Agosto de 2026 não teve um único grande ataque, foram vários. Em frentes diferentes, com vetores diferentes, contra alvos que não têm nada em comum exceto uma coisa: todos estavam conectados.
Para quem gerencia TI, o mês deixou um conjunto de dados que vale mais do que qualquer relatório anual de tendências.
São fatos concretos, com operações policiais publicadas, press releases de empresas de segurança e reivindicações de grupos criminosos; e cada um deles diz algo específico sobre onde as defesas precisam estar.
Este é o radar.
Três operações da Polícia Federal em 15 dias
O dado mais relevante de agosto não veio de um grupo de ransomware, mas do governo.
Em menos de três semanas, a Polícia Federal deflagrou três operações distintas relacionadas a crimes cibernéticos no Brasil: todas com alvos, vetores e motivações diferentes.
4 de agosto — Operação Watchdog (Campinas/SP)
A PF cumpriu mandado de busca e apreensão em Sumaré contra um suspeito de hospedar e distribuir infostealers; malwares especializados em coletar senhas, credenciais de acesso e dados financeiros dos dispositivos das vítimas. Equipamentos e mídias foram apreendidos para perícia. O caso é um desdobramento da Operação Apateones, deflagrada em março de 2025.
O que isso revela: existe infraestrutura ativa de distribuição de malware de roubo de credenciais operando no Brasil. Credenciais corporativas roubadas hoje alimentam ataques que acontecem meses depois — seja ransomware, fraude financeira ou acesso não autorizado a sistemas de clientes.
13 de agosto — Operação Klonen (RJ, SP e GO)
A investigação teve origem quando o Commerzbank, instituição financeira alemã, comunicou à PF ter sofrido, no final de 2023, um ataque cibernético originado no Brasil com prejuízo estimado em € 30 milhões.
A operação cumpriu 21 mandados de busca e apreensão e quatro de prisão preventiva. Os recursos foram movimentados via cartões emitidos sem consentimento dos titulares, contas de passagem, empresas e plataformas de ativos virtuais. A Justiça determinou sequestro de bens até R$ 106 milhões.
O que isso revela: fraude financeira digital de alta escala, originada no Brasil, com impacto internacional. O modelo é sofisticado e usa múltiplas camadas de lavagem para dificultar rastreamento.
18 de agosto — Operação Pane Seca (ES e BA)
Quatro mandados de prisão preventiva, sete de busca e apreensão, bloqueio de R$ 226,2 milhões em bens. O grupo investigado causou R$ 227 milhões em prejuízo a instituições financeiras por meio de invasão a sistemas e realização de transferências fraudulentas.
O dinheiro era movimentado para contas intermediárias e corretoras de criptoativos para dificultar reversões. A investigação contou com dados do Projeto Tentáculos, cooperação entre a PF e a Febraban.
O que isso revela: invasão silenciosa de sistemas financeiros sem ransomware, sem ruído visível, sem criptografia de arquivos. O objetivo era mover dinheiro, não sequestrar dado, é um vetor diferente e mais difícil de detectar por ferramentas convencionais.
Invasão silenciosa começa onde a visibilidade termina. O Edge DNS Insights monitora o tráfego de DNS em tempo real; detectando comunicações anômalas antes que virem incidente.
O ataque que não precisa da sua senha
Em 10 de agosto, a Kaspersky identificou e publicou análise de uma campanha ativa contra contas corporativas brasileiras no Microsoft 365, com um mecanismo que merece atenção técnica específica.
O ataque começa com um e-mail de phishing usando isca de orçamento ou pedido de compra.
O funcionário é redirecionado para uma página falsa que instrui a digitar um código de validação no próprio site da Microsoft. O que a vítima não percebe: esse código é o mesmo que o criminoso gerou para solicitar acesso a um novo dispositivo no fluxo legítimo de autenticação da Microsoft.
Resultado: o atacante recebe uma sessão autorizada com acesso a e-mails, arquivos no SharePoint e conversas no Teams; sem precisar da senha do usuário.
Segundo Fabio Marenghi, pesquisador líder da Kaspersky, o golpe "explora a boa-fé do usuário por meio de um recurso de conveniência muito comum nos escritórios". A vítima acredita estar realizando uma validação de rotina.
Na prática, está entregando a chave de acesso do sistema para um dispositivo desconhecido.
O que isso revela: ter MFA ativo não é mais suficiente, o ataques modernos não tentam roubar a senha e sim manipular o próprio fluxo de autenticação. A defesa precisa incluir autenticação resistente a phishing, políticas de acesso condicional, monitoramento de dispositivos autorizados e detecção de sessões anômalas.
Ransomware: Brasil em 6º no ranking global
Dados do ThreatVectr, baseados no monitoramento de sites de extorsão mantidos por grupos criminosos, registraram 23 reivindicações associadas a organizações brasileiras em agosto, colocando o Brasil em 6º lugar no ranking global do período, empatado com o México.
É importante ser preciso sobre o que esse número significa: são reivindicações publicadas por criminosos, não necessariamente 23 incidentes independentemente confirmados.
Publicações em leak sites podem conter exageros, duplicações e alegações falsas. O dado é útil para identificar tendências e exposição; não como lista definitiva de vítimas.
O caso mais sensível e confirmado do mês foi o da ICN — Itaguaí Construções Navais, empresa participante do Programa de Desenvolvimento de Submarinos (PROSUB) da Marinha.
A própria ICN confirmou o ataque de ransomware em 9 de agosto, afirmando que o incidente atingiu o ambiente de TI corporativo e que os dados estavam preservados, sem comprometimento de informações de Defesa Nacional.
Posteriormente, o grupo LockBit5 publicou reivindicação associada ao domínio da ICN, classificada como não verificada pelas plataformas de monitoramento.
A distinção importa: o ataque foi real e confirmado. As alegações do grupo criminoso sobre o que possuem não foram.
O que isso revela: ransomware não escolhe setor.
Tecnologia, indústria, saúde, serviços profissionais, educação, construção e setor público aparecem repetidamente entre os alvos. E quando o alvo é um MSP ou MSSP; um único ponto de entrada, múltiplos clientes expostos.
A lição transversal: o ataque começa antes do incidente
Os cinco eventos de agosto: três operações da PF, uma campanha de phishing documentada e um conjunto de reivindicações de ransomware, parecem isolados, mas não são.
A Operação Watchdog mostra que infostealers estão ativos no Brasil, coletando credenciais que serão vendidas ou usadas como acesso inicial por outros agentes.
A campanha Kaspersky mostra que fluxos legítimos de autenticação estão sendo explorados para sequestrar sessões sem alertar o usuário. As operações Klonen e Pane Seca mostram que invasão financeira silenciosa — sem criptografia, sem ruído — é tão lucrativa quanto ransomware e muito mais difícil de detectar.
A cadeia funciona assim: credencial roubada em março → vendida para Initial Access Broker em maio → usada para acesso inicial em julho → ransomware ou transferência fraudulenta em agosto.
O incidente que aparece no relatório de setembro começou muito antes.
Para o prestador de TI, há três reflexões diretas:
1. Proteção de endpoint não protege a credencial do usuário doméstico. Se o colaborador do cliente usa o notebook pessoal sem proteção e tem acesso a sistemas corporativos, a superfície de ataque vai muito além do perímetro que o MSP gerencia.
2. MFA é necessário mas não suficiente. O caso Kaspersky demonstrou que o fluxo de autenticação em si pode ser manipulado. A camada de controle precisa incluir monitoramento de sessões e dispositivos autorizados, não apenas verificação de segundo fator.
3. Fraude financeira não aciona alertas de ransomware. Invasões silenciosas para movimentação de recursos operam abaixo do radar de ferramentas que detectam criptografia de massa. Visibilidade de tráfego em camada 7 e monitoramento de DNS são camadas que fazem a diferença aqui.
O Ecossistema Starti foi construído para que MSPs e MSSPs entreguem proteção real — não apenas conformidade aparente. Visibilidade de tráfego, controle de DNS, NGFW e suporte técnico especializado para toda a carteira de clientes.
O cenário não vai simplificar
Agosto mostrou que o risco cibernético brasileiro não tem um único rosto. Tem ransomware, fraude silenciosa, roubo de credenciais, phishing que contorna MFA; e grupos operando com profissionalização crescente, como documentam as investigações da PF com impactos de centenas de milhões de reais.
Para quem gerencia TI de PMEs, o mapa está claro: os clientes são alvos, os vetores são múltiplos e a defesa eficaz precisa de visibilidade, não apenas de ferramentas instaladas.
O prestador de TI que consegue entregar essa visibilidade, e traduzir isso em proposta de valor para o cliente, está do lado certo da equação.