Ransomware

Pesquisadores do FortiGuard Labs, da Fortinet, identificaram uma nova campanha de phishing que distribui ransomwares e o trojan de acesso remoto Amnesia RAT, com foco principal na Rússia. Os cibercriminosos utilizam técnicas de engenharia social, disfarçando seus ataques como documentos rotineiros. O que torna essa ameaça particularmente avançada é o uso de serviços de nuvem, como GitHub e Dropbox, para entregar diferentes payloads maliciosos, o que complica a detecção e mitigação. Além disso, os hackers exploram uma ferramenta legítima chamada defendnot para desabilitar o Microsoft Defender, o antivírus padrão do Windows. O ataque envolve o envio de arquivos comprimidos que contêm documentos falsos e um atalho malicioso, que, ao ser executado, baixa o malware via PowerShell. O Amnesia RAT é capaz de roubar informações sensíveis, como dados de navegadores e carteiras de criptomoeda, enquanto o ransomware Hakuna Matata criptografa arquivos e exige resgate. Os pesquisadores alertam que essa campanha demonstra uma nova abordagem, onde os malwares não exploram vulnerabilidades de software, mas abusam de características nativas do Windows, o que torna a defesa ainda mais desafiadora.

A gangue de ransomware ShinyHunters reivindicou a responsabilidade por uma série de ataques de vishing que exploram contas de login único (SSO) em serviços como Google, Microsoft e Okta. Os cibercriminosos utilizam técnicas de engenharia social, se passando por suporte de TI para enganar funcionários e obter credenciais e códigos de autenticação de dois fatores. Uma vez dentro das contas, eles aproveitam o acesso SSO para invadir sistemas corporativos, comprometendo dados sensíveis. Os ataques são facilitados por kits de phishing que imitam sites legítimos em tempo real, adaptando-se às respostas das vítimas durante as chamadas. Embora a Google e a Microsoft tenham negado que seus produtos tenham sido afetados, os hackers afirmam ter utilizado dados de invasões anteriores para contatar funcionários. O uso de SSO, que conecta diversos aplicativos em um único login, aumenta o risco de compromissos em larga escala, especialmente em empresas que utilizam plataformas como Salesforce, Slack e Google Workspace. Este incidente destaca a necessidade urgente de fortalecer a segurança em torno de autenticações e credenciais corporativas.

O grupo de ransomware Rhysida reivindicou a responsabilidade por uma violação de dados ocorrida em novembro de 2025 na Cytek Biosciences, uma fabricante de produtos médicos localizada em Fremont, Califórnia. A violação afetou 331 pessoas, comprometendo informações pessoais sensíveis, incluindo números de Seguro Social, dados de saúde, informações financeiras, e credenciais de contas de funcionários. A Cytek não confirmou se pagou um resgate, e detalhes sobre como a rede foi invadida ainda não foram divulgados. Rhysida, que opera como um serviço de ransomware, já realizou 258 ataques desde sua fundação em 2023, com um histórico de demandas de resgate que podem ultrapassar US$ 3 milhões. Em 2025, ataques a empresas de saúde nos EUA resultaram no comprometimento de mais de 5,86 milhões de registros. A Cytek está oferecendo 24 meses de proteção contra roubo de identidade para as vítimas afetadas. Este incidente destaca a crescente ameaça de ransomware no setor de saúde, que pode comprometer a segurança e a privacidade dos pacientes.

Pesquisadores de segurança das equipes Carbon Black e Symantec relataram detalhes sobre o novo ransomware Osiris, que vem afetando países da Ásia desde novembro de 2025. Este ransomware, que é vendido como ransomware-as-a-service, utiliza um driver malicioso chamado POORTRY, projetado para desativar aplicativos de segurança nas máquinas das vítimas. Diferente de variantes anteriores, o Osiris não possui relação com o ransomware Locky, que surgiu em 2016. Os ataques são classificados como ’living-off-the-land’, extraindo dados através de buckets Wasabi e utilizando ferramentas como Mimikatz, Netscan, Netexec, MeshAgent e Rustdesk. O uso do driver POORTRY é um diferencial, pois ele é especificamente desenhado para elevar privilégios e fechar ferramentas de segurança, em vez de simplesmente entregar programas vulneráveis. No Brasil, o grupo Makop também tem realizado atividades semelhantes, visando sistemas remotos e utilizando drivers maliciosos. Para se proteger, especialistas recomendam monitorar ferramentas de uso duplo, restringir acessos a sistemas remotos, reforçar a autenticação em duas etapas e proibir aplicativos suspeitos.

Uma nova campanha de phishing multifásica foi identificada, visando usuários na Rússia com ransomware e um trojan de acesso remoto chamado Amnesia RAT. O ataque começa com documentos de aparência rotineira que utilizam engenharia social para enganar as vítimas. Esses documentos contêm scripts maliciosos que operam em segundo plano, enquanto distraem o usuário com tarefas falsas. A campanha se destaca pelo uso de serviços de nuvem públicos, como GitHub e Dropbox, para distribuir diferentes tipos de cargas úteis, dificultando a remoção. Além disso, um recurso chamado defendnot é utilizado para desativar o Microsoft Defender, permitindo que o malware opere sem ser detectado. O ataque utiliza arquivos de atalho maliciosos que, ao serem executados, baixam scripts adicionais que estabelecem um ponto de controle no sistema. O Amnesia RAT, uma das cargas finais, é capaz de roubar dados sensíveis e controlar remotamente o sistema, enquanto um ransomware derivado da família Hakuna Matata criptografa arquivos e altera endereços de carteiras de criptomoedas. A campanha evidencia como ataques modernos podem comprometer sistemas sem explorar vulnerabilidades de software, utilizando recursos nativos do Windows para desativar defesas e implantar ferramentas de vigilância e cargas destrutivas.

No final de 2025, a Under Armour, empresa de artigos esportivos, foi alvo de um ataque hacker que expôs dados de aproximadamente 72,2 milhões de contas de clientes. O incidente, supostamente liderado pela gangue de ransomware Everest, ocorreu em novembro e envolveu a tentativa de extorsão, onde os hackers exigiram um pagamento para não vazar os dados. Apesar das alegações da gangue, a Under Armour não confirmou nem desmentiu a invasão, mantendo-se em silêncio sobre o assunto. Os dados vazados incluem informações sensíveis como nomes, e-mails, datas de nascimento, gênero, localização e histórico de compras. A plataforma Have I Been Pwned? adicionou essas contas ao seu banco de dados, permitindo que usuários verifiquem se suas informações foram comprometidas. A situação é preocupante, pois 76% dos e-mails vazados já estavam presentes em brechas anteriores, o que pode aumentar o risco de ataques de phishing. Além disso, um processo judicial foi movido contra a empresa, sugerindo uma possível ação coletiva devido ao incidente.

Uma falha na segurança operacional possibilitou que pesquisadores recuperassem dados que o grupo de ransomware INC havia roubado de uma dúzia de organizações nos Estados Unidos. A investigação, conduzida pela empresa Cyber Centaurs, começou após um cliente detectar atividade de criptografia de ransomware em um servidor SQL. O ransomware, uma variante do RainINC, foi executado a partir do diretório PerfLogs, que normalmente é utilizado pelo Windows, mas que os atacantes começaram a usar para armazenar suas ferramentas. Durante a análise, os pesquisadores encontraram vestígios de uma ferramenta de backup legítima chamada Restic, embora esta não tenha sido utilizada na exfiltração de dados. A análise revelou que o grupo de ransomware poderia estar reutilizando a infraestrutura de backup em várias campanhas, o que levantou a hipótese de que dados roubados de outras organizações poderiam ainda estar disponíveis em forma criptografada. Para validar essa teoria, a equipe desenvolveu um processo de enumeração controlada que confirmou a presença de dados criptografados de 12 organizações diferentes em setores como saúde, manufatura e tecnologia. Após a recuperação, os dados foram descriptografados e as cópias preservadas, enquanto a Cyber Centaurs contatou as autoridades para validar a propriedade e orientar sobre os procedimentos adequados.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova família de ransomware chamada Osiris, que atacou um grande operador de franquias de serviços alimentícios no Sudeste Asiático em novembro de 2025. O ataque utilizou um driver malicioso denominado POORTRY, parte de uma técnica conhecida como ‘bring your own vulnerable driver’ (BYOVD), para desativar softwares de segurança. O Osiris é considerado uma nova cepa de ransomware, sem relação com uma variante anterior do mesmo nome. Os especialistas da Broadcom identificaram indícios que sugerem que os atacantes podem ter vínculos com o ransomware INC. O Osiris utiliza um esquema de criptografia híbrido e chaves únicas para cada arquivo, sendo capaz de interromper serviços e especificar quais pastas e extensões devem ser criptografadas. O ataque também envolveu a exfiltração de dados sensíveis para um bucket de armazenamento em nuvem Wasabi, utilizando ferramentas como Rclone e uma versão personalizada do software de desktop remoto Rustdesk. O uso do driver POORTRY, projetado para elevar privilégios e encerrar ferramentas de segurança, destaca a evolução das táticas de ransomware, que continuam a representar uma ameaça significativa para as empresas. Em 2025, foram registrados 4.737 ataques de ransomware, um aumento em relação ao ano anterior, evidenciando a persistência e a adaptação dos grupos de cibercrime.

O grupo de ransomware NightSpire atacou o hotel Hyatt Place Chelsea, em Nova York, e roubou 48,5 GB de dados sensíveis, que incluem recibos, registros de gastos e informações pessoais de funcionários e parceiros. Os hackers disponibilizaram esses dados em um site da dark web, onde oferecem amostras para potenciais compradores. Especialistas da Cybernews analisaram os arquivos e identificaram que as informações podem ser utilizadas para ataques de phishing, aumentando o risco de novos vazamentos de dados. A Hyatt Hotels Corporation, que opera mais de 1.350 hotéis globalmente, ainda não se pronunciou oficialmente sobre o incidente. A indústria hoteleira é frequentemente alvo de ciberataques, e a falta de informações claras sobre a extensão do ataque levanta preocupações sobre a segurança dos dados de clientes e parceiros. O impacto potencial desse vazamento pode ser significativo, considerando a natureza sensível das informações envolvidas e a possibilidade de acesso a sistemas internos da empresa.

Oleg Evgenievich Nefedov, suposto líder do grupo de ransomware Black Basta, foi incluído no alerta vermelho da Interpol durante uma operação conjunta entre autoridades policiais da Ucrânia e da Alemanha. Nefedov, um cidadão russo de 35 anos, é acusado de liderar um grupo que arrecadou ilegalmente centenas de milhões de dólares em criptomoedas, atacando mais de 500 empresas na América do Norte, Europa e Austrália desde 2022. Os membros do grupo são especializados em invasões técnicas e na extração de senhas, utilizando softwares específicos para realizar ciberataques e extorquir dinheiro das vítimas. Durante a operação, dois ucranianos foram identificados como suspeitos e tiveram suas residências vasculhadas, resultando na apreensão de dispositivos digitais e ativos em criptomoedas. Nefedov já havia sido preso em 2024 na Armênia, mas conseguiu escapar. Atualmente, seu paradeiro é desconhecido, embora se acredite que ele esteja na Rússia. O caso destaca a crescente ameaça de grupos de ransomware e a necessidade de uma resposta internacional coordenada para combater esses crimes cibernéticos.

Recentemente, um ataque de ransomware direcionado a uma empresa do setor financeiro da Fortune 100 utilizou uma nova variante de malware chamada PDFSider. Os atacantes empregaram engenharia social para se passar por trabalhadores de suporte técnico, induzindo funcionários a instalar a ferramenta Quick Assist da Microsoft. A Resecurity, empresa de cibersegurança, identificou o PDFSider como uma backdoor furtiva que permite acesso a longo prazo, com características associadas a técnicas de APT (Advanced Persistent Threat). O malware é distribuído por e-mails de spearphishing que contêm um arquivo ZIP com um executável legítimo e uma versão maliciosa de uma DLL necessária para o funcionamento do software. Ao ser executado, o malware carrega a DLL maliciosa, permitindo a execução de comandos no sistema. O PDFSider opera de forma discreta, utilizando criptografia avançada para proteger suas comunicações e mecanismos de anti-análise para evitar detecções. A Resecurity alerta que o PDFSider é mais próximo de um malware de espionagem do que de um ataque motivado financeiramente, destacando a crescente facilidade com que cibercriminosos exploram vulnerabilidades em softwares devido ao uso de IA na programação.

A gigante de tecnologia Ingram Micro revelou que um ataque de ransomware em julho de 2025 resultou em uma violação de dados que afetou mais de 42.000 indivíduos. A empresa, que é uma das maiores fornecedoras de serviços B2B e distribuidora de tecnologia do mundo, confirmou que documentos contendo informações pessoais, como números de Seguro Social, foram roubados. O incidente foi detectado em 3 de julho de 2025, quando a Ingram Micro iniciou uma investigação após a detecção de atividades não autorizadas em seus sistemas internos. Os arquivos afetados incluíam registros de emprego e de candidatos, contendo dados como nome, informações de contato, data de nascimento e números de identificação emitidos pelo governo. Além da violação de dados, o ataque causou uma grande interrupção nos sistemas internos e no site da empresa, obrigando os funcionários a trabalharem de casa. Embora a Ingram Micro ainda não tenha vinculado o ataque a um grupo específico, a gangue de ransomware SafePay reivindicou a responsabilidade pelo ataque, alegando ter roubado 3,5 TB de documentos. O grupo é conhecido por suas táticas de dupla extorsão, que envolvem roubo de documentos sensíveis antes de criptografar os sistemas das vítimas e ameaçar a divulgação dos arquivos se o resgate não for pago.

Feras Khalil Ahmad Albashiti, um homem de 40 anos da Jordânia, se declarou culpado por atuar como um ‘access broker’, vendendo acesso a redes de computadores de pelo menos 50 empresas. A extradição de Albashiti foi realizada pelo Departamento de Justiça dos EUA, após sua prisão na Geórgia em julho de 2024. Ele foi acusado de fraude envolvendo credenciais de acesso e sua sentença está marcada para 11 de maio de 2026, podendo enfrentar até 10 anos de prisão e multas que podem chegar a $250.000. A investigação começou em maio de 2023, quando agentes de segurança identificaram Albashiti em um fórum online que vendia malware. Ele foi preso após vender acesso a redes de empresas para um agente disfarçado em troca de criptomoedas. O papel de ‘initial access brokers’ é crucial no ecossistema do cibercrime, pois eles fornecem credenciais que permitem que outros criminosos realizem ataques, como roubo de dados e ransomware. Recentemente, a Microsoft alertou sobre um broker que está abusando de ferramentas do Windows para carregar malware, destacando a crescente ameaça que esses intermediários representam.

Autoridades de segurança da Ucrânia e da Alemanha identificaram dois ucranianos suspeitos de atuar no grupo de ransomware Black Basta, vinculado à Rússia. O líder do grupo, Oleg Evgenievich Nefedov, foi incluído na lista dos mais procurados da União Europeia e no Aviso Vermelho da INTERPOL. Os suspeitos eram especializados em hacking técnico e na extração de senhas, permitindo que o grupo invadisse redes corporativas e extorquisse dinheiro por meio de ransomware. As investigações resultaram em buscas nas residências dos acusados, onde foram apreendidos dispositivos digitais e ativos em criptomoedas. O Black Basta, que surgiu em abril de 2022, é responsável por ataques a mais de 500 empresas em várias regiões, acumulando centenas de milhões de dólares em pagamentos ilícitos. Apesar de uma aparente queda após vazamentos de informações internas, a possibilidade de rebranding e reemergência do grupo é alta, com suspeitas de que ex-membros possam ter migrado para outras operações de ransomware, como a CACTUS.

A equipe de pesquisa Unit 42, da Palo Alto Networks, alertou sobre as ameaças cibernéticas que podem afetar as Olimpíadas de Inverno de Milano Cortina, programadas para fevereiro de 2026. Os riscos incluem ataques à infraestrutura digital e Wi-Fi, como os que ocorreram em edições anteriores, além de ameaças de DDoS e ransomware. A concentração de pessoas e dados durante o evento torna-o um alvo atrativo para golpistas, que podem tentar extorquir organizações ou realizar espionagem cibernética. Os principais tipos de atacantes identificados são grupos motivados financeiramente, agências de espionagem estatais e hacktivistas. A interconexão de sistemas pode facilitar o acesso de hackers, que podem comprometer serviços essenciais como energia e transporte, impactando a confiança no evento. Além disso, a utilização de técnicas como phishing e engenharia social, potencializadas por IA e deepfakes, pode aumentar a eficácia dos ataques. A situação exige atenção redobrada das autoridades e organizadores para garantir a segurança do evento.

As autoridades da Ucrânia e da Alemanha confirmaram a identidade do líder do grupo de ransomware Black Basta, Oleg Evgenievich Nefedov, um cidadão russo de 35 anos, que agora figura na lista de procurados da Europol e da Interpol. A operação conjunta resultou na identificação de dois outros suspeitos que atuavam na fase inicial dos ataques, especializados em acessar redes-alvo e preparar o terreno para os ataques de ransomware. Os investigadores relataram que esses indivíduos eram responsáveis por quebrar senhas e obter credenciais de acesso de funcionários de empresas, o que lhes permitia invadir sistemas corporativos internos. Durante as investigações, foram apreendidos dispositivos de armazenamento digital e ativos em criptomoeda. O grupo Black Basta, que surgiu em abril de 2022, é responsável por pelo menos 600 incidentes de ransomware, afetando grandes organizações globalmente, incluindo a Rheinmetall, Hyundai e Ascension. A conexão de Nefedov com o grupo Conti, um sindicato de ransomware que se desfez em 2022, também foi destacada, indicando sua experiência e influência no cenário de cibercrime. As autoridades continuam a investigar e monitorar as atividades do grupo, que representa uma ameaça significativa para a segurança cibernética mundial.

O GootLoader, um carregador de malware em JavaScript, tem utilizado um arquivo ZIP malformado para escapar de detecções de segurança. Esse arquivo é criado por meio da concatenação de 500 a 1.000 arquivos ZIP, dificultando a extração por ferramentas comuns como WinRAR e 7-Zip, mas sendo compatível com a ferramenta padrão do Windows. Essa técnica de anti-análise impede que muitos fluxos de trabalho automatizados consigam analisar o conteúdo do arquivo. O GootLoader é frequentemente distribuído por meio de táticas de SEO e malvertising, visando usuários que buscam templates legais e os redirecionando para sites WordPress comprometidos. Recentemente, novas técnicas foram observadas, como o uso de fontes WOFF2 personalizadas para ofuscar nomes de arquivos e a exploração do endpoint de comentários do WordPress para entregar os arquivos ZIP. O malware, que está ativo desde 2020, é projetado para entregar cargas secundárias, incluindo ransomware. Para mitigar essa ameaça, recomenda-se que as organizações bloqueiem a execução de ‘wscript.exe’ e ‘cscript.exe’ para conteúdos baixados, além de configurar políticas para abrir arquivos JavaScript no Notepad por padrão.

O grupo de ransomware Genesis assumiu a responsabilidade por uma violação de dados ocorrida em dezembro de 2025 em Upper Township, Nova Jersey. Em seu site de vazamento de dados, o grupo ameaçou divulgar 100 GB de informações pessoais e financeiras, caso a prefeitura não pagasse um resgate em três dias. A administração da cidade, liderada por James W. Van Zilke, confirmou que a investigação sobre a violação está em andamento, mas não verificou a reivindicação do Genesis. No entanto, documentos da reunião do conselho municipal indicam que foram autorizados até US$ 110.000 para serviços de consultoria em segurança cibernética e remediação. Genesis, que começou a operar em outubro de 2025, já reivindicou 28 ataques, sendo três deles confirmados por organizações, incluindo a prefeitura de Upper Township. Em 2025, foram registrados 81 ataques de ransomware a entidades governamentais nos EUA, destacando a crescente ameaça a sistemas públicos. A situação em Upper Township ressalta a necessidade de vigilância contínua e resposta rápida a incidentes de segurança cibernética, especialmente em um cenário onde a proteção de dados sensíveis é crucial.

O Spindletop Center, uma clínica de saúde comportamental no Texas, notificou vítimas de uma violação de dados ocorrida em setembro de 2025, conforme informações enviadas ao procurador-geral do estado. A violação comprometeu dados pessoais sensíveis, incluindo números de Seguro Social, identificações emitidas pelo governo e números de casos. Um grupo de ransomware chamado Rhysida reivindicou a responsabilidade pelo ataque, exigindo um resgate de 15 bitcoins, equivalente a aproximadamente 1,65 milhão de dólares na época. A clínica relatou uma interrupção em seus sistemas em 29 de setembro de 2025, e uma investigação interna revelou que informações sensíveis podem ter sido acessadas em 23 de setembro. Até o momento, não há confirmação se o Spindletop pagou o resgate ou como os atacantes conseguiram invadir seus sistemas. A Rhysida, que opera um modelo de ransomware como serviço, já reivindicou mais de 100 ataques confirmados desde sua criação em 2023, afetando milhões de registros. Este incidente destaca a crescente ameaça de ataques cibernéticos no setor de saúde, que podem comprometer a privacidade e a segurança dos pacientes.

A Appalachian Community Federal Credit Union (ACFCU) notificou 30.797 pessoas sobre uma violação de dados ocorrida em outubro de 2025, conforme divulgado pelo procurador-geral do estado de Indiana. A violação comprometeu nomes, números de Seguro Social e informações de contas financeiras. O grupo de ransomware Qilin reivindicou a responsabilidade pelo ataque, alegando ter roubado 75 GB de dados. Embora a ACFCU tenha confirmado a violação em 10 de outubro, não está claro se a instituição pagou um resgate ou como os atacantes conseguiram acessar sua rede. Para mitigar os danos, a ACFCU está oferecendo monitoramento de crédito gratuito aos afetados, com um prazo de 90 dias para inscrição. O grupo Qilin, baseado na Rússia, é conhecido por suas táticas de phishing e por operar um modelo de ransomware como serviço, sendo responsável por mais de 1.000 ataques em 2025. A violação da ACFCU não é um caso isolado, já que o grupo também atacou outras instituições financeiras nos EUA, levantando preocupações sobre a segurança cibernética no setor financeiro.

Um relatório da Emsisoft, intitulado “O Estado do Ransomware nos Estados Unidos”, revela que, apesar das prisões de grupos hackers e do fechamento de servidores, o número de ataques de ransomware aumentou significativamente entre 2023 e 2025. O estudo, que analisou dados de plataformas como RansomLook.io e Ransomware.live, aponta que o número de vítimas subiu de 5.400 em 2023 para mais de 8.000 em 2025. O aumento é atribuído à proliferação de novos grupos de ataque, que passaram de cerca de 70 em 2023 para entre 126 e 141 em 2025. Os principais grupos ativos incluem Qilin, Akira, Cl0p, Play, Safepay e INC Ransom. Embora as ações legais tenham impactado algumas gangues, a competição entre os atacantes parece ter contribuído para o aumento dos incidentes. A Emsisoft sugere que, apesar do cenário atual, a aplicação de leis internacionais pode eventualmente ajudar a reduzir o número de vítimas.

Em 2025, o mundo registrou 7.419 ataques de ransomware, um aumento de 32% em relação ao ano anterior. Desses, 1.173 foram confirmados por organizações-alvo, enquanto muitos outros não foram reconhecidos publicamente. A pesquisa da Sophos revela que quase metade das empresas pagam resgates para recuperar dados, o que pode contribuir para a subnotificação de incidentes. O setor de manufatura foi o mais afetado, com um aumento de 56% nos ataques e um pedido médio de resgate que mais que dobrou, alcançando quase 1,2 milhão de dólares. Embora os ataques a setores como saúde e educação tenham se estabilizado, o aumento geral de ataques a empresas e entidades governamentais é alarmante. Os Estados Unidos foram o país mais visado, com 3.810 ataques. O relatório destaca a evolução das táticas de ransomware e a necessidade urgente de medidas de segurança mais robustas, especialmente em setores críticos. A média de resgates caiu 26%, mas o número de registros comprometidos continua a crescer, exigindo atenção contínua das equipes de segurança.

A Avosina Healthcare Solutions, empresa de faturamento médico, notificou 42.261 pessoas sobre uma violação de dados ocorrida em julho de 2025, que comprometeu informações pessoais, médicas e de seguros de saúde. O ataque foi reivindicado pelo grupo de ransomware Qilin, que postou amostras de documentos supostamente roubados, incluindo formulários médicos e contratações. A Avosina não confirmou a reivindicação do grupo, e detalhes sobre o pagamento de resgate ou a forma como a violação ocorreu ainda não foram divulgados. A empresa informou que os dados comprometidos estavam em um sistema arquivado e não ativo. Para mitigar os danos, a Avosina está oferecendo monitoramento de crédito gratuito e seguro contra roubo de identidade para as vítimas. O grupo Qilin, baseado na Rússia, é conhecido por ataques a empresas de saúde e já comprometeu milhões de registros em 2025. Este incidente destaca a vulnerabilidade do setor de saúde a ataques cibernéticos, que podem comprometer não apenas dados, mas também a segurança e a privacidade dos pacientes.

A empresa de empréstimos Money Mart começou a notificar vítimas de uma violação de dados ocorrida em novembro de 2025, que comprometeu nomes e números de Seguro Social. Hackers invadiram um aplicativo de terceiros e roubaram dados pessoais armazenados pela empresa, embora Money Mart não tenha revelado qual aplicativo foi comprometido. O grupo de ransomware Everest reivindicou a responsabilidade pela violação, alegando ter roubado 80.000 arquivos, incluindo informações pessoais de indivíduos nos EUA e no Canadá. A empresa está oferecendo 12 meses de monitoramento de crédito gratuito através da TransUnion para as vítimas, com prazo para inscrição até 30 de abril de 2026. A investigação forense ainda está em andamento, e não há confirmação se a Money Mart pagou um resgate ou detalhes sobre como a invasão ocorreu. O grupo Everest, ativo desde 2020, já atacou diversas organizações, incluindo NASA e hospitais, e em 2025 reivindicou 11 ataques confirmados, afetando significativamente o setor financeiro dos EUA, que registrou 50 ataques de ransomware em 2025, comprometendo mais de 700.000 registros.

O Colégio Comunitário de Clackamas, localizado em Oregon, confirmou que notificou 33.381 pessoas sobre uma violação de dados ocorrida em outubro de 2025. A violação comprometeu informações pessoais sensíveis, incluindo números de Seguro Social, registros de estudantes, números de identificação do governo, informações médicas e financeiras. Este é o segundo ataque de ransomware que a instituição enfrenta em dois anos, sendo que o grupo criminoso Medusa reivindicou a responsabilidade pelo ataque mais recente, exigindo um resgate de $300.000 por 1,2 terabytes de dados. A escola não confirmou se pagou o resgate e está oferecendo um ano de monitoramento de crédito gratuito para as vítimas. A investigação forense revelou que um terceiro não autorizado acessou um número limitado de sistemas e adquiriu arquivos em 24 de outubro de 2025. O grupo Medusa, ativo desde 2019, já foi responsável por 154 ataques de ransomware em 2025, afetando mais de 1,7 milhão de registros. O ataque ao Colégio Comunitário de Clackamas é parte de uma tendência crescente de ataques a instituições educacionais nos EUA, que registraram 49 ataques confirmados em 2025, comprometendo mais de 3,8 milhões de registros.

Um grupo de atores de ameaças que fala chinês é suspeito de ter utilizado um dispositivo VPN SonicWall comprometido como vetor de acesso inicial para implantar um exploit do VMware ESXi. Essa atividade foi observada pela empresa de cibersegurança Huntress em dezembro de 2025, que conseguiu interrompê-la antes que avançasse para um ataque de ransomware. O ataque explorou três vulnerabilidades do VMware, divulgadas como zero-days pela Broadcom em março de 2025, com pontuações CVSS variando de 7.1 a 9.3. A exploração permitiu que um ator malicioso com privilégios de administrador vazasse memória do processo VMX ou executasse código como o processo VMX. O toolkit utilizado no ataque inclui componentes sofisticados, como um driver de kernel não assinado e um backdoor que oferece acesso remoto persistente ao host ESXi. A comunicação entre o cliente e o backdoor é feita através do protocolo VSOCK, que permite interações diretas entre máquinas virtuais e o hipervisor, dificultando a detecção. A análise sugere que o desenvolvimento do exploit pode ter ocorrido mais de um ano antes da divulgação pública, indicando um desenvolvedor bem financiado operando em uma região de língua chinesa.

Recentes ataques cibernéticos, como os que afetaram a Marks & Spencer e a Jaguar Land Rover, revelaram que os suspeitos envolvidos são predominantemente jovens, com idades entre 17 e 20 anos. Essa tendência crescente de cibercrime juvenil pode ser atribuída à maior acessibilidade de ferramentas de ransomware, oferecidas por grupos de Ransomware-as-a-Service (RaaS), que permitem que indivíduos sem habilidades avançadas em hacking realizem ataques. Além disso, fatores como fama, frustração, finanças e a influência de comunidades de jogos online têm atraído jovens para o mundo do crime cibernético. A percepção negativa das carreiras em cibersegurança, consideradas monótonas em comparação com o glamour do hacking ilegal, também contribui para essa situação. Para combater essa tendência, é essencial que a indústria de cibersegurança mude sua imagem e busque atrair novos talentos, especialmente aqueles que não seguem os caminhos tradicionais de educação. Isso inclui a valorização de habilidades autodidatas e neurodiversas, que frequentemente são ignoradas nas contratações tradicionais. A indústria deve agir rapidamente para mostrar que existem oportunidades legítimas e recompensadoras para esses jovens talentos, antes que eles se tornem parte do problema.

À medida que as organizações se preparam para 2026, as previsões de cibersegurança estão em alta, mas muitas estratégias ainda são moldadas por especulações. Um webinar da Bitdefender busca esclarecer essas previsões, focando em dados reais e riscos emergentes. O evento abordará três tendências principais: a evolução do ransomware, que está se tornando mais direcionado e impactante; a adoção descontrolada de inteligência artificial (IA), que gera uma crise interna de segurança; e a possibilidade de ataques orquestrados por IA. Os especialistas da Bitdefender discutirão a necessidade de ceticismo em relação à capacidade de ataques adaptativos baseados em IA no curto prazo. O webinar visa ajudar líderes de segurança a diferenciar previsões sensacionalistas de aquelas que realmente devem influenciar suas estratégias de segurança. Os participantes aprenderão a justificar investimentos em segurança com base em riscos reais e a atualizar suas defesas antes que novas técnicas de ataque se tornem comuns.

O sistema escolar de Pell City, no Alabama, notificou os pais sobre uma violação de dados resultante de um ataque de ransomware ocorrido no final do ano passado. O superintendente Justin Burns afirmou que o sistema de informações dos alunos não foi afetado, mas dados foram roubados por um terceiro em um ‘incidente de segurança’. A gangue de cibercriminosos SafePay reivindicou a responsabilidade pela violação em dezembro de 2025, embora o distrito não tenha confirmado a alegação. Não foram divulgados detalhes sobre os dados comprometidos ou o valor do resgate exigido. O sistema escolar decidiu não pagar o resgate, conforme relatado pela WBRC. SafePay, que utiliza um esquema de dupla extorsão, já realizou 57 ataques confirmados, afetando diversas instituições educacionais. Em 2025, foram registrados 48 ataques de ransomware em escolas dos EUA, comprometendo mais de 3,8 milhões de registros. Os ataques a escolas podem não apenas roubar dados, mas também interromper operações diárias, colocando alunos e funcionários em risco de fraudes. O sistema escolar de Pell City é um distrito público que abrange várias instituições educacionais na região.

A Gulshan Management Services (GMS), que opera cerca de 150 postos de gasolina no Texas, notificou 377.082 pessoas sobre um vazamento de dados ocorrido em setembro de 2025. O incidente, resultante de um ataque de phishing bem-sucedido, comprometeu informações sensíveis, incluindo nomes, números de Seguro Social, dados de cartões de crédito e débito, números de carteira de motorista e informações de contato. A empresa descobriu a invasão em 27 de setembro, após uma investigação que revelou que o acesso não autorizado ocorreu em 17 de setembro. Além de acessar servidores que armazenavam dados pessoais, o atacante implantou um software malicioso que criptografou partes da rede da GMS. A empresa está oferecendo monitoramento de identidade gratuito para as vítimas e enfrenta várias ações judiciais coletivas em decorrência do vazamento. Este ataque é considerado o quinto maior do ano em termos de registros comprometidos, com um total de 325 ataques de ransomware registrados em 2025 nos EUA, afetando mais de 25,9 milhões de registros pessoais.

O Chesapeake Bay Maritime Museum (CBMM) notificou 5.181 pessoas sobre um vazamento de dados ocorrido em agosto de 2024, conforme informações divulgadas pelo procurador-geral do Maine. O incidente comprometeu nomes, números de Seguro Social e informações financeiras dos afetados. O grupo de ransomware ‘Helldown’ reivindicou a responsabilidade pelo ataque, publicando imagens de documentos supostamente roubados do museu, incluindo faturas e contratos. O CBMM não confirmou se pagou o resgate exigido ou como a invasão ocorreu, e a notificação aos afetados demorou mais de um ano. O museu ofereceu 12 meses de monitoramento de crédito gratuito aos afetados. Helldown, um grupo de ransomware pouco conhecido, já havia listado 33 ataques em seu site de vazamento de dados, afetando organizações na Suíça, Alemanha e EUA. Os ataques de ransomware são uma preocupação crescente, com 884 incidentes confirmados nos EUA em 2024, destacando a necessidade de vigilância e proteção adequadas para evitar tais brechas.

O Pulse Urgent Care Center, localizado em Redding, Califórnia, notificou um número não revelado de pacientes sobre um vazamento de dados ocorrido em março de 2025, conforme divulgado pelo procurador-geral da Califórnia. O incidente comprometeu informações pessoais, incluindo números de Seguro Social, números de carteira de motorista, informações médicas e dados de seguro saúde. O grupo de ransomware Medusa reivindicou a responsabilidade pelo ataque, exigindo um resgate de $120.000 para não divulgar os dados roubados. Embora o Pulse Urgent Care tenha reconhecido a atividade suspeita em sua rede em 24 de março de 2025, ainda não está claro como os atacantes conseguiram acessar o sistema. A clínica está oferecendo 12 meses de monitoramento de crédito e proteção contra roubo de identidade para as vítimas afetadas. Em 2025, Medusa foi responsável por 153 ataques de ransomware, afetando mais de 1,6 milhão de registros, com 11 desses ataques direcionados a instituições de saúde. Os ataques de ransomware têm se tornado uma preocupação crescente nos EUA, com 92 incidentes confirmados em 2025, comprometendo mais de 8,8 milhões de registros.

A ASUS enfrenta uma grave crise de segurança cibernética após o grupo de ransomware Everest vazar cerca de 1 TB de dados confidenciais da empresa. O ataque ocorreu após a ASUS não ter respondido a um ultimato de 24 horas dos hackers, que exigiam um resgate para não divulgar as informações. Os dados vazados incluem informações sobre modelos de inteligência artificial da ASUS, arquivos de calibração e despejos de memória, além de dados de empresas parceiras como ArcSoft e Qualcomm. O grupo Everest já havia realizado outros ataques significativos, incluindo invasões a empresas como Chrysler e Under Armour, resultando em vazamentos de dados sensíveis. A falha de segurança que permitiu o ataque foi atribuída a um fornecedor terceirizado. Os dados estão circulando em fóruns clandestinos, especialmente em comunidades de língua russa, o que aumenta a preocupação sobre o uso indevido dessas informações. A ASUS confirmou a violação e está lidando com as consequências desse incidente.

O grupo de ransomware Meduza Locker reivindicou um ataque cibernético à Kelsey School Division, em Manitoba, Canadá, ocorrido em novembro de 2025. Em um comunicado, o superintendente da divisão escolar, Trevor Lane, informou que uma violação não autorizada afetou a rede de TI da instituição, interrompendo sistemas escolares. Meduza Locker listou a Kelsey School Division em seu site de vazamento de dados, alegando ter roubado documentos de alunos, pais e funcionários, e exigiu um resgate de $40.000 pela recuperação dos dados. Embora a Kelsey School Division tenha iniciado uma investigação sobre a extensão da violação, não confirmou a autenticidade das alegações do grupo. O ataque destaca a crescente preocupação com a segurança cibernética em instituições educacionais, que têm sido alvos frequentes de ransomware, com 89 ataques confirmados em escolas, faculdades e universidades em 2025 até o momento. O impacto desses ataques pode ser severo, afetando operações diárias e expondo dados sensíveis a riscos de fraude.

A Fujifilm anunciou o lançamento de um novo cartucho de fita magnética LTO Ultrium 10 com capacidade nativa de 40TB, que pode chegar a 100TB com compressão. Este produto visa atender a empresas que enfrentam um aumento nos incidentes de ransomware e a crescente pressão regulatória sobre a proteção de dados. O cartucho, que é compatível com unidades LTO-10 existentes, promete maior eficiência em custos de armazenamento a longo prazo, especialmente em cenários de retenção de dados. Com uma taxa de transferência máxima de 400MB/s nativa e até 1000MB/s comprimida, a nova fita é projetada para suportar temperaturas de operação entre 15°C e 35°C e níveis de umidade de até 80%. A Fujifilm destaca a durabilidade e a performance estável de leitura e gravação, embora a confiabilidade em condições de estresse dependa da disciplina de implantação. Apesar das alegações de que a mídia física está obsoleta, a fita magnética continua a desempenhar um papel importante nas estratégias de armazenamento corporativo, especialmente devido à sua capacidade de isolamento offline, que limita a exposição a ataques cibernéticos. O cartucho estará disponível a partir de janeiro de 2026, em três configurações diferentes.

A Universidade de Phoenix confirmou que sofreu um ataque de ransomware do grupo Cl0p, resultando no vazamento de dados sensíveis de aproximadamente 3,5 milhões de pessoas. O ataque ocorreu em agosto de 2025, quando os hackers exploraram uma vulnerabilidade zero-day no Oracle E-Business Suite, um software amplamente utilizado para gerenciar processos empresariais. Os dados comprometidos incluem nomes completos, informações de contato, datas de nascimento, números de Seguro Social e detalhes bancários. Após a divulgação do ataque, a universidade iniciou uma investigação que confirmou a violação. Para mitigar os danos, a instituição notificou os afetados e ofereceu 12 meses de proteção contra roubo de identidade, monitoramento de crédito e uma política de reembolso de até 1 milhão de dólares para fraudes. Este incidente é considerado um dos maiores ataques de ransomware de 2025, destacando a crescente ameaça que as organizações enfrentam em relação a vulnerabilidades em software amplamente utilizado.

Uma operação coordenada pela INTERPOL, chamada Operação Sentinel, resultou na recuperação de US$ 3 milhões e na prisão de 574 suspeitos em 19 países africanos, entre 27 de outubro e 27 de novembro de 2025. A ação focou em crimes cibernéticos como comprometimento de e-mails empresariais (BEC), extorsão digital e ransomware. Entre os países participantes estão Gana, Nigéria, África do Sul e Uganda. Durante a operação, mais de 6.000 links maliciosos foram removidos e seis variantes de ransomware foram descriptografadas. Um ataque específico a uma instituição financeira em Gana criptografou 100 terabytes de dados e resultou em um roubo de cerca de US$ 120.000. Além disso, uma rede de fraudes cibernéticas que operava entre Gana e Nigéria foi desmantelada, resultando em 10 prisões e a apreensão de 100 dispositivos digitais. Neal Jetton, diretor de cibercrime da INTERPOL, destacou que a sofisticação dos ataques cibernéticos na África está aumentando, especialmente contra setores críticos como finanças e energia. A Operação Sentinel faz parte da Iniciativa Africana Conjunta de Combate ao Cibercrime (AFJOC), que visa fortalecer as capacidades das agências de segurança na região.

O Brevard Skin and Cancer Center, localizado na Flórida, confirmou que notificou 55.500 pessoas sobre um vazamento de dados ocorrido em setembro de 2025. As informações comprometidas incluem números de Seguro Social, dados de faturamento e reivindicações, diagnósticos, números de telefone, endereços residenciais, datas de nascimento e endereços de e-mail. O grupo de ransomware PEAR reivindicou a responsabilidade pelo ataque, alegando ter roubado 1,8 TB de dados. Embora a Brevard tenha iniciado uma investigação, ainda não confirmou se pagou um resgate ou como a violação ocorreu. A instituição está oferecendo 24 meses de monitoramento de crédito gratuito para as vítimas afetadas. O grupo PEAR, que começou a operar em agosto de 2025, é conhecido por focar em roubo de dados e extorsão, sem criptografar as informações. Este incidente é parte de uma tendência crescente de ataques de ransomware em provedores de saúde nos EUA, que já contabilizam 89 ataques confirmados, comprometendo mais de 8,25 milhões de registros. O ataque à Brevard destaca a vulnerabilidade do setor de saúde e a necessidade urgente de medidas de segurança robustas.

O ransomware como serviço (RaaS) representa uma nova era no cibercrime, permitindo que indivíduos sem habilidades técnicas avancem em ataques de ransomware. Este modelo de negócio ilícito funciona como uma plataforma digital, onde hackers desenvolvem e vendem softwares maliciosos na dark web, permitindo que qualquer pessoa, desde novatos até criminosos experientes, realize ataques. O ransomware sequestra dados de usuários e empresas, criptografando informações sensíveis até que um resgate seja pago. O RaaS democratiza o acesso a ferramentas de ataque, aumentando a frequência e a diversidade de ataques, o que representa um risco significativo para a segurança digital. A dificuldade de rastreamento dos criminosos, que utilizam criptomoedas para transações, torna a situação ainda mais alarmante. Para se proteger, é crucial que usuários e empresas realizem backups regulares, utilizem filtros de spam, mantenham sistemas atualizados e adotem autenticação multifator. A conscientização digital é essencial para identificar e evitar armadilhas de phishing e outras ameaças.

A Parexel International anunciou que notificou pelo menos 6.620 pessoas sobre uma violação de dados ocorrida em agosto de 2025, que comprometeu informações pessoais sensíveis, incluindo números de contas financeiras, números de cartões de pagamento sem CVV, números de Seguro Social e números de identificação nacional. A empresa identificou uma vulnerabilidade zero-day no Oracle E-Business Suite como o vetor do ataque, que foi detectado em 4 de outubro de 2025. A vulnerabilidade, divulgada pela Oracle em 5 de outubro, já havia sido associada a várias outras violações de dados em meses recentes, afetando organizações de destaque como a Universidade de Harvard e o Washington Post. A Parexel está oferecendo 24 meses de proteção contra roubo de identidade para as vítimas, com prazo para inscrição até 17 de março de 2026. O grupo de ransomware Clop reivindicou a responsabilidade por muitos dos ataques relacionados a essa vulnerabilidade, que tem se mostrado uma ameaça crescente, especialmente em setores como saúde e manufatura, onde os ataques podem causar interrupções significativas nas operações.

A Richmond Behavioral Health Authority (RBHA), na Virgínia, notificou 113.232 pessoas sobre uma violação de dados ocorrida em setembro de 2025, conforme informações do Departamento de Saúde e Serviços Humanos dos EUA. A violação comprometeu nomes, números de Seguro Social, números de passaporte, informações financeiras e dados de saúde protegidos dos pacientes da RBHA. O grupo de ransomware Qilin reivindicou a responsabilidade pelo ataque, alegando ter roubado 192 GB de dados e postando imagens de documentos supostamente extraídos da RBHA em seu site de vazamento de dados. A RBHA não confirmou a veracidade da alegação do grupo, e detalhes sobre como a rede foi comprometida, se um resgate foi pago ou o valor exigido permanecem desconhecidos. O ataque é um dos maiores de 2025, afetando significativamente o setor de saúde, que já registrou 85 ataques de ransomware neste ano, comprometendo mais de 8,1 milhões de registros. A RBHA, uma organização sem fins lucrativos que atende cerca de 13.000 pessoas anualmente, não ofereceu monitoramento de crédito gratuito para as vítimas, o que levanta preocupações sobre a proteção contra roubo de identidade.

O grupo de hackers pró-Rússia conhecido como CyberVolk lançou um novo ransomware chamado VolkLocker, que encripta arquivos e exige pagamento em bitcoin para a recuperação. No entanto, uma falha crítica na implementação do malware permite que as vítimas recuperem seus arquivos sem pagar o resgate. A pesquisa da SentinelOne revelou que a chave-mestra do ransomware está hard-coded nos arquivos binários e também é armazenada em texto claro na pasta temporária do sistema, facilitando a recuperação dos dados. O VolkLocker afeta sistemas operacionais Windows e Linux e utiliza o algoritmo de encriptação AES-256. Após a infecção, o ransomware tenta evitar a detecção, desativando o Microsoft Defender e excluindo arquivos de backup. O grupo CyberVolk, que começou suas operações em 2024, também oferece outros serviços maliciosos, como trojans e keyloggers. Este incidente destaca a importância de medidas de segurança robustas e a necessidade de conscientização sobre as vulnerabilidades que podem ser exploradas por ransomware.

O Anchorage Neighborhood Health Center (ANHC) notificou 70.555 pessoas sobre uma violação de dados ocorrida em agosto de 2025, conforme informações do procurador-geral do Oregon. A violação comprometeu dados sensíveis, incluindo nomes, números de Seguro Social, datas de nascimento, números de identificação emitidos pelo estado, informações sobre tratamentos médicos e dados de seguros de saúde. No dia 26 de agosto, o ANHC anunciou dificuldades técnicas que impediram o agendamento de consultas e chamadas telefônicas, com interrupções que duraram mais de uma semana. Um grupo de hackers anônimo reivindicou a responsabilidade pelo ataque, alegando ter roubado 23 TB de dados, inicialmente afirmando ter acessado 10.000 registros de pacientes, número que foi posteriormente elevado para 60.000. O ANHC não confirmou a reivindicação dos hackers e não se sabe como a rede foi comprometida, se um resgate foi pago ou qual foi o valor exigido. Em resposta ao incidente, o ANHC tomou medidas imediatas para revisar a segurança da rede e lançou uma investigação com especialistas em cibersegurança. Embora tenha sido determinado que informações não públicas foram acessadas, não há evidências de que dados pessoais tenham sido usados para fraudes. O centro está oferecendo 12 meses de monitoramento de crédito gratuito aos indivíduos afetados.

O grupo de hacktivistas pró-Rússia, conhecido como CyberVolk, lançou um ransomware chamado VolkLocker, que opera exclusivamente pelo Telegram. Este modelo de ransomware como serviço (RaaS) foi projetado para facilitar a venda de códigos maliciosos, permitindo que até mesmo usuários sem conhecimentos técnicos possam utilizá-lo. No entanto, uma falha crítica foi descoberta: as chaves mestras de criptografia estão incluídas nos arquivos executáveis, permitindo que as vítimas recuperem seus dados sem pagar o resgate. O especialista Jim Walter, da SentinelOne, destacou que essa contradição revela dificuldades na operação do grupo, que, apesar de sua automação sofisticada, cometeu um erro ao deixar as chaves acessíveis. O ransomware utiliza escalonamento de privilégios para obter controle total das máquinas infectadas, mas a falta de geração dinâmica das chaves pode ser uma vantagem para as vítimas. Apesar dessa falha, o CyberVolk continua a ser uma ameaça significativa, com recursos adicionais como keyloggers e trojans de acesso remoto. A situação exige atenção, pois o ransomware pode impactar usuários desavisados e organizações em geral.

A Rockrose Development notificou 47.392 pessoas sobre um vazamento de dados ocorrido em julho de 2025, que comprometeu informações pessoais sensíveis, incluindo números de Seguro Social, identificações fiscais, números de carteira de motorista, passaportes, informações financeiras e dados médicos. O grupo de ransomware Play reivindicou a responsabilidade pelo ataque, alegando ter roubado documentos relacionados a clientes, contabilidade e informações financeiras. A Rockrose não confirmou se pagou um resgate ou como a violação ocorreu. A empresa está oferecendo 24 meses de proteção de identidade gratuita aos afetados. O ataque é parte de uma tendência crescente de ataques de ransomware em empresas de construção e desenvolvimento imobiliário nos EUA, com 12 ataques confirmados em 2025, comprometendo mais de 69 mil registros. O ataque à Rockrose é o maior registrado desde 2018, destacando a vulnerabilidade do setor a esse tipo de crime cibernético.

O grupo hacktivista pro-Rússia conhecido como CyberVolk, também chamado de GLORIAMIST, voltou a atuar com uma nova oferta de ransomware como serviço (RaaS) chamada VolkLocker. Lançado em agosto de 2025, o VolkLocker é capaz de atacar sistemas Windows e Linux, utilizando a linguagem de programação Golang. Apesar de suas características típicas de ransomware, como a modificação do Registro do Windows e a exclusão de cópias de sombra, uma análise revelou uma falha crítica: as chaves mestres do ransomware estão codificadas nos binários e são armazenadas em um arquivo de texto simples na pasta %TEMP%, permitindo que as vítimas recuperem seus arquivos sem pagar o resgate. O ransomware utiliza criptografia AES-256 em modo Galois/Counter (GCM) e impõe um timer que apaga pastas do usuário se o pagamento não for realizado em 48 horas ou se a chave de descriptografia for inserida incorretamente três vezes. O CyberVolk também oferece um trojan de acesso remoto e um keylogger, ampliando sua estratégia de monetização. A operação é gerenciada via Telegram, com preços variando de $800 a $2,200, dependendo do sistema operacional. Apesar das tentativas de banimento de contas no Telegram, o grupo conseguiu restabelecer suas operações, refletindo uma tendência crescente entre grupos de ameaças politicamente motivadas.

A fabricante nova-iorquina Fieldtex notificou 247.363 pessoas sobre uma violação de dados ocorrida em agosto de 2025, afetando informações pessoais de membros do programa de benefícios de saúde. O ataque cibernético, reivindicado pelo grupo de ransomware Akira, comprometeu dados como nomes, endereços, datas de nascimento e números de identificação de membros de planos de saúde. A Fieldtex, que fabrica equipamentos médicos e kits de primeiros socorros, confirmou a atividade não autorizada em seus sistemas em 19 de agosto de 2025. Embora o grupo Akira tenha afirmado ter roubado 14 GB de dados da marca E-First Aid Supplies, a empresa não confirmou a veracidade da alegação, mas admitiu que informações de saúde protegidas foram impactadas. A Fieldtex está oferecendo monitoramento de crédito gratuito para as vítimas. O ataque é um dos maiores registrados em 2025, destacando a crescente ameaça de ransomware no setor de saúde, que já contabiliza 19 ataques confirmados a empresas que não prestam cuidados diretos, comprometendo cerca de 5,8 milhões de registros pessoais.

A empresa de cibersegurança Sophos revelou que grupos de cibercriminosos estão utilizando a plataforma Shanya, que oferece um serviço de empacotamento de malware, conhecido como packer-as-a-service. Essa ferramenta permite que códigos maliciosos sejam ofuscados, dificultando sua detecção por antivírus e outras soluções de segurança. O uso do Shanya tem crescido desde o final de 2024, sendo empregado por grupos como Medusa, Qilin, Crytox e Akira, com foco em ransomwares que desativam soluções de detecção e resposta (EDR).

Entre janeiro e novembro de 2025, o grupo de ransomware Akira reivindicou 683 ataques, tornando-se a segunda variante mais ativa do ano, atrás do Qilin, que teve 864 ataques no mesmo período. Este número já supera mais do que o dobro dos 272 ataques registrados em 2024. A atividade do Akira apresentou dois picos notáveis, com um aumento significativo no primeiro trimestre de 2025, seguido por uma queda entre abril e julho, e um novo aumento nos últimos meses, impulsionado pela exploração de vulnerabilidades do SonicWall SSL VPN (CVE-2024-40766). O FBI e outras agências dos EUA emitiram um alerta sobre a atividade do Akira, destacando a ameaça iminente à infraestrutura crítica. Até setembro de 2025, o grupo alegou ter arrecadado aproximadamente 244,17 milhões de dólares em resgates. Os alvos principais incluem pequenas e médias empresas, com um foco crescente em fabricantes, enquanto os ataques ao setor educacional diminuíram drasticamente. Os Estados Unidos foram o país mais afetado, com 455 ataques, seguidos por Alemanha e Canadá. O Akira também é conhecido por suas altas demandas de resgate, com casos documentados de valores que chegam a 1,4 milhão de dólares.

O grupo de ransomware Inc reivindicou a responsabilidade por um ataque cibernético ocorrido em novembro de 2025 contra a Rainbow Communications, uma provedora de telefonia e internet rural no nordeste do Kansas. No dia 16 de novembro, a Rainbow anunciou problemas de serviço devido a um evento de cibersegurança que afetou a telefonia e a internet de seus clientes, com a normalização dos serviços ocorrendo em 19 de novembro. O grupo alegou ter roubado 200 GB de dados, incluindo informações contábeis, de recursos humanos e dados de clientes, e publicou amostras desses documentos em seu site de vazamento de dados. Até o momento, a Rainbow não confirmou as alegações do grupo, e detalhes sobre a extensão da violação, o número de pessoas afetadas, se um resgate foi pago ou como a rede foi comprometida permanecem desconhecidos. O grupo Inc, que surgiu em julho de 2023, já foi responsável por 54 ataques confirmados em 2025, afetando setores como saúde, educação e governo. Os ataques de ransomware em empresas de utilidade nos EUA têm se tornado cada vez mais comuns, resultando em interrupções significativas nos serviços e riscos de fraude para os clientes.