Em algum momento de 2023, um analista de TI ligado a uma quadrilha de cibercrime encontrou uma brecha no ambiente de acesso remoto do Banco de Brasília (BRB).
A vulnerabilidade estava no VMware Workspace ONE, ferramenta usada por funcionários para trabalhar remotamente. A partir dali, os invasores coletaram cerca de 210 credenciais de login e senha de colaboradores do banco.
Com esse acesso, avançaram lateralmente pela rede até instalar o ransomware LockBit; um dos mais usados no mundo e criptografar dados sensíveis de clientes.
O próximo passo foi a extorsão: os criminosos exigiram 50 bitcoins, o equivalente a cerca de R$ 5,27 milhões na época, ameaçando divulgar as informações na imprensa e na deep web caso o banco não pagasse.
Meses depois, o Núcleo Especial de Combate aos Crimes Cibernéticos (NCYBER) identificou um dos suspeitos: Matheus Martins Marques, brasileiro, foragido desde então na cidade de Santos, litoral de São Paulo.
Esse não é um caso isolado nem um enredo de ficção.
É a rotina de um tipo de crime que já coloca o Brasil entre os países mais visados do mundo, e que funciona com uma lógica muito mais parecida com a de uma empresa do que com a de um hacker solitário digitando em um porão escuro.
Ransomware não é "um hacker sozinho’’, é um modelo de negócio
A imagem popular do ataque de ransomware ainda é a do filme de ação: um único indivíduo, de capuz, digitando furiosamente até "invadir o sistema". A realidade é mais burocrática; e mais preocupante, justamente por isso.
A maior parte dos ataques de ransomware hoje opera no modelo Ransomware-as-a-Service (RaaS): um grupo central desenvolve o malware, mantém a infraestrutura de negociação com as vítimas e administra o site onde os dados roubados são publicados.
Esse núcleo recruta "afiliados"; outros criminosos, muitas vezes sem nenhuma relação hierárquica direta entre si, que executam os ataques contra as vítimas e repassam uma comissão ao grupo original.
O RansomHub, ativo no Brasil desde o início de 2024, é um exemplo direto desse modelo: fornece ferramentas e suporte técnico a seus afiliados e cobra 10% de cada resgate pago.
Trocando em miúdos: existe um catálogo de produtos criminosos, com suporte pós-venda e participação nos lucros, a mesma lógica de qualquer negócio de franquia, só que o produto final é a paralisação da sua empresa.
Entender essa estrutura muda a forma como se lê o problema.
Não estamos falando de uma ameaça pontual e isolada, mas de uma cadeia de fornecimento inteira; com desenvolvimento de produto, distribuição, marketing (o próprio vazamento de dados funciona como prova de "credibilidade" do grupo) e atendimento ao cliente, ainda que o cliente, nesse caso, seja a vítima extorquida.
Quem são os grupos de ransomware que mais atacam empresas brasileiras?
Levantamento da Vision Cybersecurity, spin-off da ISH Tecnologia, mapeou os grupos mais ativos contra alvos brasileiros ao longo de 2025 e 2026. Alguns nomes se repetem com frequência incômoda:
Nenhum desses grupos "nasceu" atacando o Brasil especificamente.
Todos operam globalmente, escolhendo alvos por oportunidade: vulnerabilidade exposta, acesso comprometido à venda, ou simplesmente um setor que costuma pagar rápido para voltar a operar.
O Brasil na mira: os números que comprovam a escala
O Brasil não é um alvo ocasional. É, hoje, o país mais visado por ransomware na América Latina — e um dos mais visados do mundo. Alguns números ajudam a dimensionar isso:
- O país respondeu por 36,3% dos 273 ataques de ransomware identificados na América Latina entre janeiro e julho de 2026, segundo a Vision Cybersecurity — liderança isolada na região.
- No mesmo período, foram registrados 99 ataques, número que já representa 67% de todo o volume registrado em 2025 (147 casos ao longo do ano inteiro).
- O setor de serviços corporativos foi o mais atingido em 2026, concentrando 27,3% dos casos: empresas de consultoria e prestação de serviços costumam ter acesso a ambientes tecnológicos de múltiplos clientes, o que as torna alvos especialmente atrativos.
- Em fevereiro de 2026, organizações brasileiras sofreram, em média, 3.736 ataques cibernéticos por semana, uma alta de 37% em relação ao mesmo período do ano anterior, segundo a Check Point Research.
- 29% das empresas brasileiras já relataram ter sofrido pelo menos um ataque de ransomware; mas 73% ainda não contrataram nenhum seguro cibernético, segundo o ESET Security Report.
O padrão é claro: o volume de ataques cresce mais rápido do que a preparação das empresas para lidar com eles.
Sua empresa saberia identificar um acesso suspeito antes que ele virasse um sequestro de dados?
O Edge Protect ajuda negócios a monitorar sua infraestrutura de forma proativa, identificando riscos antes que se tornem incidentes:
Como uma operação criminosa vai parar na mira da polícia?
Reconstruir como essas operações são descobertas ajuda a entender melhor sua lógica interna do que qualquer definição técnica.
Operação Databrokers
Em fevereiro de 2025, a Polícia Federal desarticulou uma associação criminosa brasileira especializada em invasão de sistemas governamentais e comércio de dados na dark web.
A investigação revelou que os integrantes obtinham acesso por meio de backdoors derivados da própria ferramenta do LockBit, ou seja, brasileiros utilizando a infraestrutura de uma das maiores gangues de ransomware do mundo para revender acessos a sistemas invadidos.
Entre as organizações supostamente afetadas estavam a Heineken Brasil, o Tribunal de Justiça da Bahia, a Polícia Rodoviária Federal e o Fundo Nacional de Desenvolvimento da Educação.
Operação Decrypt
Em outubro de 2025, nova ação da Polícia Federal mirou uma organização criminosa internacional especializada em ransomware, com foco em um cidadão brasileiro suspeito de integrar o grupo. A investigação foi viabilizada pela Rede 24/7, mecanismo previsto na Convenção de Budapeste sobre Crimes Cibernéticos, que permite troca ágil de informações entre autoridades de diferentes países.
O detalhe importa: essas operações já são tratadas como crime transnacional organizado, não como delito isolado de bairro.
O caso BRB, revisitado
Voltando ao caso de abertura, dá para identificar um padrão que se repete nos três episódios:
Exploração de uma vulnerabilidade ou compra de credenciais → movimentação silenciosa dentro da rede da vítima → criptografia dos dados → extorsão dupla, combinando o sequestro dos arquivos com a ameaça de vazamento público.
É esse roteiro, executado com pequenas variações, que sustenta praticamente toda a "indústria" do ransomware hoje.
Por que esses grupos são tão difíceis de deter?
Mesmo depois de operações internacionais de peso — como a Operação Cronos, que revelou a identidade do suposto chefe do LockBit, congelou cerca de 200 contas de criptomoedas ligadas ao grupo e derrubou parte de sua infraestrutura na dark web — a gangue voltou a operar em pouco tempo, com nova infraestrutura e ferramentas atualizadas.
Essa resiliência tem explicação estrutural: infraestrutura descentralizada, hospedagem "à prova de balas" em países com pouca cooperação internacional, pagamentos rastreados com dificuldade em criptomoedas, e afiliados que se dissolvem e reaparecem sob outro nome de grupo assim que a pressão aumenta.
Prender uma pessoa, ou mesmo desarticular um núcleo inteiro, reduz o problema; mas raramente o encerra.
Esse ponto é importante para não vender uma falsa sensação de "problema resolvido" toda vez que uma operação policial é anunciada. Reforça, também, por que investir em prevenção continua sendo mais eficaz do que confiar em uma resposta rápida depois que o ataque já aconteceu.
O que fica depois que o resgate é pago (ou não)
O custo médio de remediação de um ataque de ransomware no Brasil; sem contar o valor do resgate em si, chegou a US$ 1,84 milhão por empresa em 2025, segundo a Sophos.
Ainda assim, 13% das organizações nunca se recuperam totalmente, mesmo depois de pagar o valor exigido.
Quando o ataque é exposto publicamente porque a vítima optou por não pagar, o custo médio do incidente sobe para US$ 5,08 milhões; mas, mesmo assim, 63% das organizações já resistem à extorsão e decidem não pagar, um sinal de que uma resposta a incidentes bem estruturada compensa mais do que negociar com o criminoso.
No cenário mais amplo, o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, segundo o relatório Cost of a Data Breach, conduzido pelo Ponemon Institute para a IBM — um aumento de 6,5% em relação ao ano anterior.
O crime está organizado e o Brasil está no radar
O mito do hacker gênio isolado, digitando no escuro, não resiste à realidade dos dados.
O que existe, de fato, é uma economia criminosa organizada, com fornecedores de malware, comissões sobre resgates, afiliados espalhados por diferentes países e uma logística de negociação quase corporativa.
E o Brasil é um dos mercados mais visados do planeta, com crescimento de ataques que supera, ano após ano, a velocidade com que empresas se preparam para enfrentá-los.
Entender como esse crime é estruturado, quem são seus principais atores e como as investigações reconstroem o caminho de um ataque é o primeiro passo para deixar de ser tratado como alvo fácil.
Quer entender como identificar os sinais de que sua empresa pode estar exposta a esse tipo de ataque?
Veja como funciona o monitoramento proativo do Edge Protect testando na prática:
A Starti Group é referência em cibersegurança, proteção de borda, gerenciamento e infraestrutura para PMEs e MSPs no Brasil. Com a vertical Vituax by Starti, o grupo passa a oferecer infraestrutura de nuvem privada de ponta a ponta para o mercado corporativo — com o suporte consultivo que os hyperscalers globais não entregam.