Ransomware em 2026: número de vítimas bate recorde e Qilin consolida nova era da extorsão digital
O ransomware continua sendo uma das ameaças mais relevantes para organizações em todo o mundo. Dados publicados em diferentes relatórios de inteligência de ameaças ao longo de 2026 mostram que, apesar de operações policiais, sanções, desmantelamento de infraestrutura criminosa e investimentos crescentes em cibersegurança, o ecossistema de ransomware continua apresentando alto volume de vítimas, diversificação de grupos criminosos e crescente profissionalização das operações.
O 2026 Ransomware Report, produzido pela Black Kite e repercutido pelo GBHackers, identificou 7.551 vítimas de ransomware divulgadas publicamente entre abril de 2025 e março de 2026, crescimento de 24,9% sobre o período anterior, quando haviam sido registradas 6.046 vítimas.
O resultado representa o quarto período consecutivo de recorde registrado pela Black Kite.
O ritmo dos ataques aumentou significativamente
O crescimento não ocorreu de maneira uniforme.
Segundo a Black Kite, os primeiros seis meses do período analisado registraram 2.904 vítimas, enquanto os seis meses seguintes chegaram a 4.647 vítimas.
Isso representa uma aceleração de aproximadamente 60%.
Entre outubro de 2025 e março de 2026, o número mensal permaneceu acima de 700 vítimas, chegando a 861 vítimas somente em março de 2026, o maior volume mensal registrado pela Black Kite até então.
A média mensal também aumentou:
Período anterior: aproximadamente 504 vítimas/mês
Período analisado: aproximadamente 629 vítimas/mês
Mais importante do que um pico isolado, portanto, é a indicação de um novo patamar operacional para o ransomware.
Outros estudos confirmam a manutenção de um nível elevado de ataques
Os números variam entre empresas de inteligência porque cada relatório utiliza metodologia, fontes e períodos diferentes. Entretanto, pesquisas independentes apontam na mesma direção.
A Check Point Research registrou 2.122 vítimas publicadas em Data Leak Sites (DLS) somente no primeiro trimestre de 2026. Mais de 70 sites de vazamento associados a grupos criminosos foram monitorados no período.
Já o GuidePoint Research and Intelligence Team (GRIT) registrou 2.279 vítimas no segundo trimestre de 2026, crescimento de 7% em relação ao trimestre anterior e de 43% em comparação com o segundo trimestre de 2025.
O GRIT identificou ainda 91 grupos de ransomware ativos em 108 países no segundo trimestre, o maior número de grupos observado pela organização em seus levantamentos.
A NCC Group também encontrou crescimento entre os dois primeiros trimestres de 2026, passando de 2.165 para 2.229 ataques, aumento de aproximadamente 3%.
As diferenças absolutas entre os números são esperadas, principalmente porque alguns levantamentos contabilizam vítimas publicadas em leak sites, enquanto outros trabalham com incidentes, fontes abertas e inteligência própria.
O ponto de convergência é mais importante: o ransomware permanece em níveis historicamente elevados.
146 grupos: ransomware tornou-se um verdadeiro mercado criminoso
Outro indicador relevante é a quantidade de grupos em atividade.
A Black Kite identificou 61 novos grupos durante o período analisado. Ao final do período havia 127 operações ativas, número que chegou a 146 grupos em junho de 2026.
Para comparação, em 2023 a empresa havia identificado apenas 61 grupos ativos. Isso mostra uma característica importante do atual ecossistema: derrubar uma organização criminosa não necessariamente elimina sua capacidade operacional.
Afiliados podem migrar para outras operações, ferramentas podem ser reaproveitadas e novas marcas podem surgir rapidamente.
O modelo de Ransomware-as-a-Service (RaaS) contribuiu significativamente para esse processo, permitindo a especialização do ecossistema entre operadores, afiliados, initial access brokers, desenvolvedores de malware e outros participantes da cadeia criminosa.
Qilin emerge como principal protagonista
Entre os grupos acompanhados pela Black Kite, nenhum cresceu tanto quanto o Qilin.
O número de vítimas atribuídas ao grupo passou de aproximadamente 250 para 1.358, crescimento de 443% em relação ao período anterior. O grupo atuou em mais de 50 países e respondeu sozinho por aproximadamente uma em cada cinco ou seis vítimas observadas pela Black Kite.
O domínio do Qilin não aparece apenas nesse levantamento.
A Check Point Research identificou 338 vítimas associadas ao Qilin no primeiro trimestre de 2026, mantendo o grupo como a operação de ransomware mais proeminente pelo terceiro trimestre consecutivo.
No segundo trimestre, o GRIT novamente colocou Qilin na primeira posição, respondendo por aproximadamente 13% das vítimas observadas.
A NCC Group também identificou o grupo como o mais ativo no segundo trimestre de 2026, responsável por aproximadamente 14% dos ataques monitorados.
Portanto, apesar das diferenças metodológicas entre as empresas de Threat Intelligence, existe forte convergência em torno da posição de destaque ocupada pelo Qilin.
A concentração permanece alta
Curiosamente, o aumento da quantidade de grupos não significa necessariamente uma distribuição uniforme das vítimas.
Segundo a Black Kite, os cinco maiores grupos concentraram 43,6% das vítimas registradas.
O GRIT chegou a conclusão semelhante: os cinco grupos mais ativos responderam por mais de 40% dos ataques registrados no segundo trimestre de 2026. Qilin e The Gentlemen, juntos, representaram aproximadamente um quarto das vítimas observadas pela organização.
Temos, portanto, uma aparente contradição:
o mercado está fragmentado na base, mas permanece altamente concentrado no topo.
Há dezenas de pequenas operações surgindo e desaparecendo, enquanto alguns grandes grupos concentram uma parcela significativa das vítimas.
Indústria continua entre os principais alvos
A indústria de manufatura permanece especialmente exposta.
No levantamento da Black Kite, o setor registrou 1.660 vítimas, representando aproximadamente 22% das divulgações, permanecendo como o segmento mais afetado pelo quarto ano consecutivo.
Em seguida aparecem serviços profissionais, científicos e técnicos, com 1.389 vítimas. Juntos, os dois segmentos representam aproximadamente 40% das vítimas analisadas.
O GRIT também colocou manufatura na primeira posição no segundo trimestre de 2026, respondendo por aproximadamente 15% das vítimas.
A NCC Group encontrou concentração ainda maior dentro de sua própria metodologia: o setor industrial respondeu por aproximadamente 30% dos ataques observados no segundo trimestre.
Há razões econômicas e operacionais para essa preferência.
Ambientes industriais normalmente possuem forte dependência da disponibilidade dos sistemas, integração entre TI e Tecnologia Operacional (OT), sistemas legados, cadeias extensas de fornecedores e alto custo associado à interrupção das operações.
Para os criminosos, isso pode significar maior pressão sobre a vítima durante uma negociação de extorsão.
Empresas médias estão cada vez mais expostas
Outro dado relevante do relatório da Black Kite está relacionado ao faturamento das organizações atingidas.
Entre as vítimas com receita conhecida, empresas com faturamento entre US$ 50 milhões e US$ 100 milhões passaram de 25,1% para 29,3%, o maior crescimento entre as faixas analisadas.
Ao mesmo tempo, a participação das organizações com faturamento superior a US$ 100 milhões caiu de 13,9% para 9,5%.
Isso reforça uma mudança importante na percepção de risco:
Ransomware não é um problema exclusivo das grandes corporações.
Empresas médias podem oferecer aos criminosos uma combinação atraente entre capacidade financeira, dependência operacional e níveis de maturidade de segurança potencialmente inferiores aos encontrados em grandes organizações.
Europa apresenta forte crescimento
Os Estados Unidos continuam sendo o maior mercado individual para ransomware, representando aproximadamente 49,3% das vítimas identificadas pela Black Kite.
Entretanto, sua participação relativa caiu, enquanto a Europa apresentou crescimento acelerado.
Em levantamento específico sobre o continente europeu, a Black Kite encontrou crescimento de 55,1% nos incidentes de ransomware nos primeiros quatro meses de 2026, com média de 171 incidentes por mês.
Alemanha, Reino Unido, França, Itália e Espanha concentraram quase 70% da atividade observada no continente.
O fenômeno demonstra que o ransomware está se tornando progressivamente mais distribuído geograficamente.
Vulnerabilidades conhecidas continuam sendo um problema
Talvez um dos dados mais preocupantes do relatório esteja relacionado à situação das organizações depois do incidente.
A Black Kite realizou novas análises sobre as vítimas e constatou que:
43,5% ainda apresentavam pelo menos uma vulnerabilidade crítica CVSS 9.0 ou superior;
30,8% ainda possuíam uma vulnerabilidade presente no catálogo Known Exploited Vulnerabilities (KEV);
62,5% apresentavam pelo menos uma vulnerabilidade de severidade média ou superior relacionada a patches;
58,9% apresentavam configurações inadequadas de DMARC.
Isso evidencia uma distinção fundamental para programas de Gestão de Segurança da Informação:
recuperar a operação não significa eliminar as condições que possibilitaram o ataque.
Uma organização pode restaurar servidores, recuperar backups e retornar à operação normal sem necessariamente corrigir vulnerabilidades, credenciais expostas, configurações inadequadas ou riscos associados a terceiros.
Credenciais roubadas ganham importância
Outro indicador chama atenção.
A Black Kite identificou aumento de 175% na exposição relacionada a stealer logs entre organizações que já haviam sido comprometidas.
Stealer logs são conjuntos de informações obtidas por malware especializado no roubo de credenciais, podendo conter usuários, senhas, cookies de sessão, tokens, dados de navegadores e outras informações utilizadas posteriormente para obtenção de acesso.
Esse cenário reforça a importância de controles relacionados a:
- Identity and Access Management (IAM);
- Multi-Factor Authentication (MFA);
- Privileged Access Management (PAM);
- monitoramento de credenciais comprometidas;
- gerenciamento de sessões e tokens;
- políticas adequadas de senhas;
- detecção de comportamento anômalo;
- resposta rápida ao comprometimento de identidades.
A segurança de identidade está se tornando uma das principais fronteiras da defesa contra ransomware.
Terceiros e cadeia de suprimentos ampliam a superfície de ataque
Outra tendência relevante identificada pela Black Kite é o crescimento de ataques relacionados a plataformas e fornecedores confiáveis.
Nesse cenário, comprometer diretamente cada organização pode deixar de ser necessário.
Atacantes podem explorar uma plataforma, fornecedor, aplicação SaaS ou relacionamento de confiança e alcançar diversas organizações conectadas ao mesmo ecossistema.
A Black Kite destaca particularmente riscos associados a tokens OAuth, aplicações SaaS conectadas e cadeias de confiança delegadas, além de campanhas de exploração em massa de plataformas empresariais.
Isso altera significativamente o modelo tradicional de gestão de risco.
A pergunta deixa de ser apenas:
“Minha organização está protegida?”
e passa a incluir:
“Quais organizações, aplicações e identidades possuem acesso confiável ao meu ambiente?”
O gerenciamento de riscos de terceiros — Third-Party Risk Management (TPRM) — torna-se, portanto, componente essencial da estratégia contra ransomware.
Inteligência Artificial começa a mudar a economia dos ataques
A Inteligência Artificial também começa a exercer influência sobre o ecossistema criminoso.
A Black Kite observa que a IA não tornou o ransomware completamente autônomo, mas está contribuindo para reduzir o custo e a barreira técnica necessária para determinadas atividades criminosas.
O GRIT encontrou comportamento semelhante.
Segundo seus pesquisadores, criminosos estão utilizando Large Language Models (LLMs) para analisar dados exfiltrados, personalizar negociações de resgate e aumentar a pressão psicológica sobre as vítimas.
Isso pode aumentar a produtividade de grupos menores e reduzir a necessidade de grandes equipes especializadas.
Ransomware está evoluindo para extorsão orientada por dados
Outro fenômeno importante é que nem todos os ataques dependem necessariamente da criptografia.
O Global Resilience Federation (GRF), que analisou 3.815 ataques bem-sucedidos no primeiro semestre de 2026, observa que a fronteira entre ransomware tradicional e operações baseadas exclusivamente em roubo de informações e extorsão está ficando cada vez menos definida.
A lógica econômica é simples.
Se o atacante consegue exfiltrar informações altamente sensíveis e ameaçar:
- divulgar dados;
- comunicar clientes;
- informar autoridades reguladoras;
- vender informações;
- comprometer parceiros;
- divulgar propriedade intelectual;
a criptografia pode deixar de ser indispensável para gerar pressão financeira sobre a vítima.
Por isso, estratégias modernas de proteção contra ransomware precisam considerar não apenas disponibilidade, mas também confidencialidade e integridade das informações.
O que as organizações devem priorizar
O cenário de 2026 mostra que uma estratégia eficaz contra ransomware precisa combinar prevenção, detecção, resposta e resiliência.
Entre as prioridades estão:
Gestão contínua de vulnerabilidades — especialmente vulnerabilidades críticas e aquelas presentes no catálogo KEV da CISA.
Segurança de identidade — MFA resistente a phishing, PAM, revisão periódica de privilégios e monitoramento de credenciais comprometidas.
Segmentação de redes — limitar movimentação lateral e reduzir o impacto de um comprometimento inicial.
EDR/XDR e monitoramento contínuo — identificar comportamentos associados às fases anteriores à implantação do ransomware.
Backups resilientes — cópias offline ou imutáveis, protegidas por credenciais separadas e regularmente testadas.
Data Loss Prevention (DLP) — considerando que a exfiltração tornou-se parte central das operações de dupla extorsão.
Third-Party Risk Management (TPRM) — avaliar continuamente fornecedores, aplicações SaaS e acessos delegados.
Threat Intelligence — acompanhar grupos, vulnerabilidades exploradas, credenciais expostas e indicadores associados às operações criminosas.
Incident Response — possuir planos testados para isolamento, investigação, recuperação e comunicação durante um ataque.
Simulações e exercícios de crise — testar não somente equipes técnicas, mas também jurídico, privacidade, comunicação, alta administração e continuidade de negócios.
O ransomware tornou-se um problema de resiliência empresarial
Os números de 2026 mostram que tratar ransomware exclusivamente como uma questão de antivírus ou proteção de endpoint é insuficiente.
O problema envolve simultaneamente gestão de vulnerabilidades, identidade, segurança de terceiros, proteção de dados, continuidade de negócios, resposta a incidentes, inteligência de ameaças e governança corporativa.
Mais importante ainda, os atacantes estão cada vez mais orientados pelos mesmos sinais de exposição que uma organização poderia monitorar preventivamente.
A Black Kite encontrou uma correlação particularmente interessante: organizações classificadas com Ransomware Susceptibility Index (RSI) superior a 0,8 apresentaram probabilidade aproximadamente 291 vezes maior de serem atingidas do que aquelas abaixo de 0,2.
Além disso, 93,5% das vítimas apresentaram aumento de pelo menos 5% no RSI antes da divulgação do incidente.
A mensagem para CISOs e gestores de risco é clara:
muitos dos sinais utilizados pelos atacantes para selecionar suas vítimas podem ser identificados antes do ataque.
Em um cenário com centenas de operações criminosas, automação crescente e Ransomware-as-a-Service, a estratégia mais eficiente deixa de ser apenas reagir ao incidente.
É necessário reduzir continuamente a superfície de ataque, identificar exposições antes dos criminosos e desenvolver capacidade real de continuar operando mesmo quando os controles preventivos falham.
Referências
Black Kite — 2026 Ransomware Report
Relatório original que fundamenta os principais números apresentados neste artigo.
Acessar o relatório da Black Kite
GBHackers — 2026 Ransomware Report Reveals 7,551 Victims, 146 Active Groups, and Qilin’s 443% Surge
Matéria que originou esta análise.
Acessar a matéria do GBHackers
Check Point Research — The State of Ransomware Q1 2026
Análise de mais de 70 Data Leak Sites e 2.122 vítimas no primeiro trimestre.
Acessar a pesquisa da Check Point
GuidePoint Security — GRIT Q2 2026 Ransomware & Cyber Threat Insights Report
Relatório sobre 2.279 vítimas, 91 grupos e evolução do uso de IA por criminosos.
Acessar o relatório GRIT Q2 2026
NCC Group — Monthly Threat Pulse, June 2026
Dados sobre crescimento da atividade entre Q1 e Q2 e participação dos principais grupos.
Acessar a análise da NCC Group
Global Resilience Federation — Threat Group Activity Report H1 2026
Análise de 3.815 ataques no primeiro semestre e evolução da extorsão baseada em roubo de dados.
Acessar o relatório do GRF
Fontes consultadas: agosto de 2026
Clique e fale com representante oficial Netwrix Endpoint Protector
Veja também:
- O resgate não é o custo do ransomware
- Microsoft Defender pode ser transformado em arma contra EDR e antivírus
- Shadow AI: 47% do uso corporativo de IA ocorre em contas pessoais
- Cibersegurança: 95% das equipes enfrentam lacunas de habilidades
- Credenciais móveis avançam como pilar da segurança bancária
- Ransomware mira backups em 96% dos ataques
- Criminosos criam marketplace de dados pessoais para aplicar golpes na internet
- Violações de dados mais que dobram com avanço dos agentes de IA
- CertiK Intel3D – A Era das PSAVs e o Novo Padrão de Segurança do Brasil
- América Latina é a segunda região mais exposta a ciberameaças industriais
- IA amplia desafio de segurança e governança nas redes corporativas
- Falsas promessas de emprego na Meta, Disney, Coca-Cola e Spotify
Be the first to comment