Ransomware em escolas: como agir agora contra ataques e golpes

Instituições de ensino no Brasil viraram alvo prioritário de cibercriminosos. Dados recentes de resposta a incidentes mostram um cenário alarmante: ransomware, vazamento de dados e golpes financeiros estão interligados. A pergunta não é se sua escola será atacada, mas quando. E o pior: os dados vazados alimentam o golpe do PIX que atinge alunos, pais e funcionários.

Neste artigo, você vai entender o tamanho do problema, ver casos reais e aprender ações imediatas para proteger sua instituição e sua identidade digital. A fonte principal é uma análise detalhada da Kaspersky sobre incidentes em instituições educacionais brasileiras, que revela padrões perigosos e falhas evitáveis.

O cenário de ataques: números que acendem o alerta

Entre janeiro de 2025 e junho de 2026, a equipe de resposta a emergências da Kaspersky atendeu dezenas de casos em escolas e universidades. A maioria dos ataques se concentrou em São Paulo, mas também houve ocorrências no Rio de Janeiro e Pernambuco. O perfil das vítimas: 60% instituições privadas e 40% públicas.

Os motivos mais comuns para acionar o socorro? Atividades suspeitas em endpoints, arquivos criptografados e presença de arquivos maliciosos. A gravidade é alta: 40% dos incidentes foram classificados como severos, geralmente envolvendo ransomware. As famílias mais vistas foram DragonForce e LockBit 3 — esta última usando um builder vazado desde 2022.

O que chama atenção é a simplicidade dos vetores de acesso. Os criminosos não precisaram de técnicas mirabolantes. Eles abusaram de contas válidas, exploração de aplicações expostas e insiders. Para escalar privilégios, usaram variantes do Potato (GodPotato, SweetPotato, BadPotato). Ferramentas legítimas como AnyDesk e PsExec também foram usadas para movimento lateral e controle remoto.

Além disso, muitas instituições ainda rodam Windows 10 sem suporte (após outubro de 2025) e Windows Server 2016 sem patches. Isso amplia a superfície de ataque e dificulta a resposta forense.

Por que escolas são alvos fáceis?

Ambientes acadêmicos têm uma complexidade única: precisam atender alunos, professores, pesquisadores, funcionários e visitantes. Cada grupo exige níveis de acesso diferentes, o que dificulta a aplicação de políticas consistentes. Some a isso sistemas de gestão de dados pessoais frágeis e máquinas compartilhadas sem responsabilização clara.

O resultado é um tesouro de dados pessoais: CPF, endereços, telefones, nomes de pais. Com essas informações, criminosos aplicam phishing direcionado e SIM swapping — práticas comuns no Brasil. E é aqui que o golpe do PIX entra.

Casos reais que mostram a gravidade

Caso 1: LockBit customizado via conta vazada

Em uma instituição, os atacantes usaram uma conta válida vazada para entregar uma versão customizada do LockBit, gerada a partir do builder vazado. O ransomware criptografou servidores de arquivos e bancos de dados com perfis de alunos. A configuração extraída mostrava opções de propagação automática desativadas, forçando o atacante a se mover manualmente com PsExec. A análise do USN Journal revelou os rastros da movimentação.

Caso 2: DragonForce via AnyDesk

Outro caso envolveu o ransomware DragonForce, distribuído após acesso via AnyDesk. O atacante explorou credenciais fracas e escalou privilégios com ferramentas do tipo Potato. A criptografia foi rápida e afetou sistemas críticos, paralisando as operações por dias.

Caso 3: Keylogger Python por insider

Em uma universidade, um insider instalou um keylogger em Python para capturar credenciais de colegas. O malware era simples, mas eficaz: registrava tudo o que era digitado e enviava para um servidor externo. O ataque só foi descoberto após tentativas de acesso não autorizado a sistemas financeiros.

Esses casos mostram que a ameaça não vem só de fora. Funcionários insatisfeitos ou negligentes podem causar danos enormes. E o elo comum: dados vazados que alimentam golpes financeiros.

O elo com o golpe do PIX: do vazamento ao prejuízo

Quando uma escola é atacada, os dados de alunos, pais e funcionários vazam. Esses dados são vendidos em fóruns clandestinos e usados para golpes de engenharia social. O golpe do PIX é um dos mais lucrativos: o criminoso se passa por um conhecido, envia uma mensagem urgente e pede uma transferência via PIX.

Com CPF, telefone e nome dos pais, o golpista cria uma narrativa convincente: “Mãe, perdi meu celular, preciso de dinheiro urgente, faz um PIX para esse número”. A vítima, desesperada, transfere sem verificar. O dinheiro some em segundos.

Além disso, os dados vazados permitem SIM swapping: o criminoso convence a operadora a transferir seu número para um chip novo. Com isso, ele recebe seus SMS de autenticação e assume suas contas bancárias. O prejuízo pode ser devastador.

Como se proteger agora: ações práticas

Não espere o pior acontecer. Siga estas medidas imediatas:

• Verifique se seus dados vazaram: use a Kzarka para monitorar sua identidade digital e receber alertas de exposição.
• Ative a autenticação em dois fatores em todas as contas, especialmente e-mail e bancos.
• Desconfie de pedidos de PIX: sempre confirme por outro canal antes de transferir.
• Eduque alunos e funcionários: treinamentos de conscientização reduzem o risco de phishing.
• Mantenha sistemas atualizados: elimine vulnerabilidades conhecidas.

O que as instituições devem fazer

Para gestores de escolas e universidades, a prioridade é reduzir a superfície de ataque. Implemente políticas de senhas fortes, monitore acessos privilegiados e segmente a rede. Use soluções de detecção e resposta (EDR) para identificar atividades suspeitas rapidamente.

Além disso, tenha um plano de resposta a incidentes testado. A análise da Kaspersky mostrou que o tempo médio de resposta técnica foi de 9,6 horas, mas o impacto se estende por dias. Quanto mais rápido você agir, menor o dano.

E não se esqueça: dados de alunos são um ativo crítico. Proteja-os como protegeria dinheiro.

Comparativo: incidentes em instituições públicas vs. privadas

Essa diferença sugere que criminosos veem as instituições privadas como mais capazes de pagar resgates. Já as públicas são alvo de ataques oportunistas ou com motivação política.

Conclusão: aja antes que seja tarde

O ataque a instituições de ensino no Brasil é uma ameaça real e crescente. Os dados vazados alimentam uma cadeia de crimes que vai do ransomware ao golpe do PIX. A responsabilidade é de todos: gestores, professores, alunos e pais.

Não seja a próxima vítima. Verifique agora se seus dados foram expostos e monitore sua identidade digital com a Kzarka. Acesse https://kzarka.com e assuma o controle da sua segurança digital.

Perguntas Frequentes (FAQ)

1. Por que instituições de ensino são alvos frequentes de ransomware?

Porque armazenam muitos dados pessoais, têm redes complexas e muitas vezes falham em aplicar patches e políticas de segurança. Além disso, o grande número de usuários aumenta a chance de erro humano.

2. Como o vazamento de dados de escolas leva ao golpe do PIX?

Os criminosos usam os dados vazados (CPF, telefone, nomes) para criar mensagens convincentes de phishing ou realizar SIM swapping, assumindo contas e induzindo vítimas a transferir dinheiro via PIX.

3. O que é o LockBit 3 e por que ele é perigoso?

LockBit 3 é uma família de ransomware cujo builder vazou em 2022. Isso permite que qualquer criminoso crie versões customizadas, capazes de desativar defesas e apagar logs, dificultando a investigação.

4. Como posso saber se meus dados vazaram em um ataque a uma escola?

Use serviços de monitoramento como a Kzarka, que verificam constantemente se suas informações aparecem em vazamentos conhecidos e enviam alertas.

5. Quais medidas imediatas devo tomar se receber um pedido de PIX suspeito?

Não transfira. Ligue para a pessoa por outro número ou faça uma pergunta que só ela saberia. Verifique também se o número é realmente dela. Em caso de dúvida, ignore e bloqueie.

6. Como as instituições podem melhorar sua segurança digital?

Adotando autenticação multifator, treinamento contínuo, segmentação de rede, monitoramento de acessos e um plano de resposta a incidentes testado. A atualização de sistemas também é essencial.