O número de vítimas de ransomware divulgadas em sites de fuga de dados atingiu 2.139 no segundo trimestre de 2026, mais 33% do que no período homólogo, segundo o relatório “State of Ransomware Q2 2026”, da Check Point Research (CPR).

Apesar de o volume se ter mantido praticamente estável face aos primeiros três meses do ano, o número de grupos ativos aumentou de 71 para 93, o valor mais elevado alguma vez identificado pela empresa.

A investigação aponta para um ecossistema de ransomware cada vez mais fragmentado e acessível, no qual a inteligência artificial começa a reduzir o tempo e o conhecimento técnico necessários para desenvolver ferramentas e infraestruturas criminosas.

Ransomware distribui-se por cada vez mais grupos

Os dez grupos mais ativos concentraram 57,6% das vítimas no segundo trimestre, contra 71% nos três primeiros meses do ano. Para a Check Point, esta dispersão demonstra que o desaparecimento ou enfraquecimento de grandes operadores não implica necessariamente uma redução da ameaça, uma vez que outros grupos ocupam rapidamente o espaço disponível.

O Qilin manteve a liderança pelo quarto trimestre consecutivo, com 279 vítimas identificadas. Logo atrás surge o The Gentlemen, com 269 vítimas e um crescimento de 62%. Em junho, este último chegou mesmo a ultrapassar o Qilin.

DragonForce está na terceira posição, com 140 vítimas, seguido de Akira, com 126, e LockBit, com 105. Outros grupos fora dos dez maiores concentraram, em conjunto, 903 vítimas, reforçando a fragmentação do mercado criminoso.

Inteligência artificial reduz barreiras à entrada

Um dos casos analisados em maior detalhe pela CPR foi o The Gentlemen, na sequência do acesso a informação interna da organização. Segundo a investigação, o núcleo central do grupo teria apenas cerca de nove pessoas, apoiadas por uma rede mais ampla de afiliados responsáveis por grande parte das intrusões. A divisão das receitas atribuía 90% aos afiliados e 10% ao núcleo central.

As conversas analisadas indicam ainda que o administrador do grupo, conhecido como Zeta88, terá criado o painel de gestão da operação em cerca de três dias, recorrendo a assistentes de programação baseados em inteligência artificial, incluindo DeepSeek e Qwen.

A Check Point sublinha que não encontrou evidências de IA a selecionar autonomamente os alvos ou a executar os ataques. O que identificou foi a utilização destas ferramentas para acelerar o desenvolvimento de software criminoso e permitir que equipas reduzidas construam infraestruturas sofisticadas num período mais curto.

O estudo ilustra também o rápido crescimento do The Gentlemen: depois de 38 vítimas em setembro de 2025, o grupo chegou às 116 vítimas apenas em junho de 2026.

Para Sergey Shykevich, diretor de Threat Intelligence da Check Point Software, a principal alteração está precisamente na redução das barreiras à entrada. O responsável considera provável que a IA permita o aparecimento de mais grupos, capazes de desenvolver ferramentas e explorar vulnerabilidades com maior rapidez.

Pagamento de resgates cai, mas roubo de dados ganha importância

A própria economia do ransomware está também a mudar. Segundo a Check Point, a percentagem de vítimas que paga resgates terá recuado de 85% em 2019 para cerca de 23% atualmente, à medida que as organizações melhoraram as cópias de segurança e os mecanismos de recuperação.

Apesar disso, os pagamentos de ransomware registados na blockchain ultrapassaram 820 milhões de dólares em 2025.

A redução da eficácia da simples encriptação está a levar os atacantes a privilegiar cada vez mais a exfiltração de informação. Uma organização pode recuperar os seus sistemas através de cópias de segurança, mas não consegue restaurar a confidencialidade de dados já roubados. Por essa razão, a CPR considera que a deteção de exfiltração e a proteção da informação devem assumir uma importância semelhante à recuperação dos sistemas depois de um ataque.

Bens e serviços de consumo representam 16% das vítimas

Os serviços empresariais concentraram 33% das vítimas identificadas no trimestre, constituindo o sector mais atingido. Seguiram-se os bens e serviços de consumo, com 16%, a indústria transformadora, com 12%, os serviços financeiros e a saúde, ambos com 6%, e a administração pública, com 5%.

Geograficamente, os Estados Unidos concentraram 42% das vítimas reportadas, seguidos pelo Canadá e Alemanha, com 5% cada. Reino Unido, Itália, França e Espanha representaram 3% cada.

A Check Point salienta, contudo, que estes números correspondem apenas às vítimas divulgadas nos sites de fuga dos grupos e não representam a totalidade dos ataques de ransomware ocorridos em cada país.

Vulnerabilidades podem começar a ser exploradas em horas

Outro dos alertas prende-se com a velocidade dos ataques. O intervalo entre a divulgação pública de uma vulnerabilidade e a sua exploração pode atualmente medir-se em horas.

Phishing, credenciais comprometidas e acessos remotos expostos continuam, por isso, entre os principais pontos críticos. A utilização de IA para desenvolver código reduz ainda mais o tempo disponível para as organizações identificarem, priorizarem e corrigirem vulnerabilidades.

A Check Point recomenda uma estratégia de prevenção em várias camadas, incluindo proteção contra phishing e roubo de credenciais, segurança transversal a ambientes locais e cloud, princípios zero trust, gestão de exposição e mecanismos específicos para controlar os riscos introduzidos pelas próprias ferramentas e agentes de IA.

O relatório conclui que o ransomware já não deve ser encarado apenas como uma questão de malware, mas como um ecossistema que combina roubo de credenciais, intermediários de acesso, redes de afiliados, inteligência artificial e exfiltração de dados.