← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem
Ransomware: pagar ou não? OFAC, seguro e o que mostram os dados
Só 28% das vítimas de ransomware pagaram em 2025. Veja o risco de sanções da OFAC, o que as seguradoras exigem e como decidir se vale pagar o resgate.
Quando os sistemas param e a nota de resgate aparece, toda empresa enfrenta a mesma pergunta: pagar ou não? A resposta envolve muito mais do que a chance de recuperar os dados. Há risco de sanções, exigências de seguradoras, deveres de notificação e um dado cada vez mais claro: a maioria das vítimas já não paga.
O que dizem os números
A empresa de análise de blockchain Chainalysis estima que os pagamentos de ransomware rastreados em 2025 somaram cerca de US$ 820 milhões, valor que deve se aproximar de US$ 900 milhões à medida que mais transações forem atribuídas (The Record). Ao mesmo tempo, os ataques reivindicados cresceram cerca de 50%.
A conta só fecha porque menos vítimas pagam. Segundo a BleepingComputer, a taxa de pagamento caiu para 28% em 2025, recorde de baixa, contra 62,8% em 2024 e 78,9% em 2022. Em contrapartida, o pagamento mediano saltou de US$ 12.738 para cerca de US$ 59,5 mil.
A consultoria de resposta a incidentes Coveware vê a mesma tendência em seus casos. No terceiro trimestre de 2025, apenas 23% das vítimas pagaram, o menor índice da série; quando o ataque envolvia só roubo de dados, sem criptografia, a taxa caiu para 19% (Security Affairs). O pagamento médio foi de US$ 376.941 e o mediano, US$ 140 mil.
O relatório DBIR 2025 da Verizon aponta na mesma direção: 64% das vítimas não pagaram resgate, ante 50% dois anos antes, e o valor mediano pago caiu para US$ 115 mil (Help Net Security). O ransomware esteve presente em 44% das violações analisadas.
Os números indicam uma mudança de modelo: grupos como Akira e Qilin apostam em volume alto e pedidos menores contra empresas de porte médio, enquanto grandes companhias recusam cada vez mais o pagamento por saberem que ele raramente impede o vazamento dos dados roubados, segundo a Coveware.
| Fonte | Indicador | Valor |
|---|---|---|
| Chainalysis | Taxa de pagamento 2025 | 28% |
| Chainalysis | Total pago em 2025 | ~US$ 820 milhões |
| Coveware | Taxa de pagamento 3º tri 2025 | 23% |
| Coveware | Pagamento mediano 3º tri 2025 | US$ 140 mil |
| Verizon DBIR 2025 | Vítimas que não pagaram | 64% |
O risco de sanções: o alerta da OFAC
Nos Estados Unidos, o principal risco jurídico de pagar é o de sanções. O aviso atualizado do Escritório de Controle de Ativos Estrangeiros (OFAC), de 21 de setembro de 2021, deixa claro que:
- a responsabilidade civil é objetiva: pode haver multa mesmo que a empresa não soubesse que o destinatário era sancionado;
- o risco alcança quem facilita o pagamento, como instituições financeiras, seguradoras cibernéticas e empresas de forense e resposta a incidentes;
- pedidos de licença para pagar a sancionados são analisados com presunção de negativa;
- reportar o ataque rapidamente às autoridades, como a CISA, e cooperar integralmente são fatores atenuantes significativos.
O governo americano desencoraja fortemente o pagamento, lembrando que ele financia criminosos, estimula novos ataques e não garante a recuperação dos dados.
Proibições e deveres de reporte
O Reino Unido discute ir além. Segundo o escritório Goodwin, o governo segue desenvolvendo três propostas: proibir pagamentos por órgãos públicos e operadores de infraestrutura crítica; exigir que as demais organizações avisem as autoridades antes de pagar; e tornar obrigatória a notificação de incidentes de ransomware. Na consulta, 72% apoiaram a proibição para o setor público e infraestrutura crítica. Até fevereiro de 2026 não havia lei aprovada.
Nos EUA, a lei CIRCIA prevê que entidades de infraestrutura crítica reportem à CISA em 24 horas qualquer pagamento de resgate. A regra final foi enviada à Casa Branca para revisão em 1º de outubro de 2026 e ainda não estava publicada, segundo a Paubox.
E o seguro?
As apólices cibernéticas muitas vezes cobrem extorsão, mas a cobertura depende dos controles declarados. Um alerta publicado na National Law Review em setembro de 2026 descreve seguradoras exigindo MFA, EDR, backups imutáveis e testados e gestão de acessos privilegiados, e cita um caso de 2022 em que um tribunal americano anulou a apólice porque a empresa declarou ter MFA em toda a rede, mas só o tinha no firewall.
Como decidir: o que ponderar
- Backups: há cópias íntegras, offline e testadas? Se sim, o pagamento perde sentido.
- Dados roubados: pagar raramente impede o vazamento; a Coveware nota que grandes empresas recusam cada vez mais por isso.
- Sanções: faça triagem do grupo e das carteiras com assessoria especializada.
- Seguro: acione a seguradora antes de qualquer negociação e siga o painel de fornecedores aprovado.
- Autoridades: notifique cedo; isso pesa a favor da empresa.
- Governança: a decisão deve ser da alta administração, documentada e com parecer jurídico.
Checklist preventivo
- Mantenha backups imutáveis e ensaie a restauração.
- Proteja acessos remotos com MFA resistente a phishing; acesso remoto comprometido esteve em mais da metade dos casos da Coveware no 3º trimestre de 2025.
- Defina antes do incidente quem decide sobre pagamento e com quais critérios.
- Tenha contatos prontos de seguradora, advogado, forense e autoridades.
Fonte
- BleepingComputer – Ransomware payment rate drops to record low (Chainalysis)
- The Record – Ransomware payments in 2025 (Chainalysis)
- Security Affairs – Ransomware payments hit record low: only 23% pay in Q3 2025 (Coveware)
- Help Net Security – Verizon 2025 DBIR
- OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments (2021)
- Goodwin – The UK's ransomware strategy (fev. 2026)
- Paubox – CIRCIA final rule: White House review (out. 2026)
- National Law Review – How cyber insurance carriers are raising the bar