Ransomware em 2026: por que a empresa média é o alvo preferido
Dado de dois relatórios internacionais mostra que empresa média, não a matriz grande, concentra os ataques de ransomware. Veja por que e o que isso muda.
Existe uma suposição comum e errada sobre ransomware: que o alvo principal são as grandes corporações, porque é lá que está o dinheiro. Os dois relatórios mais citados do setor de segurança em 2026 — o Data Breach Investigations Report da Verizon e o State of Ransomware da Sophos — mostram o padrão oposto: quem mais sofre ataque de ransomware é a empresa pequena e média, não a matriz grande.
O que os números mostram
Segundo o relatório da Verizon de 2026, 96% das vítimas de ransomware eram SMBs — organizações com menos de 1.000 funcionários, uma definição que cobre desde microempresa até empresa média de algumas centenas de pessoas. Ransomware apareceu em 83% das violações envolvendo SMB, contra 48% considerando violações de todos os portes — ou seja, quando uma empresa menor sofre um incidente de segurança, é quase o dobro da probabilidade de esse incidente ser especificamente ransomware, comparado à média geral.
A Sophos, no seu relatório anual de 2026 (baseado em pesquisa com 2.158 líderes de TI e segurança que sofreram ransomware no último ano), tem um dado ainda mais específico: organizações de 100 a 250 funcionários conseguiram impedir o ataque antes da criptografia em apenas 34% dos casos, contra 46% em empresas de 3.001 a 5.000 funcionários.
Por que isso acontece — não é escolha de alvo, é oportunidade
A leitura mais simples desse padrão seria “o invasor prefere empresa média”. Mas os próprios dados sugerem outra explicação, mais estrutural: invasor de ransomware opera em escala, testando e explorando onde a chance de sucesso é maior — e empresa de porte médio tende a ter orçamento de segurança proporcionalmente menor, mas superfície de ataque (sistemas, dados, acessos) comparável à de empresa bem maior em complexidade relativa ao tamanho do time de TI.
Em outras palavras: a empresa média frequentemente já tem a complexidade tecnológica de uma empresa grande, sem o orçamento de segurança de uma empresa grande. Essa diferença entre complexidade e proteção é exatamente o espaço que esse tipo de ataque explora.
Como o ataque geralmente começa
A Sophos identificou que 79% dos casos de ransomware em 2026 envolveram identidade comprometida — ou seja, alguma credencial roubada, reutilizada ou obtida por phishing, não invasão técnica sofisticada de sistema. E-mail e phishing continuam sendo o vetor de entrada mais comum. Isso tem uma implicação prática direta: as defesas de maior retorno contra esse tipo específico de ataque não são as mais caras ou complexas — são MFA (que neutraliza boa parte do valor de uma credencial roubada) e backup imutável (que neutraliza o objetivo final do ataque, mesmo que a invasão inicial tenha sucesso). Já tratamos os dois aqui antes, e esses dados reforçam por que eles aparecem primeiro em qualquer prioridade de segurança nessa faixa de porte.
A decisão de pagar (ou não) o resgate
Um dado que chama atenção no relatório da Verizon: 69% das vítimas não pagaram o resgate este ano, proporção crescente ano a ano. Isso parece uma boa notícia, mas merece uma leitura cuidadosa: não pagar só é uma escolha real quando existe alternativa de recuperação — normalmente, backup funcional e testado. Empresa sem essa alternativa não “decide” não pagar por princípio; fica sem opção real de negociação, numa posição pior do que a estatística sugere à primeira vista.
O custo de não estar preparado
A Sophos reporta custo médio de recuperação de US$ 1,7 milhão por incidente em 2026, alta de 11% em relação ao ano anterior — valor que soma tempo de equipe, operação parada, resposta a incidente e, quando pago, o próprio resgate. Esse número é de contexto internacional e não se traduz diretamente pra realidade de toda empresa brasileira de porte médio, mas a proporção entre esse custo e o investimento necessário em prevenção (MFA, backup imutável, resposta a incidente planejada) é o dado que mais importa: a diferença de ordem de grandeza entre prevenir e remediar continua sendo o argumento mais forte pra tratar isso como prioridade, não como risco distante.
O ponto prático
Se sua empresa está na faixa de porte onde esse problema é estatisticamente mais concentrado — média, não gigante — a pergunta que vale fazer não é “isso pode acontecer com a gente”, é “o que, especificamente, impediria esse ataque de progredir se a credencial de alguém for comprometida hoje”. Se a resposta não for clara e específica, é provável que MFA e backup imutável — as duas defesas que os dados de 2026 mais sustentam — ainda não estejam configurados com o nível de prioridade que esse padrão de ataque exige.
Fontes: Verizon 2026 Data Breach Investigations Report — achados sobre SMB, Sophos State of Ransomware 2026.
Perguntas frequentes
Por que empresa média é mais atacada do que a matriz grande?
Não é porque o invasor prefere empresa média — é porque empresa média tem, em média, defesa mais fraca pra deter o ataque antes da criptografia, segundo a Sophos: só 34% das organizações de 100-250 funcionários impedem o ataque antes de criptografia, contra 46% em empresas de 3.001-5.000. Invasor ataca onde a chance de sucesso é maior, e isso é consequência direta de recurso de segurança mais escasso nessa faixa de porte, não de alvo escolhido a dedo.
Esse dado vale pra qualquer empresa pequena, ou só pra médias?
O relatório da Verizon define SMB (small and medium business) como organização com menos de 1.000 funcionários — uma faixa bem mais ampla que inclui desde microempresa até empresa média de algumas centenas de funcionários. O dado da Sophos específico (34% vs 46%) é sobre a faixa de 100-250 funcionários comparada a empresas bem maiores — mostra que o problema aumenta conforme a empresa cresce sem crescer a defesa na mesma proporção.
Pagar o resgate resolve o problema?
Segundo a Verizon, 69% das vítimas de ransomware não pagaram o resgate este ano — maioria crescente. Mas não pagar só é viável quando existe alternativa real de recuperação, geralmente backup testado e funcional. Sem isso, a decisão de não pagar deixa de ser estratégia e passa a ser a única opção restante, numa posição muito mais fraca de negociação.
Quanto custa, em média, um incidente de ransomware?
A Sophos reporta custo médio de recuperação de US$ 1,7 milhão por incidente em 2026, alta de 11% em relação ao ano anterior — valor que inclui tempo de equipe, perda de operação, consultoria de resposta a incidente e, quando aplicável, o próprio resgate. Esse número é de contexto internacional; custo local varia, mas a ordem de grandeza do impacto (muito maior que o investimento em prevenção) se mantém.
O que mais protege contra esse tipo de ataque, segundo os dados?
A Sophos aponta que a maioria dos incidentes em 2026 começou por e-mail/phishing ou por credencial comprometida (79% dos casos envolvem identidade comprometida) — o que reforça backup imutável e MFA, temas que já tratamos aqui, como as duas defesas de maior retorno prático pra essa categoria de ataque específica.