Ransomware Industrial em 2026: o Risco para as Operações

O ransomware continua sendo uma das ameaças cibernéticas de maior impacto para organizações industriais.

Depois dos níveis elevados registrados em 2025, a pressão permaneceu alta ao longo de 2026. No segundo trimestre, a Dragos identificou 1.140 incidentes de ransomware envolvendo organizações industriais em todo o mundo, um crescimento de 12% em relação aos 1.020 casos observados no primeiro trimestre.

A manufatura permanece como o setor mais afetado, mas o principal ponto de atenção vai além da quantidade de incidentes.

Em ambientes industriais, um ataque não precisa manipular diretamente um PLC ou protocolo de controle para interromper a produção. Sistemas corporativos, plataformas de ERP, infraestrutura de virtualização, estações de engenharia e outras tecnologias que sustentam ou se conectam à operação podem criar uma cadeia de impacto até OT.

Por isso, ransomware industrial precisa ser tratado não apenas como uma ameaça à informação, mas como um risco para a continuidade operacional.

Ransomware Mantém Pressão sobre o Setor Industrial

O cenário observado em 2025 já indicava uma expansão relevante dessa ameaça.

No relatório publicado em 2026, a Dragos informou ter acompanhado 119 grupos de ransomware impactando organizações industriais em 2025, contra 80 no ano anterior. Ao todo, aproximadamente 3.300 organizações industriais foram afetadas, e a manufatura respondeu por mais de dois terços das vítimas.

A atividade permaneceu elevada em 2026.

No primeiro trimestre, foram identificados 1.020 incidentes, dos quais 633 envolveram organizações de manufatura. No segundo trimestre, o total subiu para 1.140 incidentes, com 747 casos na manufatura, o equivalente a aproximadamente 65% do total observado pela Dragos.

Organizações relacionadas ao ecossistema ICS, como empresas de engenharia, integradores e fabricantes de equipamentos, também aparecem entre as mais impactadas, com 117 incidentes no segundo trimestre. Transporte e logística registraram 95 casos.

Os números mostram que o ransomware permanece fortemente presente justamente em organizações com alta dependência operacional e baixa tolerância à indisponibilidade.

O Impacto em OT Nem Sempre Começa em OT

Esse é um dos pontos mais importantes para atualizar no artigo.

Existe uma diferença entre ransomware que impacta uma organização industrial e malware desenvolvido especificamente para manipular sistemas de controle.

No primeiro trimestre de 2026, a Dragos não observou variantes de ransomware especificamente projetadas para manipular protocolos industriais ou processos de controle. Mesmo assim, os incidentes continuaram provocando consequências operacionais significativas.

Isso acontece porque a produção depende de muito mais do que PLCs e sistemas supervisórios.

ERP, infraestrutura virtualizada, sistemas de planejamento da produção, estações de engenharia, identidades, redes corporativas e outros recursos podem ser essenciais para manter uma operação funcionando.

Quando essas tecnologias são comprometidas, a consequência pode chegar à produção mesmo sem o atacante executar qualquer comando diretamente sobre um controlador industrial.

A Dragos alerta inclusive para a classificação de determinados incidentes como exclusivamente de TI quando os sistemas comprometidos, como estações de engenharia e HMIs baseadas em Windows, possuem função direta no ambiente operacional.

A fronteira entre um incidente de TI e um impacto operacional nem sempre é tão clara quanto parece.

Como os Grupos de Ransomware Estão Entrando

Outro ponto importante em 2026 é compreender os caminhos utilizados pelos atacantes.

No primeiro trimestre, a Dragos observou grupos de ransomware utilizando técnicas já conhecidas e consolidadas, entre elas roubo de credenciais, abuso de contas válidas, exploração de serviços de acesso remoto e movimentação lateral por protocolos corporativos.

Isso reforça uma questão importante para ambientes industriais: muitos incidentes que acabam afetando OT não começam necessariamente dentro da rede OT.

Os adversários podem comprometer sistemas posicionados entre os ambientes corporativo e operacional e utilizar essas conexões para avançar.

Acessos remotos, infraestrutura exposta à internet, contas privilegiadas e sistemas compartilhados entre TI e OT passam, portanto, a fazer parte da discussão sobre ransomware industrial.

Manufatura Continua Sendo o Principal Alvo

A manufatura merece atenção especial porque permanece, com ampla diferença, como o setor industrial mais afetado.

No primeiro trimestre de 2026, foram registrados 633 incidentes, representando 62% dos casos industriais identificados pela Dragos. No segundo trimestre, foram 747 incidentes, aproximadamente 65% do total.

Esse universo também é bastante diversificado.

Somente no primeiro trimestre, a Dragos registrou incidentes envolvendo construção, fabricantes de equipamentos, alimentos e bebidas, eletrônicos, metais, automotivo, químico, embalagens, aeroespacial, farmacêutico e têxtil.

Essa distribuição reforça que ransomware industrial não é um problema restrito a um pequeno conjunto de infraestruturas críticas.

Qualquer organização cuja produção dependa fortemente da disponibilidade de sistemas digitais pode sofrer consequências relevantes quando essas tecnologias ficam indisponíveis.

Ransomware Como Problema de Continuidade Operacional

Em um ambiente corporativo tradicional, o ransomware costuma ser associado principalmente à criptografia de dados, indisponibilidade de sistemas e extorsão.

Na indústria, existe uma camada adicional: a relação entre os sistemas comprometidos e o processo físico.

A perda de um ERP pode afetar planejamento e logística. A indisponibilidade de uma infraestrutura virtualizada pode retirar sistemas necessários à operação. Uma estação de engenharia comprometida pode impedir atividades essenciais de manutenção ou controle.

Por isso, analisar ransomware apenas pela quantidade de equipamentos criptografados ou pelo volume de dados comprometidos pode deixar de fora a dimensão mais importante para uma organização industrial:

qual é o impacto desse sistema sobre a capacidade de continuar produzindo?

Essa relação entre cibersegurança e continuidade precisa fazer parte da avaliação de risco.

Segmentação Ajuda a Limitar o Impacto

Quando TI e OT possuem dependências, segmentação adequada é fundamental para reduzir a possibilidade de propagação.

Isso não significa simplesmente desconectar os dois ambientes.

O objetivo é compreender quais comunicações são necessárias, estabelecer limites adequados e impedir que um comprometimento em determinada área ofereça acesso irrestrito às demais.

A CISA recomenda explicitamente a segmentação entre redes TI e OT e a utilização de uma zona desmilitarizada para determinadas comunicações, justamente para reduzir o potencial impacto de ameaças cibernéticas sobre operações essenciais.

Para ransomware, essa arquitetura pode ajudar a limitar movimentação lateral e reduzir o alcance de um comprometimento.

Acesso Remoto Precisa Ser Controlado

O acesso remoto é outro componente importante da superfície de ataque industrial.

Equipes internas, fabricantes, integradores e prestadores de manutenção podem precisar acessar sistemas OT remotamente. O problema não é necessariamente a existência desse acesso, mas como ele é protegido e governado.

A CISA recomenda que, quando o acesso remoto a OT for necessário, as organizações utilizem mecanismos adequados de conexão, autenticação multifator resistente a phishing, senhas fortes, menor privilégio e desativação de contas que não sejam mais utilizadas.

Também é importante conhecer quais terceiros possuem acesso, a quais ativos conseguem chegar e se esses privilégios continuam necessários.

Backups Precisam Fazer Parte da Recuperação, Não Apenas Existir

Backups continuam sendo fundamentais para ransomware, mas a existência de uma cópia dos dados não garante recuperação.

Em uma operação industrial, é necessário compreender quais sistemas precisam ser recuperados primeiro e quais dependências são necessárias para que a produção seja retomada com segurança.

Diagramas de rede, configurações, sistemas críticos, dados necessários à operação e documentação também precisam estar disponíveis durante a resposta.

A CISA recomenda manter documentação de rede atualizada e armazenar cópias offline e físicas, além de testar planos de continuidade, recuperação, sistemas de contingência e capacidade de operação manual quando aplicável.

O objetivo não é simplesmente conseguir restaurar arquivos.

É conseguir restabelecer a operação de forma segura e na ordem correta.

Resposta a Ransomware em OT Exige Preparação Específica

Uma resposta criada exclusivamente para incidentes de TI pode não ser suficiente quando existe possibilidade de impacto operacional.

Desconectar um equipamento, interromper uma comunicação ou desligar determinado sistema pode ser uma ação relativamente simples em TI, mas ter consequências diferentes quando o ativo participa de um processo industrial.

Por isso, Segurança, TI, Engenharia e Operações precisam saber antecipadamente como agir.

Planos de resposta devem definir responsabilidades, critérios de escalonamento, prioridades de recuperação e procedimentos para situações em que sistemas essenciais estejam indisponíveis.

Simulações e exercícios de mesa também ajudam a responder questões que não deveriam ser descobertas durante uma crise:

Quem decide interromper a produção? Quais sistemas precisam permanecer disponíveis? É possível operar manualmente? Qual deve ser a ordem de recuperação?

A preparação transforma resposta a ransomware em uma discussão de resiliência operacional, e não apenas de recuperação tecnológica.

O Ransomware Industrial Mudou de Escala, mas o Objetivo Continua Sendo Reduzir o Impacto

Os dados de 2026 mostram que ransomware permanece em um patamar elevado no setor industrial.

Foram 1.020 incidentes identificados no primeiro trimestre e 1.140 no segundo, enquanto a manufatura continuou representando a maior parcela das organizações afetadas.

Mas olhar apenas para o crescimento dos números pode esconder a principal questão.

Um atacante não precisa necessariamente assumir o controle de um PLC para interromper uma fábrica.

A dependência entre TI, OT, infraestrutura virtualizada, sistemas corporativos, acessos remotos e processos industriais significa que a indisponibilidade de tecnologias que sustentam a operação já pode ser suficiente para provocar consequências físicas e financeiras.

Para a Cyrex Security, preparar-se para ransomware em ambientes industriais significa compreender essas dependências, reduzir caminhos de ataque e construir capacidade para continuar ou recuperar a operação com segurança.

A pergunta mais importante não é apenas:

“Conseguimos impedir um ransomware?”

Mas:

“Se um ransomware atingir os sistemas que sustentam nossa produção, sabemos como manter ou recuperar a operação?”