Os números do primeiro semestre
Em junho de 2026, o Brasil apareceu pela primeira vez no terceiro lugar do ranking global de vítimas de ransomware compilado pela plataforma Ransomware.live, com 23 casos registrados no mês. À frente ficaram apenas os Estados Unidos, com 199 ocorrências, e a Alemanha, com 49.
Isoladamente, 23 casos em um mês não impressionam. O que chama atenção é a trajetória. Levantamento da Vision Cybersecurity contabilizou 99 incidentes de ransomware contra organizações brasileiras entre janeiro e o início de julho, cerca de 67% de tudo que foi registrado durante os doze meses de 2025, quando houve 147 casos. Em pouco mais de metade do tempo, o país chegou perto de repetir o ano inteiro anterior.
| Posição | País | Casos no mês |
|---|---|---|
| 1º | Estados Unidos | 199 |
| 2º | Alemanha | 49 |
| 3º | Brasil | 23 |
| 4º | Reino Unido | 21 |
| 5º | Índia | 20 |
Há um detalhe contraintuitivo nesses dados: o volume global de vítimas caiu. Foram 708 organizações atingidas em junho no mundo todo, contra 791 em maio, uma redução de 10,5%. O Brasil subiu no ranking enquanto o total mundial diminuía, o que significa que a fatia brasileira do problema cresceu em termos relativos. Na América Latina, o país concentra 36,3% de todos os ataques identificados.
Como ler esses números. Todas essas contagens vêm de sites de vazamento operados pelos próprios grupos criminosos. Elas registram apenas as vítimas que foram publicamente extorquidas. Empresas que pagaram rapidamente, que restauraram backup sem alarde ou que simplesmente não foram publicadas ficam de fora. O número real é maior, a pergunta é quanto.
Quem está atacando empresas brasileiras
Relatório de inteligência de ameaças da Hackers Hive CTI Unit, que analisou 92 incidentes confirmados contra organizações brasileiras no primeiro semestre, identificou 28 grupos distintos em atividade contra alvos no país. A concentração, porém, é alta: alguns nomes respondem pela maior parte dos casos.
- Lockbit5 lidera com 19 ataques confirmados. Em março, o grupo atingiu SESI, SENAI e FIEPE em uma operação coordenada contra o Sistema S.
- Coinbasecartel reivindicou 3 TB de dados da JBS Brasil ao longo do semestre, além de comprometer os Correios e a CIGAM Software.
- APT73 mirou infraestrutura pública crítica, incluindo o siapenet.gov.br (sistema de pagamento de 1,3 milhão de servidores federais) e, em junho, o próprio domínio gov.br.
Janeiro foi o mês mais intenso do semestre, com 19 ataques em 31 dias. A sazonalidade que se esperaria de um início de ano simplesmente não apareceu.
Um fator que ajuda a explicar a aceleração é o uso de inteligência artificial pelos próprios atacantes. Ferramentas de geração de texto eliminaram a barreira idiomática que historicamente protegia alvos brasileiros de campanhas de phishing escritas em português ruim. A média de tentativas de ataque por organização subiu para cerca de 4.001 por semana em junho, crescimento de 44% em relação ao ano anterior.
Por que o alvo mudou para empresas menores
Durante anos, a lógica dominante do ransomware foi a caça à baleia: poucos alvos grandes, resgates altos, operações demoradas. Essa lógica se inverteu.
Grandes corporações investiram pesado em detecção e resposta, contrataram equipes dedicadas e passaram a ter seguro cibernético com exigências contratuais de controles mínimos. Atacá-las ficou caro e demorado. Pequenas e médias empresas, ao contrário, oferecem a combinação que os grupos procuram: dependência total dos sistemas para operar, defesas modestas e capacidade de pagar algo, nem que seja pouco.
Os dados setoriais reforçam isso. O mercado B2B concentrou 123 vítimas globais em junho, seguido por manufatura com 83 e tecnologia com 56. São setores povoados por empresas de porte médio que atendem outras empresas, exatamente o perfil de quem não pode ficar dois dias fora do ar sem consequências contratuais.
Há também uma falha estrutural que aparece com frequência incômoda nos relatórios: a ausência de autenticação multifator. Levantamentos sobre ambientes de nuvem de empresas brasileiras apontam índices altíssimos de contas sem MFA habilitado, muitas delas com privilégios administrativos que ninguém revisou desde a criação. Credencial válida é o caminho mais barato para dentro de uma rede, e continua amplamente disponível.
O risco que vem pela cadeia de fornecedores
O caso da CIGAM Software merece destaque separado. Quando um fornecedor de ERP usado por centenas de empresas é comprometido, cada cliente vira um alvo em potencial, sem ter cometido erro algum na própria infraestrutura.
Esse vetor é particularmente difícil de defender porque foge do perímetro que a empresa controla. Ainda assim, algumas medidas reduzem a exposição de forma concreta:
- Exigir contratualmente que fornecedores de software comuniquem incidentes em prazo definido, com penalidade por omissão.
- Segmentar a rede de modo que o servidor do ERP não tenha rota livre para o restante do ambiente.
- Restringir o acesso remoto de suporte de terceiros a janelas aprovadas, com credencial temporária e sessão gravada.
- Manter cópia dos dados do ERP em local que o fornecedor não consiga alcançar.
Esse último ponto costuma ser o mais negligenciado. Backup gerenciado pelo mesmo fornecedor que sofreu o comprometimento não é backup: é uma cópia dentro do raio de explosão.
O que fazer nos próximos 90 dias
Uma observação recorrente nos relatórios de 2026 é que os grupos raramente usam técnicas sofisticadas contra PMEs. Eles entram por credencial vazada, por serviço de acesso remoto exposto à internet e por vulnerabilidade conhecida que ninguém corrigiu. O básico bem feito bloqueia a maior parte das tentativas.
Se você precisa priorizar, esta é uma ordem defensável:
- Ative MFA em tudo que for exposto à internet: e-mail, VPN, painel de nuvem, acesso remoto. É a medida de maior retorno por real investido.
- Tire o RDP da internet. Se o acesso remoto é necessário, coloque-o atrás de VPN com MFA. Portas 3389 abertas continuam sendo porta de entrada.
- Implemente a regra 3-2-1 de backup: três cópias, em dois tipos de mídia, com uma delas fora do ambiente e, idealmente, imutável. Ransomware moderno procura e apaga backups antes de criptografar.
- Teste a restauração. Backup que nunca foi restaurado é uma hipótese, não um plano. Faça um teste real e cronometre quanto tempo leva.
- Revise contas privilegiadas. Liste quem tem acesso administrativo, remova o que não se justifica e desative contas de ex-funcionários e de projetos encerrados.
- Estabeleça um ciclo de correção de vulnerabilidades com prazo definido para falhas críticas, especialmente em sistemas expostos.
Antes de fechar esta página: se você não sabe responder de cabeça quanto tempo sua empresa levaria para voltar a operar depois de perder o servidor principal, essa é a primeira lacuna a fechar. O número não precisa ser bom: precisa ser conhecido.
Vale registrar também o lado jurídico. Um ataque de ransomware que expõe dados pessoais é um incidente de segurança sob a LGPD, com obrigação de comunicação à ANPD e aos titulares. Em 2026, com a Autoridade transformada em agência reguladora e ampliando a fiscalização, a falha em comunicar tem gerado mais consequência do que o vazamento em si. Tratamos disso em detalhe no artigo sobre a nova fase de fiscalização da ANPD.
Para quem quer um roteiro operacional mais completo, com controles organizados por prioridade e custo, reunimos dezoito itens no checklist de segurança cibernética para pequenas e médias empresas.