Ransomware Gentlemen atinge Soja de Portugal e vaza 491 GB
O grupo de ransomware Gentlemen reivindicou a responsabilidade por um ataque à Soja de Portugal, uma das principais empresas agrícolas de Portugal, resultando na exposição de 491 GB de dados corporativos sensíveis. De acordo com a reportagem publicada pelo DeXpose, os dados comprometidos incluem registros do sistema SAP, informações de funcionários e documentos financeiros. O artigo fonte traz a data de 4 de junho de 2026, o que parece ser um erro de reportagem ou uma publicação com data futura; os leitores devem observar que a precisão factual dessa data específica não pode ser confirmada de forma independente, embora várias fontes de inteligência de ameaças tenham corroborado a violação em si como um evento recente.
O incidente se soma a uma lista crescente de ataques atribuídos ao The Gentlemen, uma operação de ransomware como serviço (RaaS) que, segundo pesquisadores, surgiu publicamente no segundo semestre de 2025 e, desde então, reivindicou centenas de vítimas em diversos setores e países.
Quem são os Gentlemen e por que são eficazes?
O grupo Gentlemen opera como uma plataforma de ransomware como serviço (RaaS), o que significa que os desenvolvedores principais licenciam seu malware e infraestrutura para atacantes afiliados que realizam campanhas individuais. Esse modelo reduz a barreira de entrada para criminosos cibernéticos e torna a atribuição mais complexa para os investigadores.
O que distingue este grupo das operações de ransomware mais antigas é o uso consistente de dupla extorsão: eles criptografam os dados da vítima e os exfiltram antes de acionar a criptografia. Isso significa que mesmo organizações com procedimentos sólidos de backup enfrentam uma segunda ameaça: a divulgação pública ou venda dos dados roubados caso o resgate não seja pago. No caso da Soja de Portugal, o grupo parece ter cumprido essa ameaça, com 491 GB supostamente publicados ou disponibilizados por meio de sua infraestrutura de vazamento.
Pesquisadores observaram que o kit de ferramentas do The Gentlemen tem como alvo Windows, Linux, hipervisores ESXi e dispositivos NAS, tornando-os capazes de interromper uma ampla gama de ambientes de negócios, desde redes de escritórios tradicionais até data centers virtualizados.
Quais dados foram expostos e por que isso é importante
As categorias de dados envolvidas na violação da Soja de Portugal merecem uma análise cuidadosa. Os dados do SAP são particularmente significativos: o SAP é uma plataforma de planejamento de recursos empresariais (ERP) usada por grandes organizações para gerenciar desde cadeias de suprimentos e compras até folha de pagamento e contabilidade. Uma violação dos dados do SAP pode expor contratos de fornecedores, estruturas de preços, previsões financeiras internas e detalhes de remuneração de funcionários, tudo em um só lugar.
Os registros de funcionários, outra categoria confirmada nessa violação, normalmente incluem nomes, números de identificação, detalhes de contato e, às vezes, informações bancárias para folha de pagamento. Quando esses dados vazam, criam riscos secundários para os trabalhadores individuais, não apenas para a organização.
Esse padrão de visar sistemas de negócios corporativos não é exclusivo deste ataque. Incidentes semelhantes, como o ataque do ransomware Play à Ampex Data Systems, mostraram como os atacantes priorizam repositórios de dados de alto valor, incluindo informações de identificação pessoal de funcionários e registros financeiros, justamente porque oferecem tanto alavancagem para resgate quanto valor de revenda nos mercados criminosos.
Empresas agrícolas e de manufatura são alvos cada vez mais atraentes porque muitas vezes operam uma mistura de tecnologia operacional legada e software empresarial moderno, criando superfícies de ataque maiores e menos uniformes do que organizações que construíram sua infraestrutura mais recentemente.
Por que a segurança de perímetro por si só não é suficiente
Uma das lições mais importantes de incidentes como este é que as defesas de perímetro tradicionais — firewalls, software antivírus e monitoramento de rede — são necessárias, mas insuficientes. O grupo Gentlemen e operações semelhantes são conhecidos por obter acesso inicial por meio de campanhas de phishing, portas de protocolo de área de trabalho remota (RDP) expostas e credenciais comprometidas. Uma vez dentro da rede, eles se movem lateralmente, muitas vezes durante dias ou semanas, antes de implantar o ransomware.
É por isso que os profissionais de segurança defendem cada vez mais uma abordagem em camadas para a segurança organizacional. Algumas das camadas mais eficazes incluem:
- Acesso à rede com confiança zero: Em vez de confiar em qualquer dispositivo ou usuário dentro do perímetro da rede, a arquitetura de confiança zero exige verificação contínua de identidade e integridade do dispositivo antes de conceder acesso a qualquer recurso.
- Acesso remoto criptografado: VPNs e ferramentas semelhantes protegem os dados em trânsito e reduzem o risco de interceptação de credenciais em conexões desprotegidas, especialmente para trabalhadores remotos e híbridos que acessam sistemas sensíveis.
- Segmentação de rede: Manter sistemas como o SAP isolados das estações de trabalho dos funcionários em geral limita a capacidade do atacante de se mover lateralmente após obter um ponto de apoio inicial.
- Detecção e resposta de endpoint (EDR): Diferentemente do antivírus legado, as ferramentas EDR monitoram anomalias comportamentais que podem indicar que um atacante está operando dentro da rede, mesmo antes da implantação do malware.
O ataque de ransomware à ChipSoft na Holanda ilustrou um padrão de falha semelhante: os atacantes conseguiram acessar e exfiltrar grandes volumes de dados porque os sistemas internos não estavam suficientemente segmentados e os controles de acesso não eram granulares o suficiente para conter a violação depois que a entrada inicial foi obtida.
O que isso significa para você
Seja sua organização uma corporação multinacional ou uma empresa regional como a Soja de Portugal, o cálculo de risco mudou. Grupos de ransomware com modelos de RaaS podem implantar ataques em escala, visando qualquer setor onde existam dados valiosos. Empresas agrícolas, de logística e manufatura podem não ter se visto historicamente como alvos de alto valor, mas os dados que mantêm em sistemas ERP e RH contam uma história diferente.
Aqui estão medidas concretas que as organizações podem adotar para reduzir sua exposição:
- Audite os pontos de acesso remoto: Identifique todos os serviços voltados para a internet, especialmente gateways RDP e VPN, e certifique-se de que estejam protegidos com autenticação multifator e credenciais atualizadas regularmente.
- Implemente o acesso com privilégios mínimos: Funcionários e sistemas devem ter acesso apenas aos dados e aplicativos de que realmente precisam. Direitos de acesso amplos aceleram o movimento lateral após uma violação.
- Teste seus backups: Backups offline ou imutáveis são uma defesa crítica contra ransomware baseado em criptografia, mas apenas se forem testados regularmente e tiverem a restauração confirmada.
- Classificação de dados e criptografia em repouso: Saber quais dados são mais sensíveis e garantir que estejam criptografados mesmo quando armazenados internamente limita o valor dos arquivos exfiltrados para os atacantes.
A violação da Soja de Portugal é um estudo de caso útil não por ser excepcional, mas porque é cada vez mais típica. À medida que os ataques de ransomware continuam a expor grandes volumes de dados corporativos em todos os setores, as organizações que se saem melhor são aquelas que tratam a segurança como um processo contínuo, em vez de um investimento único. Revisar seus controles de acesso, arquitetura de rede e plano de resposta a incidentes agora é significativamente menos dispendioso do que gerenciar um vazamento de 491 GB após o ocorrido.
