Ransomware

Em março de 2026, os ataques de ransomware atingiram um pico alarmante, totalizando 780 incidentes, um aumento de 13% em relação a fevereiro. O setor de utilidades foi o mais afetado, com um aumento de 630% nos ataques, destacando a vulnerabilidade da infraestrutura crítica. Os Estados Unidos foram o país mais visado, com 375 ataques, seguidos por França e Alemanha. Entre os ataques confirmados, 33 foram direcionados a empresas, 10 a entidades governamentais e 6 a instituições de saúde. Os grupos de ransomware mais ativos foram Qilin, Akira e The Gentlemen, com Qilin liderando com 140 ataques. Um total de 242 TB de dados foi roubado, evidenciando a gravidade da situação. O aumento significativo nos ataques a entidades governamentais e educacionais também é preocupante, refletindo uma tendência crescente de ataques a setores críticos. A situação exige atenção imediata das organizações para fortalecer suas defesas contra essas ameaças.

O Google anunciou que a funcionalidade de detecção de ransomware no Google Drive, impulsionada por inteligência artificial, está agora disponível para todos os usuários pagantes. Lançada inicialmente em versão beta em outubro de 2025, essa ferramenta pausa a sincronização de arquivos assim que um ataque de ransomware é detectado, alertando usuários e administradores de TI sobre a violação. Embora os arquivos no computador comprometido possam ser criptografados, os documentos armazenados no Google Drive permanecem protegidos e podem ser rapidamente restaurados após a resolução da infecção. O Google afirma que a nova versão do modelo de IA é capaz de detectar 14 vezes mais infecções em comparação com a versão beta, oferecendo uma proteção mais abrangente. A funcionalidade está ativada por padrão para todos os usuários de organizações com licenças de negócios, educação e empresas, enquanto a ferramenta de restauração de arquivos está disponível para todos os clientes do Google Workspace. Administradores têm a opção de desativar essa funcionalidade, se desejarem. A detecção de ransomware é uma resposta a um cenário crescente de ataques cibernéticos, refletindo a necessidade de soluções robustas de segurança em ambientes de armazenamento em nuvem.

A cidade de Apex, na Carolina do Norte, notificou 22.601 pessoas sobre uma violação de dados ocorrida em junho de 2024, que comprometeu informações pessoais sensíveis, incluindo números de segurança social, dados de identificação emitidos pelo governo, informações financeiras e registros médicos. O incidente foi resultado de um ataque de ransomware, embora a cidade tenha afirmado que nenhum resgate foi pago. Os dados roubados foram publicados em um provedor de armazenamento em nuvem, e a cidade obteve uma ordem judicial para acessar essas informações. Além da violação, o ataque causou interrupções nos pagamentos de contas dos residentes. As autoridades não revelaram como a rede foi comprometida, o valor do resgate exigido ou o motivo da demora de quase dois anos para notificar as vítimas. Em 2024, foram registrados 96 ataques de ransomware a entidades governamentais nos EUA, comprometendo mais de 2,6 milhões de registros pessoais. O ataque a Apex destaca a vulnerabilidade das infraestruturas governamentais e a necessidade de medidas de segurança robustas para proteger dados sensíveis.

O grupo cibercriminoso conhecido como Inc reivindicou a responsabilidade por um ataque cibernético à cidade de Meriden, em Connecticut, que resultou em várias interrupções nos sistemas da cidade, incluindo atrasos na emissão de contas de água. O ataque, que começou a ser relatado em 17 de fevereiro, afetou serviços essenciais, como os escritórios do cartório e da arrecadação de impostos, que ainda estavam sendo restaurados mais de um mês após o incidente. Inc, um grupo de ransomware que surgiu em julho de 2023, utiliza métodos como phishing direcionado e exploração de vulnerabilidades conhecidas para invadir redes. O grupo já reivindicou 704 ataques, com 175 confirmados, sendo 25 direcionados a entidades governamentais. Embora os oficiais de Meriden não tenham confirmado a reivindicação do grupo, a situação destaca a crescente ameaça de ataques de ransomware a entidades governamentais nos EUA, que podem resultar em roubo de dados e paralisação de serviços. O impacto potencial desses ataques é significativo, pois pode levar a perdas financeiras e riscos de conformidade, especialmente em relação à proteção de dados pessoais.

O grupo de hackers pro-Ucrânia conhecido como Bearlyfy, também chamado de Labubu, tem sido responsável por mais de 70 ataques cibernéticos direcionados a empresas russas desde sua aparição em janeiro de 2025. Recentemente, o grupo começou a utilizar uma nova variante de ransomware chamada GenieLocker, que ataca sistemas Windows. Segundo a empresa de segurança russa F6, os ataques do Bearlyfy têm como objetivos tanto a extorsão financeira quanto atos de sabotagem. Inicialmente, o grupo focou em pequenas empresas, mas suas demandas de resgate aumentaram, chegando a €80.000 (cerca de $92.100) e, em alguns casos, até centenas de milhares de dólares. Os ataques são caracterizados por uma rápida execução, com os hackers utilizando ferramentas como MeshAgent para obter acesso remoto e criptografar dados. Além disso, as notas de resgate são elaboradas diretamente pelos atacantes, ao invés de serem geradas automaticamente pelo software de ransomware. A evolução do Bearlyfy em um ano, de um grupo inexperiente para uma ameaça significativa para grandes empresas russas, destaca a crescente complexidade e sofisticação de suas operações.

O grupo de ransomware PEAR reivindicou a responsabilidade por um ataque cibernético à Universidade de Monmouth, ocorrido no início deste mês. O presidente da universidade, Patrick Leahy, informou os alunos sobre o incidente, que resultou em acesso não autorizado a informações na rede da instituição. PEAR afirma ter roubado 16 TB de dados e publicou amostras de documentos supostamente extraídos da universidade em seu site de vazamento de dados. Embora a universidade tenha iniciado protocolos de resposta e notificado o FBI e o Departamento de Educação, não há confirmação sobre a veracidade das alegações do grupo, nem se a universidade pagou um resgate. O ataque destaca a crescente ameaça de ransomware no setor educacional dos EUA, com pelo menos seis ataques confirmados em instituições de ensino em 2026. O grupo PEAR, que se especializa em roubo de dados sem criptografá-los, já reivindicou 64 ataques, com 13 confirmados por entidades alvo. A universidade se comprometeu a investigar o incidente e a melhorar a segurança de seus sistemas para evitar futuros ataques.

O grupo de ransomware Interlock adicionou a Goodwill Industries da Pensilvânia Central ao seu site de vazamento de dados após alegadamente roubar 80 GB de informações. O ataque, que ocorreu em março de 2026, gerou problemas técnicos em várias lojas, incluindo a interrupção de sistemas que forçaram clientes a pagar apenas em dinheiro. Funcionários relataram que o sistema foi hackeado, corroborando a situação com postagens nas redes sociais. A Goodwill Industries International afirmou não ter conhecimento de um ataque cibernético em seus sites, sugerindo que as informações sobre a Goodwill de Greater Grand Rapids deveriam ser verificadas diretamente com eles. O Interlock, que começou a registrar vítimas em outubro de 2024, já realizou 96 ataques, utilizando uma técnica de dupla extorsão, onde exige um resgate para descriptografar sistemas e também ameaça vender dados na dark web. Este incidente destaca a vulnerabilidade de organizações sem fins lucrativos e a crescente ameaça de ataques de ransomware nos Estados Unidos, que já contabilizam 41 ataques confirmados em 2026, afetando diversas instituições, incluindo escolas e organizações de saúde.

O Departamento de Justiça dos EUA anunciou a condenação de Ilya Angelov, um cidadão russo de 40 anos, a dois anos de prisão e uma multa de $100.000 por gerenciar uma botnet utilizada em ataques de ransomware contra empresas americanas. Angelov, que operava sob os pseudônimos ‘milan’ e ‘okart’, co-gerenciou o grupo cibercriminoso TA551 entre 2017 e 2021. O grupo foi responsável por construir uma rede de computadores comprometidos através da distribuição de arquivos maliciosos anexados a e-mails de spam. Os ataques visavam revender o acesso a esses computadores para outros grupos criminosos, resultando em extorsões que ultrapassaram $14 milhões. A colaboração de Angelov com outros grupos, como o BitPaymer e o IcedID, destaca a complexidade e a sofisticação das operações de ransomware. O caso ressalta a crescente ameaça de cibercrime, especialmente para empresas que podem ser alvos de tais ataques, e a necessidade de medidas de segurança robustas.

Ilya Angelov, um cidadão russo de 40 anos, foi condenado a dois anos de prisão após confessar que gerenciou uma botnet de phishing utilizada em ataques de ransomware BitPaymer contra 72 empresas nos Estados Unidos. Angelov, que se apresentou nos EUA após a invasão da Ucrânia, era um dos líderes de uma operação criminosa russa conhecida como Mario Kart, que entre 2017 e 2021, enviou até 700 mil e-mails de spam por dia, infectando cerca de 3 mil computadores diariamente. A gangue não apenas distribuía malware, mas também vendia o acesso a dispositivos infectados para outros cibercriminosos, que realizavam extorsões em criptomoedas, resultando em mais de 14 milhões de dólares em pagamentos de resgate. Além disso, Angelov colaborou com outros grupos de ransomware, como o IcedID, e sua operação foi associada a diversas campanhas de phishing e ransomware, incluindo a parceria com a gangue TrickBot. Outro cidadão russo, Aleksey Volkov, também foi condenado a quase sete anos de prisão por atuar como intermediário em ataques de ransomware Yanluowang. O caso destaca a crescente ameaça de ransomware e phishing, que continua a impactar empresas globalmente.

Um novo ataque de malvertising, focado na temporada de declaração de impostos nos Estados Unidos, está sendo utilizado por hackers para disseminar ransomware. Especialistas da Huntress alertam que, com a proximidade do prazo de 15 de abril, muitos usuários apressam-se em buscar formulários fiscais, o que os torna vulneráveis a sites falsos promovidos por anúncios do Google. Esses sites maliciosos instalam o ScreenConnect, uma ferramenta legítima de acesso remoto, que é utilizada para fins maliciosos. Antes de ativar essa ferramenta, os atacantes instalam um driver de kernel que desativa as proteções de segurança, como o Windows Defender. A campanha não se limita apenas a iscas relacionadas a impostos; também foram identificadas páginas falsas de atualização do Chrome, sugerindo um arsenal de engenharia social mais amplo. O ataque parece ser uma fase inicial de uma campanha mais complexa, onde os criminosos buscam estabelecer uma base e coletar credenciais, possivelmente preparando o terreno para a implementação de ransomware.

Aleksey Olegovich Volkov, um cidadão russo de 26 anos, foi condenado a quase 7 anos de prisão após se declarar culpado por atuar como um corretor de acesso inicial (IAB) em ataques de ransomware da gangue Yanluowang. Entre julho de 2021 e novembro de 2022, ele invadiu pelo menos oito empresas nos Estados Unidos, vendendo o acesso a redes corporativas para a operação de ransomware, cujos afiliados exigiam resgates que variavam de US$ 300 mil a US$ 15 milhões. Volkov foi extraditado para os EUA após ser preso na Itália em janeiro de 2024. Durante a investigação, o FBI recuperou registros de conversas, dados roubados e credenciais de rede das vítimas, além de rastrear a identidade de Volkov por meio de dados do iCloud e registros de troca de criptomoedas. Ele admitiu que sua parte nos resgates coletados chegou a US$ 1,5 milhão e foi condenado a pagar mais de US$ 9 milhões em restituição às vítimas. O caso destaca a crescente ameaça de ransomware e a complexidade das operações criminosas que envolvem múltiplos atores e tecnologias.

Aleksei Olegovich Volkov, um cidadão russo de 26 anos, foi condenado a 6,75 anos de prisão nos Estados Unidos por sua participação em grupos de cibercrime, incluindo a gangue de ransomware Yanluowang. Ele facilitou ataques que resultaram em perdas reais superiores a 9 milhões de dólares e perdas pretendidas que ultrapassam 24 milhões de dólares. Volkov atuava como um ‘broker de acesso inicial’, obtendo acesso não autorizado a redes de empresas e vendendo esse acesso a outros criminosos. Os ataques geralmente envolviam a instalação de malware que criptografava os dados das vítimas, levando-as a pagar resgates em criptomoedas. Além de sua pena, Volkov concordou em pagar restituição às vítimas e a devolver ferramentas utilizadas nos crimes. O artigo também menciona a acusação de um terceiro negociador de ransomware ligado ao grupo BlackCat, que ajudou a extorquir pagamentos de pelo menos 10 vítimas, resultando na apreensão de quase 9,2 milhões de dólares em criptomoedas. A DigitalMint, onde o negociador trabalhava, repudiou as ações ilegais de seus ex-funcionários.

Uma nova análise sobre ferramentas de detecção e resposta em endpoints (EDR) revelou que 54 delas utilizam a técnica conhecida como ’traga seu próprio driver vulnerável’ (BYOVD), explorando um total de 34 drivers vulneráveis. Esses programas, comumente usados em intrusões de ransomware, permitem que os atacantes neutralizem softwares de segurança antes de implantar malware de criptografia de arquivos. A pesquisa da ESET destaca que grupos de ransomware frequentemente produzem novas versões de seus criptografadores, tornando a detecção um desafio, já que esses malwares são intrinsecamente barulhentos. Os EDR killers atuam como componentes externos que desativam controles de segurança, facilitando a execução do ransomware. A maioria dessas ferramentas se aproveita de drivers legítimos, mas vulneráveis, para obter privilégios elevados e desativar processos de segurança. A análise também identificou ferramentas baseadas em scripts e utilitários anti-rootkits que podem interferir no funcionamento normal dos produtos de segurança. Para mitigar esses riscos, é essencial que as organizações implementem defesas em camadas e estratégias de detecção para monitorar e responder proativamente a essas ameaças.

O grupo de cibercriminosos conhecido como Inc reivindicou a responsabilidade pelo ataque à Namibia Airports Company (NAC), ocorrido em 6 de março de 2026. A NAC confirmou um incidente de segurança que afetou seus sistemas de TI, resultando em acesso não autorizado à infraestrutura de rede e contas administrativas. Embora a NAC tenha declarado que os serviços foram restaurados e a interrupção operacional foi limitada, a Inc alegou ter roubado cerca de 500 GB de dados. Até o momento, não há confirmação sobre o pagamento de resgate ou detalhes sobre como o ataque foi realizado. O grupo Inc, que surgiu em julho de 2023, é conhecido por suas táticas de ransomware, incluindo phishing direcionado e exploração de vulnerabilidades conhecidas. Este ataque marca a quinta vez que a Inc ataca uma empresa do setor de aviação, com um histórico de 694 ataques de ransomware, dos quais 173 foram confirmados. O impacto de tais ataques pode ser significativo, causando atrasos no transporte, interrupções em serviços de reservas e pagamentos, além de aumentar o risco de fraudes para os viajantes. A NAC é responsável pela operação de oito grandes aeroportos na Namíbia, e a segurança cibernética nesse setor é crucial para a continuidade das operações.

O boletim ThreatsDay desta semana destaca uma série de ameaças emergentes em cibersegurança, com foco em operações de Ransomware-as-a-Service (RaaS) e campanhas de phishing. O grupo ‘The Gentlemen’ utiliza uma vulnerabilidade crítica (CVE-2024-55591) em dispositivos FortiGate para realizar ataques, mantendo um banco de dados com 14.700 dispositivos comprometidos. Além disso, falhas no BMC FootPrints podem permitir execução remota de código, enquanto o malware SnappyClient, entregue pelo Hijack Loader, é projetado para roubo de dados e evasão de segurança. Outra técnica emergente, chamada CursorJack, explora links profundos para execução de comandos maliciosos. A campanha de phishing via Microsoft Teams tem aumentado, com atacantes se passando por equipes de TI para obter acesso remoto. A situação é preocupante, pois a exploração de falhas conhecidas em plataformas amplamente utilizadas, como Citrix, e o uso de engenharia social em ferramentas de comunicação, revelam a necessidade urgente de medidas de segurança mais robustas.

O grupo cibercriminoso Medusa reivindicou um ataque de malware ao Condado de Passaic, em Nova Jersey, ocorrido em março de 2026. Em um comunicado, as autoridades do condado informaram que o ataque afetou seus sistemas de TI e linhas telefônicas. Medusa exigiu um resgate de $800.000, com prazo até o final do mês, e publicou imagens de documentos que alegam ter sido roubados dos servidores do governo local. Embora o Condado de Passaic tenha reconhecido a ocorrência de um incidente de segurança, não confirmou a responsabilidade do grupo. A investigação está em andamento para determinar a natureza e a extensão do acesso não autorizado aos dados. Medusa, que opera um esquema de ransomware como serviço, já reivindicou outros ataques em 2026, incluindo instituições educacionais e governamentais. Os ataques de ransomware a entidades governamentais nos EUA têm se tornado mais frequentes, resultando em riscos significativos, como perda de dados e interrupção de serviços essenciais. O Condado de Passaic abriga cerca de 524.000 pessoas e está localizado na área metropolitana de Nova York.

A Amazon Threat Intelligence alertou sobre uma campanha ativa de ransomware chamada Interlock, que está explorando uma falha crítica de segurança no Cisco Secure Firewall Management Center (FMC) Software, identificada como CVE-2026-20131, com uma pontuação CVSS de 10.0. Essa vulnerabilidade permite que atacantes remotos não autenticados contornem a autenticação e executem código Java arbitrário como root em dispositivos afetados. A falha foi explorada como um zero-day desde 26 de janeiro de 2026, antes de ser divulgada publicamente pela Cisco. A campanha de Interlock utiliza uma cadeia de ataque complexa, que inclui scripts de reconhecimento em PowerShell, trojans de acesso remoto personalizados e técnicas de evasão. A Amazon compartilhou suas descobertas com a Cisco para ajudar a proteger os clientes. Diante da exploração ativa da falha, os usuários são aconselhados a aplicar patches imediatamente e realizar avaliações de segurança. A Cisco atualizou seu aviso sobre a vulnerabilidade, recomendando a atualização para uma versão corrigida do software.

O grupo de ransomware Genesis reivindicou a responsabilidade por um ataque cibernético à National Association on Drug Abuse Programs (NADAP) ocorrido em 10 de janeiro de 2026. A NADAP, uma organização sem fins lucrativos que oferece serviços de saúde e emprego a comunidades carentes em Nova York, notificou sobre a violação de dados em 13 de fevereiro de 2026, após detectar atividades suspeitas em sua rede. Os dados comprometidos incluem números de Seguro Social, datas de nascimento, informações médicas e financeiras. Genesis alegou ter roubado 2 TB de dados e justificou o ataque, embora a NADAP não tenha confirmado a reivindicação do grupo. Até o momento, não se sabe se um resgate foi pago ou como a violação ocorreu. Este incidente é parte de uma tendência crescente de ataques de ransomware nos EUA, com 27 ataques confirmados em 2026 até agora, em comparação com 662 em 2025. A NADAP, que já ajudou mais de 35.000 nova-iorquinos anualmente, não ofereceu monitoramento de crédito ou proteção contra roubo de identidade para as vítimas da violação.

O grupo de ransomware LockBit reivindicou um ataque cibernético ao Alcorn School District, no Mississippi, ocorrido no início de março. Em 1º de março, o distrito anunciou a desativação de sua rede devido a atividades suspeitas que estavam causando interrupções em seus sistemas. LockBit, que é conhecido por suas táticas de sequestro de dados e extorsão, listou o Alcorn Schools em seu site de vazamento de dados e exigiu um pagamento de resgate em um prazo de duas semanas. O distrito escolar não confirmou a reivindicação do grupo, e não há informações sobre como os atacantes conseguiram acessar a rede ou se um resgate foi pago. O LockBit, que opera desde 2019 e é baseado na Rússia, já atacou diversas instituições, incluindo escolas, e em 2026, registrou 72 ataques de ransomware, com oito confirmados. Os ataques de ransomware em instituições educacionais podem causar não apenas a perda de dados, mas também interrupções significativas nas operações diárias, afetando a comunicação, a gestão de notas e a segurança dos dados dos alunos. O Alcorn School District atende cerca de 3.800 alunos em várias escolas na região.

O grupo de ransomware Medusa reivindicou a responsabilidade pelo ataque cibernético ao Centro Médico da Universidade do Mississippi (UMMC), ocorrido entre 19 de fevereiro e 2 de março de 2026. O ataque resultou no fechamento das clínicas e no cancelamento de consultas, afetando gravemente o atendimento ao paciente, que teve que ser realizado com registros manuais e em centros de comando improvisados. A UMMC perdeu acesso a linhas telefônicas, e-mails e registros de pacientes, levando à transferência de alguns pacientes para outras instituições. Medusa exigiu um resgate de $800.000 em troca da restauração dos sistemas e da não divulgação de dados supostamente roubados, que foram demonstrados em seu site de vazamento de dados. Embora a UMMC tenha retomado suas operações normais após nove dias, a extensão dos dados comprometidos e se o resgate foi pago permanecem desconhecidos. O grupo Medusa, ativo desde 2019, já realizou 154 ataques confirmados, sendo 33 direcionados a prestadores de serviços de saúde, comprometendo cerca de 3,7 milhões de registros pessoais. Os ataques de ransomware a instituições de saúde nos EUA têm se tornado cada vez mais frequentes e disruptivos, colocando em risco a segurança e a privacidade dos pacientes.

A JBS Brasil, uma das maiores produtoras de carne do mundo, foi alvo de um novo ataque cibernético, desta vez pelo grupo de ransomware Coinbasecartel, que afirma ter roubado 3 terabytes de dados corporativos. O ataque foi anunciado em um fórum clandestino, mas detalhes sobre a natureza dos dados e a vulnerabilidade explorada não foram divulgados. Este incidente é um lembrete da crescente vulnerabilidade da JBS, que já havia enfrentado um ataque significativo em 2021, quando foi forçada a pagar R$ 57 milhões em resgate ao grupo REvil. O Coinbasecartel é conhecido por sua abordagem agressiva em negociações e por focar em informações estratégicas e financeiras de alto valor. Até o momento, a JBS não se pronunciou oficialmente sobre o ataque, o que levanta preocupações sobre a situação atual e possíveis negociações em andamento. O aumento de 50% nos ataques de ransomware, conforme relatado recentemente, destaca a necessidade de as empresas reforçarem suas medidas de segurança cibernética.

No último fim de semana, a gangue de ransomware Genesis adicionou a cidade de Hart, Michigan, ao seu site de vazamento de dados, alegando ter roubado 300 GB de informações. A cidade recebeu um ultimato de menos de seis dias para atender às exigências de resgate antes que os dados sejam divulgados publicamente. Em uma reunião pública realizada em 24 de fevereiro de 2026, a cidade confirmou a descoberta de um possível incidente de segurança e informou que as senhas de todos os usuários foram redefinidas. A cidade está colaborando com especialistas em cibersegurança para investigar o acesso não autorizado a uma parte limitada de sua rede. Embora a investigação esteja em andamento, a cidade enfatizou que a segurança de seus sistemas é uma prioridade e que medidas adicionais de monitoramento foram implementadas. Os residentes e funcionários foram alertados a ficarem atentos a possíveis campanhas de phishing. Genesis, que começou a operar em outubro de 2025, utiliza táticas de dupla extorsão, criptografando sistemas e roubando dados, exigindo resgates tanto para a chave de descriptografia quanto para a exclusão dos dados roubados. Este ataque à cidade de Hart é o segundo confirmado em 2026, seguindo um aumento significativo de ataques a entidades governamentais nos Estados Unidos, com seis incidentes confirmados até agora neste ano.

O grupo de cibercriminosos conhecido como Velvet Tempest, também identificado como DEV-0504, tem utilizado a técnica ClickFix e utilitários legítimos do Windows para implantar o malware DonutLoader e o backdoor CastleRAT. Pesquisadores da MalBeacon monitoraram as atividades do grupo em um ambiente simulado de uma organização sem fins lucrativos nos EUA, onde foram observadas ações como reconhecimento do Active Directory e coleta de credenciais armazenadas no Chrome. A invasão inicial ocorreu através de uma campanha de malvertising que direcionou as vítimas a inserir um comando ofuscado no diálogo de execução do Windows. Este comando ativou uma cadeia de comandos que buscou os primeiros carregadores de malware. Embora o Velvet Tempest seja conhecido por ataques de dupla extorsão, nesta intrusão específica não foi implantado o ransomware Termite, que já afetou vítimas de alto perfil. A técnica ClickFix tem sido adotada por outros grupos de ransomware, evidenciando uma tendência crescente de uso de engenharia social em ataques cibernéticos.

Evgenii Ptitsyn, um cidadão russo de 43 anos, se declarou culpado por um esquema de fraude eletrônica relacionado à operação de ransomware Phobos, que afetou centenas de vítimas em todo o mundo. O Phobos, uma operação de ransomware como serviço (RaaS) ligada à família Crysis, foi responsável por mais de 39 milhões de dólares em pagamentos de resgate de mais de 1.000 entidades públicas e privadas. Ptitsyn foi extraditado da Coreia do Sul em novembro de 2024 e acusado de supervisionar a venda e distribuição do ransomware. Os afiliados do Phobos invadiam redes de alvos, incluindo escolas e hospitais, utilizando credenciais roubadas, criptografando dados sensíveis e exigindo pagamento sob ameaça de vazamento. A operação Aether, coordenada pela Europol, resultou em detenções e apreensões de equipamentos relacionados ao Phobos, destacando a colaboração internacional no combate a esse tipo de crime cibernético. Ptitsyn enfrenta até 20 anos de prisão e sua sentença está marcada para 15 de julho de 2025.

O Huntress Tactical Response Team investigou um alerta de força bruta em um servidor RDP exposto à internet, que inicialmente parecia ser um incidente comum. Ao analisar os logs de eventos do Windows, a equipe descobriu que um único login bem-sucedido levou a um comportamento incomum de busca por credenciais, revelando uma infraestrutura geograficamente distribuída e um serviço VPN suspeito, indicando a presença de um ecossistema de ransomware como serviço.

O Centro Médico da Universidade de Mississippi (UMMC) anunciou que retomou suas operações normais após um ataque de ransomware que durou nove dias, bloqueando o acesso a registros médicos eletrônicos e desativando muitos de seus sistemas de TI. O ataque forçou a instituição a cancelar procedimentos ambulatoriais e consultas de imagem, embora os serviços hospitalares continuassem a ser prestados. A UMMC confirmou que conseguiu restaurar o acesso aos registros dos pacientes e reabriu suas clínicas, que agora funcionam em horários estendidos para acomodar os pacientes. Embora nenhum grupo de ransomware tenha reivindicado a responsabilidade pelo ataque, a UMMC está em contato com os atacantes e trabalhando com o FBI e a CISA para investigar o incidente. A UMMC é um dos maiores empregadores do Mississippi, com mais de 10.000 funcionários e uma infraestrutura crítica que inclui o único programa de transplante de órgãos e medula óssea do estado. O ataque destaca a crescente ameaça de ransomware a instituições de saúde, que são alvos atraentes devido à sensibilidade dos dados que gerenciam.

Um recente relatório da Chainalysis revelou um aumento de 50% nos ataques de ransomware em comparação ao ano anterior, enquanto o número de vítimas que pagaram resgates caiu para 28%, o menor índice já registrado. Essa queda na taxa de pagamentos reflete uma tendência de quatro anos, onde em 2024, 62,8% das vítimas pagaram, e em 2022, esse número foi ainda maior, atingindo 78,9%. Apesar da diminuição no número de pagamentos, o valor médio dos resgates aumentou drasticamente, passando de US$ 12.738 para US$ 59.556, um aumento de 368%. Os Estados Unidos, Canadá, Alemanha e Reino Unido foram identificados como os países mais visados. A análise sugere que a melhoria nas respostas a incidentes e a crescente regulamentação contra ataques são fatores que contribuíram para a queda na taxa de pagamentos, embora o valor dos resgates tenha aumentado, indicando que algumas vítimas estão dispostas a pagar quantias maiores para recuperar seus dados sequestrados.

Em fevereiro de 2026, os ataques de ransomware globalmente se mantiveram elevados, com 685 incidentes registrados, uma leve queda em relação aos 718 de janeiro. O setor de saúde viu um aumento de 30% nos ataques, subindo de 37 para 48, enquanto o setor de transporte teve um crescimento ainda maior, com um aumento de 39%, passando de 23 para 32 ataques. Os fabricantes, embora ainda sejam alvos significativos com 120 ataques, estão experimentando uma diminuição nas ocorrências. O grupo de ransomware Qilin continua sendo o mais ativo, com 104 ataques, seguido pelo grupo The Gentlemen, que registrou 84. Este último ganhou notoriedade, especialmente por seus ataques a instituições educacionais no Brasil, incluindo a Universidade Federal de Sergipe e a Centro Universitário Filadélfia. No total, mais de 89,5 TB de dados foram roubados em fevereiro, com os Estados Unidos liderando em número de ataques, seguidos pelo Canadá e Brasil. O aumento nos ataques a setores críticos, como saúde e transporte, destaca a necessidade urgente de medidas de segurança robustas e vigilância contínua.

A Universidade do Havai (UH) confirmou que um ataque de ransomware comprometeu os dados de aproximadamente 1,2 milhão de indivíduos, após uma violação na Divisão de Epidemiologia do seu Centro de Câncer em agosto de 2025. O ataque resultou no roubo de informações pessoais, incluindo números de Seguro Social (SSNs) e dados de registro de veículos. Em 23 de fevereiro, a universidade notificou mais de 87 mil participantes do Estudo Multiétnico (MEC) realizado entre 1993 e 1996, além de outros 900 mil indivíduos cujos e-mails foram encontrados. A UH informou que não houve impacto nas operações clínicas ou registros de alunos. O ataque causou danos significativos, atrasando os esforços de restauração e investigação. A universidade admitiu ter pago aos atacantes para obter uma ferramenta de descriptografia e garantir a destruição segura das informações roubadas. O diretor do UH Cancer Center expressou arrependimento pelo incidente e reafirmou o compromisso com a transparência e a proteção dos dados de pesquisa. Este incidente segue um padrão crescente de ataques de ransomware, que têm se tornado mais sofisticados e impactantes.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um ataque cibernético ao governo local de Southold, Nova York, ocorrido em novembro de 2025. O ataque, anunciado em 24 de novembro, afetou diversos sistemas da cidade, incluindo e-mails, folha de pagamento e coleta de impostos, resultando em um período de inatividade de duas semanas para a restauração dos serviços. Rhysida exigiu um resgate de 10 bitcoins, equivalente a aproximadamente $661,400, e ameaçou vender os dados comprometidos caso o pagamento não fosse realizado em sete dias. O supervisor de Southold, Al Krupski, afirmou que a cidade não tem intenção de pagar o resgate. Desde o incidente, a cidade investiu $500,000 em melhorias de segurança. Rhysida, que opera como um serviço de ransomware, já foi responsável por 21 ataques confirmados em 2025, afetando principalmente entidades governamentais. Os ataques de ransomware têm se tornado uma preocupação crescente nos EUA, com 84 incidentes confirmados em 2025, comprometendo cerca de 639,000 registros pessoais. O caso de Southold destaca a vulnerabilidade das administrações locais a ataques cibernéticos e a necessidade de investimentos em segurança da informação.

O número de vítimas de ransomware que pagaram aos criminosos caiu para 28% no último ano, o menor índice já registrado, apesar do aumento significativo no número de ataques. A plataforma de inteligência em blockchain Chainalysis observou uma tendência de queda nos pagamentos nos últimos quatro anos. Em 2025, os pagamentos totais em ransomware chegaram a $820 milhões, com a expectativa de que esse valor ultrapasse $900 milhões à medida que mais eventos e pagamentos sejam atribuídos. Embora o número total de pagamentos tenha se mantido relativamente estável, o número de ataques de ransomware aumentou 50% em relação ao ano anterior. Em 2024, a taxa de pagamento foi de 62,8%, enquanto em 2022 foi de 78,9%. A análise também revelou que, apesar da queda no número de vítimas que pagam, o valor médio dos resgates aumentou 368%, passando de $12,738 em 2024 para $59,556 em 2025. Os Estados Unidos continuam sendo o país mais visado, seguidos por Canadá, Alemanha e Reino Unido. O relatório destaca que o cenário de ransomware está em adaptação, com grupos de extorsão se diversificando e aumentando a complexidade de seus ataques.

A Marquis Software Solutions entrou com um processo contra a SonicWall, alegando negligência grave e falsas representações que resultaram em um ataque de ransomware que afetou 74 bancos nos EUA. O ataque, ocorrido em 14 de agosto de 2025, comprometeu a rede da Marquis após a invasão de um firewall da SonicWall, resultando no roubo de informações pessoais sensíveis, como nomes, endereços e números de segurança social. A investigação revelou que os hackers exploraram dados de configuração extraídos da infraestrutura de backup em nuvem da SonicWall, e não uma falha não corrigida, como inicialmente se pensava. A SonicWall introduziu uma vulnerabilidade em seu serviço de backup em nuvem MySonicWall devido a uma alteração de código em fevereiro de 2025, permitindo acesso não autorizado a arquivos de backup de configuração do firewall. Embora a SonicWall tenha inicialmente estimado que apenas 5% de seus clientes foram afetados, foi posteriormente confirmado que todos os clientes estavam em risco. A Marquis agora busca compensação financeira e está enfrentando mais de 36 ações coletivas relacionadas ao ataque. Este caso destaca a importância da segurança cibernética e a responsabilidade dos fornecedores em proteger os dados de seus clientes.

O Brasil se destacou em um relatório da Acronis, publicado em fevereiro de 2026, como um dos três países com maior incidência de ataques de ransomware globalmente, atrás apenas dos Estados Unidos e da Índia. O estudo revelou que mais de 7.600 vítimas foram registradas no país, com setores como manufatura, tecnologia e saúde sendo os mais afetados. Os hackers têm utilizado ferramentas legítimas da Microsoft e softwares de acesso remoto, como AnyDesk e TeamViewer, para realizar os ataques. Além disso, 52% dos incidentes foram iniciados por e-mails fraudulentos, evidenciando a crescente utilização de engenharia social para roubar informações sensíveis. O uso de inteligência artificial pelos cibercriminosos também foi destacado, permitindo uma negociação mais eficiente dos resgates. O aumento de 16% no volume médio de incidentes por organização em comparação ao ano anterior ressalta a urgência da situação, exigindo atenção redobrada das empresas brasileiras em relação à segurança cibernética.

Duas gangues de cibercriminosos afirmaram ter invadido a Resource Corporation of America (RCA), uma empresa de faturamento médico, e roubaram dados pessoais significativos, incluindo números de Seguro Social, informações de seguro de saúde, diagnósticos médicos e datas de nascimento. A RCA confirmou a violação de seus sistemas em dezembro de 2025, após detectar atividades suspeitas. As gangues Medusa e Qilin reivindicaram a responsabilidade pelo ataque, com Medusa exigindo um resgate de $800.000, enquanto Qilin não divulgou seu pedido. Medusa publicou amostras de documentos supostamente roubados e reiterou que os dados foram publicados após negociações de resgate fracassadas. O ataque ocorreu entre 9 e 17 de dezembro de 2025, comprometendo a segurança de dados de milhões de pessoas. A RCA não confirmou as reivindicações das gangues, e a Comparitech está aguardando um comentário da empresa. Este incidente destaca a crescente ameaça de ataques de ransomware no setor de saúde, que já registrou 30 ataques confirmados em 2025, afetando mais de 6 milhões de pessoas.

Hackers apoiados pelo Estado norte-coreano, associados ao grupo de ameaças Lazarus, estão atacando organizações de saúde nos Estados Unidos com extorsões utilizando o ransomware Medusa. Desde sua emergência em janeiro de 2021, o Medusa, que opera como um serviço de ransomware (RaaS), afetou mais de 300 organizações em setores críticos, com a gangue reivindicando pelo menos 80 novas vítimas até fevereiro de 2025. A Symantec, empresa de cibersegurança, relatou que um subgrupo do Lazarus, possivelmente Andariel/Stonefly, está agora utilizando o Medusa em ataques cibernéticos motivados financeiramente. Os ataques têm como alvo não apenas instituições de saúde, mas também organizações sem fins lucrativos, com um dos alvos sendo uma instituição educacional para crianças autistas. O valor do resgate pode chegar a 15 milhões de dólares, embora a média seja de cerca de 260 mil dólares. Os fundos obtidos são utilizados para apoiar operações de espionagem contra entidades nos setores de defesa, tecnologia e governo dos EUA, Taiwan e Coreia do Sul. A Symantec também forneceu indicadores de comprometimento (IoCs) que incluem dados de infraestrutura de rede e hashes do malware utilizado nos ataques.

O grupo de hackers Lazarus, vinculado à Coreia do Norte, foi identificado utilizando o ransomware Medusa em um ataque recente a uma entidade não revelada no Oriente Médio. De acordo com um relatório da equipe de inteligência de ameaças da Symantec e Carbon Black, o mesmo grupo tentou, sem sucesso, atacar uma organização de saúde nos Estados Unidos. O Medusa, que é uma operação de ransomware como serviço (RaaS) lançada pelo grupo Spearwing em 2023, já foi responsável por mais de 366 ataques. Desde novembro de 2025, foram registradas invasões a quatro organizações de saúde e sem fins lucrativos nos EUA, incluindo uma instituição de saúde mental e uma escola para crianças autistas, com um pedido médio de resgate de $260.000. A análise sugere que os grupos de hackers da Coreia do Norte estão mudando suas táticas, optando por usar variantes de ransomware já disponíveis em vez de desenvolver suas próprias ferramentas. Isso pode indicar uma abordagem mais pragmática, onde os benefícios de se associar a grupos estabelecidos de RaaS superam os custos de desenvolvimento. A campanha Medusa do Lazarus inclui o uso de diversas ferramentas, como Mimikatz e um backdoor personalizado chamado Comebacker. O uso de ransomware por grupos da Coreia do Norte continua a ser uma preocupação crescente, especialmente em setores críticos como saúde.

O grupo de ransomware conhecido como Inc reivindicou um ataque cibernético à cidade de Cocoa, na Flórida, ocorrido em fevereiro de 2026. A cidade anunciou problemas técnicos em seus sistemas de TI e pagamentos de serviços públicos, que foram interrompidos. No site de vazamento de dados do grupo, Inc afirmou ter roubado arquivos dos servidores oficiais da cidade, apresentando imagens como prova. Até o momento, as autoridades de Cocoa não confirmaram a reivindicação e não se sabe quais dados foram comprometidos, nem se um resgate foi exigido ou pago. O grupo Inc, que surgiu em julho de 2023, é conhecido por atacar setores como saúde, educação e governo, utilizando técnicas de phishing direcionado e explorando vulnerabilidades conhecidas. Em 2025, o grupo foi responsável por 360 ataques de ransomware, com 68 confirmações de suas reivindicações. O ataque à Cocoa se insere em um contexto mais amplo de ataques a entidades governamentais nos EUA, que têm enfrentado desafios significativos com a segurança de seus sistemas, podendo resultar em perda de dados e interrupções nos serviços públicos.

A Catalyst RCM, uma empresa de faturamento médico, confirmou que notificou vítimas de uma violação de dados ocorrida em novembro de 2025, que comprometeu informações pessoais e médicas. Embora a Catalyst não tenha divulgado o número exato de notificações, um de seus clientes, a Vikor Scientific, informou que 139.964 pessoas foram afetadas, sugerindo que ambas as divulgações se referem ao mesmo incidente. Os dados comprometidos incluem nomes, informações de cartões de pagamento, tratamentos médicos, histórico médico, diagnósticos, informações de seguro de saúde e datas de nascimento.

A Advantest Corporation, uma líder global em equipamentos de teste para semicondutores, revelou que sua rede corporativa foi alvo de um ataque de ransomware, que pode ter comprometido dados de clientes e funcionários. A empresa, com sede em Tóquio e que emprega cerca de 7.600 pessoas, detectou atividades incomuns em seu ambiente de TI no dia 15 de fevereiro, levando à ativação de protocolos de resposta a incidentes, incluindo a contenção de sistemas afetados. Especialistas em cibersegurança foram contratados para ajudar na investigação e contenção da ameaça. Embora a empresa não tenha confirmado o roubo de dados até o momento, a situação pode evoluir à medida que a investigação avança. A Advantest se comprometeu a notificar diretamente qualquer pessoa impactada e fornecer orientações sobre medidas de proteção. O ataque ocorre em um contexto de aumento de ciberataques a empresas japonesas, incluindo casos notáveis como os de Nissan e Muji. A empresa continuará a atualizar o público sobre novos desenvolvimentos relacionados ao incidente.

O Centro Médico da Universidade de Mississippi (UMMC) fechou todas as suas clínicas em decorrência de um ataque de ransomware que comprometeu seus sistemas de TI, incluindo o acesso aos registros médicos eletrônicos da Epic. Com mais de 10.000 funcionários e sendo um dos maiores empregadores do estado, o UMMC opera sete hospitais e 35 clínicas, além de ser o único centro de trauma de nível I e o único hospital infantil do Mississippi. O ataque levou ao cancelamento de cirurgias ambulatoriais e consultas, mas os serviços hospitalares continuaram através de procedimentos de contingência. A UMMC está investigando o incidente com a ajuda da Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) e do FBI. Embora os atacantes tenham se comunicado com a UMMC, não há confirmação sobre a responsabilidade pelo ataque. A situação permanece em avaliação, e a UMMC desativou todos os sistemas de rede como precaução. O impacto potencial inclui não apenas a interrupção dos serviços, mas também a possibilidade de roubo de dados, que pode ser usado como pressão para pagamento de resgate. A UMMC assegura que os cuidados aos pacientes estão sendo mantidos e que as aulas presenciais continuam normalmente.

O cenário de cibersegurança continua a evoluir rapidamente, com novas ameaças e táticas emergindo constantemente. O Google lançou a versão beta do Android 17, que inclui melhorias significativas em privacidade e segurança, como a descontinuação do tráfego em texto claro e suporte à criptografia híbrida HPKE. Por outro lado, o ransomware LockBit 5.0 se destaca por suas técnicas avançadas de evasão e suporte a múltiplas plataformas, incluindo Proxmox, um alvo crescente entre empresas. Além disso, novas campanhas de engenharia social, como ClickFix, estão explorando usuários de macOS através de técnicas de obfuscação, levando à instalação de malware e roubo de credenciais. A detenção de um suspeito na Polônia, ligado ao grupo de ransomware Phobos, e o aumento de ataques a organizações industriais, com um crescimento de 49% em grupos de ransomware focados nesse setor, destacam a gravidade da situação. A Microsoft também enfrentou um problema de segurança com o Copilot, que resumiu e-mails confidenciais sem permissão, violando políticas de proteção de dados. Esses eventos ressaltam a necessidade urgente de que as organizações reavaliem suas estratégias de segurança e resposta a incidentes.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um ataque cibernético ocorrido em 8 de dezembro de 2025, que afetou os sistemas de TI das Tribos Cheyenne e Arapaho. A liderança tribal anunciou publicamente o incidente em 7 de janeiro de 2026, informando que 80% de seus sistemas estavam operacionais um mês após o ataque. Rhysida exigiu um resgate de 10 bitcoins, equivalente a cerca de R$ 700 mil, em troca da recuperação dos dados. Embora a tribo tenha tomado medidas imediatas para proteger as informações dos membros e a infraestrutura crítica, não está claro se houve perda de dados ou se o resgate foi pago. Este não é o primeiro incidente de ransomware enfrentado pelas Tribos Cheyenne e Arapaho, que já haviam sido atacadas em 2021. Rhysida, que opera um modelo de ransomware como serviço, já reivindicou 104 ataques confirmados, sendo 21 contra entidades governamentais. Em 2025, foram registrados 83 ataques de ransomware a entidades governamentais nos EUA, com um impacto significativo na segurança de dados e operações governamentais.

O grupo de ransomware conhecido como Crazy está explorando softwares legítimos de monitoramento de funcionários, como o Net Monitor for Employees Professional e a plataforma de suporte SimpleHelp, para realizar invasões em redes corporativas. Segundo um estudo da empresa de segurança Huntress, os cibercriminosos utilizam esses aplicativos para se infiltrar nas máquinas das vítimas, aproveitando-se de redes vulneráveis e disfarçando suas atividades como ações administrativas normais. Uma vez dentro do sistema, os hackers conseguem transferir arquivos, executar comandos e obter permissões de administrador, além de instalar ferramentas adicionais para garantir o acesso contínuo. Um dos métodos utilizados inclui a desativação do Windows Defender e a configuração de alertas em caso de acesso a carteiras de criptomoeda. Essa abordagem de usar ferramentas legítimas para realizar ataques de ransomware representa uma nova tática que dificulta a detecção por parte das equipes de segurança. A Huntress recomenda que as organizações monitorem de perto a instalação não autorizada de aplicativos de suporte para proteger dados sensíveis contra roubo.

A polícia da Polônia prendeu um homem de 47 anos suspeito de ligação com o grupo de ransomware Phobos, durante uma operação conjunta que resultou na apreensão de computadores e celulares contendo credenciais roubadas, números de cartões de crédito e dados de acesso a servidores. A ação faz parte da ‘Operação Aether’, uma iniciativa internacional coordenada pela Europol, que visa desmantelar a infraestrutura do ransomware Phobos e seus afiliados. Durante a busca na residência do suspeito, foram encontrados arquivos que poderiam ser utilizados para acessar sistemas de computador de forma não autorizada e facilitar ataques de ransomware. O homem se comunicava com a organização criminosa por meio de aplicativos de mensagens criptografadas. Ele enfrenta acusações sob o Código Penal Polonês, podendo pegar até cinco anos de prisão se condenado. O ransomware Phobos, que opera como um serviço (RaaS), tem sido responsável por uma série de ataques a empresas em todo o mundo, com pagamentos de resgates que ultrapassam 16 milhões de dólares. A Operação Aether já resultou em várias prisões e na interrupção de atividades do grupo, incluindo a extradição de um administrador para os Estados Unidos e a apreensão de servidores na Tailândia.

A marca de hotéis Washington, operada pela Fujita Kanko Inc., anunciou que seus servidores foram comprometidos em um ataque de ransomware, resultando na exposição de dados empresariais. O incidente ocorreu em 13 de fevereiro de 2026, quando hackers invadiram a rede da empresa. A equipe de TI desconectou imediatamente os servidores da internet para conter a propagação do ataque. A empresa formou um grupo de trabalho interno e consultou especialistas em cibersegurança e a polícia para avaliar o impacto e coordenar os esforços de recuperação. Embora a investigação esteja em andamento, a empresa confirmou que dados de clientes provavelmente não foram expostos, pois essas informações estão armazenadas em servidores de uma empresa separada. No entanto, o ataque afetou as operações de alguns hotéis, incluindo a indisponibilidade temporária de terminais de cartão de crédito. O impacto financeiro do incidente ainda está sendo analisado. Até o momento, nenhum grupo de ransomware reivindicou a responsabilidade pelo ataque. O incidente ocorre em um contexto de aumento de ataques cibernéticos a empresas no Japão, incluindo grandes nomes como Nissan e NTT.

O grupo de ransomware Akira adicionou a varejista canadense Ardene ao seu site de vazamento de dados, alegando ter roubado 58 GB de informações. Recentemente, Ardene notificou seus clientes sobre um “incidente cibernético” que afetou seus sistemas internos em janeiro, resultando em atrasos nas entregas. Embora a empresa tenha afirmado que não tem conhecimento de comprometimento de dados de clientes até o momento, Akira alega ter acessado informações financeiras, dados de clientes e funcionários, além de informações confidenciais. O grupo Akira, que surgiu em março de 2023, é considerado um dos mais ativos em 2025, com 769 ataques registrados, incluindo outros alvos como Zurflüh-Feller e Travelmarket A/S. No Canadá, dois ataques confirmados foram registrados em 2025, sendo o mais recente o de Ardene. A empresa, que opera mais de 300 lojas, está investigando o incidente e implementou medidas de segurança imediatas. O ataque destaca a crescente ameaça de ransomware no setor varejista canadense e a necessidade de vigilância constante contra tais incidentes.

Uma nova campanha de ransomware, identificada pelos especialistas da Forcepoint X-Labs, está causando preocupação global ao sequestrar computadores sem a necessidade de conexão com a internet. O ataque utiliza táticas de phishing, enviando e-mails com anexos que parecem legítimos, mas que na verdade são atalhos do Windows. Quando o usuário clica no arquivo, comandos maliciosos são executados em segundo plano, permitindo que o malware se infiltre no sistema. O ransomware, associado ao grupo Global Group, gera uma chave de criptografia local, bloqueando arquivos e dificultando a recuperação dos dados. O ataque é descrito como ‘silencioso’, pois não requer comunicação com servidores externos, o que aumenta a complexidade da detecção e mitigação. Além disso, um temporizador embutido no malware apaga os arquivos originais após três segundos, tornando a recuperação ainda mais desafiadora. Essa nova abordagem representa uma evolução nas técnicas de ciberataque, exigindo atenção redobrada de usuários e profissionais de segurança da informação.

A operadora nacional de oleodutos da Romênia, Conpet S.A., confirmou que foi alvo de um ataque do grupo de ransomware Qilin, que resultou no roubo de dados da empresa. Em um comunicado, a Conpet informou que a infraestrutura de TI corporativa foi comprometida, mas as operações não foram afetadas. O grupo Qilin alegou ter extraído quase 1TB de documentos, incluindo informações financeiras e dados pessoais, como nomes e números de contas bancárias. A empresa está colaborando com a Direção Nacional de Segurança Cibernética da Romênia na investigação do incidente. Embora a quantidade exata de dados roubados ainda não tenha sido determinada, a Conpet alertou que as informações comprometidas podem ser utilizadas para fraudes. A empresa aconselha os indivíduos afetados a terem cautela com solicitações urgentes de informações pessoais, recomendando a verificação da legitimidade de tais pedidos através de canais oficiais. A Conpet S.A. é uma empresa estratégica controlada pelo Ministério da Energia da Romênia, responsável pelo transporte de petróleo e gás em uma rede de oleodutos de 3.800 km.

Pesquisadores da Huntress identificaram que membros do grupo de ransomware Crazy estão utilizando softwares legítimos de monitoramento de funcionários e ferramentas de suporte remoto, como o SimpleHelp, para manter acesso persistente em redes corporativas e se preparar para a implantação de ransomware. Os atacantes instalaram o Net Monitor for Employees Professional em sistemas comprometidos, permitindo acesso remoto completo, incluindo visualização de desktop e execução de comandos. Além disso, tentaram ativar a conta de administrador local e instalaram o cliente SimpleHelp para garantir acesso contínuo, mesmo que o software de monitoramento fosse removido. Os atacantes monitoraram atividades relacionadas a carteiras de criptomoedas e ferramentas de gerenciamento remoto, buscando detectar qualquer atividade suspeita. A Huntress alerta que a utilização de ferramentas de gerenciamento remoto legítimas tem se tornado comum em intrusões de ransomware, permitindo que os atacantes se misturem ao tráfego de rede normal. A recomendação é que as organizações monitorem de perto a instalação não autorizada de tais ferramentas e implementem autenticação multifator (MFA) em serviços de acesso remoto para proteger suas redes.

Um recente incidente envolvendo o grupo hacker Nitrogen revelou um bug crítico em sua variante de ransomware direcionada a hipervisores VMware ESXi. Este erro na programação resultou na perda das chaves de encriptação, tornando os dados das vítimas completamente irrecuperáveis. O ransomware, que já afetou diversas instituições financeiras e empresas industriais desde 2023, agora apresenta um novo desafio para suas vítimas: mesmo que não sejam obrigadas a pagar resgates, a falta de backups significa que os dados roubados estão perdidos para sempre. O problema ocorre durante a encriptação, onde parte da chave pública é sobrescrita, impossibilitando a combinação com a chave privada correspondente. A empresa de segurança Veeam, que reportou o incidente, não revelou os nomes das vítimas, mas destacou a gravidade da situação, especialmente para organizações que não possuem políticas de segurança robustas. Este evento ressalta a importância de medidas preventivas e de backup eficazes para mitigar os riscos associados a ataques de ransomware.