Lisboa, 14 de julho de 2026 – A atividade de ransomware continuou a aumentar entre dezembro de 2025 e maio de 2026, sem revelar sinais de abrandamento. De acordo com o Relatório de Ameaças da ESET, as deteções deste tipo de ameaça aumentaram 7% face ao semestre anterior, ao mesmo tempo que diferentes estudos do setor indicam que a percentagem de vítimas que aceita pagar os resgates se encontra em mínimos históricos.
Os dados relativos aos pagamentos, compilados a partir de três fontes independentes citadas no relatório, reforçam esta conclusão. A Chainalysis indica que 28% das vítimas pagaram resgates em 2025, enquanto a Coveware aponta para uma taxa de 23%. Já os dados da seguradora Coalition mostram que 86% das vítimas recusaram pagar, o equivalente a uma taxa de pagamento de apenas 14%.
“A atividade de ransomware não mostra sinais de abrandamento, mantendo-se o recurso a ferramentas concebidas para desativar software de segurança durante os ataques. Ao mesmo tempo, dados de várias fontes mostram que uma percentagem cada vez menor de vítimas opta por pagar resgates, o que poderá refletir algum progresso nas medidas de prevenção, mitigação e resposta”, afirma Ricardo Neves, Responsável de Comunicação da ESET Portugal.
Mais de 100 ferramentas usadas para desativar defesas
Uma das principais tendências identificadas pela equipa de investigação da ESET é a utilização continuada de ferramentas concebidas para bloquear, congelar ou tornar inoperacionais as soluções de segurança instaladas nos sistemas das vítimas.
Conhecidas como EDR killers, estas ferramentas procuram neutralizar as soluções de deteção e resposta nos dispositivos antes da execução do ransomware. Para os atacantes, desativar a proteção pode ser mais fácil do que tentar esconder o próprio ransomware, uma vez que a cifragem de grandes volumes de dados em pouco tempo tende a gerar atividade facilmente detetável.
A ESET acompanha atualmente mais de 100 ferramentas concebidas para desativar ou bloquear software de segurança durante os ataques. A técnica mais comum recorre a drivers legítimos, mas com vulnerabilidades conhecidas. Mais de 60 dessas ferramentas exploram, no total, mais de 40 drivers diferentes para terminar processos de segurança. Segundo o relatório, surgem novas variantes todas as semanas.
Um dos grupos destacados no relatório é o Gentlemen, apresentado pela ESET como o segundo grupo de ransomware como serviço mais ativo no período analisado. Além das ferramentas usadas para cifrar os dados das vítimas, o grupo desenvolve e mantém ferramentas próprias destinadas a desativar software de segurança, incluindo várias versões do GentleKiller, e adapta ferramentas de terceiros às suas operações.
Para Ricardo Neves, esta combinação revela um ecossistema sob pressão. “Os grupos criminosos continuam a intensificar a sua atividade e a aperfeiçoar as ferramentas usadas para neutralizar as defesas, enquanto as organizações demonstram maior resistência ao pagamento. A redução dos resgates pagos não elimina, contudo, os custos associados à interrupção da atividade, à recuperação dos sistemas, à perda de dados e à resposta ao incidente.”, esclarece.
Pode consultar o relatório completo aqui. Este tema é analisado nas páginas 21 a 23, com os dados de telemetria sobre ransomware apresentados na página 34.