O ransomware é uma grande ameaça de cibersegurança há mais de uma década, e a inteligência de blockchain tornou-se dramaticamente mais sofisticada nesse mesmo período, ao ponto de uma grande parte dos principais pagamentos de ransomware acabar por ser rastreada até certo ponto. Dado isto, uma pergunta razoável é por que os operadores de ransomware continuam a insistir em pagamento em criptomoeda de todo. A resposta é uma mistura de necessidade prática e uma verdadeira corrida armamentista contínua entre atacantes e investigadores.
A Razão Central: Rapidez e Alcance, Não Verdadeiro Anonimato
É um equívoco comum que os grupos de ransomware exigem criptomoeda porque é irrastreável. Como abordado no nosso guia sobre como rastrear Bitcoin roubado, as transações numa blockchain pública como a Bitcoin ficam permanentemente registadas e muitas vezes podem ser rastreadas com verdadeira precisão. O que a criptomoeda realmente oferece aos operadores de ransomware é algo mais prático: um método de pagamento que funciona instantaneamente entre fronteiras, não exige relação bancária ou aprovação de intermediário, não pode ser revertido depois de confirmado, e pode ser recebido por uma carteira anónima ou pseudónima sem a verificação de identidade que uma conta bancária exigiria. Para um atacante que opera internacionalmente contra vítimas que precisam de pagar rapidamente para restaurar operações, essa combinação é difícil de substituir por qualquer via de pagamento tradicional.
O Que os Dados Recentes Mostram Sobre os Pagamentos de Ransomware
A investigação de análise de blockchain mostra uma mudança notável na dinâmica dos pagamentos de ransomware nos últimos anos. Segundo investigação da Chainalysis, o total de pagamentos em criptomoeda a operadores de ransomware caiu substancialmente face ao pico de 2023, de cerca de 1,1 mil milhões de dólares, continuando a descer ao longo de 2025, mesmo com o número de ataques de ransomware publicamente reivindicados a continuar a subir. A proporção de organizações atacadas que efetivamente pagam também caiu para um mínimo histórico, uma tendência amplamente atribuída à melhoria das práticas de cópia de segurança, a uma perturbação mais forte das forças da lei sobre os principais grupos de ransomware, e a uma crescente relutância organizacional em pagar, depois de anos de orientação de agências como a CISA a desaconselhar o pagamento.
Ao mesmo tempo, as exigências individuais de resgate cresceram acentuadamente, com o valor mediano exigido a subir consideravelmente ano após ano, mesmo com menos vítimas a concordar em pagar, e os pagamentos reais a fixarem-se apenas numa fração do montante originalmente exigido. Isto aponta para um mercado em que os grupos de ransomware pedem mais por ataque enquanto têm sucesso com menos frequência, uma dinâmica consistente com um ecossistema criminoso sob pressão crescente mas ainda longe de desaparecer.
Por Que o Panorama do Ransomware Continua a Mudar de Forma
Em vez de um único grupo dominante, o panorama do ransomware fragmentou-se num número muito maior de operadores menores e independentes, em parte uma consequência direta de desmantelamentos das forças da lei e sanções contra operações de ransomware como serviço anteriormente dominantes. Esta fragmentação torna a ameaça geral mais difícil de acompanhar como um todo, mesmo enquanto grupos individuais dentro dela se tornam mais identificáveis, já que os operadores menores são mais numerosos mas cada um mantém menos sofisticação operacional e menos recursos para investir em evitar deteção do que as operações maiores que os precederam.
A mudança para moedas de privacidade
A Bitcoin continua a ser a moeda de pagamento de ransomware mais frequentemente reportada, mas os operadores de ransomware têm mostrado um interesse crescente em criptomoedas focadas em privacidade como a Monero, que não expõem os detalhes da transação num livro-razão totalmente público da forma que a Bitcoin expõe. Esta mudança é uma resposta direta à eficácia do rastreamento de blockchain especificamente contra a Bitcoin, e representa uma das complicações emergentes mais significativas para investigadores a trabalhar em casos de ransomware, já que as técnicas padrão de clustering e ponto de estrangulamento descritas nos nossos guias de rastreamento são muito menos eficazes contra o design de uma moeda de privacidade.
Por Que as Agências Continuam a Desaconselhar o Pagamento
A CISA, o FBI, e agências internacionais equivalentes mantiveram uma posição consistente de que as organizações não devem pagar exigências de ransomware, por várias razões concretas para além de um simples princípio.
- Pagar não garante que os ficheiros vão efetivamente ser desencriptados, funcionais, ou completos, e uma parte significativa das vítimas que pagam reporta recuperação de dados incompleta ou corrompida
- O pagamento fornece financiamento direto para mais operações criminosas, incluindo ferramentas, infraestrutura, e pagamentos a operadores afiliados num modelo de ransomware como serviço
- As organizações conhecidas por já terem pago são frequentemente visadas de novo, seja pelo mesmo grupo ou por outros que obtêm uma reputação de pagamento através de dados de vítimas divulgados
- Pagar pode criar exposição legal separada em algumas jurisdições, particularmente quando uma exigência tem origem em, ou está ligada a, um indivíduo ou organização sancionados
Independentemente de a organização acabar por decidir pagar, as agências recomendam consistentemente denunciar o incidente a um gabinete local do FBI ou através do IC3, já que os incidentes denunciados alimentam tanto a resposta investigativa imediata como o quadro de informação mais amplo usado para perturbar a infraestrutura de ransomware.
O Papel do Aconselhamento Jurídico e das Empresas de Resposta a Incidentes
Na prática, poucas organizações tomam uma decisão de pagamento de ransomware sem envolver aconselhamento jurídico externo e uma empresa especializada de resposta a incidentes, e por boas razões para além da resposta puramente técnica. O aconselhamento jurídico tipicamente lidera um processo de verificação de sanções antes de qualquer pagamento ser considerado, já que o Office of Foreign Assets Control mantém uma lista de indivíduos e organizações sancionados, e vários grandes grupos de ransomware ou os seus afiliados conhecidos foram formalmente sancionados. Pagar um resgate a uma entidade sancionada pode expor a organização pagadora a responsabilidade civil separada, independentemente das circunstâncias do ataque, o que é a razão pela qual o aconselhamento jurídico geralmente insiste em pelo menos tentar verificar os endereços de carteira conhecidos de um grupo de ransomware contra listas de sanções antes de autorizar o pagamento, mesmo sob pressão significativa de tempo.
As empresas de resposta a incidentes lidam com a vertente técnica paralela: conter a intrusão, avaliar o que foi de facto encriptado ou exfiltrado, e, em muitos casos, negociar diretamente com o operador de ransomware em nome da vítima, já que o contacto direto por pessoal inexperiente pode inadvertidamente revelar informação que aumenta a exigência de resgate. O seguro cibernético, onde existe uma apólice, desempenha frequentemente um papel coordenador aqui, já que muitas apólices exigem o uso de um painel de empresas de resposta a incidentes e jurídicas pré-aprovadas como condição de cobertura.
Equívoco Comum: o Seguro Cibernético Torna o Pagamento Isento de Risco
Uma suposição comum entre organizações que têm uma apólice de seguro cibernético a cobrir ransomware é a de que a existência de cobertura remove a maior parte do risco da decisão de pagar. Isto não é exato. O seguro pode reembolsar o próprio pagamento de resgate e os custos associados de resposta a incidentes até aos limites da apólice, mas não desfaz a exposição a sanções descrita acima, não garante que pagar vá de facto resultar em chaves de desencriptação utilizáveis ou que os dados exfiltrados não vão ainda ser divulgados, e não reverte as consequências reputacionais e regulatórias da violação subjacente, que em muitas indústrias comportam obrigações de notificação separadas, independentemente de o resgate ter sido pago. As seguradoras também se tornaram mais seletivas, em alguns casos exigindo prova de que controlos de segurança específicos estavam em vigor antes de concordarem em cobrir de todo uma perda relacionada com ransomware.
Um Exemplo Prático: O Que Acontece Depois de um Resgate Ser Pago
Considere uma empresa de dimensão média que paga um resgate de seis dígitos em bitcoin depois de um ataque de ransomware encriptar os seus sistemas de produção, seguindo orientação jurídica e de resposta a incidentes e uma verificação de sanções que aprova o endereço de carteira conhecido. O próprio pagamento não termina a exposição da organização. A transação é agora um registo permanente e público, e as empresas de inteligência de blockchain e as forças da lei monitorizam rotineiramente clusters conhecidos de carteiras de ransomware de forma contínua, não apenas em resposta à denúncia de uma única vítima.
Meses mais tarde, a carteira que recebeu o pagamento consolida fundos com receitas de várias outras vítimas e move-os através de uma cadeia de endereços intermediários antes de chegar a um depósito numa exchange com controlos de conformidade fracos numa jurisdição com cooperação limitada. Em alguns casos documentados, é aqui que o rasto efetivamente termina para efeitos práticos de recuperação, mesmo que continue totalmente visível na blockchain. Noutros casos, particularmente onde um grupo de ransomware atraiu atenção significativa das forças da lei, esse mesmo depósito na exchange, combinado com depósitos rastreados de outras vítimas do mesmo grupo, contribuiu para uma ação mais ampla das forças da lei, resultando em apreensões de carteiras e, num número menor de casos, restituição parcial a vítimas identificadas através da mesma investigação.
O Ângulo do Rastreamento: O Que Acontece aos Pagamentos de Resgate Depois de Pagos
Mesmo quando um resgate é pago, o próprio pagamento torna-se um novo fio investigativo. Os pagamentos de ransomware movem-se através da mesma infraestrutura de blockchain que qualquer outra transação de criptomoeda, e estão sujeitos à mesma análise de clustering e ponto de estrangulamento descrita no nosso guia sobre como os investigadores de blockchain realmente rastreiam fundos roubados. Um número significativo de operadores de ransomware e a sua infraestrutura de branqueamento foram identificados, sancionados, ou em alguns casos tiveram fundos apreendidos especificamente porque um resgate pago acabou por tocar numa exchange ou serviço de branqueamento identificável. Isto é parte da razão pela qual alguns resgates pagos foram, em casos raros mas documentados, parcialmente recuperados pelas forças da lei muito depois do facto, embora isto continue a ser a exceção e não algo com que qualquer organização vítima deva planear ou orçamentar.
A utilidade da criptomoeda para os operadores de ransomware vem da rapidez, alcance e irreversibilidade, não do verdadeiro caráter irrastreável. A análise de blockchain tornou-se suficientemente sofisticada para que uma parte significativa dos pagamentos de ransomware acabe por ser ligada a infraestrutura identificável, mesmo que esse rastreamento raramente aconteça a tempo de evitar o pagamento inicial ou garantir a sua devolução.
O Que Isto Significa Daqui em Diante
O ransomware não está a desaparecer, e a mudança para exigências mais altas, operadores mais pequenos e mais numerosos, e o uso crescente de moedas de privacidade sugere que os grupos por trás destes ataques se estão a adaptar à pressão que o rastreamento e a perturbação das forças da lei criaram, em vez de serem inteiramente dissuadidos por ela. Para as organizações a enfrentar um incidente ativo de ransomware, a orientação prática da CISA e do FBI mantém-se consistente: evitar pagar sempre que possível, denunciar o incidente prontamente, e envolver perícia experiente de resposta a incidentes e, quando a criptomoeda já foi paga, de rastreamento de blockchain, o mais cedo possível na resposta.
- Envolva aconselhamento jurídico e uma empresa de resposta a incidentes antes de tomar qualquer decisão de pagamento, não depois
- Verifique qualquer endereço de carteira ou identidade de grupo de ransomware conhecidos contra as listas de sanções atuais antes de autorizar o pagamento
- Preserve provas forenses da própria intrusão, separadamente da nota de resgate e da exigência de pagamento, já que isto apoia tanto participações de seguro como qualquer encaminhamento posterior às forças da lei
- Denuncie o incidente a um gabinete local do FBI ou através do IC3, independentemente da decisão de pagamento
- Documente cada hash de transação e endereço de carteira envolvidos se um pagamento for feito, já que isto se torna o ponto de partida para qualquer esforço de rastreamento
Perguntas frequentes
As transferências bancárias exigem uma conta numa instituição regulada, são reversíveis em algumas circunstâncias, e estão sujeitas a controlos de verificação de identidade e antibranqueamento de capitais que exporiam rapidamente o destinatário. A criptomoeda permite pagamento instantâneo, irreversível e transfronteiriço sem essas mesmas barreiras, o que é a razão pela qual continua a ser a exigência quase universal, apesar da crescente rastreabilidade.
A CISA e o FBI desaconselham consistentemente o pagamento, já que não garante a recuperação de dados, financia mais atividade criminosa, e pode convidar a ser novamente visado. As organizações a enfrentar um incidente ativo devem ponderar essa orientação face à sua situação operacional específica, idealmente com perícia experiente de resposta a incidentes e aconselhamento jurídico, em vez de recorrer ao pagamento por defeito sob pressão.
Frequentemente, até certo ponto, sim. Os pagamentos de ransomware movem-se através da mesma infraestrutura de blockchain pública que qualquer transação de criptomoeda e podem ser analisados usando técnicas de clustering para identificar carteiras e, em alguns casos, ligá-las a contas de exchange ou infraestrutura criminosa conhecida, embora moedas de privacidade e branqueamento sofisticado possam limitar significativamente o que o rastreamento consegue estabelecer.
Os grupos de ransomware parecem estar a compensar uma taxa de pagamento em declínio exigindo montantes maiores por ataque bem sucedido, e visando organizações que avaliam como tendo mais probabilidade de pagar ou capacidade de pagar uma quantia maior, em vez de depender de um volume elevado de pagamentos menores e mais fiáveis.
Pode, principalmente onde a carteira recetora ou o grupo de ransomware por trás dela está numa lista de sanções mantida pelo Office of Foreign Assets Control. É por isso que o aconselhamento jurídico tipicamente insiste em verificar os endereços de carteira conhecidos contra listas de sanções antes de qualquer pagamento ser autorizado, independentemente de quão urgente possa parecer a pressão operacional para pagar.
Fontes e leituras adicionais
- Crypto Ransomware: 2026 Crypto Crime Report · Chainalysis
- #StopRansomware: Play Ransomware · Cybersecurity and Infrastructure Security Agency
- #StopRansomware · Cybersecurity and Infrastructure Security Agency