12 exemplos de ransomware: os ataques que mudaram a forma como as empresas se defendem

Resumindo: o ransomware é um malware que bloqueia os ficheiros ou sistemas de uma organização e exige um pagamento para os desbloquear. Os doze exemplos de ransomware abaixo vão desde o WannaCry, em 2017, até ao ataque à ChipSoft, fornecedora holandesa de software para hospitais, em 2026, com cinco casos holandeses e um belga. A forma de acesso costuma ser banal: um e-mail de phishing, uma palavra-passe fácil de adivinhar, uma conta sem autenticação multifator, um serviço de assistência que repõe a palavra-passe da pessoa errada. O resgate raramente é o verdadeiro custo. O que custa mesmo são as semanas de paralisia e de reconstrução.

O que é o ransomware e o que estes casos nos ensinam

Para a definição e as variantes, vê o que é o ransomware. Para uma lista mais abrangente de incidentes na Holanda, vê os maiores ciberataques na Holanda. Há três aspetos que se destacam nos doze casos:

• Os atacantes iniciam sessão com mais frequência do que conseguem invadir. Uma palavra-passe ou um clique costumam ser o primeiro passo.
• Há um intervalo de tempo entre a introdução dos dados e a encriptação. Nove dias na Change Healthcare, 69 na Universidade de Maastricht.
• Pagar não resolve o problema. A KNVB pagou e, mesmo assim, não teve a certeza de que os seus dados estavam seguros.

Os 12 exemplos de ransomware num relance

Os 12 exemplos de ransomware em pormenor

1. WannaCry (2017): o worm que afetou o NHS

O que aconteceu: A 12 de maio de 2017, o WannaCry espalhou-se por sistemas Windows que não tinham sido atualizados. A Europol contabilizou mais de 200 000 vítimas em, pelo menos, 150 países. Em Inglaterra, pelo menos 81 das 236 entidades do Serviço Nacional de Saúde (NHS) foram afetadas, segundo o Gabinete Nacional de Auditoria.

A lição: nenhuma organização do NHS teve de pagar. Os sistemas infetados não tinham as atualizações instaladas ou já não tinham suporte, por isso, atualizar a tempo continua a ser a defesa mais barata.

2. NotPetya e Maersk (2017): 45 000 computadores em dez dias

O que aconteceu: Em junho de 2017, o NotPetya chegou através de uma atualização maliciosa de um software de contabilidade ucraniano. O grupo de transportes Maersk foi uma vítima colateral e teve de reinstalar 4 000 servidores, 45 000 computadores e 2 500 aplicações em dez dias, segundo o seu presidente. Custo: 250 a 300 milhões de dólares.

A lição: a atualização era de confiança. A segmentação da rede e as cópias de segurança offline determinam quanto tempo ficas sem serviço.

3. Universidade de Maastricht (2019): 69 dias desde o e-mail de phishing até ao pedido de resgate

O que aconteceu: A 15 e 16 de outubro de 2019, foram abertos dois e-mails de phishing em duas estações de trabalho. A 23 de dezembro, o ransomware Clop encriptou 267 servidores Windows. A universidade pagou 30 bitcoins, cerca de 200 000 €. Em 2022, a polícia recuperou parte desse montante, que nessa altura valia cerca de 500 000 €.

A lição: os atacantes estiveram lá dentro durante 69 dias. Um único e-mail enviado nesse período poderia ter mudado o resultado.

4. Hof van Twente (2020): Welkom2020

O que aconteceu: A palavra-passe de administrador deste município holandês era «Welkom2020», e uma alteração na firewall, em novembro de 2020, deixou o servidor exposto à Internet. Os atacantes destruíram as cópias de segurança. O município não pagou; a recuperação custou cerca de 4 milhões de euros.

A lição: mais tarde, um tribunal considerou o próprio município responsável. Uma palavra-passe fácil de adivinhar sem uma cópia de segurança útil é a combinação mais cara.

5. Colonial Pipeline (2021): uma conta antiga de VPN

O que aconteceu: A 7 de maio de 2021, o grupo DarkSide conseguiu aceder à operadora de oleodutos dos EUA através de uma conta VPN antiga com uma palavra-passe exposta e sem autenticação multifator. A Colonial parou o funcionamento do oleoduto durante vários dias e pagou 4,4 milhões de dólares. O Departamento de Justiça dos EUA recuperou 2,3 milhões de dólares.

A lição: essa conta não devia estar a ser utilizada. Elimina as contas antigas e exige a autenticação multifator (MFA) em todos os inícios de sessão remotos.

6. Kaseya (2021): um fornecedor, até 1 500 vítimas

O que aconteceu: A 2 de julho de 2021, o grupo REvil explorou uma falha no software VSA da Kaseya, que os prestadores de serviços de TI usam para gerir os sistemas dos seus clientes. Através desses prestadores, o ransomware atingiu entre 800 e 1 500 empresas. O REvil exigiu 70 milhões de dólares.

A lição a retirar: os investigadores holandeses do DIVD já tinham comunicado as falhas à Kaseya. É importante saberes quais são os fornecedores que têm acesso de administrador aos teus sistemas.

7. VDL Groep (2021): 105 empresas paralisadas

O que aconteceu: Em outubro de 2021, um ataque atingiu o grupo industrial holandês VDL e as suas 105 empresas, incluindo a fábrica de automóveis NedCar. Demorou mais de um mês até que todas as unidades voltassem a produzir. A polícia associou o ataque ao malware Conti; um suspeito foi detido em Kiev em 2024.

A lição: a VDL nunca disse se compensava. Para um fabricante, o custo está na paragem, por isso, ensaia isso.

8. Cidade de Antuérpia (2022): até 70 milhões de euros

O que aconteceu: Na noite de 5 para 6 de dezembro de 2022, o grupo Play atacou a cidade de Antuérpia e roubou mais de 500 GB de dados. A cidade diz que nunca pagou. A Câmara Municipal estimou o custo em até 70 milhões de euros.

A lição: a comissão de supervisão flamenga detectou atualizações de segurança em falta, uma utilização insuficiente da autenticação de dois fatores e uma segmentação deficiente da rede. O problema estava mesmo nos aspetos básicos.

9. KNVB (2023): pagar sem ficar tranquilo

O que aconteceu: Em abril de 2023, o grupo LockBit roubou dados pessoais da federação holandesa de futebol, a KNVB, alegadamente depois de um funcionário ter caído num e-mail de phishing. Segundo a RTL Nieuws, o resgate exigido foi superior a 1 milhão de euros. Em setembro, a KNVB confirmou que tinha pago, sem revelar o montante.

A lição: a associação disse que não tinha a certeza de que os dados se mantivessem confidenciais. Um pagamento é só uma promessa aos criminosos.

10. Change Healthcare (2024): não há MFA num único portal

O que aconteceu: A 12 de fevereiro de 2024, uns atacantes entraram num portal de acesso remoto da Change Healthcare, uma empresa norte-americana de processamento de pagamentos na área da saúde, usando credenciais roubadas. O portal não tinha autenticação multifator. Nove dias depois, foi lançado o ransomware ALPHV/BlackCat. A empresa-mãe, a UnitedHealth, confirmou o pagamento do resgate e registou 872 milhões de dólares em custos no primeiro trimestre.

A lição: bastou uma medida de segurança em falta. Os dados de 192,7 milhões de pessoas foram afetados.

11. Marks & Spencer (2025): uma reposição de palavra-passe para a pessoa errada

O que aconteceu: A 17 de abril de 2025, uns atacantes fizeram-se passar por alguém que trabalhava na M&S e conseguiram que um terceiro redefinisse uma palavra-passe, disse o presidente Archie Norman aos deputados. Seguiu-se o ransomware DragonForce. As encomendas online ficaram paralisadas durante semanas e o lucro semestral caiu de 391,1 milhões de libras para 3,4 milhões de libras.

A lição: não foi preciso nenhuma falha técnica. Um serviço de assistência precisa de uma etapa de verificação que um interlocutor convincente não consiga contornar.

12. ChipSoft (2026): ransomware no fornecedor de registos hospitalares

O que aconteceu: A 7 de abril de 2026, o centro de segurança na área da saúde Z-CERT confirmou um ataque de ransomware à ChipSoft, que fornece software de registos de doentes à maioria dos hospitais holandeses. Onze hospitais desativaram o software da ChipSoft. Foram roubados dados de doentes de um número significativo de prestadores de cuidados de saúde; a ChipSoft afirmou mais tarde que se tinha conseguido impedir a divulgação desses dados.

A lição: os hospitais em si não eram o alvo, mas mesmo assim os seus serviços ficaram interrompidos. Prepara-te para trabalhar sem um fornecedor essencial.

Como se desenrola um ataque de ransomware

Os casos seguem os mesmos cinco passos. O nosso artigo sobre as fases de um ciberataque descreve-as com mais pormenor.

1. Acesso inicial. Um e-mail de phishing, uma palavra-passe roubada ou adivinhada, ou um sistema que não foi atualizado.
2. Movimento lateral. Os atacantes exploram a rede e vão ganhando mais privilégios, muitas vezes durante dias ou semanas.
3. Exfiltração. Eles copiam dados para fora da organização.
4. Criptografia. Os ficheiros, servidores e cópias de segurança ficam bloqueados, muitas vezes à noite ou por altura de feriados.
5. Dupla extorsão. Paga pela chave e paga outra vez para manter os dados roubados fora da Internet. Em 2025, o grupo Nova roubou dados de rastreio de cerca de 715 000 mulheres do laboratório holandês Clinical Diagnostics e exigiu 1,1 milhões de euros.

Famílias de ransomware e ransomware como serviço

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce: os nomes nestes casos são mais marcas do que equipas fixas. No modelo de ransomware como serviço, os programadores alugam o software e os afiliados realizam o ataque em troca de uma parte do resgate. Na Holanda e na Bélgica, o LockBit registou o maior número de vítimas desde 2020, enquanto o Qilin foi o grupo mais ativo no último ano, de acordo com o Cyber Dreigingsradar 2026.

O que os 12 casos têm em comum

• Uma forma comum de acesso. Phishing em Maastricht, uma palavra-passe fraca em Hof van Twente, ausência de autenticação multifator (MFA) na Colonial e na Change Healthcare, um serviço de assistência na M&S.
• Os fornecedores como via de transmissão. A Kaseya, a ChipSoft e a atualização de software por trás do NotPetya afetaram clientes que, por si só, não fizeram nada de errado.
• A paralisação custa mais do que o resgate. A Maersk, a VDL, a Antuérpia e a M&S são a prova disso.

O que os funcionários podem fazer contra o ransomware

Em pelo menos metade dos doze casos, o primeiro passo envolveu uma pessoa ou uma palavra-passe. Isso significa que há quatro hábitos que valem mais do que a maioria das ferramentas:

• Denuncia logo um e-mail suspeito ou um clique errado. A rapidez é mais importante do que atribuir culpas. A nossa visão geral dos tipos de ataques de phishing mostra o que deves ter em atenção.
• Usa uma palavra-passe única e a autenticação multifator (MFA) em todas as tuas contas de trabalho.
• Verifica os pedidos de redefinição de palavra-passe ou de acesso remoto, mesmo quando quem liga parece ser do departamento de TI.
• Instala as atualizações quando te pedirem.

A parte técnica, desde as cópias de segurança até à segmentação, é abordada na secção sobre como prevenir o ransomware. As organizações que correm maior risco são explicadas na secção sobre fatores de risco para ataques de ransomware.

Perguntas mais frequentes

Qual é um exemplo de um ataque de ransomware?

O WannaCry, em 2017, que afetou mais de 200 000 vítimas em pelo menos 150 países. Um exemplo holandês é a Universidade de Maastricht, que pagou 30 bitcoins em 2019 depois de 267 servidores terem sido encriptados.

Quais são os exemplos mais conhecidos de ransomware na Holanda?

Universidade de Maastricht (2019), o município de Hof van Twente (2020), a VDL Groep (2021), a KNVB (2023) e a ChipSoft (2026). Na Bélgica, o ataque à cidade de Antuérpia (2022) é o que está melhor documentado.

Como é que a maioria dos ataques de ransomware começa?

Com um e-mail de phishing, uma palavra-passe roubada ou fraca numa conta sem autenticação multifator, ou um sistema que não foi atualizado.

Deves pagar o resgate?

Os casos mostram as duas opções. A Universidade de Maastricht e a KNVB pagaram; Hof van Twente e Antuérpia não pagaram e reconstruíram os sistemas. Pagar não garante que os dados sejam apagados e ainda financia o próximo ataque.