Brasil é o 3º país mais atacado por ransomware do mundo em junho: o que mudou

Publicamos aqui no blog, em 19 de julho, um alerta sobre o Brasil entrar na lista dos 10 países mais atingidos por ransomware em 2026. Uma semana depois, os números pioraram, e de um jeito específico que muda a forma como sua empresa deveria pensar o risco. Não é mais "existe uma gangue grande de olho no Brasil". É um mercado inteiro de grupos pequenos brigando por vítimas, e a porta de entrada mais comum continua aberta na maioria das empresas.

Brasil sobe ao 3º lugar do ranking mundial em junho

Segundo dados da plataforma Ransomware.live, projeto do pesquisador Julien Mousqueton, CISO de campo da Cohesity, que monitora continuamente os sites de vazamento mantidos pelos próprios grupos de ransomware, o Brasil registrou 23 ataques de ransomware em junho de 2026. Isso colocou o país em 3º lugar no ranking mundial do mês, atrás apenas de Estados Unidos (199 casos) e Alemanha (49), e à frente de Reino Unido (21), Índia e Canadá (20 cada).

É a primeira vez que o Brasil aparece entre os dez países mais afetados desde que a plataforma começou a publicar dados, em janeiro de 2026. Segundo Gustavo Leite, VP da Cohesity para a América Latina, o movimento reflete uma estratégia deliberada de grupos criminosos por jurisdições com menor maturidade de resposta a incidentes e de articulação com as forças de segurança, não um pico isolado.

O quadro acumulado do ano confirma a tendência: entre janeiro e o início de julho de 2026, o Brasil somou 99 ataques de ransomware, segundo levantamento da Vision Cybersecurity (spin-off da ISH Tecnologia). Esse volume já equivale a 67% de tudo que o país registrou em 2025 inteiro (147 casos). No ritmo atual, 2026 deve superar o ano anterior com folga. Na América Latina, o Brasil lidera isolado, concentrando 36,3% dos 273 ataques mapeados na região no período, à frente de México (67), Argentina (31) e Colômbia (29).

De uma ou duas gangues para um mercado fragmentado

O post anterior já mencionava o cenário geral de ransomware no Brasil. O que ficou mais claro agora é a estrutura por trás dos números: não existe mais um ou dois grupos dominantes concentrando os ataques. O levantamento da Vision Cybersecurity mapeia o LockBit 5 na liderança, com 19 vítimas no Brasil no período. Logo atrás vêm TheGentlemen (15 vítimas), Incransom (7) e CoinbaseCartel (6), todos ganhando participação relevante.

Esses quatro grupos operam no modelo Ransomware-as-a-Service (RaaS): a gangue "dona" da ferramenta de criptografia loca o software para afiliados, que executam os ataques e dividem o resgate. É um modelo de franquia do crime, e como qualquer franquia, ele se multiplica rápido. Quanto mais grupos disputando o mesmo tipo de vítima, menor o padrão de sofisticação necessário pra um ataque dar certo, e maior a chance de qualquer empresa, não só grandes corporações, virar alvo por oportunidade, não por perfil estratégico.

Na prática, isso significa que a pergunta "somos relevantes o suficiente para atrair um grupo de ransomware" deixou de fazer sentido. Com dezenas de operações RaaS ativas simultaneamente, a seleção de alvos é cada vez mais automatizada e oportunista.

A lacuna mais explorada agora: VPN sem MFA

As táticas em alta em 2026, segundo os mesmos levantamentos, são a dupla extorsão (roubo de dados combinado com criptografia, ameaçando vazamento público mesmo se o resgate for pago), o abuso de credenciais corporativas vazadas em bases já expostas na internet, e a invasão de VPNs sem autenticação multifator (MFA).

Esse último ponto merece atenção prática: uma VPN corporativa sem MFA transforma qualquer senha vazada, mesmo uma senha "razoável", na chave de entrada completa para a rede interna. Não é uma falha exótica: é a configuração padrão de muita empresa pequena e média no Brasil, que trata a VPN como um detalhe de infraestrutura já resolvido e nunca revisita.

O que fazer esta semana

Três ações concentram a maior redução de risco proporcional ao esforço:

• Ativar MFA em toda VPN e acesso remoto. Se sua empresa tem VPN sem segundo fator hoje, essa é a lacuna mais provável de ser explorada primeiro.
• Auditar credenciais vazadas: verificar se e-mails corporativos aparecem em vazamentos conhecidos e forçar troca de senha onde houver exposição.
• Manter backup offline e testado, desconectado da rede principal, como um HD externo dedicado à rotina de backup, que ransomware não consegue criptografar porque não está acessível pela rede no momento do ataque.

Nenhuma dessas medidas exige orçamento de grande empresa. Exige rotina, e é exatamente a ausência de rotina que os números de junho estão expondo.

Referências

Revista Segurança Eletrônica: Brasil é o terceiro país que mais sofreu ataques de ransomwares em junho, aponta Cohesity

Juruá Informativo: Brasil é o 3º país mais atacado por ransomware; especialistas explicam o motivo

CISO Advisor: Brasil lidera ataques de ransomware na América Latina

IT Forum: Brasil entra na lista dos países mais afetados por ransomware no início de 2026

Ransomware.live: About