Segundo o relatório O Estado do Ransomware no Brasil 2026, da Sophos, feito com 71 empresas brasileiras atacadas por sequestro de dados no ano anterior, 85% delas usaram backup para recuperar os arquivos criptografados — o maior número já registrado pela pesquisa, saltando dos 73% do ano passado. É uma boa notícia, mas ela esconde o outro lado do mesmo dado: para chegar a esse número, uma fatia das empresas não conseguiu usar o próprio backup, porque ele também tinha sido atingido.
O sequestro de dados moderno raramente começa com o programa que embaralha os arquivos. Ele começa antes, com o criminoso já dentro da rede, procurando a cópia que deixaria a empresa livre para recusar o pagamento. Quando encontra essa cópia visível, acessível com a mesma senha usada no dia a dia, ele a apaga ou embaralha primeiro — e só então dispara o ataque que a empresa percebe.
Para quem aprova o orçamento de TI, a pergunta deixou de ser só "a empresa tem backup?". A pergunta que decide o tamanho do estrago é onde essa cópia está guardada, com que senha se acessa ela, e se alguém já tentou restaurá-la de verdade antes do dia em que for preciso.
O criminoso já sabe onde fica a cópia
O guia de proteção contra ransomware do CERT.br descreve o ataque em cinco etapas: acesso inicial, persistência, escalação de privilégios, movimentação lateral e, só por último, o impacto — quando os arquivos são de fato embaralhados. Entre a etapa dois e a etapa cinco, o criminoso já está circulando pela rede com acesso de administrador, olhando o que existe ali para atacar com mais força antes de se revelar.
É justamente nessa janela que o backup entra na mira. Se a cópia de segurança fica no mesmo servidor, na mesma rede e atrás da mesma senha de administrador que qualquer outro sistema da empresa, ela não é uma segunda chance — é só mais um alvo que o criminoso já alcançou quando decide agir.
Os números confirmam que o acesso privilegiado é o caminho preferido. No Brasil, segundo a mesma pesquisa da Sophos, e-mail malicioso foi a causa técnica primária em 37% dos ataques, à frente de vulnerabilidade explorada (24%) e phishing (18%) — três portas de entrada que, uma vez abertas, dão ao criminoso a chance de escalar privilégio e chegar a qualquer sistema visível da rede, backup incluído.
O prejuízo de quando isso dá certo para o atacante é alto. Excluindo qualquer valor pago de resgate, o custo médio para uma empresa brasileira se recuperar de um ataque de ransomware foi de US$ 1,05 milhão em 2026, segundo a Sophos — período de sistema parado, hora de equipe, custo de equipamento e oportunidade perdida somados. O valor mediano pedido de resgate no Brasil chegou a US$ 640 mil, um salto de 63% sobre o ano anterior.
Quando o backup funciona, o criminoso perde a única alavanca que tem: a ameaça de que sem pagar, os dados somem para sempre. Quando não funciona, a empresa negocia sob a pior condição possível — sem alternativa.
Ter backup não é a mesma coisa que ter backup protegido
O jeito comum de tratar backup numa empresa pequena ou média é contratar uma rotina de cópia, ver que ela roda todo dia e considerar o assunto resolvido. Ninguém tenta restaurar de verdade, a cópia fica no mesmo servidor de arquivos que todo mundo acessa, e a senha de quem administra o backup é a mesma senha de administrador de tudo o mais.
É o retrato de uma situação comum: uma indústria de médio porte contrata a cópia de segurança, confirma que ela roda, e nunca mais pensa no assunto — até o dia em que o sequestro de dados acontece e, na hora de restaurar, descobre que a cópia estava na mesma pasta de rede que o resto, visível para quem já tinha tomado conta do ambiente. A empresa tinha backup. Não tinha backup protegido.
Outra versão do mesmo problema comum é achar que "backup na nuvem" resolve sozinho, sem checar se o acesso a essa nuvem usa a mesma senha do domínio da empresa. Se a credencial é a mesma, a proteção também é a mesma — e o criminoso que já roubou uma senha de administrador não precisa quebrar mais nada para chegar lá.
O que precisa existir na prática
Um ambiente preparado para esse cenário depende de mecanismos concretos, não de confiar que "a cópia está rodando".
Uma cópia fora do alcance da rede principal. O CERT.br recomenda manter ao menos uma cópia offline ou num formato que o próprio administrador da rede não consiga apagar de dentro dela. Se o backup pode ser destruído com o mesmo acesso que derruba o resto da empresa, ele não cumpre a função de segunda chance.
Senha e acesso diferentes dos usados no dia a dia. O sistema de backup não deveria abrir com a mesma senha de administrador de rede. Separar esse acesso é o que impede que um único login comprometido alcance também a cópia de segurança.
Teste de restauração de verdade, com data marcada. Uma cópia que ninguém tentou trazer de volta é uma suposição, não uma garantia. O teste periódico é o que revela, antes da emergência, se o arquivo realmente volta a funcionar.
Um plano que diz em quanto tempo a empresa volta a operar. Saber que existe backup não é o mesmo que saber quanto tempo leva para restaurar tudo e voltar a faturar. Esse prazo precisa estar escrito, não estimado no dia do problema.
Registro de quem acessa o sistema de backup. Um acesso fora do padrão ao ambiente de backup — um login estranho, um horário incomum — precisa acender um alerta antes que a cópia seja alterada, não depois.
É assim que a Skills IT trabalha: com cópias guardadas fora do alcance da rede principal, acesso segregado e testes de restauração programados, para que o backup continue sendo uma saída mesmo quando o resto do ambiente já foi comprometido.
O que muda quando o backup está fora de alcance
O ganho de um backup protegido aparece exatamente no momento em que a empresa mais precisa dele: na negociação com o criminoso, que deixa de existir. Sem uma cópia confiável, restar apenas duas saídas — pagar e torcer, ou reconstruir tudo do zero.
Os números da Sophos no Brasil mostram esse efeito em movimento. A parcela de empresas brasileiras que pagou resgate caiu de 66% para 45% de um ano para o outro, enquanto o uso de backup para recuperação subiu de 73% para 85%. Não é coincidência: quando a cópia funciona, a empresa tem uma alternativa real ao pagamento.
O ganho financeiro segue a mesma lógica. O custo médio de recuperação de US$ 1,05 milhão citado pela Sophos já inclui o tempo parado e a equipe mobilizada — mas não inclui o valor do resgate em si, que fica de fora justamente quando o backup evita o pagamento. Uma empresa que restaura pela cópia protegida corta a maior fatia possível desse custo.
Tem ainda um ganho menos visível: a decisão calma em vez da decisão sob pressão. Quando a restauração é uma rotina já testada, quem decide sabe quanto tempo vai levar e o que vai custar — em vez de negociar um prazo com um criminoso que sabe que a empresa não tem escolha.
Perguntas para levar à próxima reunião sobre backup
Antes de assumir que "já tem backup", vale confirmar o que realmente existe por trás dessa frase.
- A cópia de backup fica fora do alcance da rede principal? Se ela mora no mesmo servidor ou na mesma pasta compartilhada de tudo o mais, ela está ao alcance de quem já invadiu esse "tudo o mais".
- O acesso ao sistema de backup usa uma senha diferente da senha de administrador de rede? Senha repetida significa que um único vazamento compromete os dois ao mesmo tempo.
- Alguém já tentou restaurar de verdade, com data marcada? Sem esse teste, ninguém sabe se o backup funciona até o dia em que for tarde para descobrir.
- Existe um prazo escrito para o tempo de retorno da operação? Sem esse número, cada incidente vira uma estimativa feita sob pressão, no meio da crise.
- Quem é avisado se alguém acessa o backup fora do horário ou do padrão normal? Sem esse alerta, a alteração da cópia só é percebida na hora de usá-la — e aí já é tarde.
