O problema do 2,7: por que as vítimas de ransomware normalmente enfrentam mais de uma fragilidade

O número mais subestimado do relatório da Sophos de 2025

Quando a Sophos publicou o relatório State of Ransomware 2025, em junho de 2025, os principais resultados eram animadores. Os dados foram criptografados em 50% dos ataques, contra 70% em 2024. 53% das vítimas estavam totalmente recuperadas em até uma semana, contra 35%. O pagamento mediano de resgate caiu pela metade, de US$ 2 milhões para US$ 1 milhão. Esses números são reais e importam. Mas o relatório também explorou algo pela primeira vez: os fatores organizacionais que deixaram as empresas expostas. Uma estatística dessa seção, na nossa visão, muda a forma como os líderes de risco corporativo deveriam pensar sobre ransomware.

A pesquisa ouviu 3.400 líderes de TI e cibersegurança em 17 países, todos de organizações com 100 a 5.000 funcionários que foram atingidas por ransomware nos 12 meses anteriores. Perguntados por que a organização se tornou vítima, os respondentes citaram, em média, 2,7 fatores contribuintes.

Não um. Nem mesmo dois. Em média, as vítimas apontaram perto de três condições operacionais por trás de um único ataque.

Isso não é uma nota de rodapé. É uma evidência forte de que a defesa contra ransomware baseada em um único controle não corresponde à forma como as vítimas descrevem os próprios incidentes, e de que a arquitetura de backup se tornou, discretamente, um dos controles compensatórios mais importantes da pilha corporativa.

Na BackupSec, acreditamos que o número 2,7 é o dado estrategicamente mais útil do relatório. Este artigo explica o que ele mede, por que ele torna difícil defender estratégias baseadas apenas em prevenção e o que ele implica para organizações que ainda tratam o backup como um detalhe secundário em relação à segurança "de verdade".

O que o 2,7 realmente representa

A pergunta que a Sophos fez foi "Why do you think your organization fell victim to the ransomware attack?" (Por que você acha que a sua organização foi vítima do ataque de ransomware?). Os respondentes podiam escolher mais de um entre sete motivos operacionais e, em média, escolheram 2,7. A lista completa, com a parcela dos 3.400 respondentes que apontou cada um:

• Falta de expertise: 40,2%. Não ter as habilidades ou o conhecimento para detectar e deter o ataque a tempo.
• Lacuna de segurança desconhecida: 40,1%. Uma fragilidade nas defesas de que a organização não tinha conhecimento.
• Falta de pessoal/capacidade: 39,4%. Especialistas em cibersegurança insuficientes monitorando os sistemas no momento do ataque.
• Falta de proteção: 39,0%. Não ter os produtos e serviços de cibersegurança necessários.
• Lacuna de segurança conhecida que não havia sido tratada: 38,2%.
• Proteção de baixa qualidade, que não conseguiu deter o ataque: 37,1%.
• Erro humano: 34,2%.

Duas coisas decorrem da forma como a pergunta foi feita. O 2,7 é uma média, então algumas vítimas apontaram um fator e outras apontaram vários. E ele registra aquilo que os respondentes acreditam ter contribuído, e não o resultado de uma investigação forense. Os fatores também se sobrepõem. A Sophos os agrupa em problemas de proteção (63% dos respondentes), problemas de recursos (63%) e lacunas de segurança (65%), e conclui que há "no single stand-out source" (nenhuma fonte isolada que se destaque).

A Sophos perguntou separadamente sobre o ponto de entrada técnico. Vulnerabilidades exploradas foram a causa raiz em 32% dos ataques, credenciais comprometidas em 23%, e-mail malicioso em 19% e phishing em 18%. Essas parcelas descrevem como o atacante entrou. O 2,7 descreve as condições em volta disso.

O resumo da própria Sophos é que "victims are typically facing multiple operational challenges" (as vítimas normalmente enfrentam vários desafios operacionais). Lemos isso como um problema estrutural, e não como uma sequência de azar.

Se as vítimas normalmente apontam quase três condições contribuintes, então o modelo de defesa que a maioria das empresas ainda adota, "encontrar a lacuna, fechar a lacuna", enfrenta um atacante que só precisa que uma delas seja explorável. Enquanto isso, o defensor precisa administrar todas ao mesmo tempo.

Isso não é um problema de segurança. É um problema de assimetria.

A assimetria: uma porta contra sete

Pense na conta do ponto de vista do atacante.

Um operador de ransomware moderno (um grupo alinhado a um Estado, um afiliado de RaaS ou uma equipe independente) não precisa identificar e explorar cada fragilidade do seu ambiente. Ele precisa de um único caminho viável: um sistema sem patch, um conjunto de credenciais comprometidas, um bucket de nuvem mal configurado, um usuário suscetível a phishing, uma lacuna administrativa.

Agora pense na conta do ponto de vista do defensor. Você é responsável por:

1. Gestão de vulnerabilidades em milhares de ativos, em ciclos que nenhuma cadência de patches consegue acompanhar de forma confiável.
2. Governança de identidades de usuários humanos, contas de serviço, identidades federadas e, cada vez mais, agentes autônomos.
3. Segurança de e-mail e de colaboração, um ponto de entrada importante e aquele com mais variabilidade humana. Na pesquisa da Sophos, e-mail malicioso e phishing, somados, foram a causa raiz de 37% dos ataques.
4. Proteção de endpoints contra payloads que evoluem mais rápido do que a detecção baseada em assinaturas consegue se adaptar.
5. Segmentação de rede projetada contra modelos de ameaça que mudam continuamente.
6. Configuração de nuvem e SaaS em dezenas ou centenas de serviços, cada um com seu próprio modelo de permissões.
7. Infraestrutura de backup e recuperação que precisa funcionar em condições que o resto da sua pilha já não conseguiu evitar.

O atacante joga em uma casa deste tabuleiro. O defensor joga nas sete, todos os dias, com recursos finitos.

Esses sete domínios são o nosso enquadramento, e não as sete opções de resposta da Sophos. A lista da Sophos descreve condições organizacionais, como expertise, capacidade e lacunas desconhecidas, que atravessam todos os domínios acima. Ainda assim, o número 2,7 sustenta a assimetria com dados. As vítimas descreveram seus ataques (a pesquisa perguntou sobre os 12 meses anteriores, então muitos deles aconteceram em 2024) como o resultado de quase três condições contribuintes, em média. Isso não é sinal de negligência. É sinal de que a prevenção completa é estruturalmente difícil de alcançar.

Por que "é só corrigir a causa raiz" é uma conta errada

Uma resposta comum à análise de incidentes é identificar a "causa raiz" e corrigi-la. A maioria das análises pós-incidente reforça esse raciocínio. Os dados da Sophos de 2025 mostram por que esse enquadramento, embora intuitivamente satisfatório, deixa de lado a forma como as próprias vítimas descrevem o que deu errado.

Se as vítimas apontam, em média, 2,7 fatores contribuintes, então uma análise que para em uma única causa raiz tende a ficar incompleta. Ela diz por qual porta o atacante entrou. Não diz por que o prédio tinha tantas portas destrancadas que uma delas sempre estaria disponível.

Isso importa na operação. Os recursos gastos no vetor de entrada específico do incidente do ano passado são recursos que não vão para as lacunas de arquitetura que vão determinar o do ano que vem. A nossa leitura dos dados da Sophos é que as organizações que trabalham no modo de causa raiz única provavelmente estão investindo pouco nos controles em camadas que determinam se qualquer vetor de entrada leva a um resultado catastrófico.

O reenquadramento estratégico é este: em qualquer ambiente corporativo suficientemente complexo, os atacantes vão acabar encontrando um caminho viável. A pergunta que determina se esse caminho leva a um resgate pago não é "fechamos todas as portas?", e sim "a nossa arquitetura sobrevive quando uma delas se abre?".

O controle compensatório que a maioria das empresas subestima

Esta é a percepção arquitetural para a qual o número 2,7 aponta: quando a prevenção falha com alguma regularidade, as camadas que determinam os resultados de negócio se deslocam para mais adiante na cadeia.

É aqui que a arquitetura de backup deixa de ser "higiene de infraestrutura" e passa a ser um "controle estratégico primário".

Num modelo de ameaça de vetor único, o backup é um plano B. Num modelo de ameaça com múltiplos fatores, o backup é o controle compensatório para as falhas de prevenção que vão acontecer. O primeiro relatório State of Ransomware in Enterprise 2025 da Sophos, construído com os 1.733 respondentes de organizações com 1.000 a 5.000 funcionários, mostra o que está em jogo:

• 48% das empresas vítimas que tiveram dados criptografados pagaram o resgate para recuperá-los, contra 55% em 2024.
• O uso de backups pelas empresas para restaurar dados criptografados caiu para 53%, o menor nível em quatro anos, contra 73% em 2024.
• Organizações com 1.000–5.000 funcionários gastaram em média US$ 1,83 milhão para se recuperar, sem contar qualquer resgate pago, segundo o relatório principal de 2025.

A Sophos lê os números de pagamento e de backup em conjunto como indicação de "stronger resistance to demands together with weaknesses and lack of backup resilience" (uma resistência maior às exigências, acompanhada de fragilidades e falta de resiliência dos backups). Ela também observa que 30% das empresas com dados criptografados usaram outros meios para restaurá-los, de modo que a queda no uso de backups não é só uma história de backups falhando. Ainda assim, o quadro é coerente. Menos ataques chegam à criptografia, mas, quando chegam, os backups sustentaram a recuperação em apenas cerca de metade dos casos das empresas. A distância entre a maturidade da prevenção e a maturidade da recuperação é exatamente onde moram os pagamentos de resgate.

Para os líderes de risco corporativo, isso implica uma realocação específica da atenção arquitetural. Os investimentos em detecção, identidade e patches continuam essenciais. Mas nenhum deles elimina o 2,7. Eles apenas mudam quais três portas estão abertas num determinado dia. O controle que determina se uma porta aberta vira um incidente existencial é aquele que a maioria das organizações modernizou pouco: a arquitetura que mantém cópias limpas, imutáveis e validadas dos dados críticos para o negócio e consegue restaurá-las em condições adversas.

Como o 2,7 pode aparecer num incidente

A Sophos não decompõe o 2,7 numa sequência, então o que vem a seguir é uma ilustração nossa de como os fatores contribuintes podem se combinar num ambiente corporativo, e não dados da pesquisa:

O fator um costuma ser um vetor de entrada: um dispositivo de borda sem patch, uma credencial comprometida reutilizada em vários sistemas ou um e-mail de phishing bem-sucedido. É a falha que o relatório pós-incidente vai chamar de "causa raiz".

O fator dois normalmente é uma falha de privilégio ou de visibilidade que permitiu ampliar a posição inicial: permissões permanentes excessivas, lacunas na detecção de movimentação lateral ou segmentação inadequada entre unidades de negócio.

O fator três é aquele em que nos concentramos: uma falha na camada de recuperação que transforma uma violação contida num resgate pago. Credenciais de backup alcançáveis a partir da produção, políticas de retenção que podem ser modificadas por administradores comprometidos ou procedimentos de restore que nunca foram testados contra o cenário que a equipe agora enfrenta. A Sophos tem um dado pontual aqui: no relatório principal de 2025, das 151 organizações que pagaram mais do que a exigência inicial de resgate, 38% disseram que seus backups falharam ou estavam funcionando mal.

Os dois primeiros fatores recebem a atenção na resposta a incidentes. O terceiro muitas vezes decide o resultado financeiro, e é difícil avaliá-lo com honestidade até que um incidente force a pergunta.

Essa é a realidade operacional para a qual o número 2,7 aponta. Os fatores não são abstratos: juntos, formam a sequência de falhas que transforma um evento de segurança administrável numa crise que chega ao conselho.

O que isso significa para a alocação de risco

Se você aceita que o resultado 2,7 tem significado arquitetural (e uma pesquisa com 3.400 organizações vítimas torna difícil descartá-lo), algumas conclusões de alocação se seguem.

Diversifique o investimento ao longo da cadeia de falhas, e não dentro de uma única camada. Redobrar a aposta em segurança de e-mail sem mudar a arquitetura de recuperação altera qual fator falha primeiro; não reduz o número total de falhas. Orçamentos de segurança corporativos que destinam uma parcela desproporcional à prevenção enquanto tratam o backup como um item de custo qualquer estão operando contra um modelo de ameaça que não reflete a forma como as vítimas descrevem seus incidentes.

Avalie as arquiteturas contra cenários com múltiplos fatores, e não com testes de vetor único. Um teste que confirma que uma defesa resiste não é evidência de que o seu ambiente sobrevive a um ataque real. Na pesquisa da Sophos, as vítimas apontaram, em média, quase três fatores contribuintes. Exercícios de mesa (tabletop) e trabalhos de red team deveriam ser desenhados para testar explicitamente essa condição combinada.

Meça a confiança na recuperação, e não a conclusão do backup. A Sophos não diz por que o uso de backups pelas empresas caiu para 53%, e parte da queda reflete outros métodos de recuperação. A nossa leitura é que muitas arquiteturas de backup foram projetadas para falhas de fator único (um servidor morreu, um usuário apagou um arquivo) e agora precisam funcionar em condições de múltiplos fatores (o atacante está na rede há duas semanas e mexeu em tudo). São problemas diferentes. A própria recomendação da Sophos é "make quality backups and regularly practice restoring data from them" (fazer backups de qualidade e praticar regularmente a restauração de dados a partir deles).

Trate a camada de recuperação como o controle compensatório que ela se tornou. Quando a prevenção vai falhar de vez em quando, a camada que determina os resultados é aquela que mantém cópias limpas, isoladas e imutáveis dos dados e consegue restaurá-las com rapidez em condições hostis. Essa camada precisa ser arquitetada, governada e testada com o mesmo rigor do ambiente de produção que ela protege.

Onde a BackupSec entra

Na BackupSec, a nossa abordagem é construída sobre uma premissa: a prevenção vai falhar em algum ponto, cedo ou tarde, e, quando isso acontecer, a camada de recuperação decide se a falha é recuperável ou existencial.

Três dos nossos serviços se relacionam com as perguntas que o número 2,7 levanta:

• O ZeroMON responde a "O que o nosso ambiente de backup está realmente fazendo agora?" Ele monitora o Veeam Backup & Replication: saúde dos jobs, mudanças de configuração com quem, o quê e quando (Forensic & Audit), um checklist do Security Analyzer, relatórios e um honeypot no appliance de monitoramento. Mostra o status de imutabilidade conforme as próprias configurações de repositório do Veeam o informam; lê a configuração do Veeam e não verifica os bloqueios em nível de objeto no storage. Os alertas são enviados por e-mail e por notificação no próprio aplicativo. O ZeroMON é implantado on-premises como OVA, conecta-se com uma conta somente leitura e não envia nada para a BackupSec nem para terceiros.
• O ZeroTAM responde a "Temos a expertise para interpretar o que estamos vendo?" Essa é a pergunta por trás do fator mais comum da lista da Sophos. Um consultor dedicado de segurança de backup cobre arquitetura, planejamento de recuperação contra ransomware e capacidade, com suporte prioritário durante uma crise. É consultoria, e não software.
• O ZeroPEN responde a "Até onde um atacante chegaria contra os nossos backups?" É um teste de penetração orientado a ameaças do Veeam Backup & Replication, do Veeam ONE e do Enterprise Manager que simula uma kill chain de ransomware em oito etapas mapeadas no MITRE ATT&CK, do acesso inicial, passando pela neutralização do backup, até a prova de capacidade de criptografia. É não destrutivo: ele "never deletes real backups, performs real encryption, or stops production or backup services" (nunca apaga backups reais, nunca executa criptografia real nem interrompe serviços de produção ou de backup). As descobertas vêm com evidências prontas para auditoria, e as descobertas críticas são testadas novamente.

Não substituímos a sua plataforma de backup. Ajudamos a tornar a camada de recuperação que ela sustenta observável, compreendida e testada contra as condições de múltiplos fatores que os dados da Sophos descrevem.

Se a sua organização está lendo o relatório da Sophos de 2025 e concluindo que a resposta é fechar todas as portas, os dados estão dizendo outra coisa: as portas não vão ficar todas fechadas, e a arquitetura que determina o que acontece quando uma delas se abre é a conversa que vale a pena ter em 2026.

Fale com a BackupSec →

Esta análise se baseia nos relatórios State of Ransomware 2025 e State of Ransomware in Enterprise 2025 da Sophos. A interpretação e o framework são da própria BackupSec. Para conversar sobre como esta análise se aplica ao seu ambiente, fale com a nossa equipe →