Ransomware no varejo: dados sequestrado 62% e recuperação fica mais cara

Os ataques de ransomware contra o varejo passaram a criptografar dados com mais frequência em 2026, mesmo com a redução do tempo de recuperação. Segundo a sexta edição do relatório da Sophos sobre o setor, 62% dos ataques analisados resultaram em criptografia de dados, ante 48% em 2025, uma alta de 14 pontos percentuais.

O custo médio de recuperação, sem contar o pagamento de resgates, subiu de US$ 1,65 milhão para US$ 1,76 milhão. Ao mesmo tempo, o prazo médio para a retomada completa caiu de 3,16 para 2,54 semanas.

A pesquisa foi realizada entre janeiro e março de 2026 com 217 líderes de TI e cibersegurança de organizações varejistas em 17 países. Todas as empresas da amostra haviam sofrido ataques de ransomware nos 12 meses anteriores. Os percentuais, portanto, descrevem essas vítimas, e não a proporção de todo o varejo atingida por ataques.

O phishing foi a principal causa técnica inicial dos ataques ao varejo, com 29%, seguido pela exploração de vulnerabilidades, com 26%, e por e-mails maliciosos, com 22%.

Embora a exploração de vulnerabilidades tenha perdido participação no conjunto dos setores em 2026, o varejo registrou a maior taxa dessa forma de entrada entre os segmentos pesquisados. O índice de 26% ficou acima dos 18% observados no conjunto dos setores.

Vetores baseados em identidade, que incluem e-mails maliciosos, phishing, credenciais comprometidas e ataques de força bruta, deram início a 69% dos ataques ao varejo. Foi a menor taxa entre os setores, mas ainda representou mais da metade dos casos.

Entre as vítimas do varejo, 66% disseram que o ransomware também foi seu ataque mais significativo envolvendo identidade. O resultado ficou próximo dos 67% do conjunto dos setores apresentados no relatório Panorama da Segurança de Identidade 2026, da Sophos. A EXAME já mostrou como identidades comprometidas se tornaram uma porta de entrada para o ransomware.

Entre os entrevistados do varejo, 38% atribuíram a invasão a uma falha de segurança conhecida, ou seja, uma fragilidade da qual a organização tinha conhecimento, mas que não havia corrigido. Essa foi a causa operacional inicial mais comum no setor e a única citada com mais frequência do que no conjunto dos segmentos, cuja taxa foi de 36%.

As demais causas operacionais iniciais ficaram abaixo das taxas registradas no conjunto dos setores, segundo a Sophos.

Os impactos e a resposta aos ataques

Depois de dois anos de queda, a proporção de ataques que criptografaram dados no varejo chegou a 62%, acima dos 56% observados no conjunto dos setores. A parcela de ataques que, além de criptografar, também roubaram dados subiu de 14% para 19%.

Os backups responderam pela maior parte da recuperação: 71% das organizações varejistas restauraram dados a partir dessas cópias, ante 62% no ano anterior e acima dos 66% no conjunto dos segmentos.

Segundo o relatório, menos varejistas pagaram resgate para recuperar seus dados do que em 2025. O material não informa, no texto de apresentação, o percentual de pagamento do setor.

A mediana dos valores de resgate exigidos no varejo foi de US$ 225 mil, a segunda menor entre os setores e abaixo dos US$ 698 mil registrados no conjunto dos segmentos.

Já a média aritmética dos valores exigidos chegou a US$ 4,32 milhões, a mais alta entre os setores. O cálculo não inclui valores atípicos de US$ 40 milhões ou mais, excluídos pela Sophos para evitar distorções nas médias.

A mediana dos resgates efetivamente pagos foi de US$ 57,5 mil, a menor entre os setores e abaixo dos US$ 769 mil no conjunto dos segmentos. Mediana e média aritmética são medidas diferentes: a primeira corresponde ao valor central da distribuição, enquanto a segunda é influenciada pelos valores extremos.

O custo médio de US$ 1,76 milhão para a recuperação do varejo ficou ligeiramente acima da média de US$ 1,70 milhão no conjunto dos setores, que também aumentou em 2026. Esses valores excluem qualquer resgate pago.

Por outro lado, 56% das organizações varejistas se recuperaram em até uma semana, a maior proporção em cinco anos de dados do setor. O prazo médio de 2,54 semanas também ficou abaixo das 2,80 semanas registradas no conjunto dos segmentos.

Quase todas as vítimas do varejo que sofreram ataques baseados em credenciais tinham autenticação multifator, ou MFA, ativada: 97%. Ainda assim, mais da metade teve dados criptografados pelos invasores.

Os firewalls sinalizaram 59% dos ataques antes da implantação do ransomware. Mesmo entre os casos com esses indícios antecipados, houve criptografia dos dados em 60%, ante 50% no conjunto dos setores.

Na avaliação da Sophos, os controles de segurança do varejo coletam sinais relevantes, mas não se integram suficientemente às outras ferramentas nem respondem de forma coordenada. A empresa recomenda corrigir falhas conhecidas e integrar os controles de identidade, e-mail, endpoint e rede para que respondam de forma unificada.

A continuidade dos negócios também está no centro da discussão sobre os riscos dos ataques cibernéticos para pequenas e médias empresas.

Perguntas frequentes sobre ransomware no varejo

＋ Qual foi a taxa de criptografia de dados no varejo em 2026?

Segundo a Sophos, 62% dos ataques analisados criptografaram dados, contra 48% em 2025. A pesquisa ouviu organizações que já haviam sofrido ransomware, não todo o setor varejista.

＋ Quanto custou a recuperação de um ataque?

O custo médio de recuperação foi de US$ 1,76 milhão no varejo, excluindo qualquer resgate pago. Em 2025, o valor era de US$ 1,65 milhão.

＋ Qual foi a principal forma de entrada dos invasores?

O phishing respondeu por 29% dos ataques ao varejo, seguido pela exploração de vulnerabilidades, com 26%, e por e-mails maliciosos, com 22%.

＋ Os backups ajudaram na recuperação?

Sim. Entre as organizações varejistas pesquisadas, 71% restauraram dados a partir de backups, ante 62% no ano anterior.

＋ Quem participou da pesquisa?

Foram ouvidos 217 líderes de TI e cibersegurança de organizações varejistas em 17 países, entre janeiro e março de 2026. Todas haviam sofrido ransomware nos 12 meses anteriores.