O número mais subestimado do relatório Sophos de 2025
Quando a Sophos publicou o seu relatório State of Ransomware de 2025, a maior parte da cobertura mediática centrou-se nas métricas principais: taxas de encriptação a descer, tempos de recuperação a melhorar, pagamentos de resgate a diminuir. Esses números são reais e são importantes. Mas, oculta numa secção do relatório explorada pela primeira vez este ano — os fatores organizacionais que deixaram as empresas expostas —, encontra-se uma única estatística que, na nossa opinião, reformula por completo a forma como os líderes de risco empresarial devem pensar sobre o ransomware.
Entre as 3.400 organizações inquiridas, as vítimas identificaram, em média, 2,7 fatores contribuintes diferentes por trás dos ataques que tiveram sucesso contra elas.
Não um. Nem sequer dois. Quase três fragilidades independentes a atuar em simultâneo em cada incidente bem-sucedido.
Isto não é uma nota de rodapé. É a prova matemática de que a era da defesa contra ransomware assente num único controlo chegou ao fim — e de que a arquitetura de backup se tornou, discretamente, o controlo compensatório mais importante da pilha tecnológica empresarial moderna.
Na BackupSec, acreditamos que o valor 2,7 é o número estrategicamente mais útil de todo o relatório. Este artigo analisa o que este número realmente significa, por que motivo torna as estratégias assentes exclusivamente na prevenção matematicamente insustentáveis, e o que isso implica para as organizações que ainda tratam o backup como um pormenor secundário face à segurança "a sério".
O que o 2,7 representa na realidade
No relatório Sophos de 2025, pela primeira vez, foi pedido aos inquiridos que identificassem os fatores organizacionais que contribuíram para terem sido atacados — não apenas o ponto de entrada técnico, mas também as condições operacionais mais amplas que os deixaram vulneráveis. As conclusões traçam um quadro que nenhum resumo executivo consegue captar de forma límpida:
- 40,2% referiram falta de conhecimentos especializados — competências ou conhecimentos insuficientes para detetar e travar o ataque a tempo.
- 40,1% referiram falhas de segurança desconhecidas — fragilidades nas defesas de que não tinham conhecimento até ao incidente.
- Percentagens significativas referiram falta de capacidade, falta de produtos de proteção, lacunas na disciplina de processos e visibilidade incompleta sobre a própria superfície de ataque.
- A estas somam-se causas técnicas de raiz: vulnerabilidades exploradas (32%), credenciais comprometidas (23%), e-mail malicioso (19%) e phishing (18%).
Quando os inquiridos somaram os fatores que consideravam ter contribuído para o seu incidente, a média situou-se em 2,7. A Sophos chama a isto "uma situação complexa e multifacetada". Nós chamar-lhe-íamos algo mais preciso: inevitabilidade estrutural.
Se todos os incidentes de ransomware bem-sucedidos em 2025 envolveram quase três falhas independentes, então o modelo de defesa implícito segundo o qual a maioria das empresas ainda opera — "encontrar a lacuna, fechar a lacuna" — está a atuar contra um atacante que só precisa de encontrar uma das três. Entretanto, o defensor tem de gerir todas elas em simultâneo.
Isso não é um problema de segurança. É um problema de assimetria.
A assimetria: uma porta contra sete
Considere-se a matemática do ponto de vista do atacante.
Um operador de ransomware moderno — seja um grupo alinhado com um Estado, um afiliado de RaaS ou um operador independente — não precisa de identificar e explorar todas as fragilidades do seu ambiente. Precisa apenas de encontrar um único caminho viável: um sistema sem correções aplicadas, um conjunto de credenciais comprometidas, um bucket na cloud mal configurado, um utilizador suscetível a phishing, uma lacuna administrativa.
Considere-se agora a matemática do ponto de vista do defensor. Este é responsável por:
- Gestão de vulnerabilidades em milhares de ativos, em ciclos que nenhuma cadência de aplicação de correções consegue acompanhar de forma fiável.
- Governação de identidade entre utilizadores humanos, contas de serviço, identidades federadas e agentes cada vez mais autónomos.
- Segurança de e-mail e de colaboração, o ponto de entrada mais comum e aquele com maior variabilidade humana.
- Proteção de endpoints contra payloads que evoluem mais depressa do que a deteção baseada em assinaturas consegue acompanhar.
- Segmentação de rede concebida com base em modelos de ameaça que mudam continuamente.
- Configuração de cloud e SaaS em dezenas ou centenas de serviços, cada um com o seu próprio modelo de permissões.
- Infraestrutura de backup e recuperação que tem de funcionar em condições que o resto da pilha tecnológica já não conseguiu evitar.
O atacante joga apenas uma célula neste tabuleiro. O defensor joga as sete, todos os dias, com recursos finitos.
O número 2,7 da Sophos é a confirmação empírica de que esta assimetria já não é hipotética. Nos incidentes reais ocorridos em 2025, os defensores estavam a falhar em quase três células em simultâneo — não por negligência, mas porque o modelo está estruturalmente desequilibrado contra a prevenção total.
Porque "corrigir apenas a causa raiz" é má matemática
Uma resposta comum na análise de incidentes é identificar a "causa raiz" e corrigi-la. Os enquadramentos de conformidade reforçam este raciocínio. O mesmo acontece com a maioria das revisões pós-incidente. Os dados da Sophos de 2025 expõem por que motivo esta abordagem, apesar de intuitivamente satisfatória, está cada vez mais desligada da forma como os incidentes modernos realmente se desenrolam.
Se o incidente bem-sucedido médio envolve 2,7 fatores contribuintes, então identificar uma única causa raiz é, por definição, uma análise incompleta. Diz-nos por que porta o atacante entrou — não por que motivo o edifício tinha tantas portas destrancadas que uma delas estaria sempre disponível.
Isto é operacionalmente relevante porque os recursos gastos a obcecar sobre o vetor de entrada específico do incidente do ano passado são recursos que deixam de ser investidos nas lacunas arquiteturais que irão determinar o incidente do próximo ano. Os dados da Sophos sugerem que as organizações que operam em modo de causa raiz única estão a subinvestir sistematicamente nos controlos em camadas que determinam se qualquer vetor de entrada conduz a um desfecho catastrófico.
A reformulação estratégica é esta: em qualquer ambiente empresarial suficientemente complexo, os atacantes acabarão por encontrar um caminho viável. A pergunta que determina se esse caminho conduz ao pagamento de um resgate não é "fechámos todas as portas?", mas sim "a nossa arquitetura sobrevive quando uma delas se abre?"
O controlo compensatório que a maioria das empresas subestima
Eis a perceção arquitetural que o valor 2,7 torna incontornável: quando a prevenção vai falhar com regularidade matemática, as camadas que determinam os resultados de negócio deslocam-se a jusante.
É aqui que a arquitetura de backup passa de "higiene de infraestrutura" a "controlo estratégico primário".
Num modelo de ameaça de vetor único, o backup é um recurso de reserva. Num modelo de ameaça de 2,7 fatores, o backup é o controlo compensatório para todas as falhas de prevenção que inevitavelmente irão ocorrer. Os dados da Sophos de 2025 mostram isto em termos inequívocos:
- 48% das organizações empresariais pagaram o resgate, apesar das melhorias na prevenção.
- A utilização de backup para recuperar dados encriptados caiu para um mínimo de quatro anos, 53%, face aos 73% do ano anterior.
- O custo médio de recuperação empresarial atingiu os $1,83 milhões para organizações com 1.000 a 5.000 colaboradores — e este valor exclui qualquer resgate pago.
Quando se lêem estes números à luz do contexto dos 2,7 fatores, a história torna-se coerente: as organizações estão a melhorar a prevenção de alguns ataques, mas não estão a melhorar a arquitetura de recuperação que determina os resultados quando a prevenção falha. O resultado é um fosso cada vez maior entre a maturidade de prevenção e a maturidade de recuperação — e é exatamente nesse fosso que vivem os pagamentos de resgate.
Para os líderes de risco empresarial, isto implica uma realocação específica da atenção arquitetural. Os investimentos em deteção, identidade e aplicação de correções continuam todos a ser essenciais. Mas nenhum deles elimina o 2,7. Limitam-se a alterar quais as três portas que estão abertas num determinado dia. O controlo que determina se uma porta aberta se transforma num incidente existencial é aquele que a maioria das organizações menos modernizou: a arquitetura que mantém cópias limpas, imutáveis e validadas dos dados críticos para o negócio, e que as consegue restaurar em condições adversas.
Como o 2,7 se manifesta num incidente real
Para tornar isto concreto, veja-se como o 2,7 se compõe tipicamente num ambiente empresarial real. Os fatores específicos variam, mas o padrão é consistente:
O primeiro fator é, geralmente, um vetor de entrada: um dispositivo de borda sem correções aplicadas, uma credencial comprometida reutilizada em vários sistemas, ou um e-mail de phishing bem-sucedido. Esta é a falha que o relatório pós-incidente irá designar como "causa raiz".
O segundo fator é, tipicamente, uma falha de privilégios ou de visibilidade que permitiu que o ponto de apoio inicial se expandisse: permissões permanentes excessivas, lacunas na deteção de movimento lateral, ou segmentação inadequada entre unidades de negócio.
O terceiro fator é quase sempre uma falha na camada de recuperação que transformou uma violação contida num resgate pago: credenciais de backup acessíveis a partir da produção, políticas de retenção alteráveis por administradores comprometidos, ou procedimentos de restauro que nunca foram testados contra o cenário real que a equipa agora enfrenta.
Os dois primeiros fatores recebem a atenção durante a resposta ao incidente. O terceiro determina o resultado financeiro. E o terceiro é aquele que a maioria das empresas está menos preparada para avaliar com honestidade antes de um incidente forçar a questão.
Esta é a realidade operacional para a qual o valor 2,7 aponta. Os fatores não são abstratos — são a sequência específica de falhas que transforma um evento de segurança gerível numa crise ao nível da administração.
O que isto significa para a alocação de risco
Se aceitarmos que a conclusão do 2,7 tem significado arquitetural — e o conjunto de dados subjacente da Sophos, com 3.400 organizações, torna difícil rejeitá-la —, seguem-se várias conclusões em matéria de alocação.
Diversificar o investimento ao longo de toda a cadeia de falhas, e não apenas numa única camada. Reforçar a segurança de e-mail enquanto se mantém inalterada a arquitetura de recuperação apenas altera qual o fator que falha primeiro; não reduz o número total de falhas. Os orçamentos de segurança empresarial que alocam recursos de forma desproporcional à prevenção, tratando o backup como uma rubrica de custo genérica, estão a operar contra um modelo de ameaça que já não reflete a forma como os incidentes realmente se desenrolam.
Avaliar as arquiteturas face a cenários multifatoriais, e não a testes de vetor único. Um teste de intrusão que confirme que uma defesa resiste não é prova de que o seu ambiente sobrevive a um ataque real. Os dados da Sophos mostram que os ataques reais exploram quase três fragilidades em simultâneo. Os exercícios de tabletop e as ações de red team devem ser concebidos para testar explicitamente essa condição composta.
Medir a confiança na recuperação, não a conclusão do backup. A taxa de utilização de backup de 53% nos dados empresariais da Sophos não é uma história sobre falhas de backup em geral. É uma história sobre arquiteturas de backup concebidas para falhas de fator único (um servidor avariou, um utilizador apagou um ficheiro) às quais se pede que funcionem em condições multifatoriais (o atacante esteve na rede durante duas semanas e mexeu em tudo). São problemas diferentes, e a maioria dos ambientes de backup empresariais foi construída para o primeiro.
Tratar a camada de recuperação como o controlo compensatório em que se tornou. Quando a prevenção vai falhar com regularidade matemática, a camada que determina os resultados é aquela que mantém cópias de dados limpas, isoladas e imutáveis, e que as consegue restaurar rapidamente em condições hostis. Essa camada tem de ser arquitetada, governada e testada com o mesmo rigor que o ambiente de produção que protege.
Onde entra a BackupSec
Na BackupSec, toda a nossa abordagem assenta numa única premissa arquitetural: a prevenção acabará por falhar e, quando isso acontecer, é a camada de recuperação que determina se a falha é recuperável ou existencial.
A conclusão do 2,7 nos dados da Sophos é, em muitos aspetos, a justificação empírica dessa premissa. Os três serviços que disponibilizamos — observabilidade, aconselhamento e prova de recuperação validada por pentest — foram concebidos para responder às perguntas que o valor 2,7 obriga os líderes de risco empresarial a enfrentar:
- ZeroMON responde a "O que está o nosso ambiente de backup realmente a fazer neste momento?" — através de monitorização contínua das operações de backup e de sinais de segurança, registos de auditoria forense em tempo real, deteção de desvios de configuração e visibilidade pronta para Veeam em todo o parque de backup.
- ZeroTAM responde a "Temos a experiência necessária para interpretar o que estamos a ver?" — através de um consultor de segurança de backup dedicado, que conhece o seu ambiente, as suas prioridades de recuperação e a sua arquitetura, disponível para orientação proativa e resposta a crises, sem o atrito de tickets de suporte rotativos.
- ZeroPEN responde a "Conseguimos realmente recuperar quando a camada de prevenção falha?" — através de testes de intrusão a backups, que visam os seus planos de gestão, controlos de acesso e postura de imutabilidade, seguidos de cenários de restauro reais que validam uma recuperação limpa, completa e dentro do prazo, face aos seus objetivos declarados de RTO e RPO.
A BackupSec é implementada on-premise, liga-se através de acesso API só de leitura e nunca move dados de backup ou telemetria para fora do seu ambiente. Não substituímos a sua plataforma de backup — tornamos a camada de recuperação que essa plataforma suporta observável, aconselhável e comprovável sob as condições multifatoriais que os dados da Sophos descrevem.
Se a sua organização está a ler o relatório da Sophos de 2025 e a concluir que a resposta passa por fechar todas as portas, os dados estão a dizer-lhe outra coisa: nem todas as portas se manterão fechadas, e a arquitetura que determina o que acontece quando uma delas se abre é a conversa que vale a pena ter em 2026.
Fale com a BackupSec sobre validação de recuperação →
Esta análise baseia-se no relatório State of Ransomware 2025 da Sophos e no panorama mais amplo da investigação sobre ransomware em 2025. A interpretação e o enquadramento aqui apresentados são da autoria da BackupSec. Para discutir como esta análise se aplica ao seu ambiente específico, contacte a nossa equipa →