Um novo inquérito da Semperis, empresa especializada em resiliência de identidade, conclui que os grupos de ransomware estão a pressionar cada vez mais as pessoas, e não só os sistemas. Os inquiridos relatam ameaças contra funcionários e familiares, perseguição, invasão de instalações e até tentativas de rapto. O relatório anual, publicado a 14 de outubro de 2026, refere que os atacantes ameaçam cada vez mais causar dano físico aos funcionários das empresas para obterem o pagamento do resgate e que, em mais de metade dos casos reportados, cumpriram essas ameaças. Os números são graves, mas não foram confirmados de forma independente. O estudo baseia-se em respostas dadas pelas próprias organizações, e nem a Semperis nem a Dark Reading conseguiram corroborar os dados.
Resposta rápida: Segundo o relatório de 2026 da Semperis, cerca de dois em cada cinco ataques de ransomware incluíram intimidação psicológica ou ameaças físicas a funcionários e às suas famílias. Os dados resultam de um inquérito que não foi verificado de forma independente, e não há casos de violência física ligados ao ransomware que estejam documentados publicamente. Mesmo assim, a exposição de dados pessoais de gestores e de equipas é real. As organizações devem incluir a segurança das pessoas nos planos de resposta a incidentes e envolver as autoridades logo no início.
O que diz o relatório de 2026
O comunicado oficial da Semperis explica que o estudo incluiu apenas organizações vítimas de grupos de ransomware nos 12 meses anteriores. O inquérito abrangeu 1200 organizações atacadas e decorreu no primeiro semestre do ano. Os países abrangidos foram os Estados Unidos, o Reino Unido, França, Alemanha, Itália, Espanha, Singapura, Canadá e Austrália. Portugal não faz parte da amostra.
A percentagem principal não é a mesma em todas as fontes. Entre as conclusões divulgadas pela empresa, 40% dos ataques envolveram ameaças psicológicas ou físicas contra funcionários. Já o The Register, que também analisou o relatório, indica um valor de 37%. Segundo este jornal, a intimidação psicológica surgiu em 23% dos casos e as ameaças físicas em 17%.
Os inquiridos referiram vários tipos de ameaça e várias consequências:
| Indicador (respostas do inquérito) | Percentagem |
|---|---|
| Mensagens, cartas ou encomendas ameaçadoras | 57% |
| Ameaças a familiares ou amigos | 37% |
| Intrusão física nas instalações | 19% |
| Ameaças de rapto | 17% |
| Ameaças de dano corporal | 13% |
| Perseguição (stalking) | 6% |
| Atacantes que cumpriram as ameaças | 53% |
| Vítimas ou familiares alvo de swatting | 23% |
| Vítimas que procuraram tratamento psicológico ou médico | 25% |
| Vítimas ou familiares que contrataram segurança pessoal | 24% |
Os dados mudam bastante de país para país. No Reino Unido, cerca de 34% das ameaças terão sido cumpridas e 18% das vítimas relataram perseguição. Em Itália, 32% das vítimas disseram ter sido ameaçadas de rapto e 22% de dano corporal, e 74% afirmaram que as ameaças foram cumpridas.
Porque é preciso ler estes números com cautela
A Dark Reading, que analisou o relatório, apontou várias fragilidades. A primeira é que os dados de um ano para o outro não batem certo. A Semperis começou a perguntar sobre ameaças físicas no relatório de 2025, e nessa altura 40% dos participantes disseram tê-las recebido. Este ano, a percentagem de ameaças físicas desceu para 17%, mas o relatório continua a falar de um aumento.
A segunda fragilidade é a falta de provas concretas. A Dark Reading não encontrou nenhum caso documentado de violência ligada ao ransomware. A prova citada pela Semperis, um comunicado da Europol sobre o fenómeno da violência como serviço, não relaciona essa violência com o ransomware. A publicação conclui que, enquanto não surgirem casos comprovados de ataques violentos, os dados devem ser lidos com cautela.
O fenómeno da violência como serviço existe e está documentado na Europa. A Europol criou no final de abril de 2025 o grupo operacional GRIMM para combater esta tendência e o recrutamento de jovens para o crime organizado grave. Neste modelo, jovens são pagos para fazer ameaças, agressões ou homicídios, o que protege as redes criminosas das autoridades. Os crimes são muitas vezes coordenados à distância, e os jovens são recrutados e instruídos através da internet. Até agora, porém, não há nenhuma ligação comprovada entre estas redes e os grupos de ransomware.
O que está documentado
Não há casos públicos de agressões físicas. Já a pressão pessoal sobre gestores e famílias tem vários exemplos documentados por investigadores. Em 2024, a Sophos X-Ops publicou o relatório “Turning the Screws”. O relatório descreve casos em que os grupos divulgaram os contactos ou expuseram dados pessoais de familiares de diretores executivos e de donos de empresas. No exemplo mais grave, um grupo expôs a filha de um CEO, publicando imagens dos seus documentos de identificação e uma ligação para o seu perfil no Instagram.
Ainda em 2024, Charles Carmakal, diretor técnico da Mandiant, contou na conferência RSA que alguns atacantes faziam SIM swap aos telemóveis dos filhos de gestores e depois telefonavam aos pais a partir desses números. Os profissionais de resposta a incidentes ouvidos agora pelo The Register também confirmam a tendência. Um deles disse que são os grupos mais conhecidos que usam ameaças psicológicas e físicas, e deu como exemplos o Scattered Spider, o ShinyHunters e o Lapsus$.
| Data | Marco |
|---|---|
| maio de 2024 | A Mandiant descreve casos de SIM swap a filhos de gestores para os pressionar |
| agosto de 2024 | A Sophos publica “Turning the Screws”, com casos de exposição de dados de familiares |
| abril de 2025 | A Europol cria o grupo operacional GRIMM contra a violência como serviço |
| 2025 | A Semperis inclui pela primeira vez perguntas sobre ameaças físicas: 40% respondem que sim |
| 14 de outubro de 2026 | A Semperis publica o relatório de 2026: 53% dizem que as ameaças foram cumpridas |
Inteligência artificial e identidade no centro do relatório
O relatório aborda também outros temas. Segundo a empresa, os atacantes usaram inteligência artificial em 87% dos ataques. A mesma percentagem de ataques visou sistemas de identidade como Active Directory, Entra ID e Okta. No entanto, só cerca de metade das empresas tem cópias de segurança dedicadas à identidade, recuperação automatizada e procedimentos de crise próprios para estes sistemas. Em quase 70% dos casos, as vítimas foram atacadas mais do que uma vez, e 31% pagaram mais do que um resgate.
Como as organizações se podem proteger
As ameaças a pessoas apoiam-se quase sempre em dados pessoais roubados ou disponíveis publicamente. Por isso, a prevenção começa pela proteção desses dados:
- Fazer avaliações periódicas da exposição pública de gestores e funcionários em funções críticas, como moradas, contactos e informação familiar em redes sociais e registos públicos.
- Reforçar a proteção de dados de recursos humanos, agendas executivas e listas de contactos, que estão entre os primeiros alvos da exfiltração.
- Incluir no plano de resposta a incidentes um capítulo sobre a segurança física e o apoio psicológico às pessoas visadas e às suas famílias.
- Explicar aos gestores e familiares como reconhecer contactos suspeitos e como reagir a chamadas falsas ou a SIM swap, com proteção reforçada junto das operadoras.
- Contactar logo de início a Polícia Judiciária e o CNCS e não negociar sozinho com os atacantes.
- Proteger a infraestrutura de identidade com autenticação multifator resistente a phishing e cópias de segurança isoladas do
Active Directory.
Porque é que isto importa em Portugal
Portugal não fazia parte do inquérito. Ainda assim, o modelo de pressão descrito depende do roubo de dados pessoais de trabalhadores, e isso tem consequências legais. A exfiltração de dados de funcionários e familiares é uma violação de dados pessoais nos termos do RGPD, com obrigação de avaliar o risco para os titulares e de notificar a CNPD quando for caso disso. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), um ataque de ransomware é também um incidente que pode ter de ser notificado ao CNCS/CERT.PT. As regras de gestão de risco previstas neste regime aplicam-se tanto à segurança dos sistemas como à das pessoas que os gerem.
Para as PME, onde o dono é muitas vezes também o responsável pela informática, a lição é simples: a exposição pessoal faz parte da superfície de ataque. Mesmo que a violência física continue por demonstrar, a intimidação por mensagens, doxxing e chamadas é uma tática documentada. Qualquer plano de resposta deve estar preparado para ela.
Perguntas frequentes
Há provas de que grupos de ransomware agrediram fisicamente vítimas?
Não há casos verificados de forma independente. Os números da Semperis vêm das respostas das próprias organizações, e a Dark Reading não encontrou nenhum caso documentado de violência física ligada ao ransomware.
O que são doxxing e swatting?
Doxxing é a divulgação pública de dados pessoais, como moradas e telefones. Swatting é fazer uma denúncia falsa às autoridades para provocar uma intervenção policial armada na casa da vítima.
O roubo de dados de funcionários num ataque de ransomware tem de ser notificado?
Em princípio, sim. É uma violação de dados pessoais nos termos do RGPD e pode ter de ser comunicada à CNPD. As entidades abrangidas pelo Decreto-Lei n.º 125/2025 podem também ter de notificar o incidente ao CNCS.
O que deve fazer um gestor que receba ameaças pessoais após um ataque?
Não deve responder diretamente aos atacantes. Deve guardar as provas, informar a equipa de resposta a incidentes e apresentar queixa à Polícia Judiciária, reforçando também a proteção das contas pessoais e do número de telemóvel.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Semperis, pela Sophos X-Ops, pela Dark Reading, pelo The Register e pela eucrim, sobre a Europol.