← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Ransomware 2025–2026: grupos mais ativos, países e onde está o Brasil

2025 teve recorde de vítimas de ransomware e de grupos ativos, com o Qilin no topo. Veja os países mais atacados, a posição do Brasil e o que dizem pesquisas.

2026-10-28

O ransomware, ataque que sequestra sistemas ou dados e cobra resgate, teve em 2025 o ano mais intenso já registrado. As medições variam conforme a metodologia, mas todas apontam na mesma direção. A Searchlight Cyber contou 7.458 vítimas divulgadas em sites de vazamento e 124 grupos ativos, 73 deles novos, segundo o TechRadar. A NTT Data chegou a 8.159 vítimas. A GuidePoint registrou alta de 58% e o maior trimestre da série no 4º trimestre de 2025, com 2.287 vítimas.

Os grupos mais ativos

Um nome dominou o ano: Qilin. O grupo somou 946 vítimas pela contagem da NTT e 1.044 pela da GuidePoint. Em seguida veio o Akira, com 717 vítimas segundo a NTT.

Grupo	Vítimas em 2025	Fonte
Qilin	946 / 1.044	NTT / GuidePoint
Akira	717	NTT
Cl0p, Play, INC Ransom, SafePay, Lynx, RansomHub, DragonForce, Babuk2	completam o top 10	NTT (via Picus)

Em dezembro de 2025, a Check Point mediu a participação de cada grupo nas vítimas do mês: Qilin com 18%, LockBit 5.0 com 12% e Akira com 7%. Naquele mês houve 945 vítimas, 60% a mais que um ano antes. A América do Norte concentrou 52% delas e a Europa, 23%.

O FBI confirma o retrato. Entre as variantes mais reportadas ao IC3 em 2025 estão Akira, Qilin, INC/Lynx, BianLian, Play, RansomHub, LockBit, DragonForce, SafePay e Medusa.

Os países mais atacados

Os Estados Unidos lideram com folga. Pela metodologia da Searchlight, foram 1.536 vítimas em 2025, seguidos por Canadá (182), Alemanha (167) e Reino Unido (131). O Ransomware.live, que usa outra base, chega a 3.926 vítimas nos EUA no ano.

Onde está o Brasil

O Brasil aparece entre os dez mais atacados do mundo:

A ISH Tecnologia contou 7.410 empresas vítimas confirmadas no mundo em 2025 (+17,8%) e colocou o Brasil em 9º lugar global, segundo o Estado de Minas.
Em junho de 2026, o Ransomware.live colocou o Brasil em 3º lugar, com 23 vítimas. O país ficou atrás apenas de EUA (199) e Alemanha (49), à frente de Reino Unido (21) e Índia (20). O México apareceu com 14, conforme a TI Inside.
Em tentativas bloqueadas, que não são vítimas, a Kaspersky registrou 549 mil ataques de ransomware contra o Brasil entre agosto de 2024 e junho de 2025 (+12%). São 1.664 por dia e mais da metade do total da América Latina. O México vem em seguida, com 237 mil.

2026: ritmo alto, sem pico

Os dados mensais do Ransomware.live para 2026 mostram volume alto e estável. Foram 702 vítimas em janeiro, 784 em fevereiro, 844 em março, 870 em abril, 791 em maio e 708 em junho. Não há sinal de retração, e os incidentes de grande impacto continuaram ao longo do ano.

Um dos sinais da fragmentação do mercado criminoso é o número de grupos. A GuidePoint contou 124 grupos ativos em 2025, alta de 46%. Isso inclui marcas novas que surgem quando operações antigas são desmanteladas ou se dividem. Para as empresas, o efeito prático é que bloquear um grupo específico importa menos do que fechar as portas de entrada que todos usam: credenciais vazadas, vulnerabilidades sem correção e e-mails maliciosos.

Pagar ou não pagar

As pesquisas com empresas mostram resgates em queda no mundo, mas não no Brasil.

Indicador	Global (Sophos 2025)	Brasil (Sophos 2026)
Resgate mediano	US$ 1 mi pago (2024: US$ 2 mi)	US$ 640 mil pedido (2025: US$ 392,5 mil)
Custo de recuperação, sem o resgate	US$ 1,53 mi	US$ 1,05 mi
Pagou e recuperou os dados	cerca de 50% pagaram	45% (2025: 66%)

No Brasil, o e-mail malicioso foi a causa raiz em 37% dos casos, o maior índice entre todos os países do estudo da Sophos. Vulnerabilidades exploradas responderam por 24% e phishing por 18%.

O Verizon DBIR 2025 encontrou ransomware em 88% das violações em pequenas e médias empresas, com resgate mediano pago de US$ 115 mil. No total, 64% das vítimas não pagaram.

Como reduzir o risco

Treine contra e-mail malicioso e phishing, a principal porta de entrada no Brasil.
Corrija vulnerabilidades em equipamentos de borda e VPN, alvo crescente dos ataques.
Use autenticação multifator em todos os acessos remotos e administrativos.
Mantenha backups isolados e testados. A capacidade de restaurar é o que permite recusar o resgate.
Tenha um plano de resposta que inclua a comunicação à ANPD em 3 dias úteis quando houver dados pessoais envolvidos.