O mercado global de ransomware passou por uma consolidação acelerada em torno de menos grupos criminosos, mais estruturados e com maior capacidade operacional, segundo o Relatório sobre o Cenário de Ransomware no Primeiro Trimestre de 2026, divulgado pela Check Point Research (CPR), divisão de inteligência de ameaça da Check Point Software. Os dez principais grupos concentraram 71% de todas as vítimas globais, revertendo a fragmentação observada ao longo de grande parte de 2025.
Qilin lidera; The Gentlemen cresce 315%
O levantamento aponta que 2.122 organizações tiveram dados publicados em sites de vazamento de grupos de ransomware no primeiro trimestre de 2026, o segundo maior número para um primeiro trimestre já registrado. O grupo Qilin liderou a atividade global pelo terceiro trimestre consecutivo, com 338 vítimas. Já o The Gentlemen registrou o crescimento mais acelerado, saltando de 40 vítimas no quarto trimestre de 2025 para 166 no primeiro trimestre deste ano. O LockBit também voltou às operações mais ativas após retomar sua capacidade operacional depois de ações internacionais contra sua infraestrutura em 2024.
Os Estados Unidos permaneceram como principal alvo global, com 49,6% das vítimas. O Brasil apareceu entre os dez países mais atingidos no período, concentrando 2% de todos os casos publicados. O LockBit teve participação relevante nos ataques ligados ao Brasil, ampliando sua atuação para países como Brasil, Itália e Turquia. Indústria, manufatura, saúde e serviços empresariais continuam entre os setores mais impactados.
Mudança na lógica dos ataques
Os pesquisadores observaram que os grupos deixaram de priorizar apenas setores tradicionalmente lucrativos e passaram a explorar ambientes onde já existiam acessos comprometidos. “Os ataques de ransomware estão mais concentrados em grupos com elevada capacidade operacional, o que amplia o impacto financeiro e a interrupção das operações”, afirma Sergey Shykevich, gerente do grupo de inteligência de ameaças da Check Point Software. O executivo acrescenta que o uso crescente de inteligência artificial acelera etapas como acesso inicial e movimentação dentro das redes.
Shykevich recomenda que as empresas reduzam a dependência de respostas reativas e fortaleçam estratégias preventivas focadas em controle de acesso, proteção de identidade, segmentação de rede e limitação de movimentação lateral. O relatório informa que controles com modelo Zero Trust ajudam a limitar o alcance dos ataques. Empresas também precisam identificar vulnerabilidades e erros de configuração antes da invasão, além de reforçar proteção para e-mail, navegadores e endpoints com inteligência artificial.
