As pequenas e médias empresas (PME) portuguesas enfrentam hoje um cenário de risco digital cada vez mais complexo, onde o ransomware se afirma como uma das ameaças mais persistentes e destrutivas. Os dados do Relatório de Ciberpreparação 2025 da Hiscox revelam um quadro preocupante: mesmo quando cedem às exigências dos atacantes, a maioria das PME não consegue garantir a recuperação da informação comprometida e, em muitos casos, vê‑la mesmo exposta publicamente.
O relatório mostra que apenas 59% das PME que pagaram um resgate nos últimos 12 meses conseguiram recuperar alguns ou todos os seus dados. A promessa de devolução da informação, frequentemente usada como alavanca pelos cibercriminosos, falha de forma consistente.
E os números evidenciados pelo relatório revelam a dimensão do problema, sendo que 31% das empresas que pagaram acabaram por ver os seus dados divulgados. Além disso, 19% das empresas descobriu que a chave de recuperação fornecida pelos cibercriminosos não funcionava, enquanto 28% sofreu um novo ataque após o incidente inicial, demonstrando a persistência e sofisticação destas ameaças.
Ao mesmo tempo, em 22% dos casos, os atacantes exigiram pagamentos adicionais e 25% das empresas foram obrigadas a reconstruir totalmente os seus sistemas, mesmo depois de terem recebido uma chave válida. No final, apenas 28% das PME confirmou que os seus dados não foram divulgados, deixando claro que depender apenas do pagamento não garante nem segurança nem tranquilidade e não compensa o risco latente de exposição de informação sensível.
“O ransomware tornou-se um modelo de negócio altamente rentável para os cibercriminosos, o que explica a sua persistência ano após ano. Os dados do relatório mostram que pagar um resgate não garante a recuperação da informação nem impede a sua divulgação. Por estes motivos, a preparação, a prevenção e a capacidade de resposta são hoje mais importantes do que nunca. Além disso, a discussão sobre transparência não pode ficar apenas no plano teórico: ela é um passo fundamental para fortalecer o ecossistema digital e ajudar todas as organizações a compreenderem realmente a dimensão do risco que enfrentam”, diz Ana Silva, cyber lead da Hiscox Portugal e Espanha, citada em comunicado.
Ransomware afetou um terço das PME no último ano
O estudo indica também que cerca de um terço das PME portuguesas foi alvo de ransomware nos últimos 12 meses, consolidando este tipo de ataque como uma ameaça estrutural, onde a pressão para pagar é elevada, sobretudo devido ao receio de exposição de dados sensíveis.
É neste contexto que muitas vezes as PMEs encontram vários motivos para ceder às exigências dos cibercriminosos. Na verdade, 79% das empresas afirma ter pago um resgate para evitar a publicação de informação sensível, enquanto a mesma percentagem (79%) o fez com o objetivo específico de recuperar os seus dados.
No entanto, estas medidas raramente são suficientes por si só, sendo que 84% das PME optou também por reconstruir a informação que ficou vulnerável e 89% procurou restaurar dados a partir de cópias de segurança disponíveis.
Mas o ransomware é apenas uma das faces do problema, com as PME portuguesas a enfrentarem um conjunto alargado de consequências associadas a ciberataques, com 43% a reportar perda de dados não encriptados (incluindo informação pessoal ou de clientes), naquele que é o impacto mais frequente.
Seguem-se os ataques de negação de serviço distribuído (DDoS), reportados por 41%, e as perdas financeiras causadas por fraude por desvio de pagamentos, que atingem 40% das organizações.
O uso indevido de recursos de TI – como a utilização da infraestrutura para mineração de criptomoedas, integração em botnets ou alojamento de malware -, foi ainda identificado por 33% das PME. A perda de dados encriptados sem exposição de informação também surge em 33% dos casos, bem como surtos de vírus não associados a ransomware em 29%.
Transparência divide PME, mas maioria defende obrigação de reportar pagamentos
A discussão sobre a obrigatoriedade de divulgar pagamentos de resgates está a ganhar relevância internacional e começa a ganhar espaço também em Portugal. Segundo o relatório, 65% das PME considera que as empresas deveriam ser obrigadas a comunicar quanto pagaram a cibercriminosos após um ataque de ransomware. Entre os argumentos a favor, 56% acredita que esta partilha ajudaria as autoridades a gerir melhor os incidentes, 55% defende que aumentaria a transparência perante clientes e stakeholders, 52% considera que reduziria o estigma associado ao pagamento e 44% entende que reforçaria a confiança dos clientes.
Por outro lado, 35% das PME posicionam-se contra esta obrigatoriedade. Entre os motivos apontados, 59% teme que a divulgação incentive mais ataques, 58% considera que empresas privadas não devem ser obrigadas a revelar informação financeira, 55% receia impactos negativos nas relações com clientes e parceiros e 42% acredita que esta prática poderia conferir vantagem competitiva aos concorrentes.
