O resultado mais sem graça dos dados da Sophos é também o mais importante
Todos os anos, a conversa sobre ransomware fica mais barulhenta em torno de novas técnicas de ataque. Phishing gerado por IA. Engenharia social com deepfake. Machine learning adversarial. Binários living-off-the-land. Comprometimentos da cadeia de suprimentos por meio de dependências obscuras. A narrativa invariavelmente sugere que os defensores estão diante de uma ameaça fundamentalmente nova, que exige ferramentas fundamentalmente novas.
Por três pesquisas seguidas, o relatório State of Ransomware da Sophos trouxe uma resposta menos na moda. A edição de 2025 resume isso numa frase:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(Pelo terceiro ano consecutivo, as vítimas identificaram as vulnerabilidades exploradas como a causa raiz técnica de ataque mais comum, usada em 32% dos incidentes.)
Não uma técnica exótica. Uma falha num software que a vítima já estava rodando, usada como porta de entrada. A Sophos não divide essa categoria entre zero-days e falhas que já tinham patch, então a pesquisa não consegue dizer quantos desses incidentes eram corrigíveis no dia do ataque. O que ela diz é que, por três anos, as vítimas não apontaram nenhum outro ponto de entrada isolado com mais frequência.
A sequência já terminou. Na edição de 2026, as vulnerabilidades exploradas caíram para 18%, atrás do e-mail malicioso (26%), do phishing (24%) e das credenciais comprometidas (23%). Voltamos a essa mudança mais abaixo, porque ela reforça o argumento em vez de enfraquecê-lo: o principal ponto de entrada mudou dentro de um único ano, e o problema de recuperação do defensor não mudou junto.
Na BackupSec, lemos a sequência de três anos como um sinal estratégico. A distância entre as fragilidades de segurança conhecidas e as corrigidas não diminui no ritmo da prevenção. Este artigo examina por que essa distância persiste, por que a prevenção sozinha não consegue fechá-la e o que isso significa para a arquitetura de backup em 2026.
O que os dados da Sophos realmente mostram
O relatório de 2025 da Sophos se baseia numa pesquisa independente e neutra em relação a fornecedores, encomendada pela Sophos e conduzida por um especialista terceirizado entre janeiro e março de 2025. Ela cobre 3.400 líderes de TI e cibersegurança em 17 países, todos de organizações com 100 a 5.000 funcionários que tinham sido atingidas por ransomware nos doze meses anteriores. A Sophos batiza cada relatório com o ano em que a pesquisa foi feita e observa que "many of the attacks referenced occurred in 2024" (muitos dos ataques mencionados aconteceram em 2024). A pergunta sobre a causa raiz foi respondida pelos 3.400 respondentes:
- Vulnerabilidades exploradas: 32% dos ataques, a causa nº 1 pelo terceiro ano seguido (36% no relatório de 2023, 32% no de 2024).
- Credenciais comprometidas: 23%, contra 29% em 2024.
- E-mail malicioso: 19%.
- Phishing: 18%, contra 11% no ano anterior.
Os relatórios setoriais construídos sobre a mesma pesquisa de 2025 seguem, na maior parte, o mesmo padrão. Na manufatura, as vulnerabilidades exploradas foram a principal causa, com 32%. No varejo, lideraram pelo terceiro ano seguido, com 30%. Nem todo setor se encaixa: na saúde, as vulnerabilidades exploradas lideraram a lista com 33% "for the first time in three years" (pela primeira vez em três anos). O padrão era amplo, não universal.
Uma ressalva sobre a própria pesquisa. Ela registra o que as vítimas acreditam ter sido a causa raiz, e os dados de incidentes da própria Sophos contam uma história um pouco diferente. Nos casos de resposta a incidentes e de MDR de 2024 reunidos no seu 2025 Active Adversary Report, as credenciais comprometidas lideraram (41%) e as vulnerabilidades exploradas vieram em segundo lugar (22%). De um jeito ou de outro, a exploração está no topo ou perto dele.
O que torna o resultado da pesquisa importante é a sua persistência. A parcela recuou de 36% para 32% e depois se manteve ali, e por três anos nada a ultrapassou.
Isso deveria nos dizer algo arquitetural sobre o problema.
Por que o patching falha, mesmo quando as organizações o fazem
A resposta intuitiva a "um terço dos ataques começa com uma vulnerabilidade explorada" é "então aplique patches mais rápido". Essa resposta está correta, mas é insuficiente na prática, e vale examinar com honestidade os motivos pelos quais ela não basta.
O problema do denominador. Uma organização de porte médio pode facilmente rodar milhares de componentes de software distintos entre sistemas operacionais, aplicações, firmware, imagens de contêiner e configurações de SaaS. Os comunicados dos fabricantes chegam sem parar. Nem mesmo uma equipe de segurança no auge da forma consegue aplicar patches em todos os componentes no dia em que uma CVE é publicada. O denominador de "coisas que podem ser exploradas" é estruturalmente maior que a capacidade de "coisas que podem receber patch nesta semana".
O problema da criticidade. Muitos patches exigem tempo de inatividade, testes de regressão ou coordenação com responsáveis de negócio que estão protegendo a receita. Os sistemas que mais precisam de patch (aplicações expostas externamente, sistemas de produção legados, infraestrutura de TO e de controle industrial) costumam ser aqueles em que a inatividade custa mais caro. Então os patches são agendados, adiados, agrupados e, por fim, esquecidos. Essa dívida de manutenção é exatamente onde um atacante em busca de uma porta de entrada vai olhar primeiro.
O problema da descoberta. Não dá para aplicar patch no que não se vê. Na pesquisa da Sophos de 2025, lacunas de segurança que a organização desconhecia foram um fator contribuinte em 40,1% dos ataques, logo atrás da falta de expertise (40,2%). Os respondentes apontaram em média 2,7 fatores contribuintes, então essas são causas contribuintes, e não causas únicas. No varejo, as lacunas de segurança desconhecidas foram a causa operacional mais citada, apontada por 46% das vítimas. Shadow IT, sistemas não documentados, workloads de nuvem esquecidos e integrações de terceiros com suas próprias árvores de dependências tornam a superfície de ataque moderna realmente difícil de enumerar. A distância entre o que o seu inventário de ativos mostra e o que um atacante consegue de fato alcançar é onde vivem muitas das vulnerabilidades exploradas.
O problema da janela. Mesmo quando uma vulnerabilidade é conhecida e existe um patch, o tempo até a exploração despencou. A análise de tempo até a exploração da Mandiant mediu uma média de 63 dias em 2018–2019, 32 dias em 2021–2022 e cinco dias em 2023. Das falhas que ela acompanhou e que foram exploradas depois de haver um patch disponível, 12% foram exploradas em até um dia e 29% em até uma semana. E 70% das vulnerabilidades exploradas que ela acompanhou em 2023 foram usadas como zero-days, antes que existisse qualquer patch. A janela de patching de alguns anos atrás acabou.
Nenhum desses problemas se resolve comprando mais uma ferramenta de gestão de vulnerabilidades. São características estruturais de como as organizações operam a TI, e ajudam a explicar por que as vulnerabilidades exploradas ficaram no topo da lista da Sophos por três anos.
A distração da IA
Os dados da Sophos de 2025 também foram um contraponto útil à narrativa dominante sobre ataques impulsionados por IA.
A conversa do setor em 2025 girou muito em torno de campanhas de phishing geradas por IA, engenharia social com deepfake e evasão viabilizada por machine learning. Essas ameaças são reais e merecem atenção. O phishing de fato cresceu na pesquisa de 2025, de 11% para 18% dos ataques. A Sophos não diz quanto desse aumento veio de iscas escritas por IA, e nós também não temos como dizer. O que os dados de 2025 mostram é que o phishing não tirou das vulnerabilidades exploradas a posição de principal ponto de entrada.
A edição de 2026 faz o quadro avançar. Os ataques por e-mail assumiram a liderança: e-mail malicioso (26%) e phishing (24%), somados, responderam por metade de todos os incidentes, enquanto as vulnerabilidades exploradas caíram 14 pontos, para 18%. A Sophos também não atribui essa mudança à IA.
A lição prática para os líderes de risco é desconfiar de qualquer narrativa, inclusive a nossa, que diga que o investimento defensivo mais importante é aquele voltado ao vetor que lidera neste ano. O líder mudou em menos de doze meses. Uma defesa que depende de fechar uma porta específica está apostando num alvo em movimento. O investimento mais duradouro é aquele que faz com que qualquer vetor de entrada isolado pese menos no resultado.
O que "pesar menos" significa na prática
Esta é a percepção arquitetural que decorre de aceitar que a exploração não pode ser totalmente eliminada. Se uma parcela significativa dos ataques vai continuar começando por uma falha que você não corrigiu a tempo (cerca de um terço deles em três pesquisas consecutivas da Sophos, e ainda quase um em cada cinco na quarta), então a questão estratégica deixa de ser "como aplicar patches mais rápido?" e passa a ser "o que acontece quando não aplicamos?".
Essa é a pergunta que a maioria das arquiteturas de segurança ainda evita.
Num modelo de defesa em que se pressupõe que a prevenção funciona, a exploração de vulnerabilidades é tratada como uma falha a ser eliminada. Num modelo de defesa que leva a sério os dados da Sophos, ela é tratada como uma condição recorrente que o resto da arquitetura precisa absorver sem um resultado catastrófico.
A passagem da eliminação para a absorção é a mesma que a engenharia de confiabilidade madura fez anos atrás. Não se elimina a falha em sistemas distribuídos. Projetam-se sistemas que se degradam de forma controlada quando as falhas acontecem. Mede-se o tempo médio de recuperação, e não apenas o tempo médio entre falhas. Trata-se a resiliência como uma propriedade arquitetural primária, e não como uma limpeza depois que a prevenção falha.
A segurança está começando, aos poucos, a aplicar a mesma lógica. Os dados da Sophos são, na nossa leitura, uma evidência forte de que essa transição está atrasada.
Onde a arquitetura de backup se torna o ponto de virada
Quando uma vulnerabilidade é explorada e um atacante estabelece uma posição inicial, a cadeia que se segue está bem documentada: movimentação lateral, escalonamento de privilégios, reconhecimento, exfiltração e, por fim, implantação do payload. E ela é rápida. Nos casos de 2024 que embasam o 2025 Active Adversary Report da Sophos, o tempo mediano de permanência (dwell time) nos casos de resposta a incidentes de ransomware foi de 4 dias, e de 3 dias nos casos de MDR. Esse é o tempo que um atacante tem para encontrar e neutralizar os controles que, de outra forma, permitiriam a recuperação, e é mais curto que a maioria dos ciclos de revisão.
O mais importante desses controles é o ambiente de backup.
Se a sua infraestrutura de backup pode ser alcançada a partir de um sistema comprometido por meio de uma vulnerabilidade explorada, a vulnerabilidade não apenas permitiu um ataque. Ela permitiu que o ataque vencesse. Do ponto de vista arquitetural, uma CVE explorada numa aplicação exposta à internet importa menos pelo que ela faz naquele host do que pelo que ela permite ao atacante fazer com a sua camada de recuperação nos dias seguintes.
Esse é o ponto de virada que os dados da Sophos sugerem. As vulnerabilidades exploradas vão continuar sendo uma das principais portas de entrada, qualquer que seja a posição delas num determinado ano. A variável que determina os resultados é se a sua arquitetura de recuperação pode ser alcançada a partir dos sistemas onde essas posições iniciais são estabelecidas.
Na prática, isso significa:
Separação de identidades. As credenciais que protegem os sistemas de produção não podem dar acesso à infraestrutura de backup. Se uma conta de administrador de domínio comprometida consegue chegar ao seu repositório de backup, os seus backups fazem parte da superfície de ataque que a vulnerabilidade sem patch expôs.
Imutabilidade validada. Políticas de retenção baseadas em software podem ser modificadas por qualquer pessoa com privilégios suficientes. Bloqueios de retenção impostos por hardware ou pela plataforma são projetados para resistir a isso, mas "configurado" e "funcionando de fato como previsto" são afirmações diferentes, e só um teste as distingue. Seja a sua imutabilidade imposta pela plataforma de backup, pela camada de storage ou por um repositório protegido (hardened repository), a propriedade que importa é se ela foi testada em condições adversas, e não apenas habilitada num painel de configurações.
Isolamento de rede e de confiança. Um ambiente de backup que fica no mesmo domínio de rede que os sistemas de produção faz parte da produção, do ponto de vista da modelagem de ameaças. O isolamento lógico e físico é o que transforma a infraestrutura de backup de "mais um alvo" em "a camada que sobrevive quando os outros alvos não sobrevivem".
Validação regular de restores. Na pesquisa da Sophos de 2025, apenas 54% das organizações que tiveram dados criptografados os restauraram a partir de backups, a menor taxa em seis anos e a terceira queda consecutiva. A Sophos não pergunta às demais o porquê. Ela informa que 29% usaram "other means" (outros meios), o que, segundo ela, provavelmente inclui chaves de descriptografia que tinham se tornado públicas (era possível dar mais de uma resposta). O seu único dado direto sobre backups que falharam é limitado: das 151 organizações que pagaram mais do que a exigência inicial, 38% disseram que seus backups falharam ou estavam funcionando mal. A edição de 2026 mostra uma recuperação, com 66% das vítimas com dados criptografados se recuperando a partir de backups. De qualquer forma, um backup que nunca foi restaurado em condições realistas é uma hipótese, e não um controle.
O reenquadramento estratégico
Para os líderes de risco, a sequência de três anos da exploração de vulnerabilidades no topo da lista não é uma condenação dos programas de gestão de vulnerabilidades. É a evidência de que a gestão de vulnerabilidades, por mais bem executada que seja, não consegue carregar sozinha todo o peso da defesa contra ransomware.
O resultado de 2025, de que 32% dos ataques começaram com uma vulnerabilidade explorada, deve ser lido junto com outro número da mesma pesquisa: 49% das organizações que tiveram dados criptografados pagaram o resgate, contra 56% no ano anterior. Na edição de 2026, a taxa foi de 48%, e a Sophos coloca a média de quatro anos em cerca de 50%. Na nossa leitura, esses números estão ligados. Eles descrevem uma postura em que se exige que a prevenção seja infalível porque não se pode contar com a camada de recuperação. A correção não é tornar a prevenção mais infalível. É tornar a recuperação confiável o bastante para que as falhas de prevenção não decidam os resultados do negócio.
Essa correção é arquitetural, e está atrasada. As organizações que fecharem essa lacuna serão aquelas cuja camada de recuperação consegue absorver um incidente, qualquer que seja a porta por onde ele entrou. Os dados de 2026 mostram com que rapidez a porta mais movimentada pode mudar.
Onde a BackupSec entra
Na BackupSec, partimos da premissa de que a prevenção vai falhar de vez em quando e de que, quando isso acontecer, o resultado depende de duas coisas: se existem cópias limpas e isoladas dos seus dados e se alguém verificou que a camada de backup resiste ao ataque que está por vir.
Três dos nossos serviços se relacionam com as lacunas descritas acima:
- O ZeroMON monitora o Veeam Backup & Replication. Roda on-premises como OVA, conecta-se com uma conta somente leitura e não envia nada para a BackupSec nem para terceiros. Acompanha a saúde dos jobs e as mudanças de configuração no Veeam (quem mudou o quê, e quando), mostra o status de imutabilidade conforme as próprias configurações de repositório do Veeam o informam, exibe os resultados do Security & Compliance Analyzer do Veeam e inclui um honeypot que registra varreduras e tentativas de conexão contra o appliance do ZeroMON como sinal precoce de reconhecimento. Os alertas são enviados por e-mail e por notificação no próprio aplicativo. Como lê a configuração do Veeam, ele não verifica os bloqueios em nível de objeto no próprio storage.
- O ZeroTAM dá à sua equipe um consultor dedicado de segurança de backup para arquitetura, planejamento de recuperação contra ransomware e capacidade, com suporte prioritário numa crise. É trabalho de consultoria, e não software.
- O ZeroPEN é um teste de penetração orientado a ameaças do Veeam Backup & Replication, além do Veeam ONE e do Enterprise Manager. Simula uma kill chain de ransomware em oito etapas mapeadas no MITRE ATT&CK, do acesso inicial, passando pelo comprometimento do servidor Veeam, pelo acesso ao repositório e pela neutralização do backup, até a prova de capacidade de criptografia. É não destrutivo: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services." (o ZeroPEN nunca apaga backups reais, nunca executa criptografia real nem interrompe serviços de produção ou de backup). Você recebe evidências prontas para auditoria do que um atacante com uma posição inicial conseguiria alcançar, e um reteste para as descobertas críticas.
O número de 32% nunca foi um destino, e o número de 18% de 2026 não é um alívio. Os dois descrevem a porta da frente. O que decide o resultado é se a camada de recuperação falha junto com a camada de prevenção. Desacoplar as duas não torna você imune às vulnerabilidades exploradas. Torna muito menos provável que um patch esquecido decida se você vai pagar.
Fale com a BackupSec sobre testes de penetração de backup →
Esta análise se baseia nos relatórios State of Ransomware 2025 e 2026 da Sophos, nos relatórios setoriais da Sophos de 2025 para manufatura, varejo e saúde, no 2025 Active Adversary Report da Sophos e na análise de tempo até a exploração de 2023 da Mandiant. A interpretação e o framework são da própria BackupSec. Para conversar sobre como isso se aplica ao seu ambiente, fale com a nossa equipe →