Resposta rápida: os ransomwares mais famosos são o WannaCry, o NotPetya, o LockBit, o Conti e o REvil, entre outros. Em 2025 os Estados Unidos foram, de longe, o país mais atacado, com cerca de metade de todos os ataques conhecidos no mundo. Portugal também é alvo: empresas como a EDP e a TAP já foram vítimas, e os incidentes registados pelo CNCS continuam a subir.
Um ransomware é um programa malicioso que bloqueia ou encripta os ficheiros de uma empresa e exige um pagamento (o "resgate") para os devolver. Hoje, a maioria dos grupos também rouba os dados antes de os encriptar e ameaça publicá-los se a vítima não pagar. Estes são os casos que mudaram a forma como o mundo olha para a cibersegurança.
Os 10 ransomwares mais famosos
1. CryptoLocker (2013)
Espalhava-se por anexos de e-mail e foi um dos primeiros a exigir pagamento em bitcoin, o modelo que todos os grupos seguiram depois. Foi desmantelado em 2014 por uma operação policial internacional.
2. WannaCry (2017)
Em maio de 2017 infetou centenas de milhares de computadores em cerca de 150 países em poucos dias, incluindo hospitais do serviço de saúde britânico. Aproveitava uma falha do Windows para a qual a Microsoft já tinha lançado uma correção dois meses antes. A lição: quem tinha os computadores atualizados escapou.
3. NotPetya (2017)
Entrou através de uma atualização adulterada de um programa de contabilidade usado na Ucrânia e espalhou-se pelo mundo. Parecia ransomware, mas destruía os dados sem possibilidade de recuperação. Os prejuízos foram estimados em cerca de 10 mil milhões de dólares, e empresas como a transportadora marítima Maersk tiveram de reinstalar milhares de computadores. Os governos dos EUA e do Reino Unido atribuíram o ataque às forças armadas russas.
4. Ryuk (2018–2021)
Ficou conhecido por atacar hospitais e grandes organizações, escolhendo vítimas capazes de pagar resgates elevados. Marcou a passagem de ataques em massa para ataques dirigidos.
5. Ragnar Locker (2020–2023): o caso português
É o ransomware mais conhecido em Portugal. Em 2020 atacou a EDP: o grupo afirmou ter roubado 10 TB de dados e pediu 1580 bitcoins, cerca de 10 milhões de euros na altura. Em 2022 atacou a TAP e publicou dados que afirmou pertencerem a cerca de 1,5 milhões de clientes. O grupo foi desmantelado em 2023 numa operação internacional coordenada pela Eurojust.
6. DarkSide (2021)
Atacou a Colonial Pipeline, o maior oleoduto de combustível dos EUA, que esteve parado vários dias e provocou falta de combustível em vários estados. A empresa pagou cerca de 4,4 milhões de dólares, parte dos quais foi depois recuperada pelo FBI.
7. REvil (2021)
Aproveitou uma falha no software de gestão remota Kaseya, usado por empresas de assistência informática, para chegar de uma só vez a cerca de 1500 empresas clientes. Pediu 70 milhões de dólares. A lição: as ferramentas de quem gere a sua informática também têm de ser protegidas e atualizadas.
8. Conti (2022)
Atacou vários ministérios da Costa Rica, levando o governo a declarar emergência nacional, algo inédito por causa de um ataque informático.
9. LockBit (2019–2024)
Foi durante anos o grupo mais ativo do mundo, a funcionar como "ransomware como serviço": alugava o programa a outros criminosos em troca de uma percentagem dos resgates. Em fevereiro de 2024, a operação internacional Cronos tomou o controlo da sua infraestrutura.
10. Clop (2023–hoje)
Em vez de encriptar computadores, especializou-se em explorar falhas em programas de transferência de ficheiros. Em 2023, uma falha no MOVEit permitiu-lhe roubar dados de milhares de organizações. Continua entre os grupos mais ativos: foi o terceiro com mais ataques em 2025.
Quais são os países mais atacados por ransomware?
Em 2025 foram registados cerca de 7400 ataques de ransomware no mundo, mais 32% do que em 2024. Os Estados Unidos concentraram cerca de metade:
| País | Ataques em 2025 |
|---|---|
| Estados Unidos | 3810 (51% do total) |
| Canadá | 392 |
| Alemanha | 303 |
| Reino Unido | 251 |
| França | 178 |
Os EUA lideram porque têm mais empresas, empresas maiores e mais capacidade de pagar. Estes números baseiam-se sobretudo no que os próprios grupos publicam nos seus sites e só uma parte é confirmada pelas vítimas, por isso o número real de ataques é provavelmente maior.
Os grupos mais ativos em 2025 foram o Qilin (mais de 1000 ataques), o Akira e o Clop. Os nomes mudam depressa porque, quando a polícia desmantela um grupo, os seus membros voltam muitas vezes com outro nome.
E em Portugal?
Segundo o Centro Nacional de Cibersegurança (CNCS), foram registados 2758 incidentes em 2024 (sem contar os detetados automaticamente), mais 36% do que no ano anterior. O ransomware é hoje menos frequente do que noutros anos, mas os ataques que acontecem têm impacto grande, sobretudo na saúde, na educação e na administração pública.
As pequenas e médias empresas raramente chegam às notícias, mas são alvos frequentes: têm menos proteção e, muitas vezes, nenhuma cópia de segurança fora da rede.
A guerra afeta a segurança informática da sua empresa?
Sim, mesmo que a sua empresa não tenha nada a ver com o conflito. O NotPetya é o melhor exemplo: nasceu num contexto de guerra e acabou por paralisar empresas no mundo inteiro que eram apenas clientes ou fornecedoras de empresas ucranianas.
O CNCS registou em 2024 campanhas de grupos pró-russos contra Portugal, sobretudo ataques que deitam sites abaixo (DDoS) e alterações de páginas web. Para 2025, alerta para mais espionagem informática ligada a conflitos e para grupos com motivações políticas que usam as mesmas ferramentas dos criminosos, incluindo ransomware. Na prática, quanto maior a tensão internacional, mais importa ter o básico bem feito. Explicamos isto em detalhe num artigo dedicado.
Como proteger a sua empresa contra ransomware
- Cópias de segurança com uma cópia fora da rede. Siga a regra 3-2-1: três cópias, em dois suportes diferentes, uma delas fora da empresa ou desligada da rede. E teste a recuperação regularmente.
- Atualizações em dia no Windows, nos programas, nos routers e nas firewalls. O WannaCry só atingiu quem não tinha atualizado.
- Autenticação em dois passos no e-mail, no acesso remoto e nas contas de administrador.
- Formação da equipa para reconhecer e-mails falsos (phishing), a porta de entrada mais comum.
- Antivírus profissional com monitorização, e não apenas o gratuito.
- Cada utilizador só com os acessos de que precisa. Quem não é administrador não instala programas.
- Rede separada para convidados, câmaras e equipamentos, para que uma infeção não chegue a tudo.
- Um plano para o dia do ataque: quem contactar, como desligar os equipamentos afetados e onde estão as cópias.