Relatório do Estado da Cibercrime 2026 da KELA Revela 2,86 Bilhões de Credenciais Roubadas e o Crescimento de Ataques Autônomos de IA

A cibercrime não está mais apenas escalando, está evoluindo em um nível estrutural. De acordo com O Estado da Cibercrime 2026: Ameaças Emergentes e Previsões da KELA, os atacantes estão mudando de métodos de intrusão tradicionais para abuso de identidade, automação impulsionada por IA e exploração em larga escala de sistemas baseados em confiança.

O relatório pinta um quadro sombrio de 2025 como um ponto de inflexão. Os cibercriminosos não estão mais invadindo redes, estão fazendo login, muitas vezes usando credenciais roubadas, agentes de IA e sistemas de terceiros confiáveis para bypassar defesas inteiramente.

Um Ano Recorde para a Cibercrime

A escala da cibercrime em 2025 atingiu níveis sem precedentes. A KELA acompanhou 2,86 bilhões de credenciais comprometidas em todo o ecossistema global, abrangendo malware infostealer, bancos de dados de violações e mercados subterrâneos.

Essas credenciais se tornaram o principal ponto de entrada para os atacantes. Em vez de explorar vulnerabilidades, os atores ameaçadores cada vez mais confiam no acesso legítimo, efetivamente tornando os modelos de segurança baseados em perímetro obsoletos.

Ao mesmo tempo, ataques de ransomware aumentaram dramaticamente. O relatório identificou 7.549 vítimas de ransomware em 2025, representando um aumento de 45% em relação ao ano anterior, com mais de 53% das vítimas localizadas nos Estados Unidos.

Esse crescimento é impulsionado por uma economia de cibercrime em maturação. Havia 147 grupos de ransomware ativos, incluindo cerca de 80 novos entrantes, destacando como a barreira de entrada se tornou baixa.

A Epidemia de Infostealer Impulsionando Tudo

No cerne dessa onda está o surgimento do malware infostealer, agora considerado a espinha dorsal da cibercrime moderna.

A KELA observou aproximadamente 3,9 milhões de máquinas infectadas globalmente em 2025, gerando 347,5 milhões de credenciais diretamente de infecções de malware apenas.

O ecossistema mais amplo amplifica isso dramaticamente, com bilhões de credenciais circulando em mercados de cibercrime. Essas credenciais são então revendidas a grupos de ransomware, corretores de acesso inicial e atores estatais.

Os dados revelam uma mudança crítica na direção. Mais de 75% das credenciais comprometidas estão vinculadas a serviços de alto valor, como plataformas de nuvem empresarial (19,6%), sistemas de gerenciamento de conteúdo (18,7%), serviços de e-mail (15,3%) e sistemas de autenticação (12,9%).

Essa concentração destaca uma estratégia clara: os atacantes estão priorizando plataformas que permitem movimento lateral e comprometimento organizacional completo.

macOS Não É Mais Seguro: Um Aumento de 7.000%

Uma das descobertas mais surpreendentes é o colapso de suposições de longa data sobre segurança de plataforma.

Infecções de macOS aumentaram de menos de 1.000 casos em 2024 para mais de 70.000 em 2025, representando um aumento de 7.000%.

Essa explosão é impulsionada pela comercialização do malware como serviço, particularmente ferramentas como o Atomic Stealer, que tornam fácil para até atacantes de baixa habilidade visar dispositivos Apple em larga escala.

A implicação é clara: nenhuma plataforma é mais inerentemente segura. Os atacantes seguem o valor, e os ecossistemas da Apple agora estão firmemente em suas miras.

IA Se Torna a Nova Superfície de Ataque

A mudança mais significativa delineada no relatório é a integração profunda da IA no ciclo de vida do ataque cibernético.

A KELA identifica uma transição de ataques assistidos por IA para operações totalmente autônomas, impulsionadas por agentes, onde 80% a 90% das tarefas podem ser executadas com envolvimento humano mínimo.

Um conceito-chave que emerge dessa mudança é o “hacking de vibração”. Em vez de quebrar sistemas de IA, os atacantes os manipulam, fazendo com que ações maliciosas sejam consideradas tarefas legítimas. Isso permite que os agentes de IA executem operações prejudiciais sem acionar salvaguardas.

O relatório também destaca casos reais em que sistemas de IA foram comprometidos por meio de injeção de prompt e manipulação indireta. Em um caso, agentes autônomos de IA realizaram reconhecimento, desenvolveram código de exploração e executaram ataques em vários alvos com supervisão humana limitada.

Isso marca uma mudança fundamental. A IA não é mais apenas uma ferramenta para os atacantes, é tanto uma arma quanto um alvo.

Ransomware Evolui para Extorsão em Escala Industrial

O ransomware não é mais apenas uma tática, é um modelo de negócios em larga escala.

A maioria dos ataques agora depende de extorsão dupla, combinando roubo de dados com criptografia. No entanto, ataques de extorsão apenas também estão aumentando, onde os atacantes pulam a criptografia inteiramente e se concentram em roubar e monetizar dados sensíveis.

O ecossistema é altamente competitivo. O principal grupo, Qilin, reivindicou mais de 1.100 vítimas, seguido por Akira com 761 vítimas e Clop com 523 vítimas.

Esses grupos cada vez mais confiam em credenciais roubadas em vez de exploração técnica, muitas vezes comprando acesso de corretores subterrâneos para acelerar os ataques.

O impacto econômico é impressionante. Uma única violação na Jaguar Land Rover resultou em US$ 2,5 bilhões em danos econômicos, incluindo paralisações de produção e interrupções na cadeia de suprimentos que afetaram milhares de empresas.

Hacktivismo e Geopolítica Intensificam Ameaças Cibernéticas

A cibercrime está cada vez mais entrelaçada com conflitos globais.

A atividade de hacktivismo aumentou 400% em relação ao ano anterior, com mais de 3.500 ataques de DDoS reivindicados e mais de 250 novos grupos surgindo em 2025.

Esses grupos não estão mais limitados a deface de sites. Eles estão visando infraestrutura crítica, tecnologia operacional e sistemas industriais, criando consequências no mundo real.

Ao mesmo tempo, atores estatais estão usando operações cibernéticas como uma ferramenta central de estratégia geopolítica. Campanhas ligadas a Rússia-Ucrânia, Israel-Irã, tensões EUA-China e Coreia do Norte demonstram como a ciberguerra agora abrange espionagem, interrupção e operações financeiras.

Ataques de Cadeia de Suprimentos e o Colapso da Confiança

Outra tendência definidora é o aumento de ataques de cadeia de suprimentos.

Em vez de visar organizações individuais, os atacantes comprometem fornecedores, plataformas de SaaS e infraestrutura compartilhada para ganhar acesso a milhares de vítimas downstream.

Em um caso, um ataque de SaaS para SaaS permitiu que os atacantes se movessem para ambientes do Salesforce em várias empresas usando tokens de OAuth roubados, bypassando controles de segurança tradicionais inteiramente.

Isso reflete uma mudança mais ampla. O modelo de “confiança por padrão” está se tornando uma responsabilidade, pois os atacantes exploram as relações entre os sistemas em vez dos sistemas em si.

Exploração de Vulnerabilidades Zero-Day e o Fim da Janela de Correção

O relatório também destaca a industrialização da exploração de vulnerabilidades.

Em 2025, 238 vulnerabilidades foram adicionadas ao catálogo de Vulnerabilidades Exploradas Conhecidas da CISA, em comparação com 185 no ano anterior.

Os atacantes agora estão monetizando explorações mais rápido do que nunca, muitas vezes dentro de dias ou até horas após a divulgação. Mercados subterrâneos estão vendendo kits de exploração totalmente armados em vez de simples código de prova de conceito, reduzindo a barreira para exploração em massa.

Uma Nova Realidade de Cibersegurança

As descobertas no relatório O Estado da Cibercrime 2026: Ameaças Emergentes e Previsões da KELA tornam uma coisa clara: a cibersegurança está entrando em uma nova era.

A identidade agora é a principal superfície de ataque. A IA é tanto uma ferramenta quanto uma vulnerabilidade. As relações de confiança entre os sistemas estão sendo armadas. E a velocidade dos ataques está acelerando além dos limites dos modelos de defesa tradicionais.

As organizações que continuam a confiar em abordagens de segurança legadas estão cada vez mais expostas. A mudança para segurança baseada em identidade, arquiteturas de confiança zero e defesas conscientes de IA não é mais opcional.

Para uma análise mais profunda de atores ameaçadores, metodologias de ataque e recomendações estratégicas, o relatório completo, O Estado da Cibercrime 2026: Ameaças Emergentes e Previsões da KELA, fornece uma visão abrangente de como o cenário de cibercrime está evoluindo e para onde está indo em seguida.