Ataques de ransomware no varejo sobem, mas pagamento de resgate cai

O varejo global registrou, em 2026, sua menor taxa histórica de pagamento de resgate em ataques de ransomware, mesmo diante de uma aceleração no sucesso das invasões. Apenas 32% das organizações varejistas afetadas cederam às exigências dos cibercriminosos, o índice mais baixo entre todos os setores econômicos avaliados. A conclusão é do relatório State of Ransomware in Retail 2026, da empresa de cibersegurança Sophos, divulgado nesta quinta-feira (12).

A pesquisa ouve 217 líderes de tecnologia da informação (TI) e segurança cibernética em 17 países, integrados a uma amostra global de 2.158 executivos distribuídos por 15 setores. As entrevistas foram realizadas entre janeiro e março de 2026 com representantes de organizações entre 100 e 5.000 funcionários.

O levantamento expõe uma contradição marcante; ao mesmo tempo em que os varejistas se recusam a pagar resgates, os ataques são cada vez mais eficazes. A taxa de incidentes que resultaram em criptografia de dados subiu de 48% em 2025 para 62% em 2026, seis pontos percentuais acima da média intersetorial de 56%. É o primeiro aumento após dois anos consecutivos de queda.

Backups como principal resposta

A resistência ao pagamento tem respaldo operacional. Sete em cada dez vítimas no varejo (71%) recuperaram seus sistemas a partir de cópias de segurança (backups), ante 62% em 2025 e acima da média global de 66%. O índice de pagamento de resgate, por sua vez, recuou de 58% para 32%, queda de 26 pontos percentuais em um ano.

Quando pagaram, os varejistas negociaram com agressividade. O pagamento mediano despencou de US$ 1 milhão em 2025 para US$ 57.500 em 2026, valor drasticamente inferior à mediana global de US$ 769.000. Cerca de 55% dos pagamentos efetuados no setor ficaram abaixo de US$ 100.000 e 63% das organizações que optaram por pagar conseguiram reduzir a exigência inicial. O desconto mediano obtido pelo varejo foi de US$ 11.700, contra US$ 1.550 na média intersetorial.

Leia mais: Itaú Unibanco adota plataforma Harness com IA para acelerar software

A polarização financeira, no entanto, chama atenção. A mediana das exigências dos criminosos caiu para US$ 225.000 — segundo menor valor entre todos os setores analisados —, mas a média aritmética disparou para US$ 4,32 milhões, o valor médio mais elevado de toda a pesquisa. O relatório associa essa discrepância à concentração de procura de valores milionários contra grandes redes; 17 das 23 exigências iguais ou superiores a US$ 5 milhões foram dirigidas a varejistas com faturamento anual entre US$ 1 bilhão e US$ 5 bilhões.

Dispositivos de funcionários no centro das invasões

O phishing foi a principal causa técnica dos ataques ao varejo em 2026, responsável por 29% dos incidentes (ante 23% em 2025). A exploração de vulnerabilidades em softwares e sistemas veio na sequência, com 26% — proporção que supera com folga a média intersetorial de 18% e posiciona o varejo como o setor com maior participação desse vetor de entrada.

Nos ataques iniciados por vulnerabilidades, credenciais comprometidas ou força bruta, os dispositivos de usuários, como laptops e desktops de funcionários distribuídos em lojas e escritórios, foram o ponto de partida em 44% dos casos, o maior índice de toda a pesquisa e bem acima da média global de 30%. Aplicações e sistemas expostos responderam por 28% dos acessos iniciais, enquanto firewalls foram a porta de entrada em 20% das invasões.

Internamente, 38% das vítimas atribuíram a invasão a falhas de segurança conhecidas que não foram corrigidas a tempo. No total, 61% relataram brechas gerais de segurança, 53% apontaram limitações de proteção e 51% citaram falta de equipe especializada.

Os limites do MFA e dos firewalls

Um dos achados do estudo questiona a eficácia de ferramentas de proteção amplamente adotadas quando operadas de forma isolada. Entre as empresas varejistas atacadas por credenciais comprometidas, 97% tinham mecanismos de autenticação multifator (MFA) ativos no momento da invasão. Mesmo assim, mais da metade delas teve arquivos criptografados.

O comportamento dos firewalls segue padrão semelhante. Embora 59% dos firewalls corporativos no varejo tenham identificado a atividade maliciosa antes da execução do ransomware, 60% das empresas com detecção precoce ainda assim sofreram criptografia de dados — acima dos 50% registrados na média intersetorial. O relatório atribui o resultado à falta de integração entre os firewalls e as demais camadas do ecossistema de TI, impedindo que alertas se convertam em bloqueios em tempo real.

Esse dado se conecta a outro; 66% das vítimas de ransomware no varejo confirmaram que o ataque foi, simultaneamente, o maior incidente de comprometimento de identidades já sofrido por suas organizações.

Recuperação mais rápida, equipes mais estáveis

Apesar dos custos de recuperação, que somaram em média US$ 1,76 milhão por empresa em 2026 (ante US$ 1,65 milhão em 2025 e acima da média intersetorial de US$ 1,70 milhão), o varejo registrou a recuperação mais rápida dos últimos cinco anos de acompanhamento. O tempo médio para restabelecer os ambientes caiu de 3,16 semanas em 2025 para 2,54 semanas em 2026. Mais da metade das vítimas (56%) se recuperou completamente em até uma semana; 12% precisaram de um mês ou mais.

O impacto sobre as equipes também foi o menor entre todos os setores; 22% das empresas fizeram mudanças na estrutura de TI após o ataque (ante 32% na média global) e apenas 10% substituíram a liderança de cibersegurança (frente a 21% no consolidado). Ainda assim, 41% dos profissionais relataram aumento da ansiedade diante da perspectiva de novos ataques e 37% citaram maior pressão por parte da alta administração.

A Sophos recomenda ao setor seis diretrizes para sustentar os avanços de resiliência; adoção de soluções de detecção e resposta a ameaças de identidade (ITDR); cobertura total de MFA resistente a phishing, incluindo aplicações legadas e conexões de rede virtual privada (VPN); proteção avançada de endpoints contra exploits impulsionados por inteligência artificial (IA); contratação de serviços gerenciados de detecção e resposta (MDR) para suprir lacunas de equipe; manutenção de backups imutáveis e testados regularmente; e integração dos alertas de firewalls a plataformas centralizadas de correlação de ameaças para que a detecção precoce resulte em bloqueio automatizado.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!