Varejo global resiste a pagamentos de ransomware, mas ataques se tornam mais eficazes

O setor varejista global registrou em 2026 a menor taxa histórica de pagamento de resgates em ataques de ransomware, com apenas 32% das organizações afetadas cedendo às exigências dos criminosos. Este índice é o mais baixo entre todos os setores econômicos avaliados, segundo o relatório State of Ransomware in Retail 2026, da empresa de cibersegurança Sophos. A pesquisa ouviu 2.158 executivos de 15 setores em 17 países, incluindo 217 líderes de TI e segurança cibernética no varejo, entre janeiro e março de 2026.

Apesar da resistência ao pagamento, o relatório aponta uma contradição: os ataques de ransomware se tornaram mais eficazes no varejo. A taxa de incidentes que resultaram em criptografia de dados subiu de 48% em 2025 para 62% em 2026, superando a média intersetorial de 56%. Este é o primeiro aumento após dois anos consecutivos de queda.

Backups como principal resposta e negociações agressivas

A resiliência do setor ao não pagamento de resgates é sustentada pela eficácia de suas estratégias de recuperação. Sete em cada dez vítimas no varejo (71%) conseguiram restaurar seus sistemas a partir de cópias de segurança (backups), um índice superior aos 62% de 2025 e à média global de 66%. Em contrapartida, o índice de pagamento de resgate despencou de 58% para 32% em um ano.

Quando o pagamento foi inevitável, os varejistas demonstraram agressividade nas negociações. O valor mediano pago caiu drasticamente de US$ 1 milhão em 2025 para US$ 57.500 em 2026, significativamente abaixo da mediana global de US$ 769.000. Cerca de 55% dos pagamentos efetuados no setor foram inferiores a US$ 100.000, e 63% das organizações que pagaram conseguiram reduzir a exigência inicial, obtendo um desconto mediano de US$ 11.700.

Polarização financeira e vetores de ataque

A análise financeira revelou uma polarização notável nas exigências dos criminosos. A mediana das exigências caiu para US$ 225.000, o segundo menor valor entre os setores. No entanto, a média aritmética disparou para US$ 4,32 milhões, o valor médio mais alto da pesquisa. Essa discrepância é atribuída à concentração de pedidos de valores milionários contra grandes redes varejistas, com 17 das 23 exigências iguais ou superiores a US$ 5 milhões direcionadas a empresas com faturamento anual entre US$ 1 bilhão e US$ 5 bilhões.

O phishing emergiu como a principal causa técnica dos ataques ao varejo em 2026, respondendo por 29% dos incidentes, um aumento em relação aos 23% de 2025. A exploração de vulnerabilidades em softwares e sistemas foi o segundo vetor mais comum, com 26%, superando a média intersetorial de 18% e posicionando o varejo como o setor mais exposto a essa falha.

Dispositivos de funcionários e falhas de segurança

Em ataques iniciados por vulnerabilidades, credenciais comprometidas ou força bruta, os dispositivos de usuários, como laptops e desktops de funcionários, foram o ponto de partida em 44% dos casos, o maior índice da pesquisa e bem acima da média global de 30%. Aplicações e sistemas expostos representaram 28% dos acessos iniciais, enquanto firewalls foram a porta de entrada em 20% das invasões.

Internamente, 38% das vítimas atribuíram a invasão a falhas de segurança conhecidas que não foram corrigidas a tempo. No total, 61% relataram brechas gerais de segurança, 53% apontaram limitações de proteção e 51% citaram falta de equipe especializada.

Limitações de MFA e firewalls e recuperação rápida

O estudo questiona a eficácia de ferramentas de proteção amplamente adotadas quando usadas isoladamente. Entre as empresas varejistas atacadas por credenciais comprometidas, 97% possuíam autenticação multifator (MFA) ativa, mas mais da metade sofreu criptografia de dados. Similarmente, 59% dos firewalls corporativos identificaram atividade maliciosa antes da execução do ransomware, porém 60% dessas empresas ainda assim tiveram dados criptografados.

Apesar dos custos de recuperação, que somaram em média US$ 1,76 milhão por empresa em 2026, o varejo registrou a recuperação mais rápida dos últimos cinco anos. O tempo médio para restabelecer os ambientes caiu de 3,16 semanas em 2025 para 2,54 semanas em 2026. Mais da metade das vítimas (56%) se recuperou em até uma semana.

Impacto nas equipes e recomendações da Sophos

O impacto sobre as equipes de TI e segurança foi o menor entre todos os setores. Apenas 22% das empresas fizeram mudanças na estrutura de TI após o ataque e 10% substituíram a liderança de cibersegurança. Contudo, 41% dos profissionais relataram aumento da ansiedade e 37% citaram maior pressão da alta administração.

A Sophos recomenda ao setor a adoção de soluções de detecção e resposta a ameaças de identidade (ITDR), MFA resistente a phishing, proteção avançada de endpoints contra IA, serviços gerenciados de detecção e resposta (MDR), manutenção de backups imutáveis e testados, e integração de alertas de firewalls a plataformas centralizadas de correlação de ameaças para bloqueio automatizado.