Ransomware na educação: 85% dos ataques começam na identidade

A Sophos publicou em 27 de agosto de 2026 a sexta edição anual do relatório The State of Ransomware in Education, com um dado que reorganiza a discussão sobre defesa no setor educacional: 85% dos ataques de ransomware contra instituições de ensino começaram por técnicas ligadas a identidade — e-mail malicioso, phishing, credenciais comprometidas e ataques de força bruta. A média de todos os setores pesquisados foi de 79%.

O levantamento ouviu 226 líderes de TI e segurança da informação em 17 países, todos em organizações educacionais atingidas por ransomware nos 12 meses anteriores. A amostra foi dividida entre 131 respondentes da educação básica (alunos até 18 anos) e 95 do ensino superior (acima de 18 anos). A pesquisa foi conduzida entre janeiro e março de 2026.

O retrato que emerge é ambíguo, e essa ambiguidade é a parte mais útil do relatório. Houve avanço em recuperação por backup e queda nas demandas de resgate. Ao mesmo tempo, a taxa de criptografia bem-sucedida na educação básica mais que dobrou, os custos de recuperação subiram e o setor passou a figurar entre os mais lentos a voltar à operação normal.

O que os números do ransomware na educação mostram

Os principais indicadores divulgados pela Sophos, comparados à média de todos os setores pesquisados, são estes:

O e-mail malicioso foi a causa técnica raiz mais comum nos dois segmentos: 31% na educação básica e 29% no ensino superior. E o tema da identidade vai além da porta de entrada. Entre as vítimas do setor, 73% confirmaram que o ataque de ransomware foi também o incidente de identidade mais significativo que sofreram no ano — seis pontos percentuais acima da média geral de 67%. No ensino superior essa sobreposição chegou a 77%.

Educação básica perdeu o terreno que tinha conquistado

A reversão mais expressiva está na educação básica. Na edição de 2025, esse segmento era o que mais conseguia interromper ataques antes da fase de criptografia. Um ano depois, a proporção de ataques que chegaram a criptografar dados mais que dobrou: passou de 29% para 61%, acima da média geral de 56%.

A Sophos não apresenta uma explicação causal fechada para a reversão, e é importante não preencher essa lacuna com suposição. O que o relatório oferece são os fatores operacionais apontados pelos próprios respondentes, e eles diferem bastante entre os dois segmentos. Na educação básica, os problemas se concentram em capacidade e ferramentas: erro humano (52%), falta de proteção (47%), lacunas de segurança desconhecidas (42%) e capacidade limitada (41%). No ensino superior, o gargalo declarado é de especialização — 53% disseram não ter as competências necessárias para detectar e conter o ataque a tempo, contra 35% na média de todos os setores.

Do lado positivo, o uso de backups para restaurar dados cresceu e superou a média geral nos dois segmentos, o que sugere que o investimento em cópias de segurança recuperáveis vinha sendo feito mesmo enquanto a prevenção falhava.

O achado mais desconfortável: os controles viram o ataque e não o pararam

Há um resultado no relatório que atravessa todos os setores e que tem implicação direta para arquitetura de defesa. Quase todas as vítimas de ataques baseados em credenciais tinham autenticação multifator habilitada — 98% na educação e 97% na amostra geral — e ainda assim tiveram dados criptografados.

O segundo dado é da mesma natureza: firewalls sinalizaram 65% dos ataques contra instituições de ensino antes de o ransomware detonar. Mesmo nesses casos de detecção precoce, 51% das vítimas do setor terminaram com dados criptografados.

A leitura da Sophos é que os controles estão coletando os sinais certos, mas não se conectam entre si com profundidade suficiente para interromper o ataque a tempo. A recomendação central do relatório vai nessa direção: mover a segurança para uma postura de sistema de defesa, em que identidade, e-mail, endpoint e rede compartilham sinais e respondem de forma coordenada, em vez de operarem como produtos isolados que apenas registram eventos.

Vale um filtro de ceticismo aqui. A Sophos é fornecedora de plataformas integradas de detecção e resposta, e a recomendação coincide com sua oferta comercial. Isso não invalida o dado — a estatística de MFA habilitado e criptografia consumada é verificável e coerente com o que outras pesquisas do setor vêm mostrando —, mas o leitor deve separar o achado empírico da conclusão prescritiva.

A economia do resgate mudou de direção

As demandas de resgate enviadas a instituições de ensino caíram para o menor patamar em vários anos, com mediana de US$ 775.200, mantendo uma trajetória de queda por dois anos consecutivos. Os pagamentos, porém, seguiram o caminho oposto: subiram levemente, para uma mediana de US$ 515.000, com aumento de US$ 15.000 em relação ao relatório de 2025.

Ainda assim, a educação continuou pagando menos que a média geral. Uma hipótese razoável — e que o relatório não confirma — é que a queda nas demandas reflita a percepção dos operadores de ransomware de que instituições de ensino têm menos capacidade de pagar, o que os levaria a calibrar valores para aumentar a taxa de conversão. Trata-se de interpretação, não de conclusão da pesquisa.

O custo humano

Um bloco do relatório trata do efeito sobre as pessoas que respondem aos incidentes, e os números da educação são piores que a média. Entre as equipes do ensino superior, 53% relataram aumento de pressão da alta liderança após o ataque, contra 40% em todos os setores. Cerca de 39% das organizações educacionais registraram ausências de funcionários por estresse ou questões de saúde mental depois do incidente, ante 29% na média geral. E a rotatividade de liderança foi elevada: 29% no ensino superior e 27% na educação básica viram sua chefia ser substituída após o ataque, contra 21% na média.

Ross McKerchar, diretor de segurança da informação da Sophos, resumiu o problema estrutural do setor dizendo que instituições de ensino continuam atraentes para atacantes porque guardam grandes volumes de dados pessoais enquanto operam sob restrição significativa de recursos. Segundo ele, a IA vem aumentando a velocidade, a escala e a sofisticação dos ataques de identidade.

Limitações da pesquisa

Alguns pontos delimitam o alcance dos números. A amostra é composta exclusivamente por organizações que foram atingidas por ransomware — não é uma amostra representativa do setor educacional como um todo, e por isso não permite estimar a probabilidade de um ataque. Com 226 respondentes divididos em dois segmentos, a margem de erro de recortes específicos é considerável. Os dados também são autorrelatados por líderes de TI e segurança, o que introduz o viés natural de quem descreve um incidente sob a própria responsabilidade. Por fim, o campo foi realizado entre janeiro e março de 2026: o relatório retrata o ano anterior a esse período, não o cenário de agosto.

Recomendações práticas para instituições de ensino

• Trate identidade como controle de segurança central, e não como função acessória de TI. Isso significa inventário de contas privilegiadas, revisão periódica de acessos de ex-alunos, ex-funcionários e terceiros, e desativação disciplinada de contas órfãs.
• Reconheça que MFA habilitado não é linha de chegada. Priorize fatores resistentes a phishing (chaves de segurança, passkeys) nas contas administrativas e monitore explicitamente fadiga de notificação e roubo de token de sessão.
• Conecte a telemetria que já existe. Se o firewall sinalizou o ataque e ninguém agiu, o problema não é falta de sensor — é ausência de correlação e de resposta automatizada entre e-mail, identidade, endpoint e rede.
• Teste a restauração, não apenas o backup. A taxa alta de recuperação por backup no setor é um ativo real; ele só se sustenta com testes de restauração cronometrados e cópias imutáveis ou fora da rede.
• Estabeleça uma trilha de escalonamento para o horário em que a instituição está vazia. Ataques contra escolas e universidades costumam ser disparados em recessos e finais de semana.
• Planeje o fator humano: escala de revezamento durante o incidente, apoio às equipes e comunicação com a liderança definida antes da crise, dado o nível de desgaste e rotatividade que o relatório documenta.

Conclusão

O relatório da Sophos descreve um setor que melhorou onde pôde investir — backups e negociação — e regrediu onde depende de pessoas e de integração de ferramentas. A concentração de 85% dos ataques em vetores de identidade indica que a fronteira mais rentável de defesa para instituições de ensino não é comprar mais um produto, e sim garantir que os controles já instalados conversem entre si e que credenciais deixem de ser a chave universal do ambiente.

O que observar a seguir: se a taxa de criptografia na educação básica se estabiliza ou continua subindo na edição de 2027, e se a queda nas demandas de resgate se consolida como tendência ou foi apenas um ajuste de precificação dos operadores. O relatório completo, com os recortes por segmento e as comparações setoriais, está disponível no site da Sophos.

Fontes e referências

• Sophos — The State of Ransomware in Education 2026 (análise de Mitch Pronschinske)
• Sophos — Identity-Based Attacks Are Responsible for 85% of Ransomware in Education, Sophos Report Finds (comunicado oficial)
• Sophos — Relatório completo: State of Ransomware in Education
• K-12 Dive — Schools are getting better at navigating ransomware attacks, Sophos finds
• GovTech — Despite Gains, Ransomware Still Strains Education Sector