Cibersegurança 2025: Ransomware, Nuvem e a Urgência do Patching no Brasil

Meta descrição: Analisamos os ataques de ransomware, falhas na nuvem e vulnerabilidades críticas que moldam a cibersegurança brasileira em 2025. Descubra como proteger sua empresa.

O cenário da cibersegurança em 2025 é uma tapeçaria complexa de ameaças persistentes e vetores de ataque em constante evolução. Para os CISOs, gestores de TI e profissionais de segurança no Brasil, a paisagem se mostra ainda mais desafiadora, com a rápida adoção de tecnologias em nuvem e a digitalização de processos que, embora tragam eficiência, também expandem exponencialmente a superfície de ataque. A onda de ataques de ransomware, as lacunas críticas na segurança de ambientes em nuvem e a exploração contínua de vulnerabilidades em softwares largamente utilizados são os pilares dessa ameaça iminente. Incidentes de grande escala, como o que afetou a Change Healthcare nos EUA, servem como um lembrete sombrio da interconectividade global e do potencial de disrupção massiva, impactando indiretamente empresas e cadeias de suprimentos em todo o mundo, incluindo o Brasil. A necessidade de uma postura proativa, baseada em inteligência de ameaças atualizada e na implementação rigorosa de controles de segurança, nunca foi tão vital. É imperativo que as organizações brasileiras entendam a natureza dessas ameaças e se equipem com o conhecimento e as ferramentas necessárias para construir uma resiliência cibernética robusta.

⚡ Resumo Executivo

• Ransomware Persistente: Ataques continuam a ser uma ameaça primordial, com grupos como BlackCat/ALPHV e Black Basta causando disrupções e vazamentos massivos.
• Engenharia Social Evoluída: Novas táticas de ransomware, como email bombing e vishing (exemplificado pelo grupo 3AM Ransomware), burlam defesas tradicionais.
• Vulnerabilidades Críticas: Falhas em softwares populares como Microsoft Exchange (CVE-2021-26855, CVE-2021-31207) e novas zero-days (como a reportada "CitrixBleed 2" em 12 de novembro de 2025) exigem patching imediato.
• Riscos da Nuvem: Auditorias recentes revelam lacunas significativas em configurações de segurança na nuvem, incluindo a falta de MFA e controles de acesso inadequados, expondo dados sensíveis.
• Impacto no Brasil: Setores como saúde, finanças e governo são alvos prioritários, exigindo conformidade rigorosa com a LGPD e outras regulamentações específicas.

Ransomware em Escalada: Novas Táticas de Engenharia Social e Mega Vazamentos

O ransomware consolidou sua posição como uma das ameaças cibernéticas mais destrutivas, com gangues aprimorando continuamente suas táticas para maximizar o impacto. Em 2024, vimos a ascensão do Ransomware-as-a-Service (RaaS) e a utilização de ransomware por atores estatais para fins geopolíticos, transformando-o não apenas em um crime financeiro, mas em uma ferramenta de guerra cibernética e desestabilização. O custo médio de recuperação de um ataque de ransomware atingiu a marca de US$ 3 milhões para incidentes envolvendo vulnerabilidades de sistema, um aumento de quatro vezes em relação a violações baseadas em credenciais.

Um dos incidentes mais emblemáticos e de grande escala de 2024 foi o ataque à Change Healthcare, uma peça-chave no sistema de saúde dos EUA. O grupo de ransomware BlackCat/ALPHV explorou servidores de acesso remoto mal protegidos, obtendo entrada em sistemas sem autenticação multifator (MFA). Este ataque resultou na exposição de mais de 100 milhões de registros de pacientes, incluindo nomes, números de CPF e detalhes de tratamento, com o impacto sendo posteriormente ajustado para impressionantes 190 milhões de pessoas até janeiro de 2025. O caos se espalhou por toda a vasta rede da UnitedHealth, paralisando operações em clínicas, interrompendo o processamento de prescrições e atrasando cirurgias críticas. Diante da crescente pressão para restaurar os serviços, a Change Healthcare pagou um resgate de US$ 22 milhões.

Outro ataque significativo no setor de saúde envolveu a Ascension Health, uma rede de 140 hospitais, em fevereiro de 2024. Atacantes do Black Basta infiltraram sistemas, permanecendo indetectados por meses antes de exfiltrar registros médicos sensíveis, dados de pagamento e números de CPF de 5.6 milhões de pacientes. Quando descoberto, os hospitais da Ascension foram forçados a operar sem registros eletrônicos de saúde, utilizando prontuários em papel, impactando drasticamente a prestação de cuidados.

A evolução das táticas de entrada inicial também é alarmante. Grupos de ransomware, como o 3AM Ransomware, têm adotado combos de email bombing e vishing. O email bombing sobrecarrega a caixa de entrada da vítima com e-mails indesejados, criando confusão. Em seguida, o vishing (phishing por voz) entra em cena, com o atacante se passando por suporte técnico (muitas vezes via Microsoft Teams ou chamadas telefônicas com spoofing de número da própria empresa) para persuadir o funcionário a conceder acesso remoto ao seu computador, usando ferramentas como Quick Assist ou AnyDesk. A Sophos documentou mais de 15 incidentes e 55 tentativas de ataque com essa metodologia entre novembro de 2024 e meados de janeiro de 2025. Essa combinação explora a distração e a confiança, mostrando que a engenharia social continua sendo o "elo mais fraco" na cadeia de segurança, mesmo com avanços tecnológicos.

Vulnerabilidades Críticas em Softwares Essenciais e o Ciclo Vicioso do Patching

A exploração de vulnerabilidades em softwares amplamente utilizados continua a ser um vetor de ataque primário para a intrusão inicial. Relatórios recentes de 2022 indicaram que exploits de vulnerabilidades superaram o phishing como a principal causa de comprometimento inicial em muitos incidentes, uma tendência que persiste. Isso é impulsionado pela ubiquidade de sistemas legados e pela lentidão no ciclo de patching em muitas organizações.

Exemplos clássicos de vulnerabilidades persistentes incluem as falhas no Microsoft Exchange Server. As vulnerabilidades do ProxyLogon (como CVE-2021-26855) e ProxyShell (como CVE-2021-31207, CVE-2021-34473, CVE-2021-34523), divulgadas em 2021, permitiram que atacantes obtivessem controle remoto completo sobre servidores Exchange on-premises. Mesmo anos após a divulgação e a disponibilidade de patches, essas vulnerabilidades continuam a ser alvo de intensa atividade de exploração. A Kaspersky, por exemplo, observou que CVE-2021-26855 foi explorada em 22.7% de todos os incidentes que envolveram exploits de vulnerabilidades em 2021, e a exploração continua em 2025. Isso destaca a "long-tail vulnerability" – falhas antigas que persistem em sistemas não corrigidos ou ignorados.

Mais recentemente, o dia 12 de novembro de 2025 trouxe notícias sobre o "CitrixBleed 2", reportado como uma nova vulnerabilidade de dia zero causando estragos. Embora um CVE específico ainda não tenha sido divulgado publicamente dentro dos últimos dias de pesquisa, a menção a uma "CitrixBleed 2" (remetendo à notória CVE-2023-4966, também conhecida como CitrixBleed original, que foi amplamente explorada) sublinha a criticidade das vulnerabilidades em infraestruturas de acesso remoto e gerenciamento. Falhas em produtos como Citrix NetScaler ADC e Gateway são frequentemente portas de entrada para acessos não autorizados e subsequentes ataques de ransomware ou exfiltração de dados, dada a sua função de borda na rede. A exploração rápida de zero-days, muitas vezes em questão de dias após a divulgação pública, exige uma capacidade de resposta e patching ágil das organizações.

Paralelamente, as auditorias de segurança em ambientes de nuvem revelam falhas fundamentais que expõem dados sensíveis. Um relatório recente, tornado público em novembro de 2025, de uma auditoria do Escritório do Secretário do Departamento de Saúde e Serviços Humanos (HHS) dos EUA, conduzida em junho e julho de 2022, identificou sérias lacunas na segurança da nuvem. As falhas incluíam a ausência de autenticação multifator (MFA) para contas privilegiadas, controles de acesso insuficientes em componentes de armazenamento em nuvem que expuseram dados publicamente, e uma remediação inadequada e tardia de falhas em múltiplos componentes. Testes de penetração "black box" foram capazes de não apenas acessar informações sensíveis, incluindo PII (Informações de Identificação Pessoal), mas também de obter controle não autorizado de sistemas em nuvem. Este é um alerta claro: a migração para a nuvem sem a devida governança de segurança, automação de conformidade e vigilância contínua cria novos e perigosos vetores de ataque.

🇧🇷 Impacto no Cenário Brasileiro

O cenário de ameaças global tem um eco significativo no Brasil, que se posiciona como um alvo atraente para cibercriminosos devido à sua economia digital em expansão e à maturidade ainda desigual da segurança cibernética em diferentes setores.

Setores Mais Afetados:

• Saúde: Assim como nos EUA, o setor de saúde brasileiro é um alvo primário para ataques de ransomware. A sensibilidade e o valor dos dados de saúde, somados à criticidade dos serviços, tornam as instituições um alvo lucrativo. A interrupção de sistemas, como visto nos casos da Change Healthcare e Ascension, poderia paralisar hospitais e clínicas, com consequências diretas na vida dos pacientes.
• Financeiro: Bancos e instituições financeiras no Brasil estão constantemente sob ataque. Embora geralmente mais maduros em segurança, a evolução das táticas de phishing, vishing e trojans bancários (como o recente alerta sobre os trojans Coyote e Maverick em 13 de novembro de 2025, que visam usuários no Brasil) exige vigilância constante e investimentos em detecção de fraudes e proteção de endpoint.
• Governo e Infraestrutura Crítica: Órgãos governamentais em níveis federal, estadual e municipal, além de empresas de infraestrutura crítica (energia, saneamento, telecomunicações), são alvos de ransomware e atores estatais. A paralisação de serviços essenciais ou o vazamento de dados estratégicos representa um risco para a soberania e a estabilidade nacional.

Contexto Regulatório (LGPD): A Lei Geral de Proteção de Dados (LGPD) no Brasil é um fator crítico. Vazamentos de dados resultantes de ataques de ransomware ou falhas de segurança na nuvem podem levar a multas substanciais e danos reputacionais irreparáveis. A exposição de PII, como ocorrido na Change Healthcare (190 milhões de registros), seria catastrophic sob a LGPD. As empresas brasileiras precisam não apenas se proteger dos ataques, mas também demonstrar conformidade com a LGPD através de controles de segurança robustos, planos de resposta a incidentes e relatórios transparentes. A fiscalização da Autoridade Nacional de Proteção de Dados (ANPD) está cada vez mais ativa, aumentando a pressão sobre as organizações para que invistam em cibersegurança e governança de dados.

Ataques à cadeia de suprimentos de software e serviços de TI, como os explorados por atores estatais, são de particular preocupação no Brasil. Muitos ERPs, sistemas bancários e plataformas governamentais dependem de fornecedores terceirizados, e uma falha em um elo dessa cadeia pode comprometer toda a rede de clientes.

🔒 Recomendações Práticas da Coneds

Para enfrentar essas ameaças complexas, a Coneds recomenda uma abordagem multifacetada, priorizando ações concretas e implementáveis:

1. Ação Imediata: Gestão de Patches e Vulnerabilidades Agressiva: Mantenha todos os sistemas operacionais, aplicações e firmwares atualizados. Priorize patches para vulnerabilidades críticas em softwares de borda (VPNs, firewalls, gateways de e-mail, plataformas de acesso remoto como Citrix, Microsoft Exchange) e sistemas de gestão de identidade, seguindo a lógica do CVE-2023-4966 e as recentes zero-days. Implemente um programa de gerenciamento de vulnerabilidades contínuo.
2. Curto Prazo (1-4 semanas): Fortalecimento da Autenticação e Acesso: Implemente Autenticação Multifator (MFA) em todos os serviços, especialmente para acessos privilegiados, acesso remoto, VPNs e ambientes de nuvem. Revise e reforce políticas de acesso com o princípio do menor privilégio. Considere soluções de Zero Trust.
3. Médio Prazo (1-3 meses): Resiliência contra Ransomware e Backups Imutáveis: Desenvolva e teste um plano robusto de resposta a incidentes de ransomware. Implemente backups 3-2-1 (3 cópias, 2 mídias diferentes, 1 off-site e imutável) e segmente redes para limitar a propagação. Utilize soluções de EDR/XDR com capacidades de detecção de comportamento anômalo.
4. Estratégia Long-term: Segurança da Nuvem e Postura Proativa: Adote um framework de segurança para a nuvem (CSA CCM, NIST CSF) e implemente automação para identificar e corrigir configurações incorretas (Cloud Security Posture Management - CSPM). Realize auditorias regulares de segurança em seus ambientes de nuvem e revise políticas de IAM na nuvem.
5. Governança: Programa de Segurança da Informação e Conformidade LGPD: Estabeleça e mantenha um programa de governança de segurança da informação alinhado às melhores práticas (ISO 27001, NIST) e aos requisitos da LGPD, BACEN e PCI DSS. Realize avaliações de risco periódicas e mantenha um inventário preciso de ativos e dados sensíveis.
6. Treinamento: Conscientização e Simulação Contínuas: Invista em treinamentos regulares e interativos de conscientização em segurança para todos os funcionários, com foco em táticas de engenharia social como phishing e vishing. Realize simulações de phishing e exercícios de mesa (tabletop exercises) para testar a capacidade de resposta da equipe.
7. Monitoramento e Detecção Avançada: Implemente soluções de SIEM/SOAR para monitoramento contínuo, análise de logs e automação da resposta a incidentes, incluindo detecção de atividades laterais e uso de ferramentas "living off the land".

❓ Perguntas Frequentes

P: Qual a principal diferença entre phishing e vishing e como as empresas podem se proteger?

R: Phishing utiliza e-mails ou mensagens para enganar vítimas a divulgar informações ou baixar malware. Vishing (voice phishing) usa chamadas telefônicas ou de voz (como via Teams) com engenharia social para manipular a vítima. Para proteção, empresas devem treinar funcionários a desconfiar de contatos não solicitados, verificar a identidade do solicitante por um canal oficial e nunca conceder acesso remoto a estranhos. A Coneds oferece treinamentos específicos para identificar e-mails e chamadas maliciosas.

P: Como a Inteligência Artificial (IA) está mudando a dinâmica dos ataques de ransomware?

R: A IA está sendo utilizada pelos atacantes para criar campanhas de phishing e vishing mais convincentes e personalizadas, acelerar a criação de malware polimórfico e otimizar a exploração de vulnerabilidades. Isso diminui o tempo de ataque e aumenta a taxa de sucesso. Por outro lado, a IA também é uma ferramenta poderosa para a defesa, permitindo detecção de anomalias em tempo real e automação da resposta a incidentes, superando a velocidade de análise humana.

P: A LGPD realmente afeta como as empresas brasileiras devem lidar com ataques de ransomware?

R: Sim, a LGPD tem um impacto direto e significativo. Ataques de ransomware que resultam em vazamento ou indisponibilidade de dados pessoais podem levar a multas elevadas, danos reputacionais e ações legais. As empresas são obrigadas a notificar a ANPD e os titulares dos dados sobre incidentes em prazos específicos. Isso impulsiona a necessidade de controles de segurança robustos, planos de resposta a incidentes bem definidos e uma cultura de proteção de dados.

Conclusão

O panorama da cibersegurança em 2025 é inegavelmente complexo e desafiador. A persistência e a evolução do ransomware, as vulnerabilidades em softwares essenciais e as falhas na segurança da nuvem representam ameaças tangíveis e com potencial de causar prejuízos financeiros e reputacionais catastróficos para as organizações brasileiras. A lição dos incidentes recentes, como os mega vazamentos na saúde e a sofisticação das táticas de engenharia social, é clara: a complacência é inaceitável. É fundamental que CISOs e gestores de TI adotem uma mentalidade proativa, investindo continuamente em soluções de segurança avançadas, na automação de processos críticos como a gestão de patches, e, acima de tudo, na capacitação de suas equipes. A segurança cibernética não é apenas uma questão técnica, mas uma estratégia de negócios essencial que exige uma abordagem holística, desde a base tecnológica até a conscientização humana e a governança. A resiliência cibernética é construída através da vigilância constante, da adaptação rápida às novas ameaças e do compromisso inabalável com as melhores práticas de segurança da informação.

---

📚 Aprenda mais: Eleve sua defesa cibernética com os treinamentos especializados da Coneds em Resposta a Incidentes, Segurança em Nuvem e Gestão de Vulnerabilidades. Visite coneds.com.br para capacitar sua equipe e proteger seus ativos mais valiosos. 🔗 Fontes:

• Dark Reading - "43 Trillion Security Data Points Illuminate Our Most Pressing Threats" - 9 de dezembro de 2022.
• SC World - "HHS audit finds serious gaps in cloud security at agency office" - Publicado na semana de 11 de novembro de 2025, auditoria de junho-julho de 2022.
• Dark Reading - "More Orgs Suffered Successful Phishing Attacks in 2021 Than in 2020" - 22 de fevereiro de 2022.
• Dark Reading - "Vulnerability Exploits, Not Phishing, Are the Top Cyberattack Vector for Initial Compromise" - 8 de setembro de 2022.
• SC World - "Ransomware 2024: A year of tricks, traps, wins and losses" - Reportagem de Tom Spring sobre tendências de 2024.
• Dark Reading - "3 More Healthcare Orgs Hit by Ransomware Attacks" - 22 de abril de 2025.
• Dark Reading - "Coyote, Maverick Banking Trojans Run Rampant in Brazil" - 13 de novembro de 2025.
• Dark Reading - "Patch Now: Microsoft Flags Zero-Day & Critical Zero-Click Bugs" - 11 de novembro de 2025.
• Dark Reading - "'CitrixBleed 2' Wreaks Havoc as Zero-Day Bug" - 12 de novembro de 2025.
• Dark Reading - "Change Healthcare Breach Impact Doubles to 190M People" - 27 de janeiro de 2025.
• Dark Reading - "3AM Ransomware Adopts Email Bombing, Vishing Combo Attack" - 22 de maio de 2025.
• Kaspersky - Análise de Dados de Resposta a Incidentes 2021 (citado em Dark Reading, 8 de setembro de 2022).