Ransomware cresce apesar da queda nos resgates

A atividade de ransomware continuou a crescer entre dezembro de 2025 e maio de 2026. De acordo com o mais recente Relatório de Ameaças da Eset, as deteções deste tipo de ameaça aumentaram 7% face ao semestre anterior, enquanto diferentes estudos apontam para uma redução da percentagem de organizações que opta por pagar resgates.

Os dados relativos aos pagamentos, compilados a partir de estudos da Chainalysis, da Coveware e da seguradora Coalition, reforçam esta tendência. A Chainalysis estima que 28% das vítimas pagaram resgates em 2025, a Coveware aponta para uma taxa de 23% e a Coalition indica que apenas 14% das vítimas efetuaram o pagamento.

Segundo a Eset, os dados apresentados no relatório resultam da telemetria global da empresa e refletem tendências de deteção, não valores absolutos. A metodologia exclui aplicações potencialmente indesejadas, software potencialmente inseguro e adware, salvo quando indicado, e tem como objetivo minimizar enviesamentos e permitir uma leitura consistente da evolução das ameaças.

Ricardo Neves, responsável de Comunicação da Eset Portugal, afirma que a atividade de ransomware continua sem sinais de abrandamento e destaca que os atacantes mantêm o recurso a ferramentas destinadas a desativar Software de segurança antes da execução dos ataques. Segundo o responsável, a diminuição do número de vítimas que paga resgates poderá refletir uma evolução das medidas de prevenção, mitigação e resposta adotadas pelas organizações.

Entre as principais tendências identificadas pela equipa de investigação da Eset está a utilização crescente de ferramentas conhecidas como EDR killers. Estas soluções procuram neutralizar os sistemas de deteção e resposta em Endpoint (EDR) antes da execução do ransomware, permitindo aos atacantes reduzir a probabilidade de deteção durante o processo de cifragem dos dados.

A Eset acompanha atualmente mais de cem ferramentas desenvolvidas para desativar ou bloquear Software de segurança. De acordo com o relatório, mais de 60 recorrem a drivers legítimos com vulnerabilidades conhecidas, explorando mais de 40 drivers distintos para terminar processos de proteção. A empresa refere ainda que surgem novas variantes destas ferramentas todas as semanas.

O relatório destaca igualmente o grupo Gentlemen, identificado como o segundo operador de ransomware como serviço (RaaS) mais ativo durante o período analisado. Além das ferramentas utilizadas para cifrar dados, o grupo desenvolve soluções próprias para desativar software de segurança, incluindo várias versões do GentleKiller, e adapta ferramentas de terceiros às suas operações.

Para Ricardo Neves, a evolução destas técnicas demonstra que “continuam a intensificar a sua atividade e a aperfeiçoar as ferramentas usadas para neutralizar as defesas, enquanto as organizações demonstram maior resistência ao pagamento”. O responsável sublinha, contudo, que a redução do número de organizações que paga resgates não elimina “os custos associados à interrupção da atividade, à recuperação dos sistemas, à perda de dados e à resposta ao incidente”.