A Sophos divulgou a quinta edição do seu ‘Sophos State of Ransomware in Retail’, um estudo anual conduzido junto de líderes de TI e cibersegurança em 16 países. Os resultados deste ano revelam que quase metade (46%) dos incidentes de ransomware no sector do retalho teve origem numa falha de segurança desconhecida, sublinhando os desafios persistentes de visibilidade da superfície de ataque. Por outro lado, 58% das organizações cujos dados foram encriptados pagaram o resgate para recuperarem os seus dados – a segunda taxa de pagamento mais elevada dos últimos cinco anos.
Principais conclusões do relatório
• 46% dos ataques começaram por uma falha de segurança desconhecida (foi o principal factor operacional);
• 30% dos ataques exploraram vulnerabilidades conhecidas (principal causa técnica, pelo terceiro ano consecutivo);
• 58% das vítimas cujos dados foram encriptados pagaram o resgate;
• 48% dos ataques resultaram em encriptação (o valor mais baixo em cinco anos);
• O pedido de resgate mediano duplicou para 2 milhões de dólares face a 2024, mas o pagamento médio aumentou 5% para 1 milhão de dólares.
No último ano, a equipa da Sophos X-Ops identificou quase 90 grupos de ameaças distintos a atacar uma ou mais empresas de retalho com ransomware ou extorsão em websites de leaks. Os grupos mais activos identificados pela Sophos em casos de resposta a incidentes e MDR foram Akira, Cl0p, Qilin, PLAY e Lynx. Depois do ransomware, o comprometimento de contas foi o segundo tipo de incidente mais comum. Tal como acontece noutros sectores, o retalho continua a ser um alvo frequente de grupos de comprometimento de emails empresariais (BEC, na sua sigla em inglês) que tentam desviar pagamentos, sendo este o terceiro tipo de incidente mais comum.
“Os retalhistas em todo o mundo estão a enfrentar um panorama de ameaças cada vez mais complexo, em que os adversários procuram e exploram vulnerabilidades existentes – sobretudo em acessos remotos e equipamento de rede exposto à Internet. Com os pedidos de resgate a atingirem máximos históricos, torna-se ainda mais evidente a necessidade de implementar estratégias de segurança abrangentes. Sem elas, os retalhistas arriscam disrupções operacionais constantes e danos reputacionais duradouros. De forma encorajadora, muitos começam a reconhecer esta realidade e a investir nas suas defesas, o que lhes permite travar os ataques antes de estes escalarem, bem como recuperar mais rapidamente,” afirmou Chester Wisniewski, Director, Global Field CISO da Sophos.
As competências internas limitadas foram o segundo factor operacional mais comum (45%), seguidas de lacunas na cobertura de protecção (44%). Sem as competências e a cobertura adequadas, os retalhistas têm dificuldade em detectar e neutralizar ataques.
Ainda assim, há sinais de progresso: a percentagem de ataques travados antes da encriptação atingiu o valor mais elevado dos últimos cinco anos. A taxa de encriptação também está no seu ponto mais baixo em cinco anos, com apenas 48% dos ataques a resultar em dados encriptados.
Embora o pagamento médio de resgates no sector do retalho tenha aumentado 5% (1 milhão de dólares em 2025 vs 950 mil dólares em 2024), esse valor corresponde apenas a metade do valor médio dos pedidos. Isto sugere que os retalhistas estão mais resistentes a exigências inflacionadas e que, potencialmente, estão também a recorrer a aconselhamento especializado para lidar com ataques de ransomware.
“Em última instância, os programas de segurança bem-sucedidos focam-se na gestão de risco. Para avaliar e gerir esses riscos, os retalhistas têm de ter visibilidade sobre as ameaças que enfrentam, bem como sobre os seus activos e a sua postura de segurança. As organizações que combinam uma sólida gestão de activos e correcções (‘patches’) atempadas com serviços de Detecção e Resposta Geridas (MDR) e serviços de gestão de risco conseguem prevenir mais ataques e recuperar mais depressa, ao adoptarem uma abordagem proactiva à sua cibersegurança,” acrescentou Chester Wisniewski.
Outras conclusões do relatório State of Ransomware in Retail 2025 da Sophos
• A encriptação de dados está a diminuir, mas os adversários estão a adaptar-se: Apesar de as taxas de encriptação de dados estarem no valor mais baixo em cinco anos, os adversários estão a adaptar-se adequadamente, e o número de ataques exclusivamente de extorsão triplicou (de 2% em 2023 para 6% em 2025).
• As taxas de recuperação através de cópias de segurança estão em queda: Apenas 62% dos retalhistas afectados restauraram dados através de cópias de segurança – o valor mais baixo dos últimos quatro anos.
• Os retalhistas estão a resistir aos pedidos de resgate: Olhando em detalhe para as exigências de resgate vs os pagamentos, apenas 29% dos retalhistas afirmam ter pago exactamente o valor exigido; 59% pagaram menos do que o inicialmente exigido, e 11% pagaram mais.
• Os custos de recuperação estão a baixar: De forma encorajadora, o custo médio de recuperação de um ataque de ransomware (excluindo qualquer pagamento de resgate) caiu 40% no último ano, para 1.65 milhões de dólares, o valor mais baixo em três anos.
• Os ataques de ransomware tiveram impacto directo nas equipas: Quase metade (47%) das equipas de TI/cibersegurança no sector do retalho retalho reportou um aumento da pressão após sofrerem encriptação de dados. Por outro lado, em um quarto dos casos (26%) as equipas de liderança foram substituídas em consequência do incidente.
Fortalecer as defesas a longo prazo
Com base na sua experiência a proteger organizações de retalho em todo o mundo, a Sophos recomenda as seguintes boas práticas para ajudar as empresas a manter-se em guarda perante o ransomware e outras ciberameaças:
• Eliminar as causas de raiz: Tomar medidas proactivas para resolver fragilidades técnicas e operacionais comuns – como vulnerabilidades exploradas – que os adversários atacam com frequência. Soluções como o Sophos Managed Risk podem ajudar as organizações a avaliar a sua exposição e a reduzir o risco em todos os seus ambientes.
• Defender cada endpoint: Garantir que todos os endpoints, incluindo servidores, estão protegidos com defesas dedicadas contra ransomware, para impedir que os ataques consigam ganhar uma posição inicial.
• Planear e preparar: Definir e testar regularmente um plano de resposta a incidentes abrangente. Manter cópias de segurança fiáveis e praticar frequentemente a restauração de dados para minimizar o tempo de inatividade em caso de ataque.
• Monitorizar 24/7: A visibilidade contínua é essencial. As organizações sem recursos internos podem reforçar a sua resiliência ao estabelecer parcerias com um fornecedor de Detecção e Resposta Geridas (MDR) de confiança, para obterem monitorização de ameaças e resposta especializada 24/7.
Pode descarregar o relatório State of Ransomware in Retail 2025 no website da Sophos. A empresa vai continuar a divulgar nas próximas semanas mais conclusões específicas de diversos setores.
Metodologia
Os dados utilizados no relatório ‘State of Ransomware in Retail 2025’ da Sophos resultam de um inquérito independente a 361 líderes de TI e cibersegurança do sector do retalho, em organizações com entre 100 a 5.000 colaboradores, em 16 países, conduzido entre Janeiro e Março de 2025. Todos os participantes tinham registado incidentes de ransomware nos 12 meses anteriores.
