As técnicas associadas ao comprometimento de identidade estiveram na origem de 85% dos ataques de ransomware analisados no setor da educação no último ano, acima dos 79% registados no conjunto dos setores. Os dados constam do relatório State of Ransomware in Education 2026, da Sophos, que abrange instituições de ensino básico, secundário e superior.
O estudo mostra também um agravamento na capacidade dos atacantes para encriptar dados. No ensino básico e secundário, a percentagem de incidentes que terminou com dados encriptados passou de 29% no relatório de 2025 para 61% em 2026. Ao mesmo tempo, as instituições de ensino continuam a precisar de mais tempo e dinheiro para recuperar de um ataque do que a média das organizações analisadas.
E-mail e credenciais concentram as vias de entrada
A Sophos agrupa como técnicas associadas à identidade o e-mail malicioso, o phishing, a utilização de credenciais comprometidas e os ataques de força bruta. Em conjunto, estes métodos estiveram na origem de 85% dos ataques de ransomware analisados no setor da educação.
O e-mail malicioso foi a causa técnica individual mais frequente: representou 31% dos ataques no ensino básico e secundário e 29% no ensino superior.
O comprometimento de identidade não se limitou, porém, à fase inicial dos ataques. Cerca de 73% das organizações de ensino indicaram que o incidente de ransomware foi também o ataque relacionado com identidade mais significativo que sofreram no último ano. A percentagem sobe para 77% no ensino superior e situa-se nos 71% no ensino básico e secundário.
Outro resultado chama a atenção para os limites de medidas de segurança isoladas. Segundo a Sophos, 98% das organizações de ensino atingidas através de ataques baseados em credenciais tinham autenticação multifator (MFA) ativa.
O dado não significa que a MFA seja ineficaz. Mostra, antes, que a autenticação multifator não elimina por si só o risco associado ao roubo ou abuso de identidades. A própria Sophos defende uma abordagem em que os sistemas de identidade, e-mail, endpoints e rede partilhem sinais de deteção e possam responder de forma coordenada.
O relatório encontrou uma situação semelhante nas redes. As firewalls identificaram 65% dos ataques antes da execução do ransomware, mas 51% desses incidentes acabaram, ainda assim, por resultar na encriptação de dados.
Encriptação mais do que duplica no ensino básico e secundário
A evolução mais acentuada face ao relatório anterior surge no ensino básico e secundário. Em 2025, apenas 29% dos ataques analisados neste segmento tinham terminado com dados encriptados, a taxa mais baixa entre os setores estudados pela Sophos naquele ano.
Em 2026, a percentagem subiu para 61%, mais do dobro num ano e acima dos 56% observados na amostra global. Considerando todo o setor da educação, 58% dos ataques de ransomware resultaram na encriptação de dados.
A utilização de cópias de segurança também aumentou. Entre as organizações cujos dados foram encriptados, 77% das instituições de ensino básico e secundário e 69% das instituições de ensino superior recuperaram informação através de backups. A média entre todos os setores foi de 66%.
Os números contrastam com os resultados de 2025, quando apenas 59% das organizações de ensino básico e secundário e 47% das instituições de ensino superior tinham recorrido a cópias de segurança para restaurar os dados.
Recuperação de ransomware ultrapassa dois milhões de dólares
As instituições de ensino não enfrentam apenas uma elevada taxa de encriptação. O processo de recuperação também tende a prolongar-se mais do que noutros setores.
Segundo o relatório, 26% das organizações de ensino precisaram de um a três meses para recuperar totalmente de um ataque de ransomware. Na amostra global, essa percentagem ficou nos 14%.
O ensino básico e secundário apresentou os períodos mais prolongados: 31% das organizações deste segmento necessitaram de pelo menos um mês para retomar totalmente a atividade, a maior proporção registada entre os setores analisados.
Os custos também aumentaram. A despesa média para recuperar de um ataque, sem contar com o pagamento de eventuais resgates, atingiu 2,26 milhões de dólares no setor da educação. A média global ficou nos 1,7 milhões de dólares.
Quanto aos resgates, o pedido mediano feito às organizações de ensino foi de 775.200 dólares, acima da mediana global de 698.000 dólares. Os pedidos diminuíram pelo segundo ano consecutivo, mas o pagamento mediano subiu ligeiramente, para 515.000 dólares.
Falta de competências pesa sobretudo no ensino superior
As causas organizacionais variam entre os diferentes níveis de ensino.
No ensino superior, 53% dos responsáveis de TI e cibersegurança afirmaram que a organização não tinha as competências ou os conhecimentos necessários para detetar e travar o ataque a tempo. No conjunto dos setores, a mesma dificuldade foi apontada por 35% dos participantes.
No ensino básico e secundário, os problemas surgem mais distribuídos. O erro humano foi referido por 52% das organizações, seguido pela falta de proteção, com 47%. Lacunas de segurança desconhecidas foram indicadas por 42% e a falta de capacidade operacional por 41%.
O impacto estende-se às próprias equipas. Cerca de 39% das organizações de ensino relataram ausências de trabalhadores relacionadas com stress ou problemas de saúde mental após um ataque, contra 29% no conjunto dos setores.
No ensino superior, 53% das equipas de TI e segurança indicaram também um aumento da pressão por parte da gestão de topo. A média entre todos os setores foi de 40%.
Estudo analisa apenas organizações já atingidas por ransomware
Os resultados do State of Ransomware in Education 2026 baseiam-se num inquérito independente a 226 responsáveis de TI e cibersegurança de organizações de ensino em 17 países. Todos os participantes trabalhavam em instituições que tinham sofrido um ataque de ransomware nos 12 meses anteriores.
A investigação decorreu entre janeiro e março de 2026 e incluiu 131 organizações de ensino básico e secundário e 95 de ensino superior.
Esta metodologia significa que os resultados descrevem as características e consequências dos ataques entre organizações já afetadas. Os 85%, por exemplo, não representam a percentagem de instituições de ensino atingidas por ransomware nem a probabilidade de uma escola ou universidade sofrer um ataque.
Outros artigos interessantes:
