Ransomware em pequenas empresas: o que fechar primeiro

O ransomware em pequenas empresas brasileiras deixou de ser assunto de banco e multinacional: em 2026, o Brasil já soma mais vítimas públicas do que em todo o ano de 2025, e a maioria dos ataques não precisa de nenhuma técnica sofisticada. Este guia mostra, com dados verificados, por onde os grupos estão entrando e o que uma PME deve fechar primeiro, nesta semana, com o orçamento que tem.

TL;DR

• Pelos dados do Ransomware.live, o Brasil registrou 203 vítimas em sites de vazamento entre janeiro e 18 de outubro de 2026, contra 149 em todo o ano de 2025.
• O segundo semestre mudou de patamar: de 13 a 19 vítimas por mês no primeiro semestre para 26 a 29 por mês de julho a outubro.
• As portas de entrada se repetem: vulnerabilidade sem correção (32% dos ataques no relatório da Sophos), credencial roubada (23%) e acesso remoto exposto, como VPN e RDP sem MFA.
• A ordem certa para uma PME é: MFA em tudo que é remoto, firewall/VPN atualizados, RDP fora da internet, backup offline testado e um plano de resposta de uma página.
• Comprar mais uma ferramenta antes de fazer esses cinco itens é gastar dinheiro no lugar errado.

O que os números de 2026 mostram sobre o Brasil

Antes de qualquer recomendação sobre ransomware em pequenas empresas, os dados. E com um cuidado que quase ninguém tem ao citar estatística de ransomware.

O Ransomware.live é um projeto que monitora os sites de vazamento dos grupos criminosos e registra cada vítima que eles anunciam. Consultei a série do Brasil em 18 de outubro de 2026:

Mês (2026)	Vítimas no Brasil
Janeiro	19
Fevereiro	14
Março	15
Abril	16
Maio	13
Junho	16
Julho	28
Agosto	29
Setembro	27
Outubro (até dia 18)	26

Dois fatos saltam da tabela. Primeiro, o acumulado de 2026 (203) já passou o ano inteiro de 2025 (149) com dois meses e meio pela frente. Segundo, outubro, com 18 dias, já empata com meses cheios do semestre anterior.

A sequência de altas e por que os números mudam

Os balanços mensais publicados pela imprensa contaram uma alta atrás da outra: 23 vítimas em junho, 26 em julho, 27 em agosto e 31 em setembro. Foi o terceiro mês seguido de alta. Em setembro, segundo o levantamento da Cohesity com base no Ransomware.live, o Brasil subiu da sexta para a terceira posição mundial e foi o único país, entre os oito mais atacados, a crescer. No mesmo período, o total global caiu de 1.212 para 881 vítimas.

Repare que esses números não batem com a tabela acima. Não é erro. A base é reprocessada: um anúncio pode ser datado de novo, removido ou atribuído a outro mês. Por isso, cite sempre a data da consulta. E lembre que o número mede vítimas anunciadas, não ataques. Quem paga em silêncio não aparece. O número real é maior.

Quem está atacando e quem está sendo atacado

Em 2026, os grupos com mais vítimas brasileiras no Ransomware.live são The Gentlemen (33), LockBit 5 (23), Inc Ransom (11), Qilin e Krybit (8 cada). Os setores mais atingidos são serviços profissionais (36), indústria (32), tecnologia (27) e saúde (20).

Serviços profissionais são escritórios de contabilidade, advocacia, engenharia e consultoria. Em outras palavras: o retrato do ransomware em pequenas empresas brasileiras é uma firma de dez a cinquenta pessoas, com um servidor de arquivos e um acesso remoto para trabalhar de casa.

Por que o ransomware em pequenas empresas virou o alvo preferido

A ideia de que "ninguém vai atacar uma empresa do meu tamanho" parte de uma premissa errada: a de que alguém escolhe você. Na maior parte dos casos, ninguém escolhe. Um robô varre a internet atrás de uma VPN vulnerável ou de uma senha que vazou, e a sua empresa aparece na lista.

O relatório trimestral da Coveware by Veeam do segundo trimestre de 2026 mostra que 18,2% das vítimas atendidas tinham entre 11 e 100 funcionários. A mediana do resgate pago foi de US$ 150 mil. Convertido pelo câmbio do dia, isso passa com folga de meio milhão de reais, antes de contar dias parados, multa contratual e cliente perdido.

O ransomware em pequenas empresas também é mais lucrativo do que parece para o criminoso por três motivos práticos:

• Defesa mais fraca. Não há equipe de segurança, e muitas vezes não há nem alguém de TI fixo. O "cara da TI" é um terceirizado que aparece quando algo quebra.
• Dependência total de poucos sistemas. Se o servidor de arquivos e o ERP param, a empresa para. Isso aumenta a pressão para pagar.
• Dupla extorsão. Hoje, o grupo copia os dados antes de criptografar. Na Coveware, a exfiltração apareceu em 76% dos casos. Mesmo quem tem backup é ameaçado com a publicação de dados de clientes.

No relatório da Sophos, com 3.400 empresas de 17 países, o custo médio de recuperação, sem contar o resgate, foi de US$ 1,53 milhão. É uma média puxada por empresas grandes, mas mostra a ordem de grandeza: a recuperação custa mais do que a prevenção, sempre.

Porta de entrada nº 1: credenciais vazadas e senhas fracas

A forma mais barata de começar um ataque de ransomware em pequenas empresas é entrar pela porta da frente, com usuário e senha de verdade.

A Sophos aponta credenciais comprometidas como causa de 23% dos ataques. A Coveware registrou que, no segundo trimestre de 2026, o uso de credenciais roubadas voltou a subir, enquanto phishing e engenharia social retomaram a liderança. As duas coisas andam juntas: o phishing rouba a senha, a senha abre a VPN.

De onde vêm essas senhas

• Infostealers. São vírus que roubam as senhas salvas no navegador de um computador infectado, muitas vezes o notebook pessoal do funcionário onde ele também abre o e-mail da empresa.
• Vazamentos de outros serviços. O funcionário usa a mesma senha no e-commerce que vazou e na VPN da empresa.
• Força bruta. Robôs testando combinações. A consultoria S-RM observou o grupo The Gentlemen fazendo força bruta em VPNs onde o MFA não estava habilitado.

Nos servidores Linux que administramos, as tentativas de login automatizadas no SSH chegam todos os dias, sem exceção, mesmo em servidores que ninguém conhece. Não é ataque direcionado. É ruído de fundo da internet, e ele só funciona contra quem deixou a porta encostada.

O que fechar

1. MFA (autenticação em dois fatores) em todo acesso remoto: VPN, e-mail, painel de hospedagem, ERP na nuvem, contas de administrador. Detalhei os métodos e o que evitar no guia de autenticação em dois fatores na empresa.
2. Fim de contas genéricas e compartilhadas ("financeiro", "admin", "suporte"). Cada pessoa com o seu usuário.
3. Desligamento no mesmo dia em que alguém sai da empresa. Conta de ex-funcionário ativa é uma das portas mais comuns em incidente pequeno.
4. Gerenciador de senhas corporativo, para que ninguém precise reaproveitar senha.

Quando não basta: MFA por SMS ainda é melhor do que nada, mas não protege contra golpe de troca de chip nem contra o funcionário que aprova uma notificação sem ler. Para contas de administrador, use aplicativo autenticador ou chave física.

Porta de entrada nº 2: acesso remoto mal configurado

Desde a pandemia, quase toda PME abriu algum tipo de acesso remoto. Muitas abriram do jeito mais rápido, e não do mais seguro. É a segunda grande porta do ransomware em pequenas empresas brasileiras.

RDP exposto na internet

O RDP é o acesso remoto nativo do Windows. Deixar a porta dele aberta para a internet, para "o contador acessar de casa", é praticamente convidar ataque. A Blackpoint lista o RDP exposto entre os vetores do The Gentlemen. A regra é simples: RDP nunca direto na internet. Sempre atrás de uma VPN com MFA ou de um gateway de acesso.

VPN e firewall de borda

Aqui mora o problema mais subestimado. O equipamento que deveria proteger a empresa vira a porta de entrada.

Dois casos recentes ilustram:

• SonicWall e o grupo Akira (2025). Entre julho e outubro de 2025, o Akira invadiu empresas pelo SSL VPN de firewalls SonicWall, explorando a falha CVE-2024-40766, já corrigida havia quase um ano. O Centro Canadense de Cibersegurança emitiu alerta. Um detalhe que todo gestor deveria guardar: muitas vítimas tinham migrado de firewall sem trocar as senhas das contas locais. O equipamento era novo, as credenciais eram velhas.
• FortiGate e o The Gentlemen (2026). O grupo que mais fez vítimas no Brasil este ano tem como vetor principal, segundo análises de mercado, a falha CVE-2024-55591 do FortiOS, que permite contornar a autenticação. A Fortinet publicou a correção em janeiro de 2025.

Repare no padrão: falhas conhecidas e corrigidas, exploradas meses ou anos depois.

O que fechar

• Inventário do que está exposto. Liste tudo que responde da internet: VPN, RDP, painel do firewall, câmeras, NAS, servidor de e-mail. Se você não sabe, é a primeira tarefa.
• Painel administrativo do firewall fechado para a internet. Gerenciamento só pela rede interna ou por IP autorizado.
• Contas locais da VPN revisadas. Apague as que ninguém usa. Troque a senha de todas depois de qualquer migração ou incidente.
• Geobloqueio e limite de tentativas, quando o equipamento permitir. Não resolve sozinho, mas tira boa parte do ruído.

Porta de entrada nº 3: vulnerabilidades antigas sem correção

Na Sophos, a exploração de vulnerabilidades foi a causa técnica nº 1 pelo terceiro ano seguido, com 32% dos ataques. Não se trata de falha nova, desconhecida, digna de filme. É sistema velho que ninguém atualizou, o cenário mais comum do ransomware em pequenas empresas brasileiras.

Em PME, as vulnerabilidades antigas costumam morar em quatro lugares:

Onde está	Exemplo típico	Por que fica sem correção
Firewall e VPN	Firmware de dois anos atrás	"Se atualizar, pode cair a internet"
Servidor Windows	Windows Server fora de suporte	O ERP antigo "só roda nele"
Sistemas web	WordPress, Moodle ou PHP desatualizados	Ninguém é dono da manutenção
Equipamentos esquecidos	NAS, câmeras, impressoras	Ninguém lembra que estão ligados

A agência americana CISA mantém o catálogo de vulnerabilidades exploradas ativamente. É a melhor régua de prioridade para uma PME: se a falha está nessa lista e o seu equipamento tem essa falha, a correção vira urgência, não "item do mês que vem".

Como fazer sem parar a empresa

• Janela fixa de atualização, por exemplo toda terça à noite, com aviso prévio.
• Prioridade para o que está na borda. Firewall, VPN e servidores expostos primeiro; estações internas depois.
• Plano para o que não pode ser atualizado. Se o sistema legado precisa de um Windows antigo, isole essa máquina numa rede separada, sem acesso à internet e sem acesso remoto direto.

No nosso dia a dia com hospedagem gerenciada e servidores Moodle, a regra é a mesma: atualização de segurança tem data marcada, e não depende de alguém lembrar. Já escrevi o passo a passo para servidores no checklist de hardening de servidor Linux.

O que fechar primeiro contra ransomware em pequenas empresas

Toda lista de segurança tem quarenta itens. Uma PME não faz quarenta itens. Faz cinco, bem feitos. Esta é a ordem que recomendo para reduzir o risco de ransomware em pequenas empresas com o menor custo:

1. MFA em todo acesso remoto e em todas as contas de administrador. Custo baixo ou zero, efeito imediato. Corta a maior parte dos ataques por credencial.
2. Firewall e VPN atualizados, com painel fechado para a internet. Uma tarde de trabalho de um técnico. Corta a porta que os grupos mais ativos no Brasil estão usando.
3. RDP fora da internet. Muitas vezes é só fechar uma regra de firewall.
4. Backup na regra 3-2-1, com uma cópia offline ou imutável, e restauração testada. Três cópias, em dois tipos de mídia, uma fora do alcance da rede. Backup que fica no mesmo servidor ou num compartilhamento acessível pela rede será criptografado junto.
5. Plano de resposta de uma página. Quem desliga o quê, quem liga para quem, onde está o backup, quem fala com clientes.

Quando NÃO gastar dinheiro ainda

O erro mais caro no combate ao ransomware em pequenas empresas é comprar ferramenta antes de arrumar o básico.

• Não compre antivírus "de última geração" antes do item 1. A ferramenta não ajuda se o criminoso entra com a senha do gerente.
• Não contrate um SOC 24h (centro de monitoramento contínuo) se você ainda não sabe o que está exposto na internet. Monitorar um ambiente desorganizado gera alerta que ninguém lê.
• Não confie em backup que nunca foi restaurado. A Sophos registrou que a recuperação por backup está no menor nível em seis anos. Muito backup só existe no papel.

Sobre backup, o raciocínio que usamos para instituições de ensino vale para qualquer empresa. Está detalhado em backup do Moodle: a rotina que salva a instituição.

Se o ataque acontecer: as primeiras 72 horas

Mesmo com tudo isso, o risco de ransomware em pequenas empresas nunca chega a zero. A diferença está em perder um dia ou perder um mês.

Nas primeiras horas

• Isole, não desligue tudo no impulso. Tire as máquinas afetadas da rede (cabo e Wi-Fi). Desligar pode apagar evidências que ajudam a entender a invasão.
• Não apague nada e não formate. A nota de resgate, os arquivos criptografados e os logs são prova.
• Troque as senhas de administrador a partir de uma máquina limpa.
• Confirme se o backup offline está íntegro antes de começar a restaurar.

A obrigação com a ANPD

Se houve acesso a dados pessoais com risco relevante aos titulares, a Resolução CD/ANPD nº 15/2024 exige comunicar a ANPD e os titulares em 3 dias úteis. Agentes de pequeno porte têm prazo em dobro: 6 dias úteis. E todo incidente, comunicado ou não, deve ficar registrado por pelo menos cinco anos. Com dupla extorsão, quase todo ataque de ransomware envolve dados pessoais.

Pagar ou não pagar

Para o ransomware em pequenas empresas não existe resposta pronta, mas existem fatos. Pagar não garante a devolução nem o sigilo dos dados. Na Sophos, a parcela de vítimas que pagou e recuperou os dados caiu para 49%. Na Coveware, a taxa de pagamento atingiu o menor nível já registrado no segundo trimestre de 2026, sinal de que mais empresas estão conseguindo se recuperar sem pagar. Quem tem backup offline testado decide com calma. Quem não tem, decide sob pressão.

Como a Agathas Web resolve isso

O que mais encontramos ao avaliar o risco de ransomware em pequenas empresas não é falta de ferramenta. É falta de dono: ninguém é responsável por saber o que está exposto, o que está desatualizado e se o backup funciona. É exatamente isso que entregamos na consultoria de tecnologia da Agathas Web, no modelo de CTO as a Service.

O que está incluso

• Mapeamento da superfície exposta: o que responde da internet em nome da sua empresa (VPN, RDP, firewall, sites, e-mail, painéis).
• Revisão de acessos: contas sem MFA, contas compartilhadas, ex-funcionários ativos, senhas padrão em equipamentos.
• Plano de correção priorizado, na ordem deste artigo, com o que fazer nesta semana, neste mês e neste trimestre, e com estimativa de esforço de cada item.
• Revisão do backup com um teste real de restauração, não só a conferência do relatório verde.
• Plano de resposta de uma página, incluindo o roteiro de comunicação à ANPD.

Como funciona na prática

Começamos com uma conversa para entender o ambiente e o risco real de ransomware em pequenas empresas do seu porte. Em seguida, fazemos o levantamento com acesso controlado e entregamos um relatório em linguagem de gestor, não de técnico. A execução pode ficar com a sua equipe, com o seu fornecedor atual ou conosco: nos servidores, na hospedagem gerenciada e nos sistemas que já mantemos (Moodle, sites, integrações com a API oficial do WhatsApp), as correções entram na rotina de manutenção.

Como contratar

O primeiro passo é agendar uma conversa pela página de consultoria. Nela, avaliamos se faz sentido um diagnóstico pontual ou um acompanhamento mensal. Para quem já sofreu um incidente, a prioridade muda: conter, restaurar e só depois prevenir.

Conclusão: o ransomware em pequenas empresas é um problema de prioridade

Os números de 2026 deixam claro que o Brasil está no radar dos grupos de ransomware, e que as vítimas parecem muito com a sua empresa: escritórios, indústrias, empresas de tecnologia e clínicas. A boa notícia é que as portas de entrada são conhecidas. Credencial sem MFA, acesso remoto aberto e equipamento sem atualização respondem pela maior parte dos casos. Nenhum desses itens exige orçamento de multinacional.

Feche as portas que mais facilitam o ransomware em pequenas empresas na ordem certa, teste o backup e escreva o plano de resposta antes de precisar dele. Se você não tem quem faça esse trabalho internamente, fale com a consultoria da Agathas Web e comece pelo diagnóstico do que está exposto hoje.