O ransomware continua em níveis elevados, mas com profundas mudanças no modelo de atuação cibercriminoso. No segundo trimestre de 2026, a Check Point Research (CPR) registrou 2.139 vítimas globais, um salto de 33% frente ao mesmo período de 2025. O número de grupos ativos chegou a 93, o maior patamar já observado pela equipe de inteligência.
Mais do que o aumento no volume de ataques, o levantamento aponta para uma transformação na economia do ransomware. Os grupos estão reduzindo a dependência da criptografia e priorizando o roubo e a exfiltração de dados como principal mecanismo de extorsão. Embora a taxa de pagamento de resgates tenha caído para cerca de 23%, o mercado movimentou mais de US$ 820 milhões em 2025.
A expansão da inteligência artificial também tem barateado e acelerado o desenvolvimento de operações criminosas. Evidências da CPR mostram que equipes pequenas já usam ferramentas assistidas por IA para criar códigos e infraestruturas em tempo recorde, embora não tenham sido identificados ataques executados de forma 100% autônoma por modelos de linguagem.
“Uma das descobertas mais importantes do trimestre é a rapidez com que as barreiras de entrada estão diminuindo”, afirma Sergey Shykevich, diretor de Threat Intelligence da Check Point Software. “Uma equipe pequena, apoiada por ferramentas assistidas por IA e redes de afiliados, consegue construir uma operação de alto nível em poucos meses. Com a IA acelerando a criação de exploits, mais grupos devem surgir e operar com maior velocidade.”
O Brasil respondeu por 2% das vítimas identificadas globalmente no período. Entre os grupos com atuação registrada no país estão LockBit, The Gentlemen, Krybit, Spacebears, APT73 e Coinbase Cartel. Essa diversidade reflete a fragmentação do mercado, no qual atores menores e fornecedores especializados ganham escala em vez do domínio de poucas operações centrais.
Um dos casos analisados envolve o grupo The Gentlemen, cujo administrador desenvolveu a infraestrutura de gerenciamento do ransomware em apenas três dias utilizando assistentes como DeepSeek e Qwen. A análise de conversas vazadas revelou que a operação contava com apenas nove integrantes no núcleo central, ampliando seu alcance por meio de redes de afiliados e ecossistemas de Ransomware-as-a-Service (RaaS).
Diante do foco em exfiltração, do encurtamento do tempo entre a descoberta e a exploração de vulnerabilidades e da mudança nos métodos de extorsão, a CPR reforça que a proteção de dados deve estar no mesmo nível de prioridade dos backups. Para Shykevich, as organizações precisam migrar para uma abordagem preventiva, reduzindo exposições exploráveis e protegendo credenciais estratégicas antes do acesso inicial.
