O Brasil concentrou 51% dos ataques de ransomware registrados contra o setor de saúde na América Latina em 2026 e passou a figurar entre os três principais alvos mundiais desse tipo de ameaça. Os dados são do Elytron Threat Pulse, relatório desenvolvido pela Elytron Cybersecurity com base em informações de inteligência pública e privada sobre o cenário global de cibersegurança.
O levantamento reúne dados de comunicados oficiais, notícias, registros de incidentes, monitoramento da deep e dark web, informações do relatório State of Ransomware, da BlackFog, além de ocorrências identificadas pela própria Elytron em ambientes de clientes, tratadas de forma anonimizada. No primeiro trimestre de 2026, foram monitoradas 2.424 ocorrências de ransomware em todo o mundo, sendo 264 ataques divulgados publicamente e 2.160 identificados em portais de vazamentos e outras fontes de inteligência.
Roubo de dados antecede criptografia em 96% dos ataques
Segundo o relatório, o comportamento dos grupos criminosos mudou. Em 96% dos incidentes monitorados, os invasores copiaram informações sensíveis antes de criptografar os sistemas, ampliando o impacto das invasões.
Esse modelo de dupla extorsão reduz a eficácia da recuperação baseada apenas em backups, já que as informações podem ser divulgadas, comercializadas ou utilizadas como forma de pressão contra as organizações, mesmo após a restauração dos sistemas.
“Quando o dado é roubado antes da criptografia, o backup imutável já não resolve o problema sozinho. A empresa pode até restaurar seus sistemas, mas a informação já saiu do ambiente”, afirma Diogo Navarro, especialista em Cyber Threat Intelligence da Elytron e responsável pelo report.
Para o especialista, a resposta ao novo cenário exige uma estratégia baseada em detecção comportamental, monitoramento do tráfego de saída, proteção de dados sensíveis e processos integrados de resposta a incidentes.
Setor de saúde enfrenta riscos ampliados
De acordo com a Elytron, hospitais, operadoras, laboratórios, empresas farmacêuticas e fornecedores de tecnologia médica armazenam informações que permanecem valiosas por muitos anos, como prontuários, exames, dados genéticos e propriedade intelectual.
O relatório também aponta um crescimento de 250% da extorsão cibernética na América Latina, impulsionado por ambientes legados, alta dependência operacional e vulnerabilidades na cadeia de suprimentos. No Brasil, o setor de saúde representa 10,4% das vítimas registradas, enquanto provedores de serviços e empresas de tecnologia respondem por 34% dos ataques, ampliando os riscos para organizações conectadas a esses fornecedores.
Entre os grupos mais ativos no país em 2026, Lockbit5 e The Gentlemen lideram o número de vítimas, com 13 ocorrências cada. Segundo o estudo, o grupo The Gentlemen ganhou destaque por direcionar ataques contra organizações da área da saúde, da indústria farmacêutica e da medicina diagnóstica, incluindo os casos da Greenpharma e do Laboratório Santa Luzia.
Na avaliação de Navarro, o grupo utiliza técnicas sofisticadas para dificultar a detecção. “O grupo preocupa pela capacidade de abusar de drivers legítimos assinados, escalar privilégios em nível de kernel e desabilitar soluções de endpoint antes do impacto final”, explica.
O especialista também destaca o uso de payloads protegidos por senha, estratégia que dificulta a identificação automática das ameaças por soluções de segurança.
Cadeia de suprimentos amplia superfície de ataque
Outro ponto de atenção identificado pelo relatório é a cadeia de suprimentos. Segundo a Elytron, fornecedores terceirizados, plataformas de gestão, laboratórios, prestadores de serviços gerenciados (MSPs) e fabricantes de equipamentos conectados podem servir como porta de entrada para ataques de dupla extorsão.
“Laboratórios, fornecedores de equipamentos de imagem e sistemas de billing mantêm acessos permanentes às redes hospitalares, muitas vezes sem MFA e sem monitoramento ativo”, observa Navarro.
Para reduzir os riscos, a Elytron recomenda que as organizações priorizem a segmentação entre redes administrativas e clínicas, fortaleçam os mecanismos de contenção de movimentação lateral, ampliem a engenharia de detecção em plataformas SIEM e XDR, adotem uma gestão rigorosa dos riscos relacionados a terceiros e realizem monitoramento contínuo da deep e dark web para identificar credenciais expostas, menções à marca e ameaças direcionadas.
“A disrupção do atendimento hospitalar agora concorre com o vazamento de dados sensíveis; a extorsão na saúde tornou-se dupla e cirúrgica”, resume Navarro.
