Ransomware

A gangue de ransomware DragonForce reivindicou um ataque cibernético à cidade de La Vergne, no Tennessee, que resultou na interrupção dos sistemas de computador da administração local. Em um comunicado emitido em 17 de outubro de 2025, os oficiais da cidade informaram que estavam investigando um incidente de rede que comprometeu os servidores do governo, com a gangue afirmando ter roubado 382 GB de dados. DragonForce deu um prazo de uma semana para que a cidade pagasse um valor não revelado em resgate, ameaçando divulgar os dados roubados caso a exigência não fosse atendida. Embora a cidade tenha tomado medidas imediatas para isolar os sistemas afetados e envolvido profissionais de cibersegurança e autoridades policiais, ainda não há confirmação sobre a veracidade das alegações da gangue. Este ataque é parte de uma tendência crescente de ataques de ransomware a entidades governamentais nos Estados Unidos, com mais de 70 incidentes confirmados em 2025, comprometendo cerca de 450 mil registros. A situação destaca a vulnerabilidade das infraestruturas governamentais e a necessidade urgente de medidas de proteção e resposta a incidentes.

A ASUS confirmou a exposição de dados devido a uma brecha em uma empresa terceirizada, relacionada ao vazamento de amostras do ransomware Everest. Os hackers, que afirmam ter invadido a ASUS, ArcSoft e Qualcomm, publicaram informações sobre os dados roubados em um site na rede Tor. Segundo a empresa, os dados expostos incluem códigos-fonte de câmeras de celulares, mas não afetaram produtos, sistemas internos ou dados de usuários. A ASUS está reforçando a segurança de sua cadeia de suprimentos conforme os padrões de cibersegurança atuais. O grupo Everest divulgou que a invasão resultou em uma base de dados de 1 TB, contendo informações como módulos de segmentação binários, logs de memória e dados de câmeras. Especialistas alertam que a exposição de códigos de câmeras pode permitir que atacantes explorem vulnerabilidades em dispositivos móveis. A situação destaca a importância da segurança em toda a cadeia de suprimentos e a necessidade de vigilância contínua contra ameaças cibernéticas.

O grupo de cibercriminosos conhecido como Storm-0249 está mudando sua abordagem, deixando de ser apenas um corretor de acesso inicial para adotar táticas mais sofisticadas, como spoofing de domínio, side-loading de DLL e execução de PowerShell sem arquivo, visando facilitar ataques de ransomware. Segundo um relatório da ReliaQuest, essas técnicas permitem que o grupo contorne defesas, infiltre redes e opere de forma indetectável, o que representa uma preocupação significativa para as equipes de segurança. O Storm-0249, que já foi identificado pela Microsoft como um corretor de acesso inicial, tem colaborado com outros grupos de ransomware, como o Storm-0501, vendendo acesso a redes corporativas. Recentemente, o grupo utilizou uma campanha de phishing com temas relacionados a impostos para infectar usuários nos EUA. Uma das táticas mais recentes envolve o uso de engenharia social para induzir as vítimas a executar comandos maliciosos, utilizando o utilitário legítimo “curl.exe” para baixar scripts PowerShell de domínios falsificados que imitam a Microsoft. Isso resulta na execução de pacotes MSI maliciosos com privilégios de sistema, permitindo que o grupo mantenha comunicação com servidores de comando e controle de forma furtiva. A mudança para ataques mais precisos, que exploram a confiança em processos assinados, aumenta o risco de ataques de ransomware direcionados, especialmente em um cenário onde grupos como LockBit e ALPHV utilizam identificadores de sistema únicos para criptografar dados de forma eficaz.

Organizações canadenses estão sendo alvo de uma campanha cibernética direcionada, orquestrada pelo grupo de ameaças STAC6565, conforme relatado pela empresa de cibersegurança Sophos. Entre fevereiro de 2024 e agosto de 2025, foram investigadas quase 40 intrusões ligadas a esse ator, que também é associado ao grupo de hackers Gold Blade. Inicialmente focado em espionagem cibernética, o grupo evoluiu para uma operação híbrida que combina roubo de dados com ataques de ransomware, utilizando um malware personalizado chamado QWCrypt.

O cenário de cibersegurança está em constante evolução, com ameaças cada vez mais sofisticadas e direcionadas. Um relatório recente da Bridewell destaca a crescente incidência de táticas de roubo de dados e extorsão, onde grupos de ransomware, como Warlock e Clop, têm priorizado a exfiltração de informações sensíveis em vez da simples criptografia de dados. O ataque à Colt Technology Services, que resultou no roubo de centenas de gigabytes de dados, exemplifica essa mudança de abordagem, onde os atacantes ameaçaram divulgar informações se o resgate não fosse pago. Além disso, a exploração de vulnerabilidades em dispositivos de rede e software de transferência de arquivos, como o MOVEit, tem sido uma estratégia comum entre os cibercriminosos. Os grupos de ransomware também estão se adaptando para evitar sistemas de Detecção e Resposta de Endpoint (EDR), utilizando ferramentas que se disfarçam como operações normais do sistema. À medida que as organizações enfrentam essas ameaças, é crucial que implementem medidas proativas de segurança, como o monitoramento contínuo e a atualização de sistemas, para se protegerem contra esses ataques em evolução.

Um grave incidente de segurança cibernética ocorreu com a ASUS, uma das principais fabricantes de hardware e eletrônicos do mundo. O grupo de ransomware Everest anunciou ter roubado mais de 1 TB de dados da empresa, incluindo o código-fonte de câmeras, o que pode comprometer a segurança de dispositivos como notebooks e smartphones. Os hackers exigiram que a ASUS se comunicasse com eles em um prazo de 21 horas através de uma plataforma de mensagens criptografadas, mas não divulgaram o valor do resgate. A ASUS ainda não se pronunciou sobre a violação. Este ataque se junta a uma série de ações do Everest contra grandes organizações, incluindo a Petrobras e a Under Armour, levantando preocupações sobre a segurança de dados sensíveis e a integridade de sistemas críticos. Especialistas alertam que a violação pode ter afetado firmware e drivers internos, aumentando o risco de exploração de vulnerabilidades em dispositivos da empresa. O ataque à ASUS destaca a crescente ameaça de grupos de ransomware e a necessidade urgente de medidas de segurança robustas.

Um adolescente de 15 anos, conhecido como “Rey”, afirmou ser o líder do grupo de hackers Scattered LAPSUS$ Hunters (SLSH), um dos mais notórios do mundo. A revelação surgiu após uma entrevista com o jornalista Brian Krebs, que investigou a conexão do jovem com atividades cibernéticas ilegais. Rey, cujo nome verdadeiro é Saif Al-Din Khader, teria cometido erros que expuseram sua identidade, como o uso de pseudônimos e a divulgação de informações pessoais em plataformas como o Telegram. O SLSH, por sua vez, negou as alegações, chamando-as de tentativas de prejudicar sua reputação. O grupo é conhecido por ataques de ransomware e por estar envolvido em vazamentos de dados de grandes empresas, como Toyota e FedEx. Desde junho, Rey estaria colaborando com as autoridades, expressando desejo de se distanciar do crime, mesmo que isso signifique enfrentar consequências legais. A situação levanta questões sobre a segurança cibernética e a vulnerabilidade de jovens envolvidos em atividades criminosas na internet.

O grupo de ransomware Rhysida reivindicou um ataque cibernético ao Escritório do Xerife do Condado de Cleveland, em Oklahoma, ocorrido em 20 de novembro de 2025. O ataque comprometeu partes do sistema interno do escritório, resultando na exigência de um resgate de 9 bitcoins, equivalente a aproximadamente $787.000. Para corroborar suas alegações, Rhysida divulgou imagens de documentos que supostamente foram roubados, incluindo cartões de Seguro Social, checagens de antecedentes criminais e registros médicos. Embora o escritório do xerife tenha confirmado a ocorrência do ataque, não houve verificação da autenticidade das informações divulgadas pelo grupo. Até o momento, não se sabe como os atacantes conseguiram acessar a rede do escritório ou se o resgate será pago. O grupo Rhysida, que surgiu em maio de 2023, já reivindicou 246 ataques de ransomware, afetando diversas agências governamentais nos EUA. Em 2025, foram registrados 72 ataques confirmados a entidades governamentais nos EUA, comprometendo cerca de 450.000 registros, com um resgate médio de $1,18 milhão. O ataque ao escritório do xerife destaca a crescente ameaça de ransomware a instituições governamentais e a necessidade de medidas de segurança robustas.

Pesquisadores da Unit 42, da Palo Alto Networks, alertam sobre o uso de Grandes Modelos de Linguagem (LLMs) por cibercriminosos. Ferramentas como WormGPT 4 e KawaiiGPT estão sendo utilizadas para facilitar a criação de malwares e ataques cibernéticos. O WormGPT, que ressurgiu em sua quarta versão, permite que hackers, mesmo sem experiência, desenvolvam códigos de ransomware e mensagens de phishing. Por exemplo, foi solicitado ao WormGPT que criasse um código para encriptar arquivos PDF em sistemas Windows, resultando em um script PowerShell que utiliza o algoritmo AES-256. Já o KawaiiGPT, uma alternativa comunitária, pode gerar mensagens de spear-phishing e scripts para movimentação lateral em sistemas, demonstrando a facilidade com que cibercriminosos podem automatizar ataques. Ambas as LLMs têm atraído a atenção de hackers, com comunidades ativas no Telegram, o que torna a situação ainda mais preocupante para a cibersegurança. A análise indica que o uso dessas ferramentas não é mais uma ameaça teórica, mas uma realidade crescente, exigindo atenção redobrada das empresas para proteger seus dados e sistemas.

Em novembro de 2025, o número de ataques de ransomware totalizou 659, apresentando uma leve queda de 5% em relação a outubro. O setor de saúde viu uma redução significativa, com ataques caindo 44%, enquanto empresas do setor de saúde, como farmacêuticas, enfrentaram um aumento de 43%. O setor de manufatura também registrou um aumento expressivo de 35%, e a educação teve um crescimento de 24%. Os grupos de ransomware mais ativos foram Qilin, Akira e Clop, com Qilin liderando com 107 ataques confirmados. Os dados indicam que mais de 31.200 TB de dados foram supostamente roubados, com um ataque específico alegando a violação de 31.063.838 GB de uma fabricante nos EUA. Os EUA foram o país mais afetado, com 354 ataques, seguidos pelo Canadá e Reino Unido. O artigo destaca a importância de monitorar e proteger sistemas, especialmente em setores vulneráveis como saúde e educação, onde os ataques têm consequências diretas para a segurança de dados sensíveis.

A gangue de ransomware conhecida como Inc reivindicou um ataque cibernético ao Valley View Independent School District, no Texas, ocorrido em 29 de novembro de 2025. O distrito confirmou, em 10 de novembro, que seus sistemas de computador e linhas telefônicas foram afetados. Inc alegou ter roubado 68 GB de dados e deu ao distrito um prazo de duas semanas para pagar um valor de resgate não divulgado. Para corroborar sua afirmação, a gangue publicou imagens de documentos que afirma ter obtido. Até o momento, o distrito não confirmou a veracidade das alegações da gangue, e detalhes sobre como os atacantes conseguiram acessar a rede ainda não foram divulgados. A Inc, que surgiu em meados de 2023, utiliza métodos como spear phishing e exploração de vulnerabilidades conhecidas, operando sob um modelo de ransomware como serviço. Em 2025, a gangue já reivindicou 51 ataques confirmados, sendo 17 direcionados ao setor educacional. Os ataques de ransomware têm o potencial de interromper operações diárias em instituições de ensino, afetando a comunicação, a gestão de dados e a segurança dos alunos e funcionários.

A JASCO Applied Sciences, uma consultoria científica canadense, notificou residentes dos EUA sobre uma violação de dados resultante de um ataque cibernético iniciado em julho de 2025. O grupo de ransomware Rhysida reivindicou a responsabilidade pelo ataque em outubro, exigindo um resgate de 10 bitcoins, equivalente a aproximadamente 1,22 milhão de dólares americanos. A violação foi descoberta em 21 de julho, mas a empresa só confirmou a aquisição de informações pessoais em 20 de outubro. Os dados comprometidos incluem nomes, informações de contato, datas de nascimento, números de contas bancárias, números de Seguro Social, informações fiscais, números de carteira de motorista, números de cartões de saúde e informações de passaporte. Até o momento, 66 residentes dos EUA foram informados sobre o incidente. Rhysida, que tem laços com o grupo Vice Society, já realizou 95 ataques confirmados desde sua origem em maio de 2023, afetando cerca de 5,5 milhões de registros. Este ataque à JASCO destaca a vulnerabilidade de empresas que oferecem serviços a múltiplos setores, tornando-se alvos atrativos para grupos de ransomware.

A Gainsight, empresa de software de gestão de clientes, anunciou que um ataque cibernético afetou mais clientes do que o inicialmente reportado. A Salesforce, parceira da Gainsight, detectou atividades suspeitas em aplicações publicadas pela Gainsight, levando à revogação de acessos e tokens. O grupo de cibercrime ShinyHunters reivindicou a responsabilidade pelo ataque. Embora a Gainsight não tenha divulgado o número exato de clientes afetados, seu CEO mencionou que apenas alguns tiveram dados comprometidos. Como medida de precaução, empresas como Zendesk e HubSpot suspenderam integrações com a Gainsight. A Gainsight também listou produtos que estão temporariamente sem acesso ao Salesforce, como Customer Success e Community. Para mitigar riscos, a Gainsight recomenda que seus clientes rotacionem chaves de acesso e reautorizem aplicações conectadas. O incidente ocorre em um contexto de crescente atividade de ransomware, com o surgimento de uma nova plataforma chamada ShinySp1d3r, que apresenta características inovadoras e potencializa as ameaças cibernéticas. O ataque destaca a necessidade de vigilância constante e ações proativas para proteger dados sensíveis.

O Dartmouth College anunciou que notificou mais de 35.000 pessoas sobre um vazamento de dados ocorrido em agosto de 2025, que comprometeu nomes, números de Seguro Social e informações financeiras. A maioria das vítimas está em New Hampshire, com 31.742 residentes afetados. O ataque foi atribuído ao grupo de ransomware Clop, que explorou uma vulnerabilidade zero-day no software Oracle E-Business Suite, amplamente utilizado por grandes empresas para gerenciar finanças e recursos humanos. Embora o Clop tenha reivindicado a responsabilidade pelo ataque, Dartmouth ainda não confirmou se um resgate foi pago ou como os hackers conseguiram acessar a rede da instituição. O colégio está oferecendo proteção contra roubo de identidade gratuita através da Experian até 28 de fevereiro de 2026. O ataque ao Dartmouth é um dos maiores registrados em instituições educacionais, destacando a crescente ameaça de ransomware no setor. Em 2025, 42 ataques de ransomware foram confirmados em instituições educacionais dos EUA, comprometendo 219.000 registros.

O setor financeiro da Coreia do Sul foi alvo de um sofisticado ataque de cadeia de suprimentos, resultando na implementação do ransomware Qilin. Segundo a Bitdefender, esse ataque envolveu um grupo de Ransomware-as-a-Service (RaaS) e possivelmente atores ligados ao estado norte-coreano, utilizando a violação de um Provedor de Serviços Gerenciados (MSP) como vetor de acesso inicial. Em outubro de 2025, o Qilin se destacou por um crescimento explosivo, atingindo mais de 180 vítimas, com 29% de todos os ataques de ransomware atribuídos a esse grupo. A análise revelou que 25 casos de ransomware na Coreia do Sul em setembro foram exclusivamente atribuídos ao Qilin, com 24 das vítimas pertencendo ao setor financeiro. Os atacantes se autodenominaram ‘Korean Leaks’, e a campanha foi marcada por uma abordagem de propaganda, ameaçando expor corrupção sistêmica e manipulação do mercado financeiro. O ataque resultou no roubo de mais de 1 milhão de arquivos e 2 TB de dados de 28 vítimas. Para mitigar riscos semelhantes, a Bitdefender recomenda a implementação de autenticação multifator (MFA) e a aplicação do Princípio do Menor Privilégio (PoLP).

O escritório de advocacia Davies, McFarland & Carroll, localizado em Pittsburgh, confirmou que notificou 54.712 pessoas sobre um vazamento de dados ocorrido em maio de 2025. As informações comprometidas incluem números de Seguro Social, histórico médico, informações de seguro de saúde e datas de nascimento. O ataque foi reivindicado pelo grupo de ransomware Lynx, que listou o escritório em seu site de vazamento de dados. Embora a firma tenha detectado o acesso não autorizado em 22 de maio de 2025, a investigação forense revelou que os dados podem ter sido acessados entre 19 e 22 de maio. A empresa está oferecendo 12 meses de monitoramento de crédito gratuito e assistência contra fraudes aos afetados. O Lynx, um grupo que opera um esquema de ransomware como serviço, já reivindicou 316 ataques desde julho de 2024, sendo este o maior ataque a um escritório de advocacia em 2025. Ransomware tem se tornado uma ameaça crescente para escritórios de advocacia nos EUA, colocando em risco dados sensíveis de clientes e causando interrupções operacionais significativas.

O grupo de ransomware conhecido como Devman reivindicou um ataque cibernético contra a Georgia Superior Court Clerks’ Cooperative Authority (GSCCCA), que resultou na interrupção do acesso ao seu site. O ataque ocorreu no final de semana, e o grupo afirmou ter roubado 500 GB de dados, exigindo um pagamento de resgate em um prazo de três dias, que já expirou. A GSCCCA, em sua página no Facebook, confirmou a ameaça cibernética e ativou protocolos de segurança defensiva, restringindo temporariamente o acesso aos seus serviços. Embora a GSCCCA não tenha confirmado a reivindicação de Devman, o grupo é conhecido por operar um modelo de ransomware como serviço, permitindo que afiliados lancem ataques utilizando sua infraestrutura. Desde abril de 2025, Devman já atacou mais de 50 organizações, incluindo agências governamentais. Em 2025, foram registrados 71 ataques de ransomware em entidades governamentais dos EUA, com um resgate médio de 1,2 milhão de dólares. O impacto desses ataques pode ser severo, resultando em perda de dados e interrupção de serviços essenciais, o que levanta preocupações sobre a segurança cibernética em instituições públicas.

Um estudo da Beazley Security revelou que 48% dos ataques de ransomware têm início com o roubo de credenciais de VPN, um aumento alarmante de 38% em relação ao trimestre anterior. Os cibercriminosos utilizam técnicas como o credential stuffing para acessar redes privadas virtuais, explorando vulnerabilidades como a falta de Autenticação Multifator (MFA). Além disso, 23% dos ataques foram realizados através da exploração de serviços externos. A pesquisa também destacou que 65% dos sequestros digitais foram perpetrados por três grupos criminosos notórios. O aumento nos vazamentos de dados sensíveis, que subiu 11% em comparação ao trimestre anterior, gera preocupação entre especialistas em segurança. É fundamental que as empresas escolham cuidadosamente seus provedores de VPN e implementem medidas de segurança adicionais, como antivírus e políticas de proteção de dados, para mitigar esses riscos. O uso de VPNs, embora ofereça uma navegação mais segura, não garante proteção contra ataques de phishing e ransomware, exigindo uma abordagem holística de segurança digital.

O grupo cibercriminoso Everest, especializado em ransomware, anunciou ter invadido a Petrobras, uma das maiores empresas do Brasil, e sua parceira SAExploration. Os hackers afirmam ter roubado mais de 176 gigabytes de dados, dos quais mais de 90 GB pertencem diretamente à Petrobras. Esses dados incluem informações críticas sobre navegação sísmica, como posicionamento de navios e medições de profundidade, essenciais para a indústria de petróleo e gás. O grupo deu um prazo de quatro dias para que a Petrobras inicie negociações de resgate, sob a ameaça de divulgar os dados ao público. A divulgação dessas informações poderia permitir que concorrentes replicassem métodos da Petrobras, reduzindo custos e aumentando a competitividade. A invasão foi confirmada por capturas de tela publicadas pelos hackers, que também se comunicaram com a empresa através de uma mensagem encriptada. Este incidente destaca a crescente ameaça de ransomware e a vulnerabilidade de grandes corporações a ataques cibernéticos.

O grupo cibercriminoso Everest reivindicou um ataque à Under Armour, afirmando ter roubado 343 GB de dados sensíveis da empresa. Os hackers publicaram um comunicado na dark web, incluindo informações pessoais e corporativas de clientes e funcionários, como histórico de compras, dados de identificação, e-mails e até passaportes. Além disso, documentos internos, catálogos de produtos e análises de comportamento de consumidores também foram supostamente comprometidos. O Everest não exigiu resgate, mas deu um ultimato à Under Armour, solicitando contato em até sete dias para evitar a divulgação de mais dados. Este ataque destaca o risco elevado de fraudes e roubo de identidade, especialmente considerando a natureza dos dados expostos. O grupo já atacou outras grandes empresas, como AT&T e Coca-Cola, o que evidencia um padrão de comportamento focado em extorsão ao invés de criptografia de dados. A Under Armour, que já enfrentou um incidente de segurança em 2018, agora se vê em uma situação crítica que pode afetar sua reputação e a confiança dos consumidores.

A WEL Companies, fornecedora de transporte, notificou 122.960 pessoas sobre um vazamento de dados ocorrido em janeiro de 2025. Informações pessoais comprometidas incluem números de Seguro Social e identificações emitidas pelo estado. O grupo de ransomware RansomHub reivindicou a responsabilidade pelo ataque, alegando ter roubado 189 GB de dados, incluindo documentos sensíveis como passaportes e relatórios de acidentes. Embora a WEL tenha identificado atividade incomum em sua rede no dia 31 de janeiro, a empresa ainda não confirmou se pagou um resgate ou como a violação ocorreu. Para mitigar os danos, a WEL está oferecendo monitoramento de identidade gratuito através da Kroll. Este ataque é um dos maiores registrados contra empresas de transporte nos EUA, destacando a crescente ameaça de ransomware nesse setor. Em 2025, já foram registrados seis ataques confirmados a empresas de transporte nos EUA, com 99 alegações adicionais ainda não verificadas. Os ataques de ransomware não apenas comprometem dados, mas também podem paralisar sistemas, resultando em perdas financeiras significativas e riscos de fraude para os clientes.

O grupo de ransomware Sinobi reivindicou um ataque cibernético contra o Heywood Healthcare, localizado em Massachusetts, que resultou na paralisação dos sistemas de TI em suas duas unidades: Heywood Hospital em Gardner e Athol Hospital em Athol. O ataque, que começou em 12 de outubro, levou à interrupção de serviços essenciais, embora a maioria tenha sido restaurada até 31 de outubro. Sinobi afirmou ter roubado 550 GB de dados e exigiu um resgate não revelado. Até o momento, Heywood não confirmou a veracidade da reivindicação do grupo, e detalhes sobre o número de pessoas afetadas e a natureza dos dados comprometidos permanecem desconhecidos. O Sinobi é conhecido por operar um esquema de ransomware como serviço, permitindo que afiliados utilizem sua infraestrutura para realizar ataques. Em 2025, foram registrados 75 ataques confirmados de ransomware em provedores de saúde nos EUA, comprometendo cerca de 7,6 milhões de registros. A situação ressalta a vulnerabilidade do setor de saúde a ataques cibernéticos, que podem comprometer a segurança e a privacidade dos pacientes.

A Marquis Software Solutions, fornecedora de serviços de marketing e conformidade para mais de 700 bancos e cooperativas de crédito nos Estados Unidos, sofreu um vazamento de dados em agosto de 2025. O incidente comprometeu informações sensíveis, incluindo números de Seguro Social, números de identificação fiscal, números de contas e datas de nascimento de 6.876 pessoas, conforme notificado pela Community 1st Credit Union. Acredita-se que a Marquis tenha pago um resgate após um ataque de ransomware, embora os detalhes sobre o valor e a forma de ataque ainda não tenham sido divulgados. A Community 1st Credit Union inicialmente não identificou a inclusão de informações de seus membros no vazamento, mas posteriormente foi informada de que dados pessoais não públicos estavam envolvidos. Este incidente destaca a crescente preocupação com a segurança cibernética, especialmente em um cenário onde ataques de ransomware estão se tornando mais frequentes, com 24 ataques confirmados em empresas de tecnologia dos EUA apenas em 2025, afetando cerca de 825.000 registros. A Marquis está oferecendo proteção de identidade gratuita para as vítimas afetadas pelo vazamento.

A Tata Motors, proprietária da Jaguar Land Rover (JLR), divulgou que um ciberataque de ransomware ocorrido em setembro resultou em um prejuízo de £ 196 milhões (aproximadamente R$ 1,3 bilhão). O ataque interrompeu a produção nas fábricas da JLR por quase um mês, impactando significativamente os resultados financeiros da empresa. No relatório do segundo semestre, a JLR registrou uma queda de 24% na receita em comparação ao ano anterior, totalizando £ 4,9 bilhões (R$ 34 bilhões). O prejuízo total do período foi de £ 485 milhões (R$ 3,3 bilhões), enquanto no ano anterior a empresa havia reportado um lucro de £ 398 milhões (R$ 2,7 bilhões).

A Sato Corporation anunciou a notificação de vítimas de uma violação de dados ocorrida em outubro de 2025, que comprometeu informações pessoais como nomes, endereços de e-mail, endereços postais, números de telefone e contas de clientes. Os hackers exploraram uma vulnerabilidade zero-day no software Oracle E-Business Suite, amplamente utilizado por grandes empresas para gerenciar finanças e recursos humanos. A Sato informou que o sistema afetado continha dados de pedidos, informações de envio e recebimento, além de contas a receber e a pagar, mas não incluiu senhas ou informações de produtos. O grupo de ransomware Clop reivindicou a responsabilidade pelo ataque, que afetou operações da Sato em vários países, incluindo Japão, EUA, Singapura, Malásia, Europa e Reino Unido. A Sato não confirmou se pagou ou não o resgate exigido, e a investigação sobre a extensão da violação está em andamento. O ataque destaca a crescente ameaça de grupos de ransomware que exploram vulnerabilidades em softwares críticos, com um aumento significativo de ataques a fabricantes em 2025.

A Fulgar, uma renomada produtora de fios sintéticos, confirmou ter sido alvo de um ataque de ransomware vinculado ao grupo RansomHouse. Os atacantes publicaram documentos internos, incluindo informações financeiras, listas de clientes e comunicações sensíveis, em seu site de vazamento no dia 12 de novembro, alegando que os dados estavam criptografados desde 31 de outubro. A Fulgar, que fornece para grandes marcas como H&M e Adidas, opera em várias regiões, incluindo Europa, Sri Lanka e Turquia. O ataque destaca a vulnerabilidade de grandes fornecedores, mostrando que mesmo empresas consolidadas podem ser comprometidas. A divulgação de informações confidenciais pode facilitar tentativas de phishing direcionadas, aumentando os riscos para a empresa e seus parceiros. O grupo RansomHouse, ativo desde 2021, já listou mais de cem vítimas, e as autoridades cibernéticas dos EUA o associaram a atores iranianos. A proteção contra roubo de identidade e o uso de software antivírus eficaz são essenciais para mitigar riscos adicionais durante esses períodos de incerteza.

O aumento dos ataques de ransomware tem gerado um intenso debate sobre a questão dos pagamentos de resgate. Em 2025, houve um crescimento de 126% nos ataques em relação ao trimestre anterior, levando o governo do Reino Unido a considerar a proibição desses pagamentos, especialmente para o setor público e infraestrutura crítica. A proposta visa desencorajar organizações de cederem a demandas de criminosos, que muitas vezes não garantem a devolução dos dados. Embora pagar um resgate possa parecer uma solução rápida, isso alimenta um ciclo de criminalidade cibernética. Em 2025, 41% das organizações admitiram ter pago resgates, mas apenas 67% conseguiram recuperar totalmente seus dados. A proibição dos pagamentos poderia forçar as organizações a se concentrarem em resiliência cibernética, planejamento de resposta a incidentes e estratégias de recuperação. Para se proteger, as empresas devem investir em provedores de serviços gerenciados (MSPs), treinamento de conscientização em segurança e planos de resposta a incidentes. A discussão sobre a proibição dos pagamentos de resgate levanta questões sobre a eficácia dessa abordagem e a necessidade de alternativas viáveis para a recuperação de dados sensíveis.

O Washington Post notificou cerca de 10 mil empregados e prestadores de serviço sobre um vazamento de dados que ocorreu devido a um ataque hacker em sistemas da Oracle, entre 10 de julho e 22 de agosto de 2025. A vulnerabilidade explorada foi identificada no Oracle E-Business Suite, um software amplamente utilizado para gerenciar recursos humanos, finanças e cadeias de suprimentos. Os hackers, associados ao grupo de ransomware Clop, tentaram extorquir a empresa em setembro, após a descoberta da brecha. Os dados comprometidos incluem informações sensíveis como nome completo, número de conta bancária, documentos de identidade e dados fiscais. A empresa IDX, especializada em proteção contra roubo de identidade, ofereceu serviços gratuitos aos afetados, recomendando medidas como o congelamento de segurança nos cartões de crédito. Este incidente ressalta a importância de monitorar e proteger sistemas críticos, especialmente em um cenário onde a segurança da informação é cada vez mais desafiadora.

Recentemente, a vila de Mundelein, Illinois, notificou vítimas de uma violação de dados ocorrida em janeiro de 2025, onde informações pessoais sensíveis foram comprometidas. Entre os dados vazados estão números de Seguro Social, informações financeiras, dados médicos e números de identificação emitidos pelo estado, como carteiras de motorista e passaportes. O grupo de ransomware Medusa reivindicou a responsabilidade pelo ataque, alegando ter roubado 118 GB de dados do Distrito de Parques e Recreação de Mundelein. Após a violação, Medusa exigiu um resgate inicial de $400,000, que foi posteriormente reduzido para $250,000. A vila ainda não confirmou a veracidade das alegações do grupo ou se um resgate foi pago. Para mitigar os danos, Mundelein está oferecendo 24 meses de monitoramento de crédito gratuito para as vítimas afetadas. O incidente destaca a crescente ameaça de ataques de ransomware a entidades governamentais, com 69 ataques confirmados nos EUA em 2025, comprometendo dados de aproximadamente 450,000 pessoas.

O ransomware Akira está ampliando seu alcance ao atacar arquivos de disco de máquinas virtuais (VMs) da Nutanix AHV, conforme relatado por agências de segurança dos EUA, incluindo a CISA. Desde junho de 2025, o grupo tem explorado uma vulnerabilidade crítica no SonicWall SonicOS, identificada como CVE-2024-40766, que permite acesso não autorizado a recursos, resultando em falhas nos firewalls. Além disso, o Akira utiliza vulnerabilidades em servidores Veeam Backup & Replication para movimentação lateral e exclusão de backups. Até setembro de 2025, o grupo já havia extorquido mais de US$ 240 milhões em ataques de ransomware. A CISA recomenda que os usuários mantenham seus softwares atualizados e implementem autenticação multifatorial (MFA) para se protegerem contra essas ameaças. O ataque ao Nutanix AHV não é surpreendente, dado que o Akira já havia atacado outras soluções de virtualização, como VMware ESXi e Hyper-V. A situação destaca a necessidade urgente de medidas de segurança robustas em ambientes virtuais.

No terceiro trimestre de 2025, a pesquisa da Check Point revelou um aumento alarmante no número de grupos de ransomware ativos, totalizando 85, o maior já registrado. Esses grupos foram responsáveis pela divulgação de 1.592 novas vítimas em mais de 85 sites de vazamento, indicando uma atividade intensa e contínua, mesmo sob pressão das autoridades. A fragmentação do mercado de ransomware, antes dominado por grandes grupos de Ransomware-as-a-Service (RaaS), agora abriga uma variedade de operações menores e independentes, dificultando a atribuição de ataques e a eficácia das estratégias de defesa. Apesar de operações de desmantelamento de grupos como RansomHub e 8Base, a quantidade de ataques não diminuiu, pois os afiliados se reorganizam rapidamente. A reemergência do LockBit com sua versão 5.0 sugere uma possível recente centralização, oferecendo uma estrutura que pode atrair novos afiliados. Além disso, a evolução do DragonForce, que busca visibilidade através de parcerias e serviços de auditoria de dados, reflete uma mudança no marketing dentro do cibercrime. Com os Estados Unidos como principal alvo, a situação exige atenção redobrada das equipes de segurança cibernética, que devem se adaptar a um cenário em constante mudança.

Um novo relatório da CISA (Agência de Segurança Cibernética e Infraestrutura) revela que o grupo de ransomware Akira impactou mais de 250 organizações na América do Norte, Europa e Austrália desde março de 2023, coletando cerca de 42 milhões de dólares em resgates. O grupo, que visa principalmente pequenas e médias empresas, também comprometeu grandes organizações em setores críticos como manufatura, educação, TI, saúde, serviços financeiros e agricultura. O modelo de extorsão dupla utilizado pelo Akira envolve a exfiltração de dados sensíveis antes de criptografar os arquivos das vítimas, ameaçando vazamentos públicos caso o pagamento não seja feito. Desde abril de 2023, o Akira expandiu suas operações para incluir variantes que atacam sistemas Linux, demonstrando uma evolução técnica significativa. As táticas de ataque incluem a exploração de vulnerabilidades em produtos VPN não corrigidos, phishing direcionado e ataques de força bruta. A CISA recomenda que as organizações priorizem a correção de vulnerabilidades conhecidas, implementem autenticação multifator resistente a phishing e mantenham backups offline testados. O impacto do Akira ressalta a necessidade urgente de aprimorar a detecção de ameaças e preparar planos de resposta abrangentes.

Uma operação coordenada pela Europol e Eurojust, chamada Operação Endgame, resultou no desmantelamento de uma rede criminosa que disseminava malwares como Rhadamanthys Stealer e Venom RAT, além do bot Elysium. A ação, que ocorreu em 10 de novembro de 2025, levou à prisão do principal suspeito na Grécia e à desativação de mais de mil servidores, além da apreensão de cerca de 20 domínios. Segundo a Europol, a rede de malware afetou centenas de milhares de computadores em todo o mundo, resultando no roubo de milhões de credenciais. O Rhadamanthys Stealer, por exemplo, coletava informações de dispositivos sem que as vítimas percebessem, enquanto o Venom RAT estava associado a ataques de ransomware. A operação também revelou que o cibercriminoso investigado havia coletado cerca de 100 mil carteiras de criptomoedas, representando um valor significativo em euros. A investigação continua, especialmente em relação ao bot Elysium, cuja relação com os outros malwares ainda está sendo analisada.

Entre os dias 10 e 13 de novembro de 2025, uma operação coordenada liderada pela Europol e Eurojust resultou no desmantelamento de famílias de malware, incluindo Rhadamanthys Stealer, Venom RAT e a botnet Elysium. Esta ação faz parte da Operação Endgame, que visa combater infraestruturas criminosas e ransomware em todo o mundo. Durante a operação, mais de 1.025 servidores foram derrubados e 20 domínios foram apreendidos. A Europol informou que a infraestrutura desmantelada continha centenas de milhares de computadores infectados, com milhões de credenciais roubadas. Muitos dos afetados não tinham conhecimento da infecção em seus sistemas. Além disso, o principal suspeito do Venom RAT foi preso na Grécia e tinha acesso a cerca de 100.000 carteiras de criptomoedas, representando um potencial valor de milhões de euros. A análise da Check Point revelou que a versão mais recente do Rhadamanthys agora coleta impressões digitais de dispositivos e navegadores, utilizando mecanismos para evitar detecção. A operação contou com a colaboração de agências de segurança de vários países, incluindo Estados Unidos, Austrália e diversos países europeus.

Em 2025, o Brasil enfrenta um aumento alarmante de ataques digitais, com uma média de 15 incidentes por hora, segundo dados da Check Point Research. O levantamento aponta que, semanalmente, são registrados cerca de 2,6 mil ciberataques a empresas, representando um crescimento de 21% em relação ao ano anterior. Esse cenário se agrava durante períodos sazonais, como a Black Friday e o Natal, quando o comércio eletrônico intensifica suas atividades. Especialistas alertam que, durante essas épocas, as ameaças mais comuns incluem phishing, roubo de credenciais e ransomware, que podem comprometer tanto a operação das empresas quanto a confiança dos consumidores. Para mitigar esses riscos, é essencial que as empresas reforcem suas infraestruturas de segurança, adotando medidas como certificados SSL, autenticação de dois fatores e monitoramento constante de servidores. A proteção dos dados dos consumidores é crucial, especialmente em um ambiente onde fraudes e vazamentos de informações estão em alta. Portanto, a preparação e a vigilância são fundamentais para garantir uma experiência de compra segura durante as promoções de fim de ano.

Nos últimos dez anos, a comunidade de cibercriminosos de língua inglesa conhecida como “The COM” evoluiu de um nicho focado na troca de nomes de usuário raros em redes sociais para uma economia subterrânea ágil que orquestra uma ampla gama de ataques globais. Com a queda de fóruns de alto perfil, como o RaidForums, a COM se adaptou, combinando habilidades de manipulação social com a expertise técnica de hackers focados em vazamentos de dados. As táticas incluem engenharia social, phishing, SIM swapping e recrutamento de insiders, com grupos como Lapsus$, ShinyHunters e Scattered Spider exemplificando essa nova abordagem. A COM opera como uma cadeia de suprimentos profissionalizada, onde papéis especializados colaboram em um modelo modular, facilitando a escalabilidade e inovação. A colaboração entre especialistas de língua inglesa e sindicatos de cibercrime de língua russa intensifica a ameaça, tornando a defesa mais desafiadora. Para se proteger, as organizações devem adotar defesas centradas na identidade, autenticação multifatorial resistente a phishing e monitoramento contínuo de ameaças internas, reconhecendo que a cibercriminalidade é tanto um negócio quanto uma performance, visando não apenas sistemas, mas também pessoas.

O Habib Bank AG Zurich anunciou hoje que detectou acesso não autorizado à sua rede corporativa. Em 5 de novembro de 2025, o grupo de ransomware Qilin listou o banco em seu site de vazamento de dados, alegando ter roubado 2,56 TB de informações. Apesar da gravidade da situação, o banco afirmou que seus serviços bancários permanecem operacionais e que até o momento não foi identificado acesso persistente. A instituição não confirmou se pagou resgate ou como os atacantes conseguiram invadir sua rede. A equipe do banco, apoiada por especialistas em cibersegurança, está trabalhando para avaliar e mitigar o impacto do incidente. O grupo Qilin, baseado na Rússia, é conhecido por realizar ataques por meio de e-mails de phishing e já reivindicou 792 ataques de ransomware em 2025, afetando principalmente o setor financeiro. O aumento de ataques a instituições financeiras levanta preocupações sobre a segurança de dados e a conformidade com a LGPD no Brasil, uma vez que o setor bancário é um alvo frequente de cibercriminosos.

O governo do Reino Unido está considerando a implementação de uma proibição de pagamentos de resgates em casos de ransomware, visando proteger entidades públicas e infraestrutura crítica, como o NHS e escolas. A proposta inclui um regime de notificação obrigatória para empresas privadas que optarem por pagar resgates, com o objetivo de desestimular os ataques cibernéticos. No entanto, há preocupações de que essa medida possa redirecionar os ataques para o setor privado, aumentando a vulnerabilidade de pequenas e médias empresas, varejistas e organizações sem fins lucrativos. Uma pesquisa revelou que 75% dos líderes empresariais no Reino Unido admitiriam pagar um resgate, mesmo com a proibição, se isso significasse a sobrevivência da empresa. A proposta também levanta questões éticas e legais, já que o pagamento de resgates pode ser considerado crime. Para mitigar esses riscos, as empresas devem adotar um modelo de ’empresa mínima viável’ (MVC), focando na continuidade das operações essenciais durante um ataque cibernético e investindo em mecanismos avançados de proteção de dados. A preparação para um cenário de ataque é crucial, uma vez que o pagamento de resgates não garante a recuperação dos dados e pode aumentar a probabilidade de novos ataques.

O malware GootLoader voltou a ser uma ameaça significativa, conforme relatado pela Huntress. Desde 27 de outubro de 2025, foram observadas três infecções, com duas delas resultando em invasões diretas e comprometimento de controladores de domínio em menos de 17 horas após a infecção inicial. A nova versão do GootLoader utiliza fontes WOFF2 personalizadas para ofuscar nomes de arquivos, dificultando a análise estática. O malware explora endpoints de comentários do WordPress para entregar cargas úteis em arquivos ZIP criptografados com XOR, cada um com chaves únicas. Além disso, a técnica de modificação do arquivo ZIP permite que ele se apresente como um arquivo .TXT inofensivo em ferramentas de análise, enquanto na verdade contém um arquivo JavaScript malicioso. O payload JavaScript é projetado para implantar um backdoor chamado Supper, que permite controle remoto e proxy SOCKS5. O uso de anúncios do Google para direcionar vítimas em busca de modelos legais para sites WordPress comprometidos também foi uma tática observada. A evolução do GootLoader demonstra que os atores de ameaças não precisam de exploits sofisticados, mas sim de ferramentas bem ofuscadas que atendem a seus objetivos.

O FBI prendeu três especialistas em cibersegurança acusados de realizar ataques de ransomware enquanto trabalhavam para a DigitalMint, uma empresa de Chicago que negocia resgates de ransomware. Os acusados, Kevin Tyler Martin, Ryan Clifford Goldberg e um terceiro não identificado, teriam iniciado suas atividades criminosas em maio de 2023, utilizando software malicioso para extorquir empresas, incluindo uma instituição médica na Flórida, que foi ameaçada a pagar US$ 10 milhões. Embora o grupo tenha conseguido roubar US$ 1,2 milhão, a investigação revelou que eles estavam por trás de vários ataques, incluindo tentativas contra uma empresa farmacêutica e um consultório médico na Califórnia. A DigitalMint afirmou estar cooperando com as investigações e demitiu os funcionários envolvidos por conduta não autorizada. As acusações incluem conspiração para interferir no comércio interestadual e dano intencional a computadores protegidos, destacando a gravidade da situação e a necessidade de vigilância constante no setor de cibersegurança.

A GlobalLogic, empresa de desenvolvimento de software, notificou 10.471 pessoas sobre um vazamento de dados ocorrido em julho de 2025. O incidente comprometeu informações pessoais sensíveis, incluindo números de Seguro Social, dados bancários, informações salariais, números de passaporte, nacionalidades, datas de nascimento, endereços de e-mail e números de telefone. Os hackers exploraram uma vulnerabilidade zero-day na suíte Oracle E-Business, utilizada pela empresa para gerenciar finanças e recursos humanos. O grupo de ransomware Clop, que já reivindicou responsabilidade por outros ataques semelhantes, não listou a GlobalLogic em seu site de vazamentos até o momento. A empresa não revelou a identidade dos atacantes nem se pagou um resgate. GlobalLogic está oferecendo monitoramento de crédito gratuito por 24 meses aos afetados. A vulnerabilidade explorada foi identificada pela Oracle em um aviso de segurança emitido em 4 de outubro de 2025. O acesso não autorizado foi detectado apenas em 9 de outubro de 2025, quase três meses após a invasão inicial. Este incidente destaca a crescente preocupação com a segurança cibernética, especialmente em relação a vulnerabilidades em softwares amplamente utilizados.

Em 2025, investigações da ZenSec revelaram uma onda significativa de incidentes de ransomware explorando vulnerabilidades críticas na plataforma SimpleHelp Remote Monitoring and Management (RMM). As falhas, identificadas como CVE-2024-57726, CVE-2024-57727 e CVE-2024-57728, permitiram que atacantes executassem código remotamente e assumissem controle total dos sistemas. Grupos de ransomware como Medusa e DragonForce aproveitaram essas vulnerabilidades para invadir Provedores de Serviços Gerenciados (MSPs) e se propagar para os sistemas de clientes. Apesar de patches estarem disponíveis, muitas organizações atrasaram sua implementação. Os atacantes desativaram ferramentas de segurança, roubaram dados e criptografaram sistemas, evidenciando como a confiança na cadeia de suprimentos pode amplificar o impacto. Medusa utilizou ferramentas como PDQ Deploy e RClone para distribuir payloads e exfiltrar dados, enquanto DragonForce focou na coleta de credenciais e na exfiltração usando Restic. Esses incidentes ressaltam a urgência de uma gestão rigorosa de patches nas dependências da cadeia de suprimentos.

A equipe de pesquisa Gen Digital, da Norton, identificou uma falha crítica no ransomware Midnight, uma variante do malware Babuk, que permite a recuperação de arquivos criptografados sem a necessidade de pagamento de resgate. O ransomware Midnight utiliza uma combinação de encriptações ChaCha20 e RSA, mas um erro na implementação da chave RSA possibilitou a descriptografia parcial dos arquivos. Essa vulnerabilidade foi explorada pelos especialistas da Norton, que disponibilizaram uma chave de desencriptação gratuita para sistemas Windows, tanto 32-bit quanto 64-bit. Os arquivos afetados geralmente têm extensões .Midnight ou .endpoint e são acompanhados por uma nota de resgate. A Norton recomenda que os usuários mantenham backups para evitar a perda de dados durante o processo de recuperação. Essa descoberta é significativa, pois o ransomware Midnight representa uma ameaça crescente, herdando características do Babuk, que já havia causado estragos em 2021. A chave de desencriptação é uma ferramenta valiosa para as vítimas, permitindo que recuperem seus dados sem ceder à extorsão dos hackers.

O ransomware Cephalus, identificado pela primeira vez em junho de 2025, representa uma nova e crescente ameaça no cenário de cibersegurança. Este grupo de atacantes, motivado financeiramente, utiliza táticas sofisticadas para invadir organizações e criptografar dados críticos. A principal vulnerabilidade explorada é a falta de autenticação multifatorial em credenciais do Protocolo de Área de Trabalho Remota (RDP), tornando as empresas alvos fáceis. Após obter acesso inicial, os atacantes realizam exfiltração de dados antes de implantar seu ransomware personalizado.

O LockBit 5.0, uma variante de ransomware como serviço (RaaS), foi analisado em um relatório técnico da Flashpoint, revelando um avanço significativo em suas capacidades. Lançado em setembro de 2025, o LockBit 5.0 apresenta uma arquitetura de implantação modular em duas etapas, projetada para maximizar a evasão de sistemas de detecção modernos. A primeira etapa atua como um carregador furtivo, utilizando técnicas de ofuscação de controle de fluxo e resolução dinâmica de APIs para evitar a detecção. O carregador também realiza a desativação de bibliotecas de segurança, permitindo que o payload seja injetado em processos sem acionar alertas de segurança.

O artigo aborda o ciclo de comprometimento de credenciais, destacando como usuários, como Sarah do departamento de contabilidade, podem inadvertidamente entregar suas informações de login a cibercriminosos através de e-mails de phishing. O texto descreve as etapas desse ciclo, desde a criação de credenciais pelos usuários até a exploração ativa por hackers, que podem levar a roubo de dados e ataques de ransomware. Os vetores comuns de comprometimento incluem campanhas de phishing, reutilização de senhas e vazamentos de chaves de API. O impacto real de um comprometimento de credenciais pode ser devastador, resultando em invasões de contas, roubo de dados e aumento de custos operacionais. O artigo enfatiza a importância de ações proativas para detectar credenciais comprometidas, como o uso de ferramentas como o Credential Checker da Outpost24, que ajuda a identificar se as credenciais de uma empresa estão expostas em repositórios de vazamentos. A urgência em proteger as credenciais é destacada, considerando que muitas podem já estar comprometidas sem o conhecimento da organização.

Pesquisadores de cibersegurança identificaram uma extensão maliciosa para o Visual Studio Code (VS Code) chamada ‘susvsex’, que possui capacidades básicas de ransomware. Criada com auxílio de inteligência artificial, a extensão foi carregada em 5 de novembro de 2025, e não esconde suas funcionalidades maliciosas. Ao ser ativada, ela compacta, faz upload e criptografa arquivos de diretórios específicos do sistema operacional, como C:\Users\Public\testing no Windows e /tmp/testing no macOS. A Microsoft removeu a extensão do Marketplace do VS Code no dia seguinte à sua descoberta. Além da criptografia, a extensão utiliza um repositório privado no GitHub como canal de comando e controle (C2), onde busca novas instruções. O desenvolvedor, que se apresenta como residente de Baku, Azerbaijão, deixou evidências que podem facilitar a exploração por outros atacantes. Em um incidente separado, 17 pacotes npm foram encontrados disfarçados como kits de desenvolvimento, mas que executam o infostealer Vidar em sistemas infectados. Esses pacotes foram baixados mais de 2.240 vezes antes de serem removidos, destacando a necessidade de vigilância constante na cadeia de suprimentos de software.

Uma investigação recente revelou uma campanha cibernética que explora extensões maliciosas do Visual Studio Code (VS Code) para disseminar ransomware, utilizando repositórios do GitHub como parte de sua infraestrutura de comando e controle (C2). Os pesquisadores identificaram várias extensões no Marketplace do Visual Studio que continham cargas ocultas disfarçadas de utilitários legítimos para desenvolvedores. Após a instalação, esses pacotes executavam JavaScript ofuscado que lançava comandos do PowerShell. Os scripts maliciosos recuperavam cargas secundárias de repositórios do GitHub sob contas aparentemente benignas.

Uma nova variante de ransomware, chamada Midnight, tem chamado a atenção da comunidade de segurança cibernética devido às suas vulnerabilidades. Identificada por pesquisadores da Gen, essa variante é semelhante ao ransomware Babuk, que se destacou em 2021. Midnight utiliza o cifrador de fluxo ChaCha20 para criptografar dados e RSA para proteger as chaves de criptografia, mas apresenta falhas que permitem a recuperação gratuita de arquivos. O ransomware normalmente adiciona as extensões ‘.Midnight’ ou ‘.endpoint’ aos arquivos comprometidos e impede a execução simultânea de múltiplas instâncias do processo de criptografia. Pesquisadores conseguiram explorar as fraquezas do Midnight, permitindo a recuperação de dados sem pagamento de resgate. Especialistas de segurança, como os da Avast e Norton, disponibilizaram um decryptor funcional que pode ser utilizado por vítimas, recomendando que o programa seja executado com privilégios administrativos. Apesar das falhas, a variante Midnight destaca uma tendência crescente entre desenvolvedores de ransomware em iterar sobre códigos vazados, como o do Babuk. Organizações são aconselhadas a manter backups offline e monitorar logs de sistema em busca de indicadores associados ao Midnight.

Pesquisadores de segurança digital da Expel identificaram uma nova campanha de ransomware que utiliza anúncios falsos do Microsoft Teams para enganar usuários. A quadrilha Rhysida, conhecida por seus ataques desde junho de 2025, cria páginas que imitam o site oficial de download do Teams. Quando a vítima clica no anúncio, é redirecionada para uma página falsa, onde, ao tentar baixar o software, seu dispositivo é infectado por dois malwares: OysterLoader e Latrodectus. Esses malwares permitem que os cibercriminosos acessem remotamente o aparelho da vítima, criptografando seus dados e abrindo portas para outros golpes digitais. A Rhysida já foi responsável por ataques significativos, como o que resultou no roubo de quase 600 GB de dados da Biblioteca Britânica em 2023. A campanha atual destaca a importância de cautela ao clicar em anúncios, mesmo em plataformas confiáveis como o Bing, e reforça a necessidade de medidas de segurança robustas para proteger dados sensíveis.