Pagar um resgate a criminosos informáticos raramente encerra o problema — e, com frequência, abre a porta a um segundo ataque. É esta a conclusão que se repete, ano após ano, nos estudos globais sobre ransomware: a larga maioria das organizações que cede às exigências dos atacantes volta a ser visada, muitas vezes em poucas semanas e por um valor mais elevado. É um ciclo de extorsão que se auto-alimenta.
Resposta rápida: segundo o estudo Ransomware: The True Cost to Business da Cybereason, cerca de 80% das organizações que pagaram um resgate foram atacadas uma segunda vez. Na edição de 2022 (1.456 profissionais inquiridos), 68% desses segundos ataques ocorreram em menos de um mês e os criminosos exigiram valores mais altos; na edição de 2024, o número manteve-se em torno dos 78%, com 63% a enfrentar pedidos superiores e apenas 47% a recuperar os dados sem corrupção. A mensagem é consistente: pagar não garante recuperação nem protege de nova extorsão.
Um padrão que se repete há anos
A Cybereason publica desde 2021 um estudo anual sobre o custo real do ransomware para as empresas. A conclusão central mantém-se notavelmente estável ao longo das edições: pagar não compensa. Na edição de 2022, 80% das organizações que pagaram foram atacadas de novo — e, dessas, cerca de 40% acabaram por pagar um segundo resgate, 10% um terceiro e 1% um quarto. Os ataques seguintes chegam depressa: 68% ocorreram em menos de um mês, quase sempre com uma exigência financeira superior.
A explicação da Cybereason é lógica. Depois de um primeiro ataque, a organização precisa de tempo para avaliar a sua postura de segurança, restaurar sistemas, fazer análise forense e reforçar defesas — e é precisamente nessa janela de fragilidade que os atacantes voltam a agir. Em muitos casos, é o mesmo grupo criminoso a repetir o ataque, sabendo que a vítima ainda não recuperou.
Pagar não devolve necessariamente os dados
Há um mito persistente de que pagar é o caminho mais rápido para recuperar a atividade. Os dados desmentem-no. Na edição de 2022 da Cybereason, 54% das organizações que pagaram relataram que parte ou a totalidade dos dados ficou corrompida durante o processo de recuperação; na edição de 2024, apenas 47% recuperaram os dados sem corrupção. Por outras palavras: mais de metade de quem pagou não recebeu de volta tudo aquilo por que pagou.
O impacto vai muito além do valor do resgate. Os estudos documentam perdas de receita, interrupções de operações, demissões ao nível da administração e custos de recuperação que, somados, ultrapassam largamente o montante exigido pelos criminosos. Na edição de 2024, 46% das organizações estimaram perdas totais entre um e dez milhões de dólares, e 16% acima dos dez milhões.
A extorsão evoluiu: dupla, tripla e quádrupla
Os grupos de ransomware já não se limitam a cifrar dados. A tendência dominante é a da extorsão em múltiplas camadas: além de cifrar os sistemas (primeira camada), os atacantes exfiltram os dados e ameaçam divulgá-los publicamente (segunda camada), pressionam clientes e parceiros da vítima (terceira camada) e lançam ataques de negação de serviço ou contactam diretamente reguladores e imprensa (quarta camada). Cada camada é desenhada para aumentar a pressão e tornar o pagamento mais provável.
A engenharia social sofisticada tornou-se também central. Em vez de dependerem apenas de falhas técnicas, os atacantes exploram cada vez mais o fator humano — através de phishing dirigido, personificação e abuso de credenciais legítimas — para obter o acesso inicial, como temos documentado a propósito do papel crescente das identidades comprometidas.
Há também uma dimensão legal
Pagar um resgate pode ainda ter implicações legais. Nos Estados Unidos, o Office of Foreign Assets Control (OFAC) do Departamento do Tesouro alertou que pagar a operadores de ransomware sujeitos a sanções pode constituir uma violação da lei. Na União Europeia e em Portugal, embora não exista uma proibição geral de pagamento, as autoridades — incluindo o Centro Nacional de Cibersegurança (CNCS) — desaconselham fortemente o pagamento, precisamente por financiar e incentivar o modelo de negócio criminoso.
Porque é que isto importa em Portugal
Para as organizações portuguesas — em especial as PME, que raramente dispõem de equipas de resposta a incidentes — a lição é clara: a decisão de pagar não pode ser encarada como um atalho para a normalidade. Estatisticamente, quem paga tem uma probabilidade elevada de ser atacado outra vez, pode não recuperar os dados na íntegra, e financia diretamente a continuidade do crime.
A estratégia mais eficaz é a que evita chegar a esse ponto de decisão. Isso passa por cópias de segurança isoladas e testadas regularmente (a única forma fiável de recuperar sem pagar), autenticação multifator resistente a phishing em todos os acessos, segmentação de rede para limitar a propagação, e um plano de resposta a incidentes documentado e ensaiado. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), estas medidas fazem parte das obrigações de gestão de risco, e um incidente de ransomware pode desencadear deveres de notificação ao CNCS.
Em caso de ataque, o CNCS disponibiliza apoio e a linha de resposta a incidentes nacional. Envolver as autoridades cedo — em vez de negociar isoladamente com os criminosos — é quase sempre a melhor decisão.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cybereason (estudos Ransomware: The True Cost to Business de 2021, 2022 e 2024) e por outras fontes especializadas do setor.