Extorsão De Dados

Um recente aumento de ataques cibernéticos, direcionados a serviços financeiros, private equity e serviços profissionais, é atribuído ao grupo de extorsão de dados conhecido como UNC6671. Segundo um relatório do Google Threat Intelligence Group (GTIG) e Mandiant, o grupo utiliza phishing por voz (vishing) para enganar funcionários de empresas, se passando por membros da equipe de TI. Os atacantes frequentemente contatam as vítimas em seus dispositivos móveis pessoais, induzindo-as a acessar portais de login falsificados, onde suas credenciais e tokens de autenticação multifatorial (MFA) são interceptados.

A empresa americana de semicondutores Analog Devices anunciou que um grupo não autorizado acessou alguns de seus sistemas e exfiltrou arquivos. O incidente foi detectado em 23 de junho de 2026, levando a empresa a ativar seus protocolos de resposta a incidentes e contratar especialistas externos em cibersegurança para auxiliar nas atividades de contenção e investigação. Até o momento, não há informações sobre o tipo de dados comprometidos. A empresa informou à Comissão de Valores Mobiliários dos EUA (SEC) que não tem conhecimento de vazamentos de dados online ou uso fraudulento das informações. As autoridades policiais foram notificadas, e partes afetadas e reguladores receberão notificações sobre as informações comprometidas. Apesar do incidente, a Analog Devices afirmou que suas operações comerciais não foram afetadas e que não espera um impacto material em sua condição financeira. A empresa também está avaliando um outro problema de cibersegurança não relacionado que surgiu em relatórios públicos em 26 de julho, possivelmente ligado ao grupo de extorsão de dados ‘ExfilSquad’, que alegou ter exfiltrado informações de seus sistemas, embora não esteja mais listada em seu site. A conexão entre essa intrusão e o incidente divulgado na SEC ainda não está clara.

O grupo de cibercriminosos Cl0p está explorando falhas em implementações do PTC Windmill e FlexPLM para realizar uma nova campanha de extorsão de dados. Os atacantes utilizam uma vulnerabilidade crítica (CVE-2026-12569) no PTC Windmill, que permite a execução remota de código sem autenticação, combinada com uma falha de divulgação de informações no endpoint WSDL do FlexPLM. Isso possibilita a instalação de shells web JSP em sistemas vulneráveis. Os alvos incluem setores como manufatura, automotivo, aeroespacial e varejo. A PTC alertou seus clientes sobre um aumento na atividade de ameaças, e o Ransom-ISAC divulgou endereços IP associados a essas atividades maliciosas. Os e-mails de extorsão são enviados a centenas de usuários de organizações afetadas, com instruções para contatar o grupo Cl0p. A natureza da campanha e as táticas utilizadas indicam uma continuidade das operações do Cl0p, que historicamente visa falhas em produtos empresariais amplamente utilizados para roubo de dados e extorsão.

O grupo de ransomware Clop, também conhecido como Cl0p, está atacando instâncias do PTC Windchill e FlexPLM expostas à internet em uma nova campanha de extorsão por roubo de dados. Os atacantes estão explorando uma vulnerabilidade crítica de validação inadequada de entrada, identificada como CVE-2026-12569, que permite a execução remota de código em sistemas vulneráveis. A empresa de cibersegurança ReliaQuest relatou que os operadores do Clop estão utilizando webshells JSP para exfiltrar dados sensíveis das plataformas PLM comprometidas. A vulnerabilidade, que possui uma pontuação CVSS de 9.3, foi adicionada ao catálogo de Vulnerabilidades Conhecidas Exploradas da CISA, que ordenou que agências federais dos EUA protegessem suas instâncias do Windchill e FlexPLM em três dias. A PTC começou a lançar patches de segurança em 17 de junho e alertou seus clientes sobre uma atividade de ameaça elevada. O grupo Clop tem um histórico de campanhas de roubo de dados, tendo atacado anteriormente plataformas como Accellion e SolarWinds. As empresas afetadas estão recebendo e-mails de extorsão de novos endereços, como support@cryptohox.com, e devem tomar medidas imediatas para proteger seus sistemas.

Um ator de ameaças, identificado como O-UNC-066, está atacando organizações de diversos setores com solicitações de segurança falsas baseadas em voz, visando usuários do Microsoft 365. O grupo utiliza um kit de phishing controlado por painel que foca no processo de registro de chaves de acesso (passkeys). Os ataques têm como alvo indústrias como alimentos e bebidas, tecnologia, saúde, automotiva, construção e aviação. Os criminosos registram domínios que incluem a palavra ‘passkey’ e fazem chamadas para persuadir os usuários a se inscreverem em uma nova chave de acesso. Ao direcionar os usuários para um kit de phishing que imita o processo legítimo da Microsoft, os atacantes conseguem registrar suas próprias chaves de acesso nas contas das vítimas, obtendo acesso não autorizado. Este tipo de ataque se aproveita da falta de familiaridade dos usuários com a autenticação por chaves de acesso, criando uma sequência de páginas que enganam as vítimas a fornecerem suas credenciais e aprovar o registro de uma chave de acesso maliciosa. A situação é preocupante, pois coincide com a Microsoft incentivando a adoção de chaves de acesso, o que pode ser explorado por criminosos para facilitar ataques de extorsão de dados.

Um novo grupo de extorsão de dados, conhecido como Helix, está utilizando táticas focadas em identidade, como vishing (phishing por voz), phishing de código de dispositivo e abuso de autenticação multifatorial (MFA) para roubar dados de ambientes SharePoint. O contato inicial é feito por meio de vishing, onde os atacantes se passam por gerentes das vítimas, utilizando nomes ou técnicas de falsificação de ID para parecerem legítimos. O objetivo é enganar os alvos em esquemas de phishing de código de dispositivo para obter acesso às suas contas. Após a invasão, os operadores do Helix registram rapidamente um novo aplicativo de autenticação multifatorial para garantir a persistência, explorando e enumerando o SharePoint antes de exfiltrar arquivos. Os dados roubados são geralmente utilizados para extorquir as organizações vítimas, ameaçando publicá-los a menos que um resgate seja pago. Pesquisadores da ReliaQuest identificaram que o comportamento de exfiltração do SharePoint é a assinatura técnica mais forte do Helix, com uma coleta automatizada que se mostrou consistente em vários incidentes. Para mitigar esses ataques, recomenda-se desativar a autenticação por código de dispositivo sempre que possível e restringir o acesso ao SharePoint a dispositivos gerenciados.

No dia 19 de maio de 2026, a Grafana Labs anunciou que, após investigar uma violação de segurança, não encontrou evidências de que sistemas de produção ou operações de clientes tenham sido comprometidos. O incidente se limitou ao ambiente do GitHub da empresa, que inclui código-fonte público e privado, além de repositórios internos. A violação foi originada de um ataque à cadeia de suprimentos do TanStack npm, realizado pelo grupo TeamPCP, que também afetou outras empresas como OpenAI e Mistral AI. A Grafana detectou a atividade maliciosa em 11 de maio de 2026 e, apesar de ter realizado a rotação de tokens de workflow do GitHub, um token não rotacionado permitiu o acesso dos atacantes aos repositórios. A empresa recebeu uma demanda de extorsão em 16 de maio, mas decidiu não pagar, temendo que os dados roubados não fossem excluídos e que isso pudesse incentivar futuros ataques. Desde então, a Grafana implementou medidas para reforçar sua segurança no GitHub, incluindo a rotação de tokens de automação e auditoria de commits em busca de atividades maliciosas.

A Grafana, empresa de tecnologia, revelou que um grupo não autorizado obteve um token que permitiu acesso ao seu ambiente no GitHub, possibilitando o download de sua base de código. A investigação da empresa confirmou que não houve acesso a dados de clientes ou informações pessoais, e que não foram identificados impactos nos sistemas dos clientes. Após a descoberta do incidente, a Grafana iniciou uma análise forense e invalidou as credenciais comprometidas, além de implementar medidas de segurança adicionais. O atacante tentou extorquir a empresa, exigindo pagamento para evitar a divulgação da base de dados roubada, mas a Grafana optou por não ceder à chantagem, seguindo a recomendação do FBI, que desencoraja negociações com criminosos. O ataque foi atribuído ao grupo de cibercrime CoinbaseCartel, que se especializa em extorsão de dados e já possui 170 vítimas em diversos setores. A Grafana não divulgou detalhes sobre a base de código acessada, mas oferece soluções como o Grafana Cloud, uma plataforma de observabilidade gerenciada na nuvem. O incidente destaca a crescente ameaça de grupos de extorsão de dados e a importância de medidas de segurança robustas para proteger informações sensíveis.

O RubyGems, gerenciador de pacotes padrão da linguagem de programação Ruby, suspendeu temporariamente o cadastro de novas contas após um ataque malicioso significativo. Maciej Mensfeld, gerente de produto sênior da Mend.io, responsável pela segurança do RubyGems, confirmou que o ataque envolve centenas de pacotes, com foco principal na plataforma, mas também com alguns pacotes que carregam exploits. A página de cadastro do RubyGems agora exibe uma mensagem informando que o registro de novas contas está temporariamente desativado. A Mend.io planeja fornecer mais detalhes assim que a situação for controlada. Este incidente ocorre em um contexto de aumento de ataques à cadeia de suprimentos de software, onde grupos de ameaças, como o TeamPCP, têm comprometido pacotes amplamente utilizados para distribuir malware que rouba credenciais e dados sensíveis. Um relatório do Google revelou que as credenciais roubadas estão sendo monetizadas através de parcerias com grupos de ransomware e extorsão de dados. O impacto total do ataque ainda não é conhecido, e a situação está em desenvolvimento.

O grupo de cibercriminosos RansomHouse reivindicou a invasão do repositório de código-fonte da Trellix, uma empresa internacional de cibersegurança, e divulgou imagens como prova do ataque. A Trellix confirmou a violação em 1º de maio, informando que identificou acesso não autorizado a uma parte de seu repositório de código-fonte e que está colaborando com especialistas forenses para investigar o incidente. Apesar da confirmação do ataque, a empresa afirmou não ter encontrado evidências de que seu código-fonte tenha sido explorado ou que o processo de distribuição tenha sido afetado. O ataque ocorreu em 17 de abril e resultou em criptografia de dados. O RansomHouse, que atua desde 2022, é conhecido por suas operações de extorsão de dados, utilizando ferramentas avançadas de criptografia. Um caso recente notável do grupo envolveu o roubo de 740 mil registros de clientes da gigante de e-commerce japonesa Askul Corporation. A Trellix ainda está investigando o incidente e prometeu compartilhar mais informações assim que estiverem disponíveis.

A gigante de dispositivos médicos Medtronic revelou na semana passada que hackers invadiram sua rede e acessaram dados em “certos sistemas de TI corporativos”. A confirmação ocorreu após o grupo de extorsão de dados ‘ShinyHunters’ reivindicar a invasão e o roubo de mais de 9 milhões de registros da empresa. Medtronic, que opera em 150 países e possui 90 mil funcionários, é a maior fabricante de dispositivos médicos do mundo, com receita de US$ 33,5 bilhões. A empresa afirmou que a violação não afetou seus produtos ou a segurança dos pacientes, e que as operações comerciais permaneceram inalteradas. A Medtronic destacou que suas redes de TI corporativas são separadas das redes dos clientes hospitalares, que são geridas por suas próprias equipes de TI. Apesar da falta de informações adicionais sobre o ataque, o grupo ShinyHunters listou a Medtronic entre suas vítimas, alegando ter comprometido “terabytes de dados corporativos internos” e pressionando a empresa a pagar um resgate. Atualmente, a Medtronic não está mais visível no site de vazamento de dados do ShinyHunters, e a empresa está investigando se dados pessoais foram acessados. Caso a exposição de dados de clientes seja confirmada, a Medtronic se comprometeu a notificar e oferecer suporte aos afetados.

O grupo de extorsão de dados ShinyHunters anunciou ter roubado mais de 600 mil registros de clientes da Canada Goose, incluindo informações pessoais e dados de pagamento. A Canada Goose, uma marca canadense de roupas de luxo, afirmou que os dados parecem ser de transações passadas e que não há evidências de uma violação em seus sistemas. O conjunto de dados, com 1,67 GB, foi publicado em formato JSON e contém registros detalhados de pedidos, como nomes, endereços de e-mail, números de telefone, endereços de cobrança e entrega, além de informações parciais de cartões de pagamento. Embora não inclua números completos de cartões, as informações expostas podem ser utilizadas para phishing e fraudes. O grupo ShinyHunters negou que os dados tenham origem em ataques recentes a contas de SSO, afirmando que provêm de uma violação de um processador de pagamentos de terceiros. A empresa está revisando o conjunto de dados para avaliar sua precisão e escopo, mas ainda não se sabe quantos clientes podem ser afetados.

O relatório Red Report 2026 da Picus Labs revela uma mudança significativa nas estratégias de ataque cibernético, onde o foco não está mais em ataques destrutivos, como ransomware, mas sim em acessos prolongados e invisíveis. Embora o ransomware continue a ser uma ameaça, a pesquisa indica que a criptografia de dados para causar impacto caiu 38% em um ano, com os atacantes agora preferindo a extorsão de dados como modelo principal de monetização. Isso permite que os sistemas permaneçam operacionais enquanto os atacantes exfiltram informações sensíveis e coletam credenciais. O relatório destaca que a extração de credenciais de armazenamentos de senhas é uma das táticas mais comuns, representando quase 25% dos ataques. Além disso, 80% das técnicas mais utilizadas pelos atacantes priorizam a evasão e a persistência, com malware se comportando como parasitas digitais, operando silenciosamente e evitando detecções. A evolução do malware, que agora é capaz de evitar ambientes de análise, reflete uma lógica mais sofisticada dos atacantes, que se adaptam rapidamente às defesas. Apesar das expectativas em torno da inteligência artificial, os dados mostram que as técnicas tradicionais ainda dominam, com pouca inovação significativa no uso de IA para ataques.

Um ator de ameaças está atacando instâncias expostas do MongoDB em uma série de extorsões automatizadas, exigindo resgates baixos para restaurar os dados. O foco do atacante são bancos de dados inseguros, resultantes de configurações inadequadas que permitem acesso sem restrições. Até o momento, cerca de 1.400 servidores expostos foram comprometidos, com notas de resgate solicitando aproximadamente $500 em Bitcoin. Pesquisadores da empresa de cibersegurança Flare identificaram mais de 208.500 servidores MongoDB publicamente expostos, dos quais 3.100 podiam ser acessados sem autenticação. Quase metade (45,6%) desses servidores já havia sido comprometida, com dados apagados e notas de resgate deixadas. A análise das notas revelou que a maioria exigia um pagamento de 0.005 BTC em até 48 horas, sem garantias de que os atacantes realmente possuíam os dados ou forneceriam uma chave de descriptografia funcional. Flare recomenda que administradores do MongoDB evitem expor instâncias publicamente, utilizem autenticação forte e atualizem para as versões mais recentes do software. A situação é preocupante, pois muitos servidores expostos ainda estão vulneráveis a falhas conhecidas, o que pode levar a ataques adicionais.

Um novo coletivo cibercriminoso, formado por grupos como Scattered Spider, LAPSUS$ e ShinyHunters, tem se destacado por sua atividade no Telegram, onde já criou 16 canais desde agosto de 2025. O grupo, denominado Scattered LAPSUS$ Hunters (SLH), tem se envolvido em ataques de extorsão de dados, visando empresas que utilizam plataformas como Salesforce. O SLH oferece um serviço de extorsão como serviço (EaaS), permitindo que afiliados se unam para exigir pagamentos em troca do uso de sua marca. Além disso, o grupo tem se posicionado como uma entidade organizada, utilizando uma estrutura administrativa que confere legitimidade a suas operações. As atividades incluem campanhas de pressão contra executivos de alto escalão e a promoção de uma nova família de ransomware chamada Sh1nySp1d3r, que pode rivalizar com grupos estabelecidos como LockBit. A análise da Trustwave sugere que o SLH combina motivações financeiras com elementos de hacktivismo, utilizando técnicas de engenharia social e desenvolvimento de exploits para realizar suas operações. O uso do Telegram como plataforma central para coordenação e visibilidade reflete uma estratégia de comunicação eficaz entre os membros do grupo.