Relatório de Ransomware da Black Kite de 2026 Encontra uma Economia de Ameaças Mais Rápida e Fragmentada

O Relatório de Ransomware da Black Kite de 2026 descreve um mercado de ransomware que não é mais definido por um único gangue dominante, uma única ação de grande alcance ou um único método de ataque. Entre 1 de abril de 2025 e 31 de março de 2026, a empresa identificou 7.551 vítimas divulgadas publicamente, um aumento em relação às 6.046 do período de relatório anterior. Mais importante do que o aumento geral, no entanto, é como o crescimento ocorreu. A atividade acelerou fortemente durante a segunda metade do ano, novos grupos de ransomware apareceram a um ritmo acelerado e plataformas de software confiáveis tornaram-se rotas para organizações que podem ter segurado seus próprios ambientes internos.

O Crescimento do Ransomware Mudou de Forma

A Black Kite acompanha as divulgações de ransomware desde 2022, quando seu primeiro período de relatório registrou cerca de 2.700 vítimas. Esse total mais tarde subiu para 4.893, então 6.046 e agora 7.551, mas o aumento anual não captura totalmente como a atividade acelerou fortemente durante o período mais recente.

Os primeiros seis meses produziram 2.904 vítimas, em comparação com 4.647 de outubro de 2025 a março de 2026. Março alone terminou com 861 vítimas divulgadas publicamente, o maior total mensal que a Black Kite registrou em quatro anos. O momentum também continuou além do corte do relatório, com outras 2.230 vítimas observadas de abril a junho de 2026.

Ao contrário de ciclos de ransomware anteriores, o surto não foi impulsionado por um único grupo dominante ou um único evento importante. Ele refletiu vários operadores expandindo ao mesmo tempo, grupos estabelecidos escalando suas redes de afiliados e novos entrantes encontrando maneiras mais baratas de participar.

Um Mercado Congestionado Ainda Tem Líderes Poderosos

Ransomware não é mais controlado por um pequeno número de gangues reconhecíveis operando como grupos criminosos bem organizados. Ele funciona cada vez mais como uma economia de serviços. Operadores centrais desenvolvem o malware, mantêm sites de vazamento, lidam com pagamentos e fornecem infraestrutura, enquanto afiliados encontram maneiras de entrar em redes corporativas e implantam os ataques. Esse modelo permite que os grupos se expandam rapidamente sem que todos os participantes precisem de habilidades técnicas avançadas.

A Black Kite identificou 127 grupos de ransomware ativos durante o período de relatório, incluindo 61 que apareceram pela primeira vez. Alguns eram operações completamente novas, enquanto outros podem ter sido rebrandings ou grupos derivados formados após organizações estabelecidas desaparecerem. O resultado é um mercado mais fluido no qual atores podem se mover entre marcas, reutilizar ferramentas ou lançar novos sites de vazamento sem reconstruir suas operações do zero.

Apesar dessa fragmentação, um pequeno número de grupos ainda gerou uma grande parte da atividade. Qilin foi o exemplo mais proeminente, reivindicando 1.358 vítimas durante o ano, quase o dobro do seu concorrente mais próximo. O grupo opera por meio de uma estrutura de ransomware como serviço que dá aos afiliados acesso a ferramentas de ataque enquanto centraliza funções como negociações, pagamentos e divulgação de vítimas.

Outras marcas seguiram caminhos diferentes. RansomHub, que havia sido uma das principais operações no período anterior, parou de postar vítimas no início de 2026. LockBit retornou após sua interrupção anterior, mas seus 186 supostos ataques representaram uma recuperação limitada em vez de um retorno à sua antiga influência.

Essas mudanças mostram por que as marcas de ransomware não devem ser vistas como empresas convencionais. Um grupo pode desaparecer enquanto seus afiliados, técnicas e infraestrutura continuam sob outros nomes. Operadores podem encerrar após ações da lei, disputas internas ou confiança em declínio, apenas para que táticas familiares reapareçam por meio de um novo site de vazamento semanas depois.

O mercado, portanto, tornou-se ao mesmo tempo mais congestionado e mais concentrado. Novos entrantes podem aparecer rapidamente, mas a escala ainda depende do acesso confiável a brokers, afiliados experientes, infraestrutura de pagamento e reputação por fornecer malware que funciona como prometido.

O Perfil de Alvo Está Mudando

Os ataques de ransomware geralmente começam com acesso, e não com criptografia. Atacantes podem explorar um sistema de internet não patchado, roubar credenciais de dispositivos de funcionários, abusar de software de acesso remoto ou enganar uma mesa de ajuda para redefinir uma conta. Uma vez dentro, eles tentam se mover pela organização, identificar sistemas valiosos, copiar dados sensíveis e criar pressão operacional ou de reputação suficiente para exigir pagamento.

Os Estados Unidos permaneceram o país mais frequentemente visado no conjunto de dados da Black Kite, respondendo por quase metade das vítimas observadas. No entanto, a atividade de ransomware expandiu-se mais rapidamente em vários outros mercados. Alemanha, França, Espanha e Itália registraram aumentos substanciais, enquanto vários países asiáticos também experimentaram um crescimento acentuado a partir de pontos de partida menores.

Essa distribuição geográfica mais ampla reflete um mercado no qual afiliados cada vez mais perseguem qualquer organização acessível, em vez de se limitarem a um conjunto estreito de países. Barreiras linguísticas e conhecimento regional costumavam tornar a expansão internacional mais difícil. Tradução automática, ferramentas de reconhecimento amplamente disponíveis e infraestrutura criminal compartilhada reduziram parte dessa fricção.

A manufatura permaneceu o setor mais visado, com 1.660 vítimas divulgadas. Os fabricantes são atraentes porque mesmo uma breve interrupção pode interromper a produção, atrasar pedidos e afetar fornecedores e clientes. Muitos também operam uma mistura de sistemas de negócios modernos e tecnologia operacional mais antiga, criando ambientes que podem ser difíceis de patchar ou desligar temporariamente.

Serviços profissionais, científicos e técnicos ficaram em segundo lugar. Essas empresas muitas vezes detêm informações sensíveis pertencentes a vários clientes, significando que uma intrusão pode criar pressão muito além da vítima original. Firms legais, empresas de engenharia, consultorias e provedores de tecnologia também podem possuir credenciais ou acesso que podem levar atacantes a outras organizações.

A construção mudou para o terceiro lugar, refletindo a dependência do setor de equipes de projeto distribuídas, contratados, aplicações em nuvem e sistemas de pagamento. A saúde permaneceu fortemente visada porque a interrupção do serviço pode se tornar rapidamente uma questão operacional e de segurança pública.

O relatório também mostra que os atacantes estão colocando maior ênfase em organizações de médio porte. Empresas que geram entre $10 milhões e $100 milhões responderam por grande parte da atividade observada. Esses negócios podem deter dados valiosos e ter a capacidade de pagar, mas muitas vezes carecem de equipes de segurança dedicadas e defesas em camadas disponíveis às maiores empresas.

Isso não significa que as grandes corporações estão sendo ignoradas. Em vez disso, os operadores de ransomware parecem estar equilibrando pagamentos potenciais contra o custo e a dificuldade de um ataque. Um fabricante menor, um contratante regional ou uma empresa de serviços profissionais pode oferecer um caminho mais rápido para a interrupção do que uma organização multinacional com recursos de monitoramento e resposta a incidentes extensivos.

Plataformas Confiáveis Tornaram-se Parte da Superfície de Ataque

Alguns dos incidentes mais consequenciais do ano não começaram dentro da rede central da vítima. Eles se moveram por meio de integrações de Software como Serviço, tokens OAuth, aplicações de planejamento de recursos empresariais, plataformas de suporte e outros sistemas conectados a dados de negócios sensíveis.

O relatório destaca campanhas relacionadas ao Salesforce (CRM ) como exemplos de como a confiança delegada pode se tornar um caminho de ataque. Tokens OAuth comprometidos associados a aplicações conectadas supostamente deram aos atacantes acesso a ambientes do Salesforce do cliente. Integrações com plataformas de serviço e sucesso do cliente criaram rotas adicionais para os dados.

Nesses casos, uma organização pode manter controles internos fortes e ainda estar exposta por meio de uma relação de fornecedor que não foi totalmente compreendida ou monitorada. Um token emitido meses antes, uma aplicação concedida permissões excessivas ou uma conta de suporte mal segura pode dar a um atacante acesso sem exigir uma infecção de malware tradicional.

O Oracle E-Business Suite ilustrou a versão de exploração em massa do mesmo problema. A Black Kite descreve uma campanha envolvendo alegações de roubo de dados de ambientes do Oracle EBS e possível exploração de CVE-2025-61882 antes que um patch estivesse disponível.

Atividade pós-período envolvendo PeopleSoft reforçou a lição mais ampla. Uma plataforma exposta pode criar um grande pool de vítimas downstream, transformando os controles de identidade de um fornecedor, permissões ou vulnerabilidade em parte da exposição a ransomware de cada cliente.

Os Sinais de Alerta Muitas Vezes Estavam Visíveis

A análise pré-divulgação da Black Kite encontrou que muitas vítimas apresentavam fraquezas observáveis externamente antes de aparecerem em sites de vazamento de ransomware. Configurações de segurança incorretas estavam presentes em mais de dois terços da população analisada, enquanto serviços de acesso remoto expostos, vulnerabilidades de software, domínios fraudulentos e credenciais roubadas também apareceram com frequência.

Mais de 60% tinham pelo menos uma das três descobertas relevantes para ransomware: uma vulnerabilidade de software conhecida, exposição de credenciais ou logs de stealer. Quase uma em cada dez tinham os três.

Esses sinais não provam qual fraqueza causou uma intrusão específica. Uma organização com credenciais expostas pode ser comprometida eventualmente por meio de uma diferente vulnerabilidade. Ainda assim, as descobertas mostram que muitas futuras vítimas já eram visíveis como alvos atraentes antes de um ataque se tornar público.

O Índice de Suscetibilidade a Ransomware do relatório tenta medir essa exposição de forma mais direta. A Black Kite encontrou que as empresas na faixa de risco mais alta eram muito mais propensas a experimentar um incidente de ransomware divulgado do que organizações na faixa de risco mais baixa.

A lição prática é que o risco de ransomware não é distribuído uniformemente. Atacantes frequentemente se concentram em organizações onde várias fraquezas se sobrepõem, especialmente quando sistemas não patchados, credenciais expostas e controles de identidade permissivos criam vários pontos de entrada possíveis.

Taxas de Pagamento Mais Baixas Estão Mudando Táticas de Extorsão

O mercado de ransomware se expandiu mesmo quando o comportamento de pagamento se tornou menos confiável. A Black Kite não mede diretamente os pagamentos de resgate, mas compara vários conjuntos de dados de resposta a incidentes que sugerem que menos vítimas estão escolhendo pagar.

Um conjunto de dados relatou uma taxa de pagamento de 26% no segundo trimestre de 2025. Outro colocou a taxa em 23% no trimestre seguinte, enquanto incidentes de extração de dados produziram uma taxa de 19%. Esses números vêm de populações diferentes e não devem ser lidos como uma única medição contínua do mercado, mas apontam na mesma direção.

Os montantes pagos por organizações que cumprem ainda podem ser substanciais. Um conjunto de dados citado no relatório encontrou um pagamento mediano de $1 milhão entre as organizações pesquisadas que pagaram para recuperar dados.

Menores taxas de conversão não tornam necessariamente o ransomware menos lucrativo. Eles podem, em vez disso, impulsionar os operadores a perseguir mais vítimas, reduzir o custo de cada ataque ou aplicar mais formas de pressão. A criptografia agora é frequentemente combinada com roubo de dados, divulgação pública, falsificação, contato direto com clientes e ameaças envolvendo reguladores ou parceiros comerciais.

Quando menos vítimas pagam apenas para restaurar sistemas criptografados, os atacantes têm um incentivo para criar consequências que permanecem mesmo após os backups serem restaurados.

Recuperação Não Significa que a Exposição Desapareceu

As descobertas pós-incidente do relatório são das mais preocupantes. Algumas medidas de segurança de superfície melhoraram após as vítimas divulgarem ataques. As classificações de cibersegurança médias aumentaram, enquanto a atividade de botnet média diminuiu.

Indicadores de ransomware específicos mais profundos frequentemente se moveram na direção oposta. A exposição de logs de stealer foi substancialmente maior na comparação pós-incidente, enquanto a suscetibilidade a ransomware e a exposição de vulnerabilidade de software também aumentaram entre muitas vítimas.

O padrão sugere que as organizações podem consertar os problemas de higiene mais visíveis, mas deixar para trás as condições que as tornam atraentes para os atacantes. Uma empresa pode fechar a vulnerabilidade acreditada como a causa da violação inicial, mas falhar em revogar credenciais roubadas, revisar o acesso de fornecedores, remover contas inativas ou investigar outros sistemas expostos.

A análise do estado atual da Black Kite reforça essa preocupação. Muitas vítimas passadas continuaram a mostrar registros de segurança de e-mail mal configurados, vulnerabilidades críticas não patchadas, vulnerabilidades exploradas conhecidas e credenciais de funcionários circulando em logs de stealer.

A resposta a incidentes é frequentemente organizada em torno da restauração das operações e do contencionamento da intrusão confirmada. O relatório argumenta que isso não é suficiente. A recuperação deve incluir uma nova avaliação de toda a superfície de ataque visível externamente da organização, e não apenas do sistema associado ao incidente original.

A Inteligência Artificial Está Reduzindo o Custo de Participação

O relatório não argumenta que a inteligência artificial causou o surto de ransomware. Em vez disso, descreve a IA como um multiplicador de força que torna o trabalho existente mais rápido e barato.

A reconhecimento pode ser resumido mais rapidamente, scripts de phishing e voice-phishing podem ser localizados, registros roubados podem ser organizados em narrativas mais persuasivas e mensagens de negociação podem ser produzidas por equipes menores. Atacantes de nível inferior também podem usar ferramentas assistidas por IA para solucionar problemas em scripts, modificar malware e automatizar tarefas repetitivas.

O impacto mais claro está atualmente na camada de interação humana. Clonagem de voz, iscas multilíngues, áudio deepfake, manipulação de help desk e adaptação de persona em tempo real podem tornar a engenharia social mais fácil de dimensionar. A IA pode ajudar um atacante a soar mais credível em um idioma que não fala ou produzir mensagens personalizadas para centenas de funcionários sem escrever cada uma manualmente.

A Black Kite aponta para os primeiros sinais de IA entrando tanto na execução técnica quanto na marca de extorsão. O risco de curto prazo não é necessariamente o ransomware totalmente autônomo. São operações criminosas semi-automatizadas nas quais equipes menores podem realizar o trabalho que antes exigia mais tempo, expertise e coordenação.

A IA não remove a necessidade de acesso ou operadores habilidosos. Ela reduz a fricção entre as etapas de um ataque e dá a mais participantes a capacidade de se comportar como negócios de ransomware organizados.

Implicações Futuras

A mensagem central é que o ransomware está evoluindo de um mercado liderado por algumas marcas reconhecíveis para um ecossistema mais amplo e operacionalizado. Os defensores ainda devem corrigir as vulnerabilidades e proteger os pontos de extremidade, mas os dados apontam para uma responsabilidade mais ampla que inclui a revisão contínua do acesso de fornecedores, integrações de Software como Serviço, controles de identidade, infraestrutura de e-mail, credenciais expostas e condições pós-incidente.

As organizações também devem reconsiderar como medem a recuperação. Restaurar os sistemas pode fechar o incidente imediato, mas não prova que credenciais roubadas foram invalidadas, permissões excessivas de fornecedores foram removidas ou outros ativos expostos foram abordados.

O Relatório de Ransomware de 2026 mostra, em última análise, por que as contagens de vítimas sozinhas não são mais suficientes. A ameaça está crescendo por meio de uma combinação de volume sustentado, operadores de ransomware como serviço de alta produção, alvos de mercado médio em expansão, alavancagem de cadeia de suprimentos e custos operacionais mais baixos. Fechar um incidente pode restaurar as operações normais, mas reduzir a chance de outro incidente exige tratar a exposição como uma condição contínua, e não como um caso que termina quando o processo de recuperação é concluído.