Ransomware e criptomoedas: fluxos e prevenção

Imagine chegar ao escritório e encontrar todos os arquivos ilegíveis, com uma mensagem na tela: pague em bitcoin até sexta-feira ou os dados serão apagados e os documentos dos seus clientes, publicados na internet. Esse é o roteiro do ransomware, um dos crimes digitais que mais preocupam as polícias de vários países.

Este texto explica o que é esse tipo de ataque, por que ele depende tanto das criptomoedas, como o dinheiro do resgate circula e é rastreado, e o que autoridades dos Estados Unidos, da Europa e do Brasil recomendam para prevenir e responder. O objetivo é proteger: não há aqui nada que ajude a executar ou esconder um ataque.

O que é ransomware

Ransomware é um tipo de código malicioso que torna inacessíveis os dados de um equipamento, geralmente usando criptografia, e exige pagamento de resgate (ransom, em inglês) para restabelecer o acesso. A definição é da Cartilha de Segurança para Internet do CERT.br, que acrescenta que o pagamento geralmente é feito em bitcoins e que a infecção costuma vir por e-mail com anexo ou link malicioso ou pela exploração de sistemas desatualizados (CERT.br, Ransomware).

O modelo mudou nos últimos anos. Segundo a avaliação anual de ameaças do crime organizado na internet da Europol, a agência policial da União Europeia, o foco da extorsão passou de “pague para recuperar seus dados” para “pague para que seus dados não sejam publicados”. Empresas se prepararam melhor para perder dados, com cópias de segurança, mas continuam vulneráveis ao vazamento. Ataques simultâneos de negação de serviço, envio de spam a e-mails corporativos e ligações telefônicas para pressionar a vítima também fazem parte do repertório (Europol, IOCTA 2026).

Ransomware como serviço

Boa parte dos ataques segue o modelo de ransomware como serviço (RaaS, na sigla em inglês). Um grupo desenvolve o programa e a infraestrutura; outros criminosos, chamados afiliados, invadem as vítimas e dividem o resgate com os desenvolvedores. A Europol cita um grupo que oferece aos afiliados entre 80% e 85% do valor pago.

O resultado é um mercado fragmentado e instável. A Europol observou mais de 120 marcas de ransomware ativas em 2025, muitas de vida curta, que mudam de nome com frequência e compartilham integrantes e infraestrutura (Europol, IOCTA 2026). O FBI, por sua vez, identificou 63 novas variantes em 2025 a partir das queixas recebidas (FBI, 2025 IC3 Annual Report).

Por que os resgates são cobrados em criptomoedas

A Europol resume a razão: em 2025, as criptomoedas foram o meio de pagamento preferido em ataques de ransomware, principalmente pelo relativo anonimato e pela natureza sem fronteiras (Europol, IOCTA 2026).

Na prática, isso significa três coisas para o criminoso:

• Não há banco no meio para bloquear a transferência ou exigir identificação de quem recebe.
• A transação é rápida e irreversível, como em qualquer rede de criptomoeda. O texto O que é Bitcoin e como ele funciona explica por que não existe estorno.
• O valor atravessa fronteiras sem passar por sistemas de câmbio tradicionais.

Mas “relativo anonimato” é a expressão certa. Em redes como a do Bitcoin, todas as transações ficam gravadas em um registro público e permanente, a blockchain (Como funciona a blockchain do Bitcoin). Os endereços não trazem nome, mas o caminho do dinheiro fica visível para quem souber analisá-lo. Esse é o ponto fraco que investigadores exploram.

Como o dinheiro do resgate circula

Em linhas gerais, o fluxo descrito por autoridades e empresas de análise de blockchain tem quatro etapas. A descrição abaixo é deliberadamente genérica: serve para entender o fenômeno, não para reproduzi-lo.

1. Pagamento. A vítima recebe instruções para transferir criptomoedas a um endereço controlado pelo grupo.
2. Divisão. O valor é repartido entre os operadores do ransomware e os afiliados que fizeram a invasão.
3. Ocultação. Os criminosos tentam quebrar o rastro. A Europol aponta como tendências de 2025 os serviços de mistura (mixers), que embaralham moedas de várias origens; o uso de moedas com recursos de privacidade embutidos; e o salto entre blockchains (chain-hopping) por meio de pontes, ferramentas legítimas que transferem ativos de uma rede para outra e que, pela velocidade e liquidez, viraram o método preferido de lavagem para esses grupos (Europol, IOCTA 2026).
4. Conversão. Para virar dinheiro tradicional, os valores costumam passar por corretoras em países com controles fracos contra lavagem de dinheiro ou em centros financeiros offshore, segundo a mesma avaliação.

O rastro e a reação das autoridades

Cada uma dessas etapas deixa marcas. A Chainalysis, empresa americana de análise de blockchain, afirma ter identificado os principais canais de lavagem dos dez tipos de ransomware mais ativos de 2025 e usar esses padrões como uma espécie de “impressão digital” para associar pagamentos a grupos (Chainalysis, Crypto Ransomware: 2026 Crypto Crime Report). Trata-se de informação da própria empresa, que vende ferramentas de rastreamento.

As polícias também atacam a infraestrutura de lavagem. Em novembro de 2025, com apoio da Europol, autoridades da Suíça e da Alemanha derrubaram o Cryptomixer, serviço de mistura usado por grupos de ransomware. Segundo a Europol, mais de 1,3 bilhão de euros em bitcoin passaram por ele desde 2016, e a operação apreendeu mais de 25 milhões de euros em criptomoedas (Europol, IOCTA 2026).

Nos Estados Unidos, o Tesouro usa sanções. Em 2021, o Office of Foreign Assets Control (OFAC), órgão que administra as sanções econômicas americanas, incluiu na lista de sancionados uma corretora de criptomoedas, a SUEX, por facilitar transações de ao menos oito variantes de ransomware (OFAC, Updated Advisory).

O que os números mostram e o que eles não mostram

Medir o ransomware é difícil, porque muitas vítimas não denunciam nem revelam se pagaram. Cada fonte vê uma parte do problema:

• Chainalysis (dados da empresa): pagamentos de ransomware registrados em blockchain somaram mais de US$ 820 milhões em 2025, queda de cerca de 8% em relação a 2024. A própria empresa avisa que o número tende a subir para perto de US$ 900 milhões à medida que mais pagamentos forem atribuídos. Ela estima que a parcela de vítimas que pagaram caiu a 28%, a menor já registrada, enquanto o pagamento mediano subiu de US$ 12.738 para US$ 59.556 (Chainalysis).
• FBI: o centro de queixas de crimes na internet (IC3) recebeu mais de 3.600 denúncias de ransomware em 2025, com perdas declaradas acima de US$ 32 milhões. O FBI ressalva que esse valor não inclui negócios perdidos, tempo de parada nem custos de recuperação, e que nem todas as vítimas informam prejuízo, o que torna o número artificialmente baixo (FBI, IC3).
• Europol: descreve o ransomware como ameaça dominante na União Europeia, com ataques em crescimento constante em 2025 (Europol).

A diferença entre US$ 32 milhões e US$ 820 milhões não é contradição: o FBI conta apenas o que foi declarado a ele por vítimas, e a Chainalysis estima pagamentos rastreados em blockchain no mundo todo. Nenhum dos dois retrata o custo total, que inclui interrupção de serviços e vazamento de dados.

Pagar o resgate: riscos e posição das autoridades

A decisão de pagar costuma ser tomada sob enorme pressão. As fontes oficiais consultadas apontam na mesma direção:

• Não há garantia. O CERT.br afirma que o pagamento do resgate não garante a recuperação dos dados (CERT.br). O projeto No More Ransom, mantido pela Europol, pela polícia holandesa e por parceiros, acrescenta que pagar financia o modelo de negócio dos criminosos (No More Ransom).
• Pode haver risco legal. O OFAC diz que o governo americano “desencoraja fortemente” o pagamento de resgates. Pessoas e empresas sujeitas à lei americana podem ser responsabilizadas civilmente por pagar a alguém sancionado mesmo sem saber disso, e pedidos de autorização para esse tipo de pagamento são analisados caso a caso com presunção de negativa. Reportar o ataque rapidamente às autoridades e cooperar com elas conta como atenuante (OFAC).

O alerta do OFAC vale para quem está sob jurisdição americana, mas mostra um risco que qualquer empresa com operações ou parceiros nos Estados Unidos precisa considerar. Este texto não é orientação jurídica; diante de um ataque real, envolva advogados e as autoridades.

Como se prevenir

O guia #StopRansomware, publicado por CISA, NSA, FBI e MS-ISAC, e o relatório do FBI reúnem as medidas mais citadas (CISA, #StopRansomware Guide; FBI, IC3):

1. Backups fora do alcance do ataque. Cópias offline, criptografadas e, segundo o FBI, imutáveis, isto é, que não podem ser alteradas nem apagadas. E testadas: backup que nunca foi restaurado é uma aposta.
2. Autenticação em várias etapas em todos os serviços possível, de preferência resistente a phishing, com prioridade para e-mail, VPN e contas administrativas.
3. Atualizações em dia, começando pelas falhas já exploradas em sistemas expostos à internet.
4. Menos portas abertas: não deixar acesso remoto à área de trabalho exposto na internet, desligar protocolos desnecessários e eliminar senhas padrão.
5. Menor privilégio e segmentação: cada conta acessa só o que precisa, e a rede é dividida para que uma infecção não se espalhe por tudo.
6. Detecção: antivírus gerenciado e ferramentas de detecção e resposta em estações e servidores, porque o ransomware costuma chegar depois de uma invasão anterior.
7. Treinamento contra phishing e filtros de e-mail.
8. Plano de resposta a incidentes, ensaiado e guardado também em papel e fora da rede, com quem acionar e como se comunicar se os sistemas caírem.

Para quem usa computador em casa, a receita do CERT.br é mais curta e igualmente importante: sistema e programas atualizados, antivírus, cuidado com links e anexos e backups regulares, porque eles são a única garantia de recuperar os arquivos (CERT.br). O mesmo cuidado com links falsos vale para quem guarda criptoativos, como mostra o texto sobre phishing em carteiras cripto.

Se o ataque acontecer

O guia #StopRansomware traz uma lista de verificação para as primeiras horas. Entre os passos principais (CISA):

• Isolar imediatamente os sistemas afetados da rede.
• Comunicar-se por fora dos sistemas comprometidos, para que os invasores não acompanhem a reação.
• Evitar desligar as máquinas, a menos que não seja possível desconectá-las, para preservar evidências na memória.
• Priorizar a restauração dos sistemas críticos a partir de backups limpos e trocar senhas só depois de o ambiente estar limpo.
• Acionar as autoridades, que podem saber de ferramentas de descriptografia.

Antes de qualquer decisão sobre resgate, vale consultar o No More Ransom, que reúne ferramentas gratuitas de descriptografia para diversas famílias de ransomware (No More Ransom). Não há ferramenta para todos os casos, mas a consulta não custa nada.

Obrigações no Brasil

Se o ataque atingir dados pessoais e puder gerar risco ou dano relevante aos titulares, a Lei Geral de Proteção de Dados obriga o controlador a comunicar o incidente. Pela Resolução CD/ANPD nº 15/2024, o prazo é de três dias úteis para avisar a Autoridade Nacional de Proteção de Dados e os titulares afetados, contados do conhecimento de que dados pessoais foram atingidos, salvo prazo diferente em lei específica. Informações incompletas podem ser complementadas em até 20 dias úteis (ANPD, Comunicação de incidente de segurança). Vale lembrar a ressalva da própria norma: leis específicas podem fixar prazos diferentes.

Comunicar o crime à polícia também é recomendado pelas autoridades consultadas, assim como em golpes contra pessoas físicas, tema do texto sobre golpes financeiros digitais.

O que levar deste texto

• Ransomware é extorsão: além de bloquear arquivos, os grupos ameaçam publicar dados roubados. Criptomoedas são o meio de pagamento preferido pela rapidez e pela falta de fronteiras, não por serem invisíveis.
• Blockchains públicas deixam rastro; misturadores, troca entre redes e corretoras com controles fracos tentam apagá-lo, e polícias e empresas de análise trabalham para reconstruí-lo. Os números disponíveis são estimativas parciais.
• Pagar não garante nada e pode trazer risco legal. Backups offline testados, autenticação forte, atualizações e um plano de resposta ensaiado são a melhor defesa; no Brasil, incidentes com dados pessoais devem ser comunicados à ANPD.