Um Novo Ranking de Ransomware para o 2º Trimestre de 2026

O ransomware não desacelerou, apenas reorganizou seu elenco. Um novo relatório da empresa de inteligência de ameaças Brandefense identifica os cinco principais grupos de ransomware que dominaram o 2º trimestre de 2026: Qilin, TheGentlemen, Akira, DragonForce e LockBit5. A análise, baseada no próprio monitoramento de inteligência de ameaças cibernéticas (CTI) da Brandefense, oferece às equipes de segurança e aos usuários comuns um retrato de quais grupos estão mais ativos no momento e, por extensão, quais organizações e indivíduos têm mais probabilidade de sentir os impactos.

Embora os nomes nessa lista sejam familiares para quem acompanha as notícias sobre ransomware nos últimos anos, sua persistência revela algo importante: operações de apreensão e pressão policial raramente eliminam essas operações por completo. Em vez disso, as marcas são reconstruídas, afiliados migram para novas plataformas e o modelo de ransomware como serviço (RaaS) continua gerando novas campanhas sob nomes antigos ou rebatizados, sendo o LockBit5 um exemplo claro de uma franquia que insiste em ressurgir apesar dos esforços anteriores de interrupção.

Os Cinco Grupos por Trás dos Números

Cada um dos cinco grupos monitorados pela Brandefense opera com sua própria rede de afiliados, preferências de alvos e estilo de negociação, mas compartilham o manual mais amplo que passou a definir o ransomware moderno: obter acesso, exfiltrar dados, criptografar sistemas e pressionar as vítimas a pagar antes que as informações vazem ou as operações parem por completo.

É aqui que as implicações para a privacidade se tornam impossíveis de ignorar. O ransomware hoje raramente se resume a arquivos bloqueados. Os grupos dependem cada vez mais do roubo de dados como moeda de troca, e alguns foram ainda mais longe, adotando o que se conhece como extorsão tripla, sobrepondo táticas adicionais de pressão, como entrar em contato diretamente com clientes ou parceiros da vítima. Se você quiser uma análise mais aprofundada de como essa escalada funciona na prática, nossa cobertura anterior sobre ransomware de extorsão tripla detalha exatamente como os invasores transformam dados roubados em arma além de um simples pedido de resgate.

Nem todo grupo segue a mesma fórmula, no entanto. Algumas campanhas reverteram para abordagens apenas de criptografia, sem nenhum componente de roubo de dados, uma variação abordada em nosso relatório sobre o retorno do Jadepuffer ao ransomware somente de criptografia. A diversidade entre os cinco grupos líderes nas descobertas do 2º trimestre de 2026 da Brandefense reflete essa mesma realidade: não existe mais um modelo único de ransomware, apenas um conjunto compartilhado de ferramentas que diferentes operadores combinam e adaptam.

Por que a Privacidade é o Verdadeiro Campo de Batalha

O ponto em comum em quase todas as operações de ransomware de alto nível atualmente é o acesso inicial. Os invasores raramente precisam escrever exploits inéditos quando credenciais roubadas cumprem o papel. Análises recentes do setor apontam que logins comprometidos estão superando as vulnerabilidades de software como o ponto de entrada preferido do ransomware, uma mudança que detalhamos em nossa cobertura sobre as descobertas da Sophos sobre logins comprometidos. Em paralelo a essa tendência, o malware infostealer tornou-se uma cadeia de suprimentos silenciosa, mas crucial, para os invasores, coletando credenciais de login em massa que depois aparecem exatamente nas invasões realizadas por esses grupos de ransomware. Nosso artigo sobre logs de infostealers superando o phishing como principal causa de violações explica como esse duto funciona.

Isso importa para a privacidade porque reformula o ransomware como essencialmente um problema de proteção de credenciais e dados, e não apenas de segurança de endpoints. Cada senha reutilizada em várias contas, cada token de sessão deixado exposto em um dispositivo infectado, torna-se um possível ponto de apoio para grupos como Qilin, Akira ou DragonForce explorarem. As vítimas também não se limitam a grandes empresas; quando grupos de ransomware exfiltram dados antes de criptografá-los, informações pessoais de funcionários, clientes e pacientes muitas vezes acabam fazendo parte da moeda de troca, independentemente de o resgate ser pago.

O Que Isso Significa para Você

A maioria dos leitores não estará defendendo diretamente uma rede corporativa contra o LockBit5 ou TheGentlemen, mas os efeitos colaterais atingem a todos. Se uma empresa com a qual você faz negócios for atingida por um desses grupos, seus dados pessoais, de credenciais de conta a dados financeiros, podem ser expostos ou vazados como parte do processo de extorsão. Algumas vítimas, como visto em incidentes passados como a recusa da Stadler Rail em pagar um resgate, optam por não pagar, o que significa que os dados roubados podem acabar publicados independentemente do desfecho.

A conclusão prática é que a defesa contra ransomware começa cada vez mais com a higiene básica de credenciais, tanto para organizações quanto para indivíduos. Senhas únicas e fortes, autenticação multifator e atenção redobrada contra malware infostealer (geralmente distribuído por meio de software pirata ou downloads maliciosos) reduzem as chances de se tornar um ponto de entrada para esses grupos.

Recomendações Práticas

  • Considere que qualquer conta reutilizada em vários serviços é um risco; as quadrilhas de ransomware compram ou coletam credenciais cada vez mais, em vez de invadir ativamente.
  • Ative a autenticação multifator em todos os lugares onde ela for oferecida, já que logins comprometidos continuam sendo o principal ponto de entrada para esses ataques.
  • Fique atento a notificações de violação de qualquer organização com a qual você interaja e as leve a sério, considerando a frequência com que dados roubados se tornam parte de uma negociação de ransomware.
  • Mantenha-se informado sobre quais grupos de ransomware estão ativos atualmente, pois conhecer o cenário ajuda tanto organizações quanto indivíduos a antecipar riscos em vez de reagir a eles depois do ocorrido.

O panorama do ransomware no 2º trimestre de 2026, conforme mapeado pela Brandefense, confirma que essa ameaça não está desaparecendo, está evoluindo. Ficar à frente dela significa prestar atenção em como esses grupos operam, e não apenas em seus nomes.