Agosto de 2026 expõe a diversidade dos ataques cibernéticos no Brasil: ransomware, invasões financeiras e roubo de credenciais

De estaleiros ligados à indústria de defesa a instituições financeiras, prestadores de serviços, empresas de tecnologia e usuários corporativos do Microsoft 365, agosto mostrou que o risco cibernético brasileiro já não pode ser explicado por um único tipo de ataque. Ransomware ganhou destaque, mas invasões de sistemas financeiros, infostealers, comprometimento de credenciais e ataques apoiados por inteligência artificial ampliaram o cenário.

O mês de agosto de 2026 deixou um retrato particularmente interessante da evolução das ameaças cibernéticas no Brasil. Embora ransomware continue ocupando grande espaço nas estatísticas e nos sites de extorsão mantidos por grupos criminosos, os acontecimentos do período mostram que a discussão precisa ir além da simples contagem de organizações supostamente atacadas.

Houve incidentes confirmados por organizações, investigações conduzidas pela Polícia Federal, novas campanhas identificadas por empresas de segurança e dezenas de organizações brasileiras incluídas em sites de grupos de ransomware. Entretanto, essas situações possuem níveis de evidência bastante diferentes e não devem ser apresentadas ao público como se fossem equivalentes.

Essa distinção é especialmente importante quando se fala em ransomware. Uma organização aparecer no leak site de um grupo criminoso significa que o atacante reivindicou aquela vítima, não necessariamente que a empresa confirmou o ataque, que os dados apresentados são legítimos ou mesmo que ocorreu criptografia dos sistemas.

Com esse cuidado metodológico, o panorama de agosto revela pelo menos cinco grandes categorias de incidentes relevantes ao Brasil: ransomware e extorsão, invasão de sistemas financeiros, roubo de credenciais e dados, comprometimento de identidades corporativas e operações cibernéticas potencializadas por inteligência artificial.

Ransomware domina o cenário e Brasil registra 23 reivindicações em agosto

O dado que melhor dimensiona o problema vem do monitoramento internacional dos sites de grupos de ransomware. Segundo o relatório mensal da ThreatVectr, construído a partir de dados do Ransomware.live, 1.070 organizações foram reivindicadas mundialmente por operadores de ransomware em agosto de 2026, crescimento de aproximadamente 10% sobre julho.

O Brasil aparece em sexto lugar no levantamento, com 23 reivindicações associadas a organizações brasileiras durante agosto, empatado com o México e atrás de Estados Unidos, Alemanha, Reino Unido, Itália e Canadá. Qilin, The Gentlemen e Cl0p foram os grupos mais ativos globalmente no período.

Existe, contudo, uma ressalva essencial: esses 23 registros são reivindicações publicadas por criminosos, e não necessariamente 23 incidentes independentemente confirmados. A própria metodologia do levantamento alerta que publicações em leak sites podem conter exageros, duplicações e até alegações falsas.

Essa diferença será adotada ao longo deste artigo: incidente confirmado, quando há reconhecimento pela organização ou fonte oficial; incidente investigado, quando autoridades documentam tecnicamente a ocorrência; e reivindicação de ransomware, quando a informação depende fundamentalmente da alegação do grupo criminoso.

ICN: ransomware atinge empresa envolvida no programa brasileiro de submarinos

Um dos casos mais sensíveis do mês ocorreu em 9 de agosto.

A Itaguaí Construções Navais (ICN) confirmou ter sofrido um ataque de ransomware por volta das 23 horas daquele domingo. Segundo informações divulgadas pela empresa ao Jornal Atual, o incidente atingiu dados do ambiente de Tecnologia da Informação. A ICN afirmou, entretanto, que os dados estavam preservados e que não havia ocorrido vazamento ou comprometimento relacionado à Defesa Nacional.

O caso merece atenção adicional porque a ICN participa do Programa de Desenvolvimento de Submarinos (PROSUB), empreendimento estratégico brasileiro envolvendo a construção de submarinos convencionais e do futuro submarino convencionalmente armado com propulsão nuclear.

Posteriormente, em 22 de agosto, o domínio da ICN apareceu em uma publicação atribuída ao LockBit5. Plataformas independentes de monitoramento registraram a reivindicação, mas corretamente a classificaram como não verificada.

Portanto, há dois fatos diferentes que não devem ser confundidos: o ataque de ransomware foi confirmado pela ICN; as alegações posteriores do grupo criminoso sobre comprometimento ou posse de informações não foram confirmadas pela empresa nas fontes consultadas.

Essa distinção é fundamental em incidentes envolvendo infraestrutura estratégica. Uma invasão de TI corporativa não significa automaticamente comprometimento de sistemas industriais, informações militares ou ambientes classificados.

Classificação: ransomware

Situação: incidente confirmado pela organização.

Impacto conhecido: ambiente corporativo de TI afetado.

Vazamento de dados: não confirmado; a ICN declarou que os dados estavam preservados.

Reivindicação posterior: LockBit5, sem confirmação independente nas fontes analisadas.

Vermont XCenter: DragonForce reivindica ataque e ameaça divulgação de dados

Em 17 de agosto, outro nome brasileiro apareceu nos sistemas internacionais de monitoramento. O grupo DragonForce incluiu a Vermont XCenter em seu site de extorsão e ameaçou publicar informações supostamente obtidas da organização caso não houvesse contato.

SOCRadar, GalaxyWarden e outros serviços de threat intelligence registraram a publicação. A SOCRadar classificou o caso explicitamente como “Alleged”, enquanto a GalaxyWarden observou que a Vermont não havia confirmado publicamente o incidente no momento da publicação.

O caso ilustra o modelo de dupla extorsão que transformou a economia do ransomware. O atacante não depende mais exclusivamente da criptografia dos servidores. Dados podem ser extraídos antes da etapa de indisponibilidade e usados como instrumento adicional de pressão.

Mesmo quando a organização possui backups capazes de recuperar sua infraestrutura, a possibilidade de publicação de dados de clientes, colaboradores, contratos ou propriedade intelectual permanece.

Classificação: reivindicação de ransomware/extorsão

Grupo: DragonForce.

Divulgação: 17 de agosto.

Possível impacto: exposição de informações e extorsão.

Status: reivindicação de grupo criminoso; não deve ser tratada como violação confirmada sem evidência adicional.

Uma sucessão de empresas brasileiras aparece em sites de ransomware

A Vermont não foi um caso isolado.

Dados de monitoramento coletados durante agosto registraram diversas organizações e domínios brasileiros em leak sites. Entre os nomes encontrados aparecem PontoBR Sistemas, Universidade Veiga de Almeida, BR Digital, Chat Jurídico, Megalaser, VR Advogados, Prefeitura Municipal de Arcos, ICN e outras organizações.

Nos últimos dias do mês surgiram novas reivindicações relacionadas a organizações ou domínios brasileiros, envolvendo grupos como DragonForce, KRYBIT, The Gentlemen e Emperador. Serviços de monitoramento registraram, entre outros, domínios associados a organizações dos setores de saúde, tecnologia, indústria e serviços.

Novamente, a cautela jornalística e técnica é necessária.

Esses registros são extremamente úteis para Cyber Threat Intelligence (CTI) porque permitem identificar campanhas, setores de interesse e evolução dos grupos criminosos. Porém, não devem automaticamente ser descritos como “vazamentos confirmados”.

O dado mais relevante talvez seja justamente a diversidade das vítimas.

Ransomware deixou de ser um problema restrito a grandes bancos ou multinacionais. Tecnologia, indústria, saúde, serviços profissionais, construção, varejo, educação e administração pública aparecem repetidamente entre os setores monitorados.

Invasões de instituições financeiras: prejuízo investigado chega a R$ 227 milhões

Enquanto os leak sites mostravam uma parte do cenário, a Polícia Federal revelou outra dimensão dos ataques: invasões direcionadas diretamente aos sistemas financeiros.

Em 18 de agosto, a PF deflagrou a Operação Pane Seca contra um grupo investigado por invasões aos sistemas de instituições financeiras. Segundo a Polícia Federal, os ataques teriam provocado prejuízo de aproximadamente R$ 227 milhões.

Os criminosos são investigados por realizar transferências e pagamentos de boletos, direcionando os recursos para contas intermediárias. O dinheiro era posteriormente movimentado para outras contas ou corretoras de criptoativos, criando sucessivas camadas destinadas a dificultar o rastreamento.

Quatro mandados de prisão preventiva e sete mandados de busca e apreensão foram cumpridos. A Justiça também determinou bloqueio de aproximadamente R$ 226,2 milhões em bens e valores.

Esse tipo de incidente é diferente de ransomware.

O objetivo primário não é indisponibilizar sistemas ou extorquir a vítima. Trata-se de obter acesso suficiente para realizar operações financeiras fraudulentas, o que coloca identidade, autenticação, privilégios e monitoramento transacional no centro da defesa.

Classificação: invasão de sistemas financeiros e fraude eletrônica

Motivação predominante: financeira.

Impacto investigado: aproximadamente R$ 227 milhões.

Mecanismo: acesso indevido seguido de transferências e pagamentos.

Proteções relacionadas: IAM, MFA resistente a phishing, PAM, segregação de funções, monitoramento comportamental e controles antifraude.

Operação Klonen revela ataque de € 30 milhões originado no Brasil

Poucos dias antes, em 13 de agosto, a Polícia Federal havia deflagrado outra investigação relacionada a ataques financeiros.

A Operação Klonen cumpriu 21 mandados de busca e apreensão e quatro mandados de prisão preventiva em Goiás, São Paulo e Rio de Janeiro. A investigação teve origem depois que uma instituição financeira alemã comunicou ter sofrido, no final de 2023, um ataque cibernético originado no Brasil com prejuízo estimado em aproximadamente € 30 milhões.

Segundo a PF, os recursos obtidos nas fraudes teriam sido movimentados por cartões emitidos sem consentimento dos beneficiários, contas de passagem, empresas, instituições de pagamento e plataformas de ativos virtuais.

Embora o ataque original não tenha ocorrido em agosto de 2026, sua inclusão neste panorama é relevante porque a operação policial e a revelação pública da investigação ocorreram no mês, oferecendo uma visão concreta da profissionalização do cibercrime financeiro brasileiro.

Infostealers: o ataque pode começar muito antes da invasão da empresa

Em 4 de agosto, a Polícia Federal deflagrou em Campinas a Operação Watchdog, investigando uma infraestrutura utilizada para distribuição de programas destinados ao furto de credenciais e outros dados de usuários.

Segundo a PF, o investigado seria responsável por hospedar e disponibilizar arquivos capazes de instalar infostealers, malware especializado na coleta de senhas, credenciais de acesso, informações financeiras e outros dados armazenados nos dispositivos das vítimas. Equipamentos eletrônicos e mídias foram apreendidos para perícia.

Esse caso ajuda a explicar um dos mecanismos menos visíveis por trás de ataques posteriores.

Nem toda invasão começa com um atacante explorando diretamente uma vulnerabilidade no firewall da empresa.

Credenciais corporativas podem ser roubadas meses antes do incidente por um infostealer instalado no computador pessoal ou corporativo de um funcionário. Essas credenciais são posteriormente comercializadas ou utilizadas por Initial Access Brokers (IABs), que vendem acesso inicial às redes para outros criminosos.

O ransomware que aparece no final da cadeia pode, portanto, ser apenas a etapa mais visível de um comprometimento iniciado muito antes.

Classificação: roubo de credenciais e dados

Ameaça: infostealer.

Dados procurados: senhas, credenciais, informações financeiras e outros dados armazenados no dispositivo.

Risco empresarial: reutilização das credenciais para acesso inicial a sistemas corporativos.

Microsoft 365: invasão sem roubar a senha

Outro exemplo importante apareceu em 10 de agosto, quando a Kaspersky revelou uma campanha direcionada a contas corporativas brasileiras utilizando um recurso legítimo de autenticação da Microsoft.

O ataque engana o usuário para que insira um código de autorização no próprio site da Microsoft. A vítima acredita estar realizando uma operação legítima, mas na realidade está autorizando um dispositivo controlado pelo atacante.

Com isso, o criminoso pode obter acesso a e-mails, arquivos armazenados no SharePoint e conversas do Microsoft Teams sem necessariamente conhecer a senha do usuário.

Esse mecanismo demonstra por que simplesmente afirmar que uma organização possui MFA não é mais suficiente.

Determinados ataques modernos procuram manipular o próprio fluxo de autenticação ou induzir o usuário a aprovar uma sessão legítima. A defesa precisa considerar autenticação resistente a phishing, políticas de acesso condicional, análise de risco de sessão, monitoramento de dispositivos e detecção de comportamento anômalo.

Classificação: phishing + comprometimento de identidade

Alvo: contas corporativas Microsoft.

Objetivo: obtenção de sessão autorizada.

Possíveis ativos acessados: e-mail, Teams e SharePoint.

Característica importante: o atacante não precisa necessariamente descobrir a senha.

Inteligência artificial começa a aparecer também do lado do atacante

Agosto trouxe ainda um componente que merece acompanhamento: evidências de utilização de IA para auxiliar operações ofensivas contra organizações brasileiras.

A Oasis Security publicou em 27 de agosto uma análise de artefatos recuperados de sessões de IA e arquivos relacionados a uma atividade denominada internamente AGATHA. O material descrevia ações contra organizações brasileiras dos setores público, financeiro, comércio eletrônico, telecomunicações, agricultura, serviços móveis e monitoramento.

As sessões analisadas continham solicitações relacionadas a reconhecimento, análise de credenciais, desenvolvimento de scripts e interpretação de dados coletados.

Há, entretanto, uma limitação importante: embora os artefatos fossem identificados como sessões Claude, os pesquisadores afirmaram que os registros disponíveis não eram suficientes para estabelecer independentemente qual modelo, cliente, conta ou ambiente de execução havia sido utilizado.

Essa cautela é importante porque atribuição em cibersegurança exige evidências.

O ponto relevante não é uma determinada plataforma de IA, mas a mudança operacional: modelos generativos podem reduzir o conhecimento necessário para executar algumas etapas de reconhecimento, programação, análise de dados e adaptação de ataques.

O Brasil já vinha subindo no radar do ransomware

Os acontecimentos de agosto não surgiram isoladamente.

Em reportagem publicada em 9 de agosto, a Folha destacou a expansão dos ataques de ransomware contra empresas brasileiras e a utilização crescente de IA por criminosos. Segundo dados do Ransomware.live citados pela publicação, o Brasil havia registrado 123 ataques reivindicados no acumulado de 2026 até aquele momento, depois de 148 em todo o ano de 2025.

A reportagem também destacou como modelos de linguagem reduzem barreiras idiomáticas, facilitando campanhas de engenharia social direcionadas a organizações brasileiras.

Com o fechamento de agosto, a ThreatVectr contabilizou mais 23 reivindicações relacionadas ao país no mês.

O significado estratégico é maior do que simplesmente uma mudança de posição em rankings.

O Brasil possui um mercado digital grande, sistema financeiro altamente conectado, adoção disseminada de serviços em nuvem, grande volume de dados pessoais e extensa cadeia de fornecedores tecnológicos. Isso cria oportunidades tanto para ataques altamente sofisticados quanto para operações oportunistas baseadas em credenciais roubadas.

O que os incidentes de agosto revelam sobre as causas dos ataques

Quando os casos são observados conjuntamente, emerge uma conclusão importante: “ataque hacker” não é uma causa técnica.

É apenas uma descrição genérica do evento.

Um ransomware pode começar com uma vulnerabilidade exposta, uma credencial comprada de um Initial Access Broker, phishing, acesso remoto mal protegido, comprometimento de fornecedor ou abuso de identidade.

Um vazamento de dados pode resultar de invasão externa, erro de configuração, credenciais comprometidas, insider, API vulnerável ou comprometimento da cadeia de suprimentos.

Uma fraude financeira pode ocorrer sem ransomware e sem vazamento público de dados.

Por isso, classificar os incidentes pela causa e pelo mecanismo de ataque é muito mais útil para organizações que desejam aprender com eles.

Categoria observada	Exemplos de agosto	Principal risco
Ransomware	ICN	Indisponibilidade, extorsão e possível exposição de dados
Reivindicação de ransomware/extorsão	Vermont XCenter e outras organizações listadas	Vazamento alegado, pressão financeira e reputacional
Invasão financeira	Operação Pane Seca	Transferências fraudulentas e perda financeira
Fraude eletrônica estruturada	Operação Klonen	Desvio e lavagem de recursos
Infostealer	Operação Watchdog	Roubo de credenciais e acesso inicial
Comprometimento de identidade	Campanha Microsoft identificada pela Kaspersky	Acesso a e-mail, Teams, SharePoint e dados corporativos
Ataques auxiliados por IA	Atividade analisada pela Oasis	Reconhecimento, automação e aceleração das operações ofensivas

A defesa precisa acompanhar a cadeia completa do ataque

Os casos de agosto mostram também por que não existe uma única tecnologia capaz de resolver o problema.

Organizações precisam combinar gestão de vulnerabilidades, hardening, EDR/XDR, segurança de e-mail, MFA resistente a phishing, IAM e PAM, segmentação, proteção de dados, backups isolados e testados, monitoramento contínuo e capacidade estruturada de resposta a incidentes.

Essa abordagem é coerente com frameworks como o NIST Cybersecurity Framework 2.0, que organiza a gestão do risco nas funções Govern, Identify, Protect, Detect, Respond e Recover, em vez de reduzir cibersegurança à implantação de ferramentas isoladas.

O mesmo princípio aparece na ISO/IEC 27001:2022: segurança da informação precisa ser tratada dentro de um Sistema de Gestão de Segurança da Informação (SGSI) baseado em risco, envolvendo tecnologia, processos, pessoas, fornecedores, continuidade e melhoria contínua.

Os incidentes financeiros reforçam a importância da gestão de identidades e privilégios. Os casos de infostealers mostram que proteger apenas o perímetro corporativo é insuficiente. As campanhas de phishing contra Microsoft 365 demonstram que MFA precisa ser implementado considerando técnicas modernas de evasão. E ransomware continua demonstrando que backup sem capacidade comprovada de restauração não equivale a resiliência.

Agosto deixa uma mensagem importante para empresas brasileiras

Talvez o aspecto mais relevante de agosto de 2026 seja justamente a diversidade.

Não houve uma única “grande ameaça brasileira”. Houve ransomware, extorsão, roubo de credenciais, invasões financeiras, abuso de autenticação e sinais de utilização de inteligência artificial em atividades ofensivas.

Também houve diferenças significativas na qualidade das evidências. Alguns incidentes foram reconhecidos pelas próprias organizações ou documentados pela Polícia Federal; outros continuam sendo apenas reivindicações publicadas por criminosos.

Essa distinção importa para o jornalismo, para a inteligência de ameaças e para a gestão empresarial.

Mas existe algo comum a praticamente todos os casos: o atacante procura o caminho de menor resistência entre identidade, vulnerabilidade, pessoas, fornecedores e tecnologia.

Para CISOs e executivos, a lição de agosto não é simplesmente que o Brasil está sofrendo mais ataques.

É que a superfície de ataque está ficando mais distribuída, enquanto as fronteiras entre fraude, ransomware, roubo de identidade, vazamento de dados e inteligência artificial tornam-se progressivamente menos definidas.

Nesse ambiente, maturidade não significa impedir absolutamente todos os ataques — objetivo praticamente impossível.

Significa reduzir a probabilidade de comprometimento, detectar rapidamente aquilo que ultrapassar as defesas, limitar o movimento do atacante e manter capacidade real de recuperação quando o incidente inevitavelmente ocorrer.

Referências

As fontes primárias e de inteligência utilizadas para este levantamento incluem a Polícia Federal, CISC/Governo Digital e fontes especializadas de threat intelligence. As publicações de leak sites foram tratadas exclusivamente como alegações de grupos criminosos, salvo quando houve confirmação independente.

Polícia Federal — Operação Pane Seca

Polícia Federal — Operação Klonen

Polícia Federal — Operação Watchdog e infostealers

CISC — Boletim de Vulnerabilidades de 10/08/2026

Kaspersky — campanha contra contas corporativas Microsoft no Brasil

ThreatVectr — State of Ransomware: August 2026

Oasis Security — análise de ataques contra organizações brasileiras auxiliados por IA

Jornal Atual — confirmação do incidente da ICN