contra US$ 375.000).
O roubo de dados aumenta a pressão. No relatório corporativo, 30% das empresas que tiveram dados criptografados também tiveram dados roubados (15% de todas as empresas vítimas). Um restore limpo não resolve nada em relação a dados que já saíram de casa.
Se o seu sistema de backup compartilha um domínio, um provedor de identidade ou um conjunto de credenciais com o seu ambiente de produção, ele não é uma camada de recuperação separada. É o próximo alvo na mesma kill chain.
Padrão 2: "backup com sucesso" não é o mesmo que "restore com sucesso"
Os dados corporativos trazem um sinal direto. Das 72 empresas que pagaram mais do que a exigência inicial de resgate, 42% deram este motivo: "Our backups failed or were malfunctioning" (nossos backups falharam ou estavam funcionando mal) (relatório corporativo). O grupo é pequeno, mas são empresas vítimas dizendo com todas as letras que seus backups não resistiram.
O custo humano também é claro. Todas as empresas que tiveram dados criptografados relataram repercussões para a equipe de TI/cibersegurança: 40% relataram mais pressão da alta liderança, 39% mais ansiedade ou estresse em relação a ataques futuros e, em 27% dos casos, a liderança da equipe foi substituída.
Um log de job que diz "sucesso" informa que o backup rodou. Não informa que o restore vai funcionar com a velocidade ou a completude de que o negócio precisa.
Esse é o modo de falha que o "0" da regra 3-2-1-1-0 trata. O guia de boas práticas de segurança da Veeam o define como "0 errors" (0 erros) na verificação automática da recuperabilidade de cada backup com o SureBackup. Um job concluído não é um restore verificado, e a verificação só conta se testar os cenários de recuperação que você enfrentaria num incidente real.
Padrão 3: a camada organizacional é o elo mais fraco
Pela primeira vez, em 2025, a Sophos perguntou às vítimas sobre os fatores organizacionais que as deixaram expostas. Considerando todos os 3.400 respondentes do relatório principal:
- 40,2% citaram falta de expertise: não ter as habilidades ou o conhecimento para detectar e deter o ataque a tempo.
- 40,1% citaram lacunas de segurança desconhecidas: fragilidades nas suas defesas de que não tinham conhecimento.
- 39,4% citaram falta de pessoal ou de capacidade.
- Os respondentes apontaram, em média, 2,7 fatores contribuintes.
O recorte corporativo é quase idêntico: lacuna de segurança desconhecida (40%), falta de pessoal ou de capacidade (39,2%) e falta de expertise (38,9%) lideram a lista, com três fatores citados em média.
Em termos simples: as equipes de segurança têm falta de pessoas e de habilidades, e pontos cegos que não conseguem enxergar. Nós argumentaríamos que a infraestrutura de backup fica exatamente onde essas três fragilidades se encontram. Quando as pessoas que a operam também cuidam de resposta a incidentes, patches e identidades, ela raramente recebe atenção arquitetural até que um incidente exija que ela entregue resultados.
O que os relatórios setoriais acrescentam
A Sophos também publicou recortes setoriais da pesquisa de 2025.
Em manufatura e produção (332 respondentes), a taxa de criptografia caiu para 40%, a menor em cinco anos, e o pagamento mediano de resgate foi de US$ 1 milhão, contra US$ 1,2 milhão. 47% relataram aumento da ansiedade ou do estresse em relação a ataques futuros na equipe de TI/cibersegurança. O uso de backups se manteve estável em 58%.
No varejo (361 respondentes em 16 países), a taxa de criptografia caiu para 48%, também a menor em cinco anos. Uma lacuna de segurança desconhecida foi o fator operacional mais comum, apontado por 46% das vítimas. 58% dos varejistas com dados criptografados pagaram o resgate, o que a Sophos chama de "the second highest ransom payment rate in five years" (a segunda maior taxa de pagamento de resgate em cinco anos). A exigência mediana de resgate dobrou, de US$ 1 milhão para US$ 2 milhões, e o uso de backups caiu para 62%, o menor em quatro anos.
O quadro setorial é misto: o uso de backups caiu no varejo e se manteve na manufatura. O que os relatórios setoriais têm em comum com os dados corporativos é que a prevenção está melhorando mais rápido que a recuperação baseada em backup. As taxas de criptografia caíram nos dois setores, enquanto o uso de backups caiu ou ficou parado. Essa distância entre a maturidade da prevenção e a maturidade da recuperação é, na nossa visão, onde moram os pagamentos de resgate.
O que o relatório da Sophos recomenda (e onde daríamos mais peso)
Os relatórios principal e corporativo terminam com as mesmas quatro recomendações:
- Prevenção: eliminar as causas raiz técnicas e operacionais que o relatório identifica.
- Proteção: segurança de base forte, com os endpoints (incluindo servidores) bem defendidos, inclusive com proteção dedicada anti-ransomware capaz de deter e reverter criptografia maliciosa.
- Detecção e resposta: detecção e resposta a ameaças 24 horas por dia, por meio de um provedor de detecção e resposta gerenciadas (MDR) se faltarem recursos ou habilidades internamente.
- Planejamento e preparação: um plano de resposta a incidentes que a equipe saiba muito bem acionar, além de backups de qualidade e prática regular de restauração de dados a partir deles.
Tudo correto. Os backups estão lá, em uma frase dentro de planejamento e preparação. Diante dos números de backup das empresas, daríamos mais peso à recuperação do que isso:
A própria arquitetura de recuperação precisa ser modernizada, e não apenas defendida.
Um ambiente de backup projetado para se recuperar de falhas de hardware e exclusões acidentais não é o mesmo que um projetado para se recuperar de um adversário que já está dentro da rede e vai primeiro atrás dos backups. O primeiro é um problema de redundância. O segundo é um problema de arquitetura. Praticar restores é necessário, mas não adianta se o atacante consegue alcançar os backups com os quais você praticou.
A lacuna de confiança no backup: o que medir em vez disso
Se você for tirar uma única mudança operacional dos dados da Sophos de 2025, que seja esta: pare de tratar a taxa de sucesso dos backups como a sua métrica de recuperação e comece a medir a confiança no backup.
A taxa de sucesso dos backups é a métrica que o seu software de backup entrega de graça. Ela responde a uma pergunta: o job foi concluído? Sozinha, não é um indicador de recuperação. Achamos que a distância entre o que o dashboard mostra e o que um incidente entrega é parte do que a queda de 20 pontos na recuperação baseada em backup reflete.
A confiança no backup faz outras perguntas:
- Conseguimos restaurar os sistemas de nível 1 a partir de storage imutável dentro do RTO declarado, hoje, em condições de ataque?
- Nossos procedimentos de recuperação funcionam quando os provedores de identidade de produção estão comprometidos?
- Validamos que as nossas políticas de retenção não podem ser modificadas por nenhuma credencial do ambiente de produção?
- Monitoramos a telemetria do sistema de backup em busca de comportamento adversário, e não apenas da conclusão dos jobs?
- Quando perguntam à equipe de resposta a incidentes "devemos pagar?", qual é a base técnica para a resposta?
Essas perguntas têm respostas. Muitas empresas ainda não conhecem as suas.
O que tiramos dos dados da Sophos de 2025
Lendo os relatórios por completo, a história que vemos é esta.
As organizações ficaram significativamente melhores em deter o ransomware antes que ele criptografe os dados. É uma melhora real, e merece reconhecimento.
Mas a camada de recuperação, a promessa de que as organizações nunca teriam de pagar porque poderiam restaurar a partir de backups limpos, está carregando menos peso. Nos dados corporativos, a queda de 20 pontos na recuperação baseada em backup é a fumaça. Achamos que a lacuna de arquitetura por baixo é o fogo.
Para empresas de setores regulados, que operam ambientes híbridos complexos ou que simplesmente não estão dispostas a financiar a próxima campanha de ransomware, esta é a conversa a ter agora. A pergunta não é "temos backups?". É esta: a nossa arquitetura de backup sobrevive a um adversário real, e conseguimos provar isso antes de precisar?
Como a BackupSec aborda a lacuna de confiança
Na BackupSec, partimos da premissa de que os ambientes de backup precisam ser observáveis e testados em condições adversas, e não apenas funcionar em condições normais. Três dos nossos serviços se relacionam com as falhas acima:
- O ZeroMON monitora o Veeam Backup & Replication: saúde dos jobs, desvios de configuração com uma trilha Forensic & Audit de quem mudou o quê e quando, um checklist do Security Analyzer, relatórios e um honeypot no appliance de monitoramento. Mostra o status de imutabilidade conforme as próprias configurações de repositório do Veeam o informam; lê a configuração do Veeam e não verifica os bloqueios em nível de objeto no storage. Os alertas são enviados por e-mail e por notificação no próprio aplicativo. O ZeroMON é implantado on-premises como OVA e conecta-se com uma conta somente leitura, e nada do que ele coleta é enviado para a BackupSec nem para terceiros.
- O ZeroTAM dá à sua equipe um consultor dedicado de segurança de backup para revisões de arquitetura, planejamento de recuperação contra ransomware, planejamento de capacidade e suporte prioritário em crises. É um serviço de consultoria, e não um software, e responde diretamente aos resultados sobre falta de expertise e falta de capacidade acima.
- O ZeroPEN é um teste de penetração orientado a ameaças do Veeam Backup & Replication, do Veeam ONE e do Enterprise Manager. Simula uma kill chain de ransomware mapeada no MITRE ATT&CK em oito etapas: acesso inicial, descoberta e inventário, abuso de credenciais, comprometimento do servidor Veeam, acesso ao repositório, neutralização do backup, simulação de exfiltração e prova de capacidade de criptografia. É não destrutivo: o ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (nunca apaga backups reais, nunca executa criptografia real nem interrompe serviços de produção ou de backup). O trabalho também inclui verificação da integridade de restore e da imutabilidade, e termina com um pacote de relatórios pronto para auditoria e um reteste para as descobertas críticas.
Não substituímos a sua plataforma de backup. Ajudamos você a enxergar e testar a que você já opera.
Os 53% dos dados corporativos da Sophos não são um destino. Na nossa visão, refletem arquiteturas de backup construídas para outro tipo de ameaça.
Fale com a BackupSec sobre a segurança do seu backup →
Esta análise se baseia no relatório State of Ransomware 2025 da Sophos, no relatório State of Ransomware in Enterprise 2025 e nos relatórios setoriais de 2025. A interpretação é da própria BackupSec. A Sophos já publicou The State of Ransomware 2026; este artigo trata dos dados de 2025. Para conversar sobre como esses resultados se aplicam ao seu ambiente, fale com a nossa equipe →