Identidade está na origem de 85% do ransomware no ensino

As técnicas de ataque baseadas em identidade, incluindo emails maliciosos, phishing, credenciais comprometidas e ataques de força bruta, estiveram na origem de 85% dos ataques de ransomware contra organizações de ensino no último ano.

Os dados constam do relatório “State of Ransomware in Education 2026”, da Sophos, e colocam o setor acima da média de 79% registada no conjunto das indústrias analisadas.

Os emails maliciosos foram a principal causa técnica dos ataques, representando 31% dos incidentes no ensino básico e secundário e 29% no ensino superior. Para 77% das organizações de ensino superior e 71% das instituições de ensino básico e secundário, o incidente de ransomware foi também o ataque relacionado com identidade mais significativo sofrido no período analisado.

“Os cibercriminosos de hoje não precisam de um pé-de-cabra quando podem roubar as chaves”, afirma, em comunicado, Ross McKerchar, Chief Information Security Officer da Sophos. O responsável antecipa que a inteligência artificial poderá aumentar a velocidade, escala e sofisticação destes ataques.

A percentagem de organizações de ensino básico e secundário que viram os seus dados encriptados aumentou de 29% em 2025 para 61% em 2026. Considerando todo o setor da educação, 58% dos ataques de ransomware resultaram na encriptação de dados.

O backup teve um papel relevante na recuperação. Cerca de 77% das organizações de ensino básico e secundário e 69% das instituições de ensino superior recuperaram os dados encriptados através de cópias de segurança. A média entre todos os setores foi de 66%.

As instituições identificaram também limitações na capacidade de resposta. No ensino superior, 53% referiram não possuir as competências ou conhecimentos especializados necessários para detetar e bloquear os ataques atempadamente, contra uma média global de 35%.

No ensino básico e secundário, os fatores mais apontados foram o erro humano, referido por 52% dos inquiridos, seguido da falta de proteção, com 47%, de lacunas de segurança desconhecidas, com 42%, e da capacidade limitada, com 41%.

Os custos médios de recuperação após um ataque de ransomware atingiram aproximadamente 1,95 milhões de euros no setor da educação, acima dos 1,46 milhões registados no conjunto dos setores.

Também os tempos de recuperação foram superiores. Cerca de 26% das organizações de ensino precisaram entre um e três meses para recuperar totalmente, contra 14% na média global. No ensino básico e secundário, 31% demoraram pelo menos um mês a retomar plenamente a atividade.

O valor mediano dos pedidos de resgate situou-se em aproximadamente 667 mil euros, acima da mediana global de cerca de 600,5 mil euros. Apesar de as exigências estarem a diminuir há dois anos consecutivos, os pagamentos efetuados aumentaram cerca de 13 mil euros face ao relatório de 2025.

O estudo revela ainda impacto nas próprias equipas. Cerca de 39% das organizações de ensino registaram ausências de colaboradores devido a stress ou problemas de saúde mental após um ataque, comparativamente a 29% no conjunto dos setores.

O relatório baseia-se num inquérito independente a 226 responsáveis de IT e cibersegurança de organizações de ensino de 17 países que sofreram ataques de ransomware no último ano. A investigação decorreu entre janeiro e março de 2026.