Durante anos, a imagem do ataque de extorsão foi a de um e-mail dirigido ao topo da hierarquia. Uma nova análise da equipa ThreatLabz, da Zscaler, sugere que o alvo preferido mudou de andar: os operadores de ransomware estão a concentrar-se em quem gere processos de negócio no dia a dia — chefias intermédias com acesso a faturas, contratos, orçamentos e dados de clientes. A investigação acompanhou 351 vítimas em 334 organizações apanhadas numa única campanha de ransomware ao longo de um mês, concluindo que quase dois terços tinham funções de chefia ou superiores, que a média de idades rondava os 46 anos e que três quartos trabalhavam em contabilidade e finanças, vendas, operações, recursos humanos ou marketing.
Resposta rápida: A Zscaler ThreatLabz analisou as vítimas iniciais de uma campanha de ransomware e concluiu que a maioria eram gestores intermédios de áreas de negócio, não administradores de sistemas nem membros da administração. A lógica é o que a empresa chama de «privilégio de negócio»: contas que aprovam pagamentos e acedem a informação sensível valem mais do que contas com direitos técnicos. A recomendação prática é rever quem tem acesso a processos críticos, impor autenticação multifator resistente a phishing nessas contas e treinar chefias para reconhecer contactos de extorsão.
O que a investigação observou numa única campanha
O estudo não olha para o fim do ataque — a nota de resgate, o site de fugas, o valor exigido — mas para o princípio: quem foi comprometido primeiro. A ThreatLabz identificou vítimas de uma campanha associada a um grupo conhecido por obter acesso inicial, exfiltrar grandes volumes de dados corporativos e cifrar seletivamente sistemas críticos, procurando perceber o que torna esses colaboradores especialmente valiosos. A empresa apresenta o trabalho como parte de uma linha de investigação contínua e indica que o relatório anual de ransomware de 2026 trará dados adicionais sobre vítimas, tendências e táticas.
| Indicador | Observação da ThreatLabz |
|---|---|
| Universo analisado | 351 vítimas em 334 organizações, numa campanha, durante cerca de um mês |
| Nível hierárquico | Perto de dois terços com funções de chefia ou acima |
| Perfil etário | Média de 46 anos |
| Áreas funcionais | Três quartos em finanças/contabilidade, vendas, operações, RH ou marketing |
| Setores | Cerca de metade em indústria ou tecnologias de informação |
Vale a pena a nota de rigor: o número que circulou em vários títulos internacionais — o «diretor de TI de 40 e poucos anos» — é uma síntese jornalística. Os dados apontam para gestores de funções de negócio, sendo o setor de atividade (indústria e TI) uma variável distinta do departamento em que a vítima trabalha.
«Privilégio de negócio»: porque uma chefia vale mais do que um administrador
A conclusão central é conceptual e tem consequências práticas. A Zscaler descreve o fenómeno como um deslocamento do privilégio técnico para o «privilégio de negócio»: as equipas de segurança habituaram-se a proteger sobretudo utilizadores com direitos de administração, enquanto os atacantes procuram colaboradores cujo trabalho normal lhes dá acesso a faturas, aprovações de pagamento, orçamentos, contratos com fornecedores, contas de clientes ou registos de recursos humanos. Segundo os investigadores, o valor de uma conta de chefia está na amplitude de acesso ao negócio que a função implica — aprovar pagamentos, supervisionar orçamentos e fornecedores, rever contratos ou coordenar trabalho entre unidades.
| Tipo de privilégio | Exemplos de conta | Como costuma ser protegido |
|---|---|---|
| Técnico | Administrador de domínio, contas de serviço, acesso a hypervisor e backups | PAM, MFA obrigatória, contas dedicadas, monitorização apertada |
| De negócio | Chefia de compras, contabilidade, RH, vendas, operações | Frequentemente tratada como conta «normal», com MFA fraca e sem DLP dirigida |
Há ainda um segundo motivo, ligado à fase de extorsão. A Zscaler descreve uma passagem de ataques indiscriminados para campanhas de extorsão altamente dirigidas e afirma que, em vez de contactarem diretamente a administração, os atacantes se focam cada vez mais em gestores e pessoal-chave com autoridade ou influência para acelerar a decisão de pagamento. Por outras palavras: quem tem de explicar internamente que a produção parou, que a faturação não sai ou que os dados dos clientes estão nas mãos de terceiros é, muitas vezes, um quadro intermédio — e é sobre essa pessoa que a pressão psicológica funciona melhor.
Reconhecimento antes do ataque: o organograma como arma
A investigação sublinha que os atacantes deixaram de disparar a mesma mensagem de extorsão para toda a organização: combinam informação obtida em sistemas já comprometidos com dados públicos para mapear linhas hierárquicas e identificar os colaboradores com maior capacidade de influenciar a resposta da empresa. É um trabalho de reconhecimento que se alimenta de fontes triviais — perfis profissionais em redes sociais, assinaturas de e-mail, organogramas em documentos internos, listas de contactos de fornecedores — e que raramente deixa alarmes nos sistemas de deteção.
O que fazer: da proteção do administrador à proteção do processo
A mudança de alvo exige uma mudança de critério na definição de «utilizador crítico». Medidas que fazem sentido, sem depender de qualquer produto específico:
- Inventariar quem, na prática, aprova pagamentos, altera dados bancários de fornecedores, acede a dossiês de RH ou exporta bases de clientes — e tratar essas contas como privilegiadas.
- Impor autenticação multifator resistente a phishing (chaves FIDO2/passkeys) nessas contas, em vez de códigos por SMS ou notificações push simples.
- Vigiar credenciais expostas por infostealers e invalidar sessões e tokens em caso de suspeita, não apenas mudar a palavra-passe.
- Exigir dupla validação, por canal independente, para alterações de IBAN e pagamentos acima de um limiar definido.
- Segmentar acessos para limitar o movimento lateral a partir de um primeiro ponto de entrada, um dos pontos recomendados pela própria equipa de investigação. A ThreatLabz recomenda segmentar o acesso para impedir que os atacantes se movimentem lateralmente e alcancem sistemas adicionais depois de obterem uma posição inicial.
- Preparar um playbook de extorsão que inclua o cenário «um colaborador foi contactado diretamente», com regra clara de escalar de imediato e nunca responder isoladamente.
- Formar chefias intermédias com exercícios realistas — e não apenas as equipas técnicas.
Limites do estudo
Os dados provêm da telemetria e da investigação de um fornecedor de segurança e retratam uma campanha específica, num período curto, associada a um grupo não identificado publicamente na comunicação disponível. Não devem, por isso, ser lidos como uma medida universal do ecossistema de ransomware. O próprio fornecedor indica que dados adicionais sobre estas vítimas, tendências e táticas serão publicados no relatório anual de ransomware de 2026. A tendência, ainda assim, é coerente com o que outras análises têm descrito: menos cifra indiscriminada, mais roubo de dados e pressão dirigida.
Porque é que isto importa em Portugal
O padrão descrito encaixa no que o Centro Nacional de Cibersegurança tem registado. Na 6.ª edição do Relatório de Cibersegurança – Riscos & Conflitos, o CNCS descreveu um aumento significativo dos incidentes no ciberespaço de interesse nacional em 2024, num ano marcado por casos de grande impacto, nomeadamente ransomware e indisponibilidades, e por grandes fugas de credenciais de entidades da administração pública, operadores de serviços essenciais e prestadores de serviços digitais, muitas vezes associadas à ameaça crescente dos infostealers. Nesse relatório, o CERT.PT registou 11 163 casos, incluindo deteções automatizadas, dos quais 2758 foram considerados incidentes reais, cerca de mais 36% do que no ano anterior.
Há um indicador nacional particularmente alinhado com esta investigação: a fraude dirigida a quem decide dinheiro. O CNCS registou 166 incidentes de CEO Fraud (17,89% do total), o segundo subtipo mais frequente, um aumento de 164% face a 2023. A mensagem é a mesma da análise da ThreatLabz: o elo explorado não é o servidor, é o processo de aprovação.
Do ponto de vista legal, a exposição destas contas tem duas consequências diretas. Se do incidente resultar acesso a dados pessoais de clientes, colaboradores ou candidatos, aplicam-se os deveres de notificação previstos no RGPD, incluindo a comunicação à CNPD no prazo de 72 horas quando exista risco para os titulares. E, para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de riscos deixou de ser um assunto exclusivo do departamento de TI: envolve controlo de acessos, gestão de fornecedores, formação e responsabilidade dos órgãos de gestão. Para uma PME portuguesa, a leitura prática é simples — proteger a conta do responsável financeiro pode ser tão determinante quanto proteger o controlador de domínio.
Perguntas frequentes
Porque é que os grupos de ransomware preferem chefias intermédias?
Porque essas contas concentram acesso a processos de negócio sensíveis e a pessoa tem influência interna para acelerar decisões. Os atacantes procuram colaboradores cujo trabalho lhes dá acesso a faturas, aprovações de pagamento, orçamentos, contratos com fornecedores, contas de clientes ou registos de recursos humanos.
Isto significa que os diretores de TI são o alvo principal?
Não exatamente. A maioria das vítimas analisadas trabalhava em finanças, vendas, operações, RH ou marketing, ainda que cerca de metade pertencesse a organizações dos setores industrial ou de TI. O setor da empresa não deve ser confundido com o departamento da vítima.
Que medida isolada tem maior impacto?
Aplicar autenticação multifator resistente a phishing às contas com acesso a processos financeiros e a dados sensíveis, combinada com revisão de permissões. Sem isso, credenciais roubadas por infostealers continuam a valer como chave de entrada.
Uma PME em Portugal tem de comunicar um incidente destes?
Se houver comprometimento de dados pessoais, aplicam-se os deveres de notificação do RGPD à CNPD e, quando exista risco elevado, a comunicação aos titulares. Entidades abrangidas pelo Decreto-Lei n.º 125/2025 têm ainda obrigações próprias de notificação ao CNCS/CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Zscaler ThreatLabz e pelo Centro Nacional de Cibersegurança (CNCS/CERT.PT).