A Constatação Mais Entediante do Relatório Sophos 2025 Também É a Mais Importante
Todo ano, a conversa sobre ransomware fica mais alta em torno de novas técnicas de ataque. Phishing gerado por IA. Engenharia social com deepfakes. Aprendizado de máquina adversarial. Binários living-off-the-land. Comprometimentos de cadeia de suprimentos por meio de dependências obscuras. A narrativa sugere, invariavelmente, que os defensores enfrentam uma ameaça fundamentalmente nova que exige ferramentas fundamentalmente novas.
E todo ano, o relatório State of Ransomware da Sophos retorna de uma pesquisa independente de fornecedores com milhares de vítimas com a mesma resposta fora de moda.
Pelo terceiro ano consecutivo, vulnerabilidades exploradas são a causa raiz técnica mais comum dos incidentes de ransomware — responsáveis por 32% dos ataques em 2025.
Não são técnicas inéditas de IA. Não são zero-days. Não são ataques exóticos à cadeia de suprimentos. São patches que existiam, mas não foram aplicados. Configurações que se sabia estarem erradas. CVEs com exploits públicos e boletins de fornecedores que entraram numa fila e nunca saíram dela.
Essa é a constatação que deveria deixar todo líder de segurança empresarial desconfortável, porque não pode ser resolvida com a compra de uma nova ferramenta. É um problema estrutural na forma como os ambientes corporativos acumulam dívida técnica — e os dados de 2025 sugerem que nenhum volume de investimento em detecção avançada está fechando essa lacuna.
Na BackupSec, interpretamos a persistência da exploração de vulnerabilidades como a causa raiz nº 1 como um sinal estratégico: a lacuna entre fraquezas de segurança conhecidas e fraquezas de segurança corrigidas é o preditor isolado mais confiável de quais organizações aparecerão, no próximo ano, na coluna de "pagou o resgate". Este artigo analisa por que essa lacuna persiste, por que ela não pode ser fechada apenas com prevenção, e quais são as implicações arquiteturais para as organizações que operam em 2026.
O Que os Dados da Sophos Realmente Mostram
O relatório Sophos 2025 entrevistou 3,400 líderes de TI e cibersegurança em 17 países, todos de organizações que haviam sido atingidas por ransomware nos doze meses anteriores. Quando questionados sobre a causa raiz técnica de seu incidente, a distribuição foi notavelmente consistente ano após ano:
- Vulnerabilidades exploradas: 32% dos ataques — a causa nº 1 por três anos consecutivos.
- Credenciais comprometidas: 23% — queda em relação aos 29% de 2024.
- E-mail malicioso: 19%.
- Phishing: 18% — alta em relação aos 11% do ano anterior.
Os relatórios setoriais reforçam o padrão. Na manufatura, vulnerabilidades exploradas responderam por 32% dos incidentes — novamente a principal causa. No varejo, o número foi de 30%, também na liderança. Em praticamente todos os recortes setoriais publicados pela Sophos, a mesma constatação persiste: um terço de todos os ataques de ransomware bem-sucedidos começa com uma vulnerabilidade que o fornecedor já corrigiu, que a equipe de segurança teoricamente já conhece, e na qual o atacante simplesmente chegou primeiro.
O que torna essa constatação estrategicamente importante não é apenas sua consistência. É o fato de ela ter permanecido a causa nº 1 apesar de três anos de intenso investimento do setor em ferramentas de gestão de vulnerabilidades, plataformas de gestão de superfície de ataque, serviços de avaliação de exposição e automação de patches. O investimento tem sido substancial. O resultado permanece inalterado.
Isso deveria nos dizer algo de natureza arquitetural sobre o problema.
Por Que a Aplicação de Patches Falha — Mesmo Quando as Organizações a Realizam
A resposta intuitiva a "32% dos ataques começam com vulnerabilidades conhecidas" é "então corrija mais rápido". Essa resposta está correta, mas é operacionalmente insuficiente, e vale a pena examinar honestamente os motivos pelos quais ela não é suficiente.
O problema do denominador. Uma empresa típica de médio porte gerencia milhares de componentes de software distintos entre sistemas operacionais, aplicações, firmware, imagens de contêiner e configurações de SaaS. Boletins de fornecedores chegam continuamente. Mesmo uma equipe de segurança operando no seu melhor não consegue corrigir todos os componentes no dia em que um CVE é publicado. O denominador de "coisas que poderiam ser exploradas" é estruturalmente maior do que a capacidade de "coisas que podem ser corrigidas nesta semana".
O problema da criticidade. Muitos patches exigem tempo de inatividade, testes de regressão ou coordenação com responsáveis de negócio que estão protegendo a continuidade da receita. Os sistemas que mais precisam de correção — as aplicações voltadas para a internet, os sistemas de produção legados, a infraestrutura de OT e controle industrial — costumam ser justamente aqueles em que o custo de negócio da inatividade é mais alto. Assim, os patches são agendados, adiados, agrupados e, eventualmente, esquecidos. Os atacantes sabem disso; eles miram especificamente as categorias de sistemas com maior probabilidade de carregar dívida de manutenção.
O problema da descoberta. Não é possível corrigir o que não se pode ver. Os próprios dados da Sophos mostram que lacunas de segurança desconhecidas foram citadas por mais de 40% das vítimas como fatores contribuintes. No varejo, especificamente, 46% dos incidentes remontam a lacunas desconhecidas. Essas não são vulnerabilidades que as organizações optaram por não corrigir — são vulnerabilidades que as organizações não sabiam que tinham. Shadow IT, sistemas não documentados, cargas de trabalho em nuvem esquecidas, integrações de terceiros com suas próprias árvores de dependências: a superfície de ataque da empresa moderna é genuinamente difícil de enumerar, e a lacuna entre o que o inventário de ativos mostra e o que um atacante realmente consegue alcançar é onde vivem a maioria das vulnerabilidades exploradas.
O problema da janela de tempo. Mesmo quando uma vulnerabilidade é conhecida e um patch está disponível, o tempo entre a divulgação e a exploração ativa se comprimiu drasticamente. Os agentes de ameaça monitoram os boletins de fornecedores com a mesma diligência das equipes de segurança, e exploits armados para CVEs de alto impacto agora surgem rotineiramente em questão de dias — às vezes horas — após a divulgação. A janela de correção que existia há cinco anos não existe mais para nenhuma vulnerabilidade séria o suficiente para atrair atenção.
Nenhum desses problemas é resolvido comprando outra ferramenta de gestão de vulnerabilidades. São características estruturais de como os ambientes corporativos funcionam, e explicam por que o número de 32% não se moveu em três anos, apesar do enorme investimento defensivo.
A Distração da IA
Vale abordar isso diretamente: os dados da Sophos de 2025 também servem como um corretivo útil à narrativa dominante sobre ataques orientados por IA.
A conversa do setor em 2025 girou fortemente em torno de campanhas de phishing geradas por IA, engenharia social baseada em deepfakes e evasão viabilizada por aprendizado de máquina. Essas ameaças são reais e merecem atenção — especialmente diante de pesquisas que mostram que uma grande maioria dos e-mails de phishing agora contém conteúdo gerado por IA.
Mas os dados da Sophos funcionam como uma verificação útil de realidade sobre onde os recursos e a atenção deveriam realmente ser alocados. O phishing potencializado por IA está contribuindo para o aumento dos incidentes relacionados a phishing (de 11% para 18% de um ano para o outro). No entanto, ele não está substituindo a exploração de vulnerabilidades como o vetor de entrada dominante. O terço de todos os ataques que começa com sistemas não corrigidos não está diminuindo porque os atacantes têm acesso a modelos de linguagem melhores. Na verdade, a conversa sobre IA tem funcionado como uma distração do problema estrutural e pouco glamoroso que, silenciosamente, vem causando um terço de todos os incidentes de ransomware por três anos consecutivos.
A implicação estratégica para os líderes de risco empresarial é a de manter ceticismo diante de qualquer narrativa de fornecedor que sugira que o investimento defensivo mais importante é sempre o mais recente. Os dados da Sophos apontam em outra direção: o investimento defensivo mais importante pode ser aquele que torna o problema estrutural e entediante da gestão de vulnerabilidades menos determinante para os resultados gerais.
O Que "Menos Determinante" Realmente Significa
Eis o insight arquitetural que decorre de aceitar que a exploração de vulnerabilidades não pode ser totalmente eliminada: se um terço de todos os ataques continuará começando com um patch que não foi aplicado a tempo, então a pergunta estratégica muda de "como corrigimos mais rápido?" para "o que acontece quando não corrigimos?"
Essa é a pergunta que a maioria das arquiteturas de segurança corporativa ainda evita.
Em um modelo de defesa em que se presume que a prevenção funcione, a exploração de vulnerabilidades é tratada como uma falha que precisa ser eliminada. Em um modelo de defesa que leva a sério os dados da Sophos, a exploração de vulnerabilidades é tratada como uma condição recorrente que o restante da arquitetura precisa absorver sem produzir resultados catastróficos.
A mudança de eliminação para absorção é a mesma mudança arquitetural pela qual passou a engenharia de confiabilidade madura há uma década. Não se elimina a falha em sistemas distribuídos. Projetam-se sistemas que degradam graciosamente quando ocorrem falhas. Mede-se o tempo médio de recuperação, não apenas o tempo médio entre falhas. Trata-se a resiliência como uma propriedade arquitetural primária, não como uma limpeza secundária após a falha da prevenção.
A segurança corporativa está, muito lentamente, começando a aplicar a mesma lógica. Os dados da Sophos de 2025 são, em nossa leitura, a evidência empírica mais forte até agora de que essa transição já deveria ter ocorrido.
Onde a Arquitetura de Backup Se Torna o Ponto de Virada
Quando uma vulnerabilidade é explorada e um atacante estabelece um ponto de apoio, a cadeia de eventos que se segue é bem documentada: movimento lateral, escalonamento de privilégios, reconhecimento de dados valiosos, exfiltração e, por fim, a implantação do payload. Os agentes de ameaça modernos passam, em média, de 12 a 22 dias dentro de ambientes comprometidos antes de implantar o ransomware — tempo que utilizam especificamente para identificar e neutralizar os controles que, de outra forma, possibilitariam a recuperação.
O mais importante desses controles, isoladamente, é o ambiente de backup.
Se sua infraestrutura de backup pode ser alcançada a partir de um sistema que começou com uma vulnerabilidade explorada, então essa vulnerabilidade não apenas viabilizou um ataque — ela viabilizou que o ataque vencesse. O CVE explorado em uma aplicação voltada para a internet se torna arquiteturalmente significativo não pelo que faz no host onde foi explorado, mas pelo que permite que um atacante faça com a sua camada de recuperação nas duas semanas seguintes.
Este é o ponto de virada arquitetural que os dados da Sophos sugerem. A exploração de vulnerabilidades continuará sendo a causa raiz nº 1 no futuro previsível. A variável que determina os resultados é se a sua arquitetura de recuperação pode ser alcançada a partir dos sistemas onde essas vulnerabilidades inevitavelmente serão exploradas.
Concretamente, isso significa:
Separação de identidades. As credenciais que protegem os sistemas de produção não devem conceder acesso à infraestrutura de backup. Se uma conta de administrador de domínio comprometida consegue alcançar o seu repositório de backup, seus backups fazem parte da superfície de ataque exposta pela vulnerabilidade não corrigida.
Imutabilidade validada. Políticas de retenção baseadas em software podem ser modificadas por qualquer pessoa com privilégio suficiente. Bloqueios de retenção impostos por hardware ou pela plataforma são projetados para resistir a isso — mas a lacuna entre "configurado" e "realmente funcionando como pretendido" é onde muitos ambientes de backup corporativos falham em incidentes reais. Seja a sua imutabilidade imposta pela sua plataforma de backup, pela sua camada de armazenamento ou por um repositório hardened, a propriedade que importa é se ela foi testada sob condições adversariais, e não apenas ativada em um painel de configurações.
Isolamento de rede e de confiança. Um ambiente de backup que reside no mesmo domínio de rede que os sistemas de produção é, do ponto de vista da modelagem de ameaças, parte da produção. O isolamento lógico e físico é o que transforma a infraestrutura de backup de "mais um alvo" na "camada que sobrevive quando os demais alvos não sobrevivem".
Validação contínua de restauração. Um backup que não foi testado contra as condições específicas de um ataque real é uma hipótese, não um controle. Os dados de 2025 mostram que 53% das empresas não usaram backups para se recuperar de incidentes de ransomware bem-sucedidos, apesar de possuírem backups. A explicação mais provável é que os backups que possuíam nunca foram validados contra os cenários que de fato ocorreram. Arquitetar uma defesa contra esse modo de falha exige testes, não apenas execução.
A Reformulação Estratégica
Para os líderes de risco empresarial, a persistência da exploração de vulnerabilidades como causa raiz nº 1 não é uma condenação dos programas de gestão de vulnerabilidades. É evidência de que a gestão de vulnerabilidades — por melhor que seja executada — é estruturalmente incapaz de sustentar sozinha todo o peso da defesa contra ransomware.
A constatação da Sophos de que 32% dos ataques começam com vulnerabilidades conhecidas deve ser lida em conjunto com a constatação de que 48% das empresas vítimas pagaram o resgate. Esses números estão conectados. Eles descrevem uma postura defensiva na qual se exige que a prevenção seja infalível porque não é possível confiar na camada de recuperação. A correção estratégica não é tornar a prevenção mais infalível — é tornar a recuperação confiável o suficiente para que as falhas de prevenção não determinem os resultados do negócio.
Essa correção é arquitetural. E também está atrasada. As organizações que fecharem essa lacuna nos próximos doze meses serão aquelas cuja camada de recuperação consegue absorver o inevitável terço de incidentes que continuará começando com um sistema não corrigido. As organizações que não o fizerem continuarão aparecendo, ano após ano, na mesma linha do relatório da Sophos.
Onde a BackupSec Entra
Na BackupSec, nosso serviço é construído sobre a premissa de que a prevenção falhará, aproximadamente, na proporção descrita pelos dados da Sophos — e que a camada que determina os resultados quando isso acontece é a infraestrutura de recuperação que mantém cópias limpas e isoladas dos dados críticos para o negócio, além da disciplina operacional que comprova que elas podem ser restauradas.
Cada um dos nossos três serviços aborda uma lacuna específica exposta pela persistência da exploração de vulnerabilidades como causa raiz nº 1:
- O ZeroMON oferece observabilidade contínua sobre as operações de backup, o desvio de configuração e os sinais de segurança — de modo que, quando uma vulnerabilidade é explorada e um atacante passa duas semanas dentro da rede, a atividade de reconhecimento direcionada ao seu ambiente de backup seja visível, não silenciosa.
- O ZeroTAM oferece à sua equipe um consultor dedicado de segurança de backup para decisões de arquitetura, planejamento de capacidade e estratégia de recuperação — abordando a lacuna estrutural de conhecimento especializado que determina se a sua camada de backup pode ser alcançada a partir dos sistemas com maior probabilidade de serem comprometidos por vulnerabilidades não corrigidas.
- O ZeroPEN é, em nossa visão, a resposta mais diretamente relevante à constatação dos 32%. Realizamos pentest nos planos de gerenciamento de backup, controles de acesso, configurações de imutabilidade e postura de isolamento da mesma forma que um atacante que começou com uma vulnerabilidade explorada faria — em seguida, executamos cenários reais de restauração para validar que a recuperação funciona de forma limpa, completa e dentro do prazo. O resultado não é uma lista de achados para remediar. É evidência documentada de que a sua camada de backup sobrevive às condições específicas descritas pelos dados da Sophos.
A BackupSec é implantada on-premise. Conectamo-nos às suas aplicações de backup por meio de acesso de API somente leitura. Seus dados de backup, telemetria e detalhes de configuração permanecem dentro do seu ambiente.
O número de 32% não é destino. É a descrição de uma condição estrutural que só determina os resultados quando a camada de recuperação está estruturada para falhar junto com a camada de prevenção. As organizações que dissociam as duas deixam de estar vulneráveis à causa raiz dominante do ransomware em 2026 — não porque corrigiram mais rápido, mas porque validaram que a aplicação de patches não é determinante para os seus resultados de recuperação.
Fale com a BackupSec sobre testes de penetração de backup e validação de recuperação →
Esta análise se baseia no relatório State of Ransomware 2025 da Sophos e no panorama mais amplo de pesquisas sobre ransomware em 2025. A interpretação e o referencial apresentados aqui são de autoria própria da BackupSec. Para discutir como esta análise se aplica ao seu ambiente específico, entre em contato com a nossa equipe →