Rhysida

O governo do estado de Berlim confirmou que foi alvo de uma tentativa de extorsão após a violação de sua rede administrativa em agosto de 2026. O incidente resultou na exfiltração de dados, com um vazamento inicial reportado em 7 de agosto e a rede sendo isolada em 14 de agosto. A análise forense revelou que dados pessoais e informações não públicas podem ter sido comprometidos, com os atacantes alegando ter acessado 5,79 terabytes de dados de mais de 12 mil indivíduos. O grupo Rhysida foi identificado como responsável pelo ataque, utilizando métodos como credenciais válidas em serviços remotos e phishing. As autoridades de segurança estão investigando o caso, mas não há informações sobre o pagamento de resgate. Além disso, a Agência de Segurança Cibernética dos EUA (CISA) e o FBI alertaram sobre a prática de extorsão dupla do grupo, recomendando que as organizações não paguem resgates, pois isso não garante a recuperação dos dados e pode incentivar novos ataques. O incidente destaca a importância da autenticação multifatorial e da mitigação de vulnerabilidades conhecidas para proteger redes contra ransomware.

A Cardinal Services, Inc. iniciou notificações de violação de dados para 142.323 pessoas após dois incidentes de cibersegurança em 2025, um em junho e outro em agosto. O grupo de ransomware Rhysida reivindicou o primeiro ataque, exigindo um resgate de $940.000, enquanto o segundo ataque foi atribuído ao grupo INC. A empresa tomou medidas imediatas ao descobrir acessos não autorizados em seus sistemas, envolvendo profissionais externos de cibersegurança para investigar e mitigar os danos. Embora os detalhes sobre os dados afetados não sejam claros, a oferta de acesso gratuito ao Epiq Privacy Solutions ID sugere que informações sensíveis, como números de Seguro Social, podem ter sido comprometidas. O grupo Rhysida também adicionou a Cardinal a seu site de vazamento de dados, apresentando provas que incluem capturas de tela de documentos sensíveis. Em setembro, o grupo INC também reivindicou a violação, alegando que 140 GB de dados foram roubados. Até agora, a Cardinal não confirmou as reivindicações de resgate ou se algum pagamento foi feito. Este incidente destaca a crescente ameaça de ataques de ransomware nos Estados Unidos, com 755 ataques confirmados em 2025, afetando mais de 44,6 milhões de registros.

O grupo de ransomware Rhysida atacou a STELIA Aerospace North America Inc., exigindo um resgate de 27 bitcoins (aproximadamente R$ 2,07 milhões) em troca de 10 TB de dados. A empresa, subsidiária da Airbus Atlantic, confirmou a detecção do ataque e ativou seus protocolos de defesa cibernética, isolando os sistemas afetados. A STELIA assegurou que o incidente está restrito ao seu ambiente de TI e não afeta a rede mais ampla da Airbus Atlantic. Documentos, incluindo informações de identidade e planos de benefícios de funcionários, foram divulgados pelo grupo, que também listou clientes importantes como Lockheed Martin e Boeing, sugerindo que dados desses parceiros podem ter sido comprometidos. Desde sua origem em maio de 2023, Rhysida já registrou 266 ataques, com uma média de resgate de aproximadamente R$ 5,4 milhões. Este é o segundo ataque confirmado em 2026, após um incidente com a Elabs AG na Alemanha. O Canadá tem sido um alvo frequente para ataques de ransomware, com 133 alegações em 2026, sendo 26 delas direcionadas a fabricantes, como a STELIA.

O Museu de Arte de Phoenix, localizado no Arizona, confirmou que notificou um número não revelado de pessoas sobre uma violação de dados ocorrida em dezembro de 2025, que comprometeu nomes e números de Seguro Social. A violação foi identificada em 8 de dezembro de 2025, após o museu detectar acessos não autorizados em seus sistemas. O grupo cibercriminoso Rhysida assumiu a responsabilidade pelo ataque em 12 de fevereiro de 2026, exigindo um resgate de 10 bitcoins, equivalente a aproximadamente 667 mil dólares na época. O museu não confirmou a reivindicação do Rhysida e não se sabe quantas pessoas foram afetadas ou como os atacantes conseguiram acessar a rede. Como resposta, o museu está oferecendo monitoramento de crédito gratuito e seguro contra roubo de identidade aos afetados. O Rhysida, que opera um modelo de ransomware como serviço, foi responsável por 92 ataques em 2025, afetando organizações sem fins lucrativos, incluindo o Welthungerhilfe na Alemanha e o Hudson River Housing em Nova York. Os ataques de ransomware nos EUA aumentaram significativamente, com 708 incidentes confirmados em 2025, comprometendo quase 46 milhões de registros pessoais.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um ataque cibernético ao governo local de Southold, Nova York, ocorrido em novembro de 2025. O ataque, anunciado em 24 de novembro, afetou diversos sistemas da cidade, incluindo e-mails, folha de pagamento e coleta de impostos, resultando em um período de inatividade de duas semanas para a restauração dos serviços. Rhysida exigiu um resgate de 10 bitcoins, equivalente a aproximadamente $661,400, e ameaçou vender os dados comprometidos caso o pagamento não fosse realizado em sete dias. O supervisor de Southold, Al Krupski, afirmou que a cidade não tem intenção de pagar o resgate. Desde o incidente, a cidade investiu $500,000 em melhorias de segurança. Rhysida, que opera como um serviço de ransomware, já foi responsável por 21 ataques confirmados em 2025, afetando principalmente entidades governamentais. Os ataques de ransomware têm se tornado uma preocupação crescente nos EUA, com 84 incidentes confirmados em 2025, comprometendo cerca de 639,000 registros pessoais. O caso de Southold destaca a vulnerabilidade das administrações locais a ataques cibernéticos e a necessidade de investimentos em segurança da informação.

A cidade de Carthage, Texas, confirmou um vazamento de dados que afetou 5.868 pessoas, incluindo informações sensíveis como números de Seguro Social, dados financeiros e informações médicas. O ataque, atribuído ao grupo de ransomware Rhysida, ocorreu em dezembro de 2024, mas os cidadãos só foram notificados em fevereiro de 2026. Rhysida, que opera como um serviço de ransomware, exige um resgate em bitcoin pela recuperação dos dados. A cidade não confirmou se pagou o resgate e não esclareceu como a violação ocorreu. O incidente destaca a vulnerabilidade das entidades governamentais a ataques cibernéticos, com um aumento significativo de ataques de ransomware nos EUA, onde 92 incidentes foram registrados em 2024. O impacto desses ataques pode ser devastador, resultando em perda de dados e interrupções em serviços essenciais. A situação em Carthage serve como um alerta para a necessidade de medidas robustas de segurança cibernética em governos locais.

A JASCO Applied Sciences, uma consultoria científica canadense, notificou residentes dos EUA sobre uma violação de dados resultante de um ataque cibernético iniciado em julho de 2025. O grupo de ransomware Rhysida reivindicou a responsabilidade pelo ataque em outubro, exigindo um resgate de 10 bitcoins, equivalente a aproximadamente 1,22 milhão de dólares americanos. A violação foi descoberta em 21 de julho, mas a empresa só confirmou a aquisição de informações pessoais em 20 de outubro. Os dados comprometidos incluem nomes, informações de contato, datas de nascimento, números de contas bancárias, números de Seguro Social, informações fiscais, números de carteira de motorista, números de cartões de saúde e informações de passaporte. Até o momento, 66 residentes dos EUA foram informados sobre o incidente. Rhysida, que tem laços com o grupo Vice Society, já realizou 95 ataques confirmados desde sua origem em maio de 2023, afetando cerca de 5,5 milhões de registros. Este ataque à JASCO destaca a vulnerabilidade de empresas que oferecem serviços a múltiplos setores, tornando-se alvos atrativos para grupos de ransomware.

Uma campanha de publicidade maliciosa sofisticada está atualmente entregando o malware OysterLoader por meio de anúncios falsos de ferramentas de software populares, como PuTTY, Microsoft Teams e Zoom. Desde junho de 2025, o grupo de ransomware Rhysida, que atua desde 2021, tem explorado um modelo de malvertising eficaz, comprando anúncios no Bing que redirecionam usuários desavisados para páginas de download fraudulentas. Essas páginas imitam sites oficiais e, ao serem acessadas, instalam o OysterLoader, que serve como uma ferramenta de acesso inicial para permitir que hackers mantenham acesso a dispositivos e redes comprometidos. Para evitar a detecção, o grupo utiliza técnicas de compressão e ofuscação do malware, além de certificados de assinatura de código para dar uma falsa legitimidade aos arquivos maliciosos. Apesar da revogação de mais de 200 certificados pela Microsoft, a campanha continua ativa, com o uso de mais de 40 certificados novos. Essa escalada nas operações do grupo demonstra recursos financeiros substanciais e um compromisso com suas atividades maliciosas, diversificando suas táticas com a implementação de outros malwares, como o Latrodectus.