O Brasil respondeu por 36,3% dos 273 ataques de ransomware identificados na América Latina entre janeiro e julho de 2026 — assumindo a liderança isolada na região, à frente de México e Colômbia somados.
Para líderes de tecnologia (CTOs) e de segurança da informação (CISOs), isso não é apenas um dado abstrato de um relatório internacional. É o reflexo direto de um problema corporativo crônico: superfícies de ataque que continuam sendo mapeadas por quem ataca muito antes de serem descobertas por quem defende.
Como os principais grupos de ransomware operam no Brasil? (Conhecendo os TTPs)
Entender o cenário de Threat Intelligence (inteligência de ameaças) é fundamental para saber contra quem estamos jogando. Três grupos cibercriminosos concentram a atividade global em 2026 e aparecem de forma consistente em incidentes no Brasil.
Abaixo, detalhamos não apenas quem são, mas seus TTPs (Táticas, Técnicas e Procedimentos) — ou seja, o modus operandi de cada um:
- Qilin: Líder em vítimas expostas publicamente. Opera no modelo Ransomware-as-a-Service (RaaS).
- TTPs de destaque: Terceirizam o acesso inicial através de Initial Access Brokers (IABs). Utilizam campanhas de phishing altamente direcionadas (Spearphishing) e exploração de CVEs em firewalls. Para movimentação lateral, abusam de ferramentas legítimas (Living off the Land), como RDP e Cobalt Strike. A exfiltração de dados para dupla extorsão costuma ser feita de forma silenciosa usando ferramentas como Rclone.
- The Gentlemen: O grupo com o crescimento mais acelerado, saltando de 40 vítimas no fim de 2025 para 166 no início de 2026.
- TTPs de destaque: Foco extremo em credenciais compradas em mercados na dark web (logs de infostealers). Evitam malwares complexos no início do ataque; eles preferem "fazer login" na sua VPN usando contas reais sem MFA. Utilizam scripts PowerShell e WMI para desativar antivírus e EDRs antes de iniciar a criptografia em massa.
- Akira: Ativo desde 2023, pisou fundo no acelerador em 2026, com quase 200 vítimas só no primeiro trimestre.
- TTPs de destaque: Especialistas em explorar VPNs sem MFA (frequentemente abusando de vulnerabilidades em appliances Cisco). Uma vez dentro, instalam ferramentas de acesso remoto legítimas, como AnyDesk e RustDesk, para manter persistência. Têm capacidade avançada para criptografar não apenas servidores Windows, mas também hipervisores VMware ESXi e Linux.
- LockBit: Mesmo após operações policiais globais de takedown, os afiliados seguem operando de forma autônoma.
- TTPs de destaque: Foco clássico em RDP exposto e sem patch. Utilizam ferramentas como Mimikatz para roubo de credenciais em memória (escalonamento de privilégios) e abusam de GPOs (Group Policy Objects) do Active Directory para distribuir o ransomware simultaneamente por toda a rede.
A grande lição para executivos: Nenhum desses grupos depende exclusivamente de falhas complexas e inéditas (zero-days). O núcleo de suas táticas baseia-se na sua superfície exposta e mal configurada.
Como os criminosos obtêm o acesso inicial? (Os 4 vetores mais explorados)
Se o seu comitê de diretoria perguntar hoje "como eles podem entrar?", a resposta quase sempre estará nestes quatro vetores, que lideram as vendas em fóruns do cibercrime:
- A porta da frente destrancada (Como exploram RDP exposto): Acesso remoto (como a porta 3389) visível diretamente da internet, sem VPN, sem autenticação multifator (MFA) e com senhas fracas. Scanners automatizados encontram essa falha sem intervenção humana.
- A infraestrutura esquecida (Como exploram VPNs desatualizadas): Equipamentos de rede de borda com vulnerabilidades antigas sem patch. Hoje, a janela de tempo entre a divulgação de uma falha e a exploração em massa na internet costuma ser de poucas horas.
- O fator humano (Como usam credenciais vazadas): Uso de robôs para testar milhões de combinações de usuário e senha (credential stuffing) contra portais corporativos, ou o uso de senhas roubadas diretamente das máquinas pessoais dos colaboradores por infostealers (malwares roubadores de dados).
- O "temporário" que ficou permanente (Como descobrem serviços internos): Painéis de administração, bancos de dados (como Elasticsearch ou MongoDB abertos) e ambientes de homologação expostos "só por um dia" para resolver um bug, mas que a equipe esqueceu de fechar.
Como CISOs e CTOs podem reduzir a superfície de ataque na prática?
Saber como os atacantes operam não é suficiente. O dado que realmente move a agulha da governança é saber exatamente o que está publicado na internet em nome da sua empresa hoje e se aquilo deveria estar lá. O modelo de segurança baseado em planilhas não escala mais.
Na prática, proteger sua empresa desse cenário exige:
- Como gerenciar ativos invisíveis (ASM Contínuo): Implementar Attack Surface Management (ASM) de forma contínua. Subdomínios, IPs e APIs sobem na nuvem todos os dias (Shadow IT). A visibilidade precisa ser em tempo real, vendo a empresa exatamente como o atacante vê.
- Como blindar o acesso (Higiene de Identidade): Garantir que absolutamente nenhum serviço administrativo (RDP, VPN, SSH) esteja conectado diretamente à internet pública sem MFA obrigatório e, preferencialmente, atrás de uma arquitetura Zero Trust.
- Como antecipar o roubo (Monitoramento de credenciais): Rastrear ativamente a deep e dark web em busca de credenciais corporativas vazadas e atreladas aos seus domínios, forçando o reset de senhas antes que os IABs vendam o acesso para os grupos de ransomware.
- Como priorizar o que importa (Gestão de risco real): Um alerta de vulnerabilidade crítica teórica importa menos do que um painel de administrador aberto sem senha. Priorize a correção (patching) baseada na probabilidade real de exploração (Threat Intelligence).
A superfície de ataque de uma empresa não é o que a equipe de segurança acha que tem. Ela é definida pelo que está, de fato, conectado e vulnerável na internet. A diferença entre essas duas realidades é exatamente onde o Qilin, Akira e The Gentlemen estão operando neste exato momento.
Fontes e Referências: