Hack de tela: é uma boa ideia pagar um resgate e o que acontece com os dados? | Tecnologia

UMDepois de uma semana de interrupções, centenas de milhões de dados de estudantes roubados, prazos de entrega de tarefas atrasados ​​e páginas de login de escolas sendo desfiguradas por hackers, a empresa de tecnologia norte-americana Instructure – que opera a plataforma educacional Canvas, usada por provedores de educação em todo o mundo – anunciou que tinha “chegou a um acordo com o ator não autorizado” por trás do ataque de ransomware.

Os especialistas interpretam a linguagem cuidadosa como um sinal de que um resgate foi pago. A empresa não confirmou.

A questão de saber se as empresas devem pagar aos atacantes de ransomware para recuperar o acesso aos seus sistemas e, potencialmente, evitar mais danos decorrentes da divulgação de informações pessoais de – em alguns casos, milhões – é uma questão que milhares de empresas enfrentam todos os anos. Embora os governos de todo o mundo desaconselhem esta prática, muitos acabam por fazê-lo.

O grupo de hackers ShinyHunters assumiu a responsabilidade pelo ataque ao Instructure. Eles ameaçaram vazar o relatou 3,6 TB de dados – incluindo números de identificação de estudantes, endereços de e-mail, nomes e mensagens de 9.000 escolas e 275 milhões de estudantes e funcionários em todo o mundo – a menos que a empresa pague o resgate.

Na Austrália, mais de duas dezenas de universidades e escolas públicas e privadas em vários estados foram vítimas do ataque. RMIT e UTS estavam entre os que concederam prorrogações nas tarefas, pois os alunos frustrados não conseguiam acessar o portal.

A Instructure confirmou posteriormente que os hackers exploraram uma vulnerabilidade em seu software Free for Teacher que lhes permitiu desfigurar páginas de login, como a da Universidade do Texas em San Antonio, para alertar os usuários sobre a violação.

A empresa disse esta semana que os dados foram “devolvidos” a ela como parte do acordo que firmou com os hackers, e também que lhes foi mostrada “confirmação digital da destruição de dados” por meio de logs fragmentados – um relatório técnico gerado por um programa que processa dados a serem destruídos de uma forma que os torna não mais recuperáveis.

“Embora nunca haja certeza total ao lidar com cibercriminosos, acreditamos que era importante tomar todas as medidas sob nosso controle para dar aos clientes maior tranquilidade, na medida do possível”, disse a empresa na semana passada.

O chefe de cibernética da empresa de contabilidade forense cibernética McGrathNicol, Darren Hopkins, diz que a declaração do Canvas foi “bem elaborada [in a way] isso não necessariamente admite nada, mas também demonstra que eles chegaram a um acordo”.

“ShinyHunters é um grupo de extorsão”, diz ele. “Isso é o que eles fazem. Que outro acordo eles farão?”

O especialista em segurança cibernética da Aegis, Luke Irwin, estima que, com base em pedidos de resgate relatados de US$ 10 milhões, é possível que a Instructure – ou seu subscritor de seguros – tenha pago algo até esse valor, mas diz que também é possível que tenha sido negociado.

“A Instructure está lidando com uma organização criminosa e você acredita na palavra deles de que se comprometerão com esses resultados”, diz ele. “Essa é uma posição orientada ao risco dentro da qual a Inestrutura precisa trabalhar.”

Pagar ou não pagar?

A maioria dos governos desaconselha o pagamento de resgates, inclusive no Reino Unido, nos EUA e na Austrália, mas proibições definitivas são raras, afirma a empresa de tecnologia Akamai em seu relatório sobre o estado da indústria de ransomware de 2025.

“Se os resgates não forem pagos, a eficácia do vetor de ataque será reduzida e potencialmente se tornará menos atraente para grupos de hackers”, afirma o relatório.

Na Austrália, pode ser crime pagar a um invasor designado pela lei autônoma de sanções cibernéticas. O escritório de sanções afirma que considerará qualquer pagamento feito “caso a caso” para determinar se será encaminhado para processo.

Os pagamentos poderiam financiar outras atividades criminosas e, em última análise, não há garantia de que o pagamento de um resgate ou extorsão impediria a divulgação de dados ou acabaria com as ameaças, diz Akamai.

De acordo com as obrigações de relatórios obrigatórios da Austrália que começaram no final de maio do ano passado, 75 empresas com faturamento de pelo menos US$ 3 milhões por ano pagaram resgates no final de janeiro de 2026.

O governo não divulga quanto foi pago. Um relatório sobre ransomware McGrathNichol de novembro entrevistou 800 executivos de empresas australianas com 50 ou mais funcionários e descobriu que o valor médio pago na Austrália foi de US$ 711 mil, abaixo dos US$ 1,35 milhão do ano anterior.

O relatório descobriu que 64% decidiram pagar um resgate e 81% das empresas dizem que hipoteticamente estariam dispostas a pagar um resgate.

Hopkins diz que as empresas estão se preparando melhor para um ataque cibernético, o que significa que é menos provável que precisem pagar para que os hackers desbloqueiem os sistemas bloqueados. Em vez disso, as empresas estavam mais focadas em tentar impedir mais danos, pagando aos hackers que divulgavam os dados.

“O Canvas era interessante porque todos suspeitávamos [Instructure] se envolveu com o autor da ameaça muito rapidamente porque eles estavam no local do vazamento e [the posting] foi removido dele.

‘Quão honesto é esse criminoso?’

A pergunta que Hopkins ouve em salas de reuniões em toda a Austrália, ao treinar empresas sobre ataques cibernéticos, é: Fazer um pagamento impedirá a exposição de dados?

“Essa pergunta em torno de ‘quão honesto é esse criminoso?’ surge o tempo todo”, diz ele.

“O modelo de negócios [of hackers] precisa que eles mostrem que são honestos porque ninguém jamais lhes pagaria. Portanto, é um grande fator de confiança.”

Irwin diz que é do interesse da ShinyHunters agir de boa fé como exemplo para outras organizações que possam estar comprometidas, para que futuras vítimas estejam mais inclinadas a pagar.

Contudo, Hopkins acrescenta: “Não se pode confiar que eles não serão o que são, que são criminosos”.

“Eles vão nos dar capturas de tela dizendo ‘aqui estamos nós excluindo coisas’… você não sabe se eles fizeram uma cópia ou o que fizeram além disso”, diz ele.

“Eles mostrarão o que você precisa ver para efetuar o pagamento, e você não terá acesso para validar nenhuma dessas coisas.”