Ransom Aprovado: 5 Empresas Públicas que Pagaram os Cibercriminosos

Um número crescente de organizações está enfrentando um ataque de ransomware. Segundo a Sophos, 59% das organizações sofreram um em 2024 e a maioria delas (70%) resultou em criptografia de dados.

Não apenas o número de ataques de ransomware, mas o valor dos pagamentos também tem aumentado. O pagamento médio de ransomware era inferior a $200k em 2023, o que disparou 650% para $1.5 million em cerca de um ano, segundo dados da IBM.

Espera‑se que esses ataques custem $275 billion em danos globais anualmente até 2031. Então, o que são ataques de ransomware?

Ransomware é um tipo de malware, software malicioso projetado para bloquear o acesso de uma organização ao seu sistema ou criptografar seus dados. 

Para isso, os atacantes infectam um sistema com um vírus, que utilizam para enviar e‑mails de phishing que podem conter um link malicioso ou roubar credenciais de login de um funcionário para obter acesso não autorizado à rede corporativa. 

Em troca de chaves de descriptografia ou de restaurar o acesso ao sistema, os cibercriminosos exigem pagamento de resgate das vítimas. As organizações ficam em uma situação difícil, onde pagar o resgate parece a forma mais simples e econômica de recuperar o acesso.

Algumas variantes de ransomware adicionaram funcionalidades como roubo de dados, o que cria um incentivo adicional para pagar o resgate. Mas, em alguns casos de alto perfil, pagar o resgate pode ser, na verdade, a opção menos prejudicial, apesar dos riscos.

Empresas que pagaram resgate para proteger seus clientes

Embora atender às exigências dos atacantes e pagar o resgate não seja a forma ideal de lidar com crimes cibernéticos, pois não garante a devolução segura dos dados roubados ou a restauração das operações da entidade, além de incentivar novos ataques, às vezes não há outra escolha a proteger o negócio e os clientes.

Com isso, vamos agora analisar alguns dos casos de crimes cibernéticos mais de alto perfil, onde as empresas pagaram o resgate e tudo o que aconteceu depois.

1. CNA Financial Corp

Uma das maiores seguradoras dos EUA, a CNA Finance Corp., foi vítima de um ataque de ransomware em março de 2021. Pagou um resgate de $40 million em Bitcoin (BTC), o maior pagamento de ransomware divulgado até hoje, para recuperar o controle após ficar bloqueada de seus sistemas por duas semanas.

O ataque veio de um grupo de cibercriminosos chamado Phoenix, que inicialmente exigiu um resgate de 999 BTC (cerca de $55 million na época) antes de aumentá‑lo para 1099 BTC, declarando:

“Perdendo tempo. O custo subiu.”

Os atacantes alegaram que os dados que possuíam eram importantes e que “Isso terá um grande impacto se vazado”. O resgate foi exigido em troca de não divulgar publicamente o roubo, devolver os dados, excluir as cópias dos dados roubados e restaurar tudo.

Mas como exatamente a violação aconteceu? Bem, foi devido a uma pequena falha de segurança que levou a um incidente tão grave. Os atacantes convenceram um único funcionário da CNA a aceitar uma atualização falsa do navegador. Em seguida, agiram rapidamente para desativar o sistema, e o ataque não pôde ser detectado imediatamente. 

Na verdade, a CNA levou algumas semanas para descobrir que havia sido hackeada. Durante esse período, os atacantes roubaram dados de clientes e bloquearam a CNA de sua rede.

A empresa também não forneceu uma atualização até uma semana após o ataque. Em seguida, publicou uma atualização explicando que o ataque havia sido contido e que estavam trabalhando para retomar as operações normais. Duas semanas depois, foi divulgado que ferramentas de detecção e monitoramento de endpoints foram implantadas como parte do processo de restauração.

Dois meses após o ataque, a CNA divulgou seu relatório de incidente, no qual observou que não se tratava de um ataque direcionado. E ao detectar o ransomware, a empresa desconectou seus sistemas da rede para impedir que a ameaça se espalhasse.

Alguns meses depois, a seguradora anunciou que sua investigação havia sido concluída, revelando que o agente de ameaça copiou informações antes de implantar o ransomware, mas que recuperou as informações rapidamente e não tem “nenhum motivo para suspeitar que as informações foram ou serão usadas indevidamente”.

A holding de seguros baseada em Chicago também consultou o governo, incluindo o FBI e o Office of Foreign Assets Control (OFAC), sobre o ataque. Em comunicado, afirmou: “A CNA seguiu todas as leis, regulamentos e orientações publicadas, incluindo a orientação de ransomware da OFAC de 2020, no tratamento deste caso”, mas não comentou sobre o resgate.

De acordo com essa orientação, a agência pode impor penalidades civis a pessoas dos EUA que efetuarem pagamentos a entidades proibidas.

A investigação da empresa revelou que um grupo de ameaça chamado Phoenix usou o ransomware Phoenix Cryptolocker para atacar sua rede. Na época, o grupo não estava sujeito a sanções dos EUA.

A CNA é uma empresa com capitalização de mercado de $13 billion, cujas ações, no momento da escrita, estão sendo negociadas a $48.16, queda de 0.43% no ano (YTD) mas alta de 32.27% nos últimos dois anos. Com isso, seu lucro por ação (EPS) dos últimos doze meses (TTM) é 3.28, o P/E (TTM) é 14.67 e o ROE (TTM) é 8.98%. Os acionistas da CNA também desfrutam de um rendimento de dividendos decente de 3.82%.

Os resultados financeiros do último trimestre mostram lucro líquido de $274 million e lucro principal de $281 million.

2. Caesars Entertainment

A empresa de cassino e entretenimento pagou $15 million em resgate a um grupo de cibercrimes chamado Scattered Spider, o mesmo ator de ameaça que derrubou o sistema de computadores da MGM poucos dias após receber o pagamento de resgate da Caesars Entertainment (CZR ). Os atacantes também exigiram um resgate da MGM, mas não pagaram.

No caso da Caesars, conforme relatado em um registro na Comissão de Valores Mobiliários dos EUA (SEC), os atacantes exigiram um resgate de $30 million, mas a empresa concordou em pagar apenas metade disso, o que foi parcialmente coberto pelas apólices de seguro cibernético da empresa. A empresa não previu que o pagamento ou as consequências teriam um efeito material em seu resultado final.

O ataque ocorreu em meados de agosto de 2023 e foi realizado pelo Scattered Spider, também conhecido como UNC3944 ou Roasted 0ktapus. O grupo, composto por jovens hackers baseados nos EUA e no Reino Unido, habilidosos em engenharia social, foi associado a ataques a outras empresas, incluindo Cloudflare, Twilio e Okta.

Para atingir a Caesars, os hackers primeiro invadiram um fornecedor externo de TI. Para isso, os atacantes se passaram por um funcionário da Caesars e convenceram o fornecedor a fornecer credenciais de login ao Okta, provedor de gerenciamento de acesso da Caesars.

Isso deu aos cibercriminosos acesso não autorizado à rede do gigante de hotéis e cassinos. Eles então roubaram os dados dos membros do programa de fidelidade da Caesars, que incluíam carteiras de motorista e números de segurança social, antes de implantar o ransomware BlackCat/ALPHV. Não houve evidência de que os atacantes acessaram PINs, senhas, contas bancárias ou dados de cartões de pagamento, afirmou a empresa.

A Reuters, por sua vez, informou que o grupo de hackers Scattered Spider disse que eles retiraram seis terabytes de dados dos sistemas da Caesars e da MGM.

“Tomamos medidas para garantir que os dados roubados sejam excluídos pelo ator não autorizado, embora não possamos garantir esse resultado.”

– Caesars afirmou no registro

Embora a empresa não tenha divulgado quantos clientes foram afetados, o registro listou pouco menos de 42,000 people affected. Na época, a Bloomberg informou que a Caesars pagou o resgate depois que o grupo de ameaça a hackeou e ameaçou divulgar os dados da empresa.

No final de setembro, a empresa havia restaurado as operações normais. Contudo, após o incidente, a Caesars enfrentou danos financeiros e reputacionais, além de múltiplas ações coletivas acusando a empresa de negligência e enriquecimento ilícito por não proteger os dados pessoais de seus hóspedes.

Com uma capitalização de mercado de pouco mais de $6 billion, as ações da CZR estão atualmente sendo negociadas a $29.41, queda de 12% neste ano até agora. Seus preços das ações também estão longe do pico de 2021, que foi cerca de $119. Seu EPS (TTM) é -1.10 e o P/E (TTM) é -26.80.

Quanto aos resultados financeiros da empresa, a receita líquida GAAP do primeiro trimestre de 2025 foi de $2.8 billion e o EBITDA ajustado cresceu 4% YoY to $43 million “driven by significant gains” in its Digital segment.

3. Blackbaud Inc.

Em 2020, cibercriminosos infiltraram os servidores da Blackbaud, empresa que fornece software para organizações sem fins lucrativos e instituições educacionais, comprometendo os dados de mais de 13,000 organizations. A empresa, sediada na Carolina do Sul, pagou um resgate de $235,000 em BTC aos hackers com a promessa de excluir os dados pessoais dos clientes.

O ataque cibernético ocorreu em fevereiro daquele ano, mas só foi descoberto alguns meses depois, em maio. Na época, as organizações afetadas já lidavam com interrupções causadas pela pandemia de COVID-19.

Os cibercriminosos visaram os servidores da Blackbaud para obter acesso ao sistema da empresa. Como a Blackbaud não tinha conhecimento da violação, os atacantes puderam operar sem ser detectados por meses, período durante o qual criptografaram conjuntos de dados e exfiltraram um subconjunto deles.

Quando o provedor de serviços de gerenciamento de relacionamento com o cliente (CRM) finalmente descobriu que havia sido violado, o que ocorreu enquanto a Blackbaud realizava verificações de segurança rotineiras, implementou medidas para prevenir danos adicionais.

Em julho, a empresa fez uma divulgação pública sobre sofrer um ataque de ransomware. A Blackbaud anunciou que organizações de educação e do terceiro setor podem ter tido seus dados comprometidos, o que, naturalmente, gerou ondas de choque nas comunidades afetadas e levantou preocupações sobre a segurança de informações sensíveis de doadores.

A empresa impediu que os criminosos criptografassem totalmente os arquivos e bloqueassem o acesso ao sistema, mas eles já haviam removido um arquivo de backup contendo informações pessoais.

A Blackbaud assegurou que detalhes de contas bancárias ou cartões de pagamento não foram afetados, mas que muitas informações, como nomes, endereços, informações de contato, números de Seguro Social e estimativas de patrimônio, entre outros, estavam de fato envolvidas na violação de dados.

A empresa também admitiu ter pago um resgate para recuperar os dados e proteger os interesses de seus clientes.

Após o ataque, a Federal Trade Commission (FTC) iniciou uma investigação e acreditou que ele foi causado por “as práticas deficientes de segurança e retenção de dados da Blackbaud”.

De acordo com a denúncia da FTC, a empresa não implementou as práticas de segurança mais básicas, não seguiu as próprias políticas da Blackbaud sobre retenção de dados e permitiu que clientes armazenassem dados críticos, como contas bancárias, em campos não criptografados. A agência também alegou que a Blackbaud representou de forma significativamente equivocada a extensão e gravidade do incidente.

Em 2024, a FTC e a Blackbaud chegaram a um acordo, que não envolveu penalidade financeira, mas exigiu que a empresa excluísse os dados que não necessita mais, desenvolvesse um programa abrangente de segurança da informação e notificasse a FTC em caso de futura violação de dados.

No entanto, o acordo da Blackbaud com a SEC envolveu uma multa de $3 million por fornecer informações enganosas sobre a violação. A empresa também chegou a um acordo de $49.5 million com 50 procuradores‑gerais estaduais sobre violações da HIPAA.

Quanto ao desempenho de mercado da Blackbaud, suas ações estão atualmente sendo negociadas a $63.76, queda de 13.74% YTD, o que coloca sua capitalização de mercado em $3 billion. Com isso, seu EPS (TTM) é -5.83 e o P/E (TTM) é -10.94.

No primeiro trimestre de 2025, a empresa alcançou um crescimento orgânico de receita de 5.8%, registrando $271 million em revenue. A Blackbaud também está investindo em inovação, particularmente em AI, para impulsionar sua produtividade interna e as operações dos clientes.

4. UnitedHealth Group

O gigante de seguros de saúde, UnitedHealth Group Incorporated (UNH ), tem enfrentado um período difícil nos últimos um year and a half. Tudo começou em fevereiro de 2024, quando sua subsidiária, Change Healthcare, sofreu um ataque cibernético. 

A UnitedHealth Group opera por meio de dois segmentos: UnitedHealthcare, que foca em seguros de saúde, e Optum, que fornece serviços de tecnologia, serviços de saúde diretos e serviços de farmácia através do Optum Insight, Optum Health e Optum Rx.

Em 2022, a UnitedHealthGroup adquiriu a plataforma Change Healthcare e a integrou ao Optum Insight. A empresa processa até 15 billion medical claims per year, o que representa cerca de 40% de todas as reivindicações, portanto, pode-se imaginar a interrupção que um ataque ao Change Healthcare pode causar.

Em fevereiro, ransomware infectou os sistemas da Change Healthcare, tornando-os inacessíveis e causando caos no sistema de saúde dos EUA. Só vários meses depois, em novembro, a empresa conseguiu retomar as operações completas.

Quanto ao que aconteceu, o então CEO, Andrew Witty, disse ao Congresso que o ataque começou em 12 de fevereiro. Os atacantes usaram credenciais comprometidas para acessar o portal Citrix da Change Healthcare, que era usado para conexões de desktop remoto e não tinha autenticação de dois fatores (2FA) habilitada. Um pequeno erro que custaria bilhões à UNH.

A partir daí, os atacantes começaram a coletar dados e, alguns dias depois, implantaram ransomware, iniciando a criptografia dos sistemas da empresa. Em resposta, a UnitedHealth desconectou os data centers da Change Healthcare da rede para impedir que o ataque de ransomware se espalhasse para seus outros sistemas e entidades externas.

Quanto aos atacantes, a gangue de cibercrime BlackCat/ALPHV assumiu a responsabilidade, alegando ter exfiltrado 6TB of confidential data. Os dados roubados incluíam registros médicos, informações pessoais e documentos financeiros. A UnitedHealth Group confirmou publicamente que cerca de 190,000,000 individuals were affected by this breach.

Em março de 2024, a empresa pagou um resgate de $22 million, mas o grupo de ransomware BlackCat supostamente não pagou ao afiliado que conduziu o ataque, que então trabalhou com outro grupo de ransomware, o RansomHub, que tentou extorquir mais dinheiro da UnitedHealth. Ainda não se sabe se a UnitedHealth pagou novamente.

O incidente, conforme relatado pela UnitedHealth Group em janeiro de 2025, resultou em uma perda anual total de $3.09 billion. 

Embora a empresa continue lidando com as consequências do maior ataque cibernético da história da saúde, as ações da empresa não sentiram realmente o impacto, já que as ações da UNH atingiram um recorde histórico de $625 per share in novembro de 2024 and a market cap of $575 billion.

Mas agora, seis meses depois, tudo está desmoronando. O preço das ações da UnitedHealth, que tem uma capitalização de mercado de $292 billion, caiu 36.43% YTD. Atualmente negocia a $321.58, uma queda de 49% em relação ao seu recorde histórico.

Além de um impacto maior do que o esperado devido ao ataque cibernético, a empresa tem lidado com perda de liderança, com o CEO da UnitedHealthcare, Brian Thompson, morto no dia do investidor em Nova Iorque, a empresa perdendo resultados e o Departamento de Justiça conduzindo uma investigação criminal sobre as práticas de Medicare Advantage da UHG.

Para analisar agora a rentabilidade e eficiência da empresa, ela tem um EPS (TTM) de 23.89, um P/E (TTM) de 13.46 e um ROE (TTM) de 24.33%, enquanto o rendimento de dividendos pago é de 2.61%. No primeiro trimestre de 2025, suas receitas cresceram para $109.6 billion e os fluxos de caixa operacionais foram de $5.5 billion.

5. AT&T

O principal fornecedor global de serviços de telecomunicações e tecnologia sofreu duas grandes violações de dados em 2024.

A primeira ocorreu em março, afetando entre 50 e 70 million of its current and former customers both. Os relatos de que os dados da empresa circulavam na dark web surgiram em meados de março e então a AT&T (T ) levou algumas semanas para confirmar que a informação realmente pertencia aos seus clientes.

Entre as informações comprometidas estavam nome completo dos clientes, data de nascimento, e‑mail, número de telefone, endereço postal, número de Seguro Social e número de conta e senha da AT&T. A empresa disse o seguinte aos indivíduos afetados:

“Até onde sabemos, informações financeiras pessoais e histórico de chamadas não foram incluídos.” 

Acredita‑se que os dados circulam online há alguns anos, mas sua origem é desconhecida, e a AT&T nega que tenham vindo de seus próprios sistemas.

Então, em abril, foi vítima de uma violação que comprometeu quase todos os seus clientes de linhas fixas, celulares e rede sem fio. Alguns meses depois, em julho, a AT&T divulgou publicamente a violação.

Essa violação foi vinculada a um hacker americano, membro do grupo ShinyHunters, que exigiu um resgate de $1 million, mas concordou com muito menos. A empresa pagou um resgate de $370,000 em Bitcoin em maio para impedir que os dados fossem vazados. O atacante forneceu à empresa um vídeo mostrando prova da exclusão dos dados.

Neste ataque, foram exfiltrados os registros de chamadas e mensagens de texto dos clientes em 2 de janeiro de 2023 e entre 1 de maio de 2022 e 31 de outubro de 2022. Desta vez, os dados se originaram do ‘workspace’ da empresa em uma plataforma de nuvem de terceiros. 

Embora o conteúdo em si não tenha sido afetado, os registros comprometidos podem identificar outros números de telefone com os quais os clientes afetados interagiram, explicou a empresa. A AT&T notificou cerca de 110 million customers about the incident. 

No momento da escrita, as ações da empresa com capitalização de mercado de $200 billion estão sendo negociadas a $27.78, alta de 22% YTD. Seu EPS (TTM) é 1.63, o P/E (TTM) é 17.04 e o ROE (TTM) é 11.28%. O rendimento de dividendos oferecido é atrativo, 4%.

Financeiramente, sua receita no primeiro trimestre de 2025 foi de $30.6 billion, o lucro líquido foi de $4.7 billion e o fluxo de caixa livre foi de $3.1 billion.

Portanto, como vimos, os ataques de ransomware estão atingindo empresas de diversos setores. E embora pagar o resgate possa ajudar a proteger a empresa e seus clientes, isso nem sempre ocorre. Na verdade, isso incentiva comportamentos criminosos. Sem mencionar o dano financeiro e reputacional que isso causa à empresa.

O que as empresas precisam fazer é adotar medidas de segurança proativas para impedir que violações ocorram. Isso inclui realizar avaliações de segurança regularmente, monitorar continuamente potenciais ameaças, manter os sistemas atualizados, ter backup de dados e proteger esses arquivos, implementar criptografia robusta de dados, oferecer treinamento adequado aos funcionários e manter prontidão eficaz para resposta a incidentes.

No final, a verdadeira defesa contra ransomware não é negociação, mas preparação, portanto, invista melhor em resiliência de cibersegurança hoje!

Clique aqui para uma lista das principais ações de cibersegurança.