Ransomware e malware: quem é o alvo de cada um

A manchete mostra um hospital parado, um aviso de resgate na tela e um prazo correndo. Enquanto você lê a notícia, o seu computador está aparentemente normal. Nenhum aviso, nenhuma lentidão. E, ainda assim, pode ser que ele venha entregando as suas senhas há meses.

São duas ameaças diferentes, com alvos diferentes, e confundi-las atrapalha a defesa. Este post organiza o mapa: o que é cada bicho, quem cada um procura e por onde eles entram. A rotina de backup que segura o ransomware fica com outro post da trilha, e a anatomia do e-mail falso também. Aqui o assunto é o mapa de alvos.

Resumo rápido: Malware é o guarda-chuva, e ransomware é o tipo que sequestra dados e cobra resgate. O ransomware das manchetes mira organizações: ele aparece em 48% das violações registradas pelo relatório da Verizon. O que mais atinge a pessoa comum é outro. É o ladrão silencioso de senhas, que copia o que está salvo no navegador e some sem deixar sintoma. Ele chega por instalador falso, anúncio patrocinado e app fora da loja oficial. A defesa básica cabe em quatro hábitos: atualizar, instalar só de fonte oficial, usar conta comum e ativar o segundo fator.

Afinal, o que é malware e o que é ransomware?

Malware é qualquer programa feito para agir contra você, e ransomware é um tipo específico dentro dele. O CERT.br é o centro nacional de resposta a incidentes. Ele define ransomware como o código que “torna inacessíveis os dados armazenados em um equipamento, geralmente usando criptografia”, exigindo pagamento para devolver o acesso (CERT.br).

A mesma cartilha separa duas variedades que costumam ser tratadas como uma só. O ransomware Locker impede o acesso ao equipamento. O ransomware Crypto deixa o aparelho funcionando, mas embaralha os arquivos. Na prática doméstica, a diferença aparece na hora de recuperar: o primeiro trava a porta, o segundo estraga o conteúdo.

Vale explicar de onde vem a confusão de nomes. No uso popular, “vírus” virou sinônimo de qualquer praga digital, e “antivírus” ficou como nome das ferramentas que na verdade combatem o conjunto inteiro. O próprio CERT.br registra isso: antivírus é o nome popular das ferramentas antimalware, que atuam sobre diversos tipos de código malicioso, não só sobre vírus. A imprecisão é inofensiva na conversa, mas atrapalha na hora de entender o que cada ameaça faz.

A última coluna é a que muda o jogo. Três dessas cinco famílias se anunciam de algum jeito, nem que seja pela lentidão. A quarta foi desenhada para não ser notada, e é justamente a que mais interessa a quem lê este texto em casa.

Por que o ransomware quase não bate na sua porta?

Porque o modelo de negócio dele precisa de alguém que possa pagar. O relatório anual da Verizon sobre violações de dados aponta que 48% das violações registradas envolvem ransomware. É o maior índice da história do estudo, ainda que os pagamentos venham encolhendo (Verizon, DBIR 2026). Só que esse número descreve um universo específico: incidentes investigados em organizações.

Faz sentido do ponto de vista frio do crime. Uma empresa parada perde faturamento por hora, tem dados de clientes sob a LGPD e um time capaz de negociar. Um computador doméstico com fotos e trabalhos escolares não sustenta esse cálculo. Por isso o grupo que investe em invadir uma rede corporativa raramente perde tempo com a sua máquina.

Há ainda uma peça do modelo que explica o resto. O ataque moderno costuma ter duas pontas. Além de embaralhar os arquivos, o grupo copia os dados antes e ameaça publicá-los se o resgate não sair. É a chamada dupla extorsão, e ela existe justamente porque a vítima corporativa tem reputação e obrigações legais a perder. Os sites onde esses vazamentos são anunciados ficam em endereços da rede Tor, um território que o guia sobre deep web e dark web mapeia. Nada disso faz sentido econômico contra um usuário doméstico.

Isso não significa imunidade. Casos domésticos existem, e o CERT.br é direto sobre a saída ruim: pagar o resgate não garante que você recupere o acesso (CERT.br). A defesa que funciona é ter cópia que sobreviva ao ataque. Ela está detalhada no guia de backup de dados, inclusive a parte da cópia offline.

O malware que vem atrás de você não faz barulho

O alvo da pessoa física é o ladrão de credenciais. Ele não trava nada e não pede nada. Entra, copia as senhas salvas no navegador, os cookies de sessão e o que estiver ao alcance, manda tudo para fora e continua ali, quieto. Como não há sintoma, a vítima descobre meses depois, quando uma conta é usada por outra pessoa.

Dá para medir o tamanho disso. O Have I Been Pwned, maior catálogo público de violações, marca separadamente os despejos que nasceram desse tipo de malware. Filtrei os 1.036 registros do catálogo pelo campo que identifica esses despejos: são 6 deles, somando 730,1 milhões de contas. Todos com as mesmas duas classes de dado, e-mail e senha. E cinco dos seis são de 2025 em diante.

Os dois picos de 2025 falam sozinhos. Vale a ressalva honesta: esses são os despejos catalogados, não o total de máquinas infectadas no mundo, que ninguém conhece. E a origem desses dados é o detalhe que importa. Eles não saíram de uma empresa invadida, saíram de computadores domésticos. Cada linha é alguém que instalou algo e nunca soube.

O elo com o resto é direto. A senha colhida hoje vira uma conta invadida amanhã.

E há um agravante que merece uma linha. Junto das senhas, esse tipo de malware leva os cookies de sessão, aqueles crachás que mantêm você logado sem digitar nada. Com um crachá válido em mãos, o criminoso entra sem precisar da senha. Em muitos casos nem passa pelo segundo fator, porque a sessão já estava autenticada antes. É por isso que a verificação em duas etapas, que resolve tão bem o problema da senha vazada, não cobre sozinha a máquina infectada.

Como o malware entra no computador de casa?

Pela porta que você mesmo abre, quase sempre durante uma instalação. Quatro rotas concentram os casos domésticos, e nenhuma delas depende de falha exótica.

Repare no que as quatro têm em comum: todas terminam num botão de instalar apertado por você. Daí vem a checagem que mais rende. Antes de baixar, confira se o endereço é o domínio oficial do fabricante, e desconfie de resultado patrocinado, que aparece marcado como anúncio. No celular, confirme o nome do desenvolvedor na própria loja. O aplicativo falso costuma copiar o nome do verdadeiro e mudar só quem o publica.

A extensão merece um parágrafo à parte, porque ela também expõe mesmo quando é honesta: a permissão que ela pede está destrinchada no guia de privacidade no navegador.

Sobra a rota mais conhecida, o anexo e o link de mensagem. Ela continua valendo, e a anatomia dela está no guia de como identificar phishing. O que mudou foi o peso das outras quatro. Elas dependem menos de engano e mais de pressa: você queria instalar algo e clicou no primeiro resultado.

As defesas que o CERT.br recomenda

São cinco, e duas quase nunca aparecem nas listas de blog. O fascículo “Códigos Maliciosos” da Cartilha de Segurança para Internet organiza assim (CERT.br):

1. Mantenha sistema e aplicativos atualizados. A maioria dos códigos explora falha já corrigida. Atualização automática ligada resolve sem esforço.

2. Tenha antivírus e firewall ativos. Com uma ressalva do próprio texto: eles só funcionam contra as novas variantes se estiverem em atualização contínua.

3. Baixe apenas de lojas e sites oficiais. No celular, só a loja do sistema. E confira o nome do desenvolvedor antes de instalar, porque aplicativo falso copia o nome do verdadeiro.

4. Use a conta de administrador só quando precisar. Esta é a menos repetida e uma das mais eficazes. O malware faz no aparelho o que a conta que o abriu pode fazer, então uma conta comum no dia a dia limita o estrago.

5. Ative o segundo fator e tire as senhas do navegador. O CERT.br recomenda literalmente não salvar senhas no navegador. A razão apareceu na seção anterior: é exatamente ali que o ladrão colhe. Um gerenciador de senhas guarda melhor do que o navegador.

Desconfio que fui infectado. O que faço agora?

Comece pelo aparelho, não pelas senhas. A sequência recomendada pelo CERT.br começa por verificar com antivírus e reiniciar o dispositivo. Se os sintomas continuarem, reinstale o sistema ou restaure as configurações de fábrica. O reinício resolve os casos em que o código só vive na memória, algo comum em roteadores.

Aqui entra o detalhe que quase todo guia deixa passar. Trocar a senha a partir da máquina infectada não adianta, porque o ladrão colhe a senha nova no mesmo instante em que você a digita. Faça a troca de outro aparelho, ou depois de limpar o computador. A ordem errada custa uma tarde inteira de trabalho à toa.

Depois de limpar, feche o que ficou aberto. Senha nova não derruba sessão já autenticada. O roteiro de encerrar sessões e caçar o que ficou plantado está no guia sobre conta invadida.

O que levar com você sobre malware e ransomware

Se um aviso de resgate ou um computador lento aparecer, que estas três frases venham junto:

• Ransomware tem endereço, e ele é corporativo. Em casa, o risco existe, mas é o backup que decide o desfecho.
• O malware que mira você não avisa. Ele copia senha salva e sessão aberta, e o silêncio é projeto, não detalhe.
• A instalação é o momento crítico. Quatro rotas passam por um clique de “instalar”: o ativador, o anúncio patrocinado, a extensão e o app de fora da loja. Desconfiar nesse segundo vale mais que qualquer faxina depois.

A trilha de Segurança Digital não se encerra nesta página.

Perguntas frequentes

Antivírus ainda é necessário em 2026? Sim, e o CERT.br o mantém na lista de proteções básicas, junto do firewall pessoal. A ressalva é do próprio texto: sem atualização contínua, a ferramenta perde eficácia diante das variantes novas que surgem todos os dias.

Ransomware também pega celular? Pega, embora seja menos comum que no computador. A porta dominante é o aplicativo instalado fora da loja oficial. Por isso a recomendação do CERT.br para celular é categórica: instale apenas pela loja do sistema.

Vale a pena pagar o resgate? O CERT.br é direto ao dizer que o pagamento não garante que você consiga restabelecer o acesso aos dados. Você paga a quem já demonstrou má-fé, sem qualquer garantia. A cópia de segurança continua sendo a única saída confiável.

Salvar senha no navegador é tão ruim assim? É o alvo preferido do malware ladrão, que foi feito para colher exatamente esse arquivo. Por isso o CERT.br recomenda não salvar senhas no navegador e guardá-las de forma segura, o que na prática significa um gerenciador dedicado.

Formatar o computador resolve? Resolve a infecção, não o vazamento. As credenciais copiadas antes da formatação continuam nas mãos de quem as levou. Depois de limpar a máquina, troque as senhas e encerre as sessões abertas nas contas importantes.