Por Eduardo Martins, diretor de Serviços e Soluções da Solo Network

A reunião de crise após um ataque de ransomware costuma começar com a pergunta errada. A diretoria quer saber qual tecnologia sofisticada o invasor usou. Na maior parte dos incidentes, a resposta frustra a expectativa.

Pode ser uma credencial vazada em repositório público. Pode ser um acesso remoto configurado às pressas na expansão do trabalho híbrido. Pode ser uma vulnerabilidade conhecida havia meses e nunca corrigida.

O mercado repete que a inteligência artificial estaria por trás da escalada dos ataques. A telemetria de incidentes aponta para causas menos tecnológicas. Elas dizem respeito ao que as próprias empresas deixaram exposto na internet.

O que dizem os dados de incidentes

Segundo o Data Breach Investigations Report, publicado pela Verizon em 2025, o ransomware apareceu em 44% das violações registradas. O relatório analisou 22.052 incidentes de segurança e 12.195 violações confirmadas de dados. O percentual representa um salto expressivo em relação à edição anterior.

Os vetores de entrada, porém, permaneceram os mesmos. Credenciais roubadas responderam por 22% dos casos. A exploração de vulnerabilidades respondeu por 20%, com crescimento de 34% sobre o ano anterior. O phishing ficou com 15%.

Nenhum desses caminhos depende de modelos generativos para funcionar. Todos existiam antes de a inteligência artificial dominar o noticiário de tecnologia.

Menos dinheiro, mais ataques

O que mudou foi a estrutura econômica do crime. Segundo o Crypto Crime Report, divulgado pela Chainalysis em 2026, os grupos de ransomware arrecadaram cerca de US$ 820 mi no último ano analisado. O número representa recuo de 8% em relação ao período anterior. O relatório se baseia no rastreamento de pagamentos em blockchain.

Ao mesmo tempo, o volume de ataques reivindicados publicamente cresceu na casa de 50%. A parcela de vítimas que aceitou pagar caiu a 28%, a menor taxa já registrada pela empresa.

Para o autor, mais ataques rendendo menos descrevem um ecossistema que trabalha mais para ganhar o mesmo. Segundo ele, essa pressão econômica explica a mudança de comportamento dos grupos criminosos com mais precisão do que qualquer avanço tecnológico recente.

A barreira de entrada caiu antes da inteligência artificial

Na avaliação de Eduardo Martins, a fragmentação do ecossistema criminoso é anterior à onda atual de inteligência artificial e independe dela. O desmonte de grandes operações por ações policiais internacionais dispersou afiliados experientes. Eles passaram a atuar em dezenas de grupos menores e como atacantes solitários.

O modelo de ransomware como serviço reduziu a barreira técnica de entrada. Operadores sem conhecimento avançado conseguem conduzir campanhas completas com ferramentas alugadas.

O levantamento da Chainalysis também identificou um mercado paralelo de corretores de acesso inicial. Ele movimentou ao menos US$ 14 mi com a venda de portas de entrada prontas para redes corporativas. Os picos de compra antecedem em cerca de 30 dias os aumentos de vítimas publicadas em sites de vazamento.

Segundo o autor, a cadeia produtiva do ransomware se especializou. Cada elo funciona sem depender de nova capacidade de automação inteligente.

Pequenas e médias empresas viram alvo

Essa reorganização deslocou o alvo preferencial, afirma Martins. Grupos menores têm menos fôlego para sustentar negociações longas contra corporações preparadas. Por isso, migraram para empresas de pequeno e médio porte, que pagam resgates menores, mas decidem mais rápido e resistem menos.

O recorte de pequenas e médias empresas no relatório da Verizon mostra a dimensão do fenômeno. Nesse segmento, o ransomware esteve presente em 88% das violações analisadas. A proporção é muito maior que a observada entre grandes organizações. Elas concentram equipes dedicadas, segmentação de rede e capacidade de recuperação testada.

Visibilidade externa define quem vira alvo

Para o autor, a pergunta que interessa ao decisor mudou. Em vez de perguntar qual tecnologia o atacante usou, a empresa deve perguntar por que foi escolhida. Nos dados de incidentes, a resposta é quase sempre a mesma: visibilidade.

As vítimas não são selecionadas por serem singularmente frágeis. São escolhidas por estarem expostas e por serem compatíveis com o que o atacante já procurava em varreduras automatizadas. Isso inclui credenciais à venda em mercados clandestinos, serviços de acesso remoto abertos à internet e versões vulneráveis de equipamentos de borda.

O ataque direcionado, em que uma organização é estudada e perseguida por semanas, é a exceção estatística. Ainda assim, domina o imaginário dos conselhos de administração.

A atribuição fácil à inteligência artificial tem um efeito colateral, segundo Martins: deslocar o orçamento para a ameaça errada. A empresa pode comprar proteção contra ataques hipotéticos conduzidos por algoritmos. Se mantiver credenciais vazadas sem monitoramento, acessos remotos sem autenticação multifator e equipamentos de borda sem gestão de vulnerabilidades, estará respondendo ao noticiário, e não ao próprio risco.

Na avaliação do autor, a ameaça que derruba operações no país continua entrando pela porta que ficou aberta.

Gestão contínua de exposição

A consequência prática, segundo o autor, é uma inversão de prioridades no investimento em segurança. Em vez de buscar a cada trimestre a tecnologia de defesa correspondente à ameaça da moda, a organização deve reduzir de forma contínua o que oferece ao atacante.

Ele cita quatro medidas:

• descoberta permanente da superfície externa;
• correção priorizada pelo que está exposto, e não apenas pelo que é grave no papel;
• autenticação multifator em todo acesso remoto;
• monitoramento de credenciais corporativas em fontes abertas e clandestinas.

São controles menos vistosos do que soluções com selo de inteligência artificial. Segundo Martins, eles incidem exatamente sobre os vetores que os dados de incidentes apontam ano após ano.

O critério para o próximo ciclo de orçamento, defende o autor, deve ser a distância entre o que a empresa expõe hoje e o que ela consegue corrigir na velocidade em que os atacantes descobrem essa exposição. Enquanto essa distância não diminuir, afirma, a discussão sobre o papel da inteligência artificial no cibercrime seguirá sendo, para a maior parte das organizações brasileiras, uma distração cara.