A Check Point Research (CPR), divisão de inteligência em ameaças da Check Point Software, registrou 2.139 vítimas de ransomware no mundo durante o segundo trimestre de 2026. O número representa crescimento de 33% em relação ao mesmo período de 2025. No Brasil, o país respondeu por 2% das vítimas identificadas pela equipe de pesquisa no período.
O levantamento também identificou 93 grupos ativos no trimestre, contra 71 no mesmo período do ano passado. Segundo a CPR, esse é o maior número de grupos de ransomware já registrado pela equipe.
Ransomware muda estratégia de extorsão
O relatório aponta uma transformação no modelo de atuação dos grupos criminosos. A criptografia de arquivos deixou de ser o único mecanismo de pressão, enquanto o roubo e a exfiltração de dados ganharam espaço nas operações de extorsão.
A taxa de pagamento de resgates caiu de 85% em 2019 para aproximadamente 23% atualmente. Ainda assim, os pagamentos relacionados a ransomware ultrapassaram US$ 820 milhões em 2025.
No Brasil, entre os grupos associados aos ataques identificados pela CPR estão LockBit, The Gentlemen, Krybit, Spacebears, APT73 e Coinbase Cartel.
“Uma das descobertas mais importantes do segundo trimestre não é apenas o número de vítimas de ransomware, mas a rapidez com que as barreiras de entrada estão diminuindo”, afirma Sergey Shykevich, diretor de Threat Intelligence da Check Point Software. “Já temos evidências de que uma equipe pequena, apoiada por ferramentas de desenvolvimento assistidas por IA e redes de afiliados, pode construir uma operação de ransomware de alto nível em poucos meses. À medida que a IA acelera o desenvolvimento de software e a criação de exploits, é provável que mais grupos surjam, operem com maior velocidade e alcancem uma escala maior.”
Inteligência artificial reduz barreiras técnicas
A inteligência artificial também está sendo utilizada por criminosos para acelerar o desenvolvimento de códigos e infraestrutura. A CPR, porém, não identificou ataques executados de forma autônoma por IA.
Um dos casos analisados envolve o grupo The Gentlemen. Conversas vazadas indicam que o administrador da operação desenvolveu a infraestrutura de gerenciamento do ransomware em aproximadamente três dias com o auxílio de assistentes de programação baseados em IA, incluindo DeepSeek e Qwen.
O caso mostra como ferramentas de IA, modelos de Ransomware-as-a-Service e redes de afiliados podem reduzir o conhecimento técnico necessário para estruturar operações criminosas.
Vulnerabilidades são exploradas em menos tempo
A CPR também aponta uma redução no intervalo entre a divulgação de uma vulnerabilidade e sua exploração ativa. Segundo o levantamento, esse período está cada vez mais próximo de horas ou dias, em vez de semanas.
O uso de IA no desenvolvimento de exploits é apontado como um dos fatores que contribuem para essa aceleração. Com menos tempo entre a descoberta de uma falha e sua exploração, as organizações precisam identificar e corrigir vulnerabilidades com maior velocidade.
O cenário também reforça a necessidade de priorizar falhas de acordo com o risco de exploração, reduzir a superfície de ataque e proteger credenciais e dados sensíveis.
The Gentlemen opera com estrutura enxuta
A análise de sistemas internos e conversas vazadas do The Gentlemen revelou um núcleo de aproximadamente nove operadores. Apesar da equipe reduzida, a operação utiliza uma rede de afiliados para ampliar sua capacidade de ataque.
O modelo reflete a especialização do ecossistema de ransomware, com diferentes participantes envolvidos em etapas como obtenção de acesso inicial, roubo de credenciais, desenvolvimento de ferramentas, exfiltração de dados e negociação com vítimas.
Check Point defende prevenção contra ransomware
Para a CPR, a evolução observada no segundo trimestre mostra que o ransomware deve ser tratado como uma cadeia de ataque que envolve acesso inicial, credenciais, exfiltração de dados, afiliados e ferramentas desenvolvidas com auxílio de IA.
“Com a IA acelerando o desenvolvimento de software e a criação de exploits, as organizações precisam migrar de um modelo de segurança reativo para uma abordagem orientada à prevenção”, afirma Shykevich. “Isso significa reduzir exposições exploráveis, proteger credenciais e dados sensíveis e considerar que os invasores utilizarão cada vez mais a IA para encurtar todas as etapas do ciclo de ataque.”
A mudança também amplia a importância da proteção de dados, além de estratégias de backup e recuperação. Com o avanço de modelos baseados em roubo e extorsão de informações, impedir o acesso inicial e limitar a exposição de dados passam a fazer parte da estratégia de resiliência das organizações.
