O número de organizações vítimas de ransomware manteve-se próximo de máximos históricos no primeiro trimestre de 2026, mas o ecossistema criminal está agora mais concentrado em menos grupos, mais organizados e com maior capacidade operacional, segundo o relatório “State of Ransomware Q1 2026”, divulgado pela Check Point Software Technologies.

De acordo com o estudo, foram identificadas 2.122 organizações em sites de fuga de dados associados a ransomware entre janeiro e março deste ano, o segundo valor mais elevado de sempre para um primeiro trimestre. No entanto, o principal dado do relatório não é apenas o volume de ataques, mas a forma como estes se encontram cada vez mais concentrados num número mais reduzido de grupos dominantes.

Depois de dois anos marcados por fragmentação, o mercado de ransomware está a reconsolidar-se. Os dez principais grupos de ransomware foram responsáveis por 71% de todas as vítimas, o que inverte a tendência observada em grande parte de 2025.

Entre os grupos com maior atividade destacam-se Qilin, Akira, The Gentlemen e LockBit, que em conjunto concentraram 41% de todas as vítimas reportadas no trimestre.

“Quando menos grupos, mas mais capazes, passam a controlar a maioria dos ataques, cada incidente tem maior potencial de paralisar operações, comprometer dados críticos e gerar pressão financeira. Para as organizações portuguesas, isto exige uma mudança clara, deixar de pensar apenas na resposta ao incidente e passar a reduzir exposição antes do ataque, fechar acessos vulneráveis, reforçar controlos de identidade e limitar movimento lateral dentro da rede”, afirma Rui Duro, country manager da Check Point Software em Portugal.

Volume elevado e risco persistente

Segundo o relatório, a atividade mensal manteve-se relativamente estável ao longo do trimestre, com 737 vítimas registadas em janeiro, 684 em fevereiro e 707 em março, o que confirma uma atividade sustentada e já não apenas dependente de grandes campanhas isoladas.

A Check Point sublinha ainda que, embora o primeiro trimestre de 2025 tenha registado números superiores devido a uma campanha massiva associada ao grupo Cl0p, a tendência estrutural continua a ser de crescimento da atividade global de ransomware.

“O ransomware passou a fazer parte de um ambiente de risco permanente. Não se trata apenas de preparar uma resposta para um ataque eventual, mas de assumir que a exposição digital, a conectividade cloud, os acessos remotos e as credenciais comprometidas podem ser convertidos em impacto operacional a qualquer momento”, refere em comunicado.

De fragmentação para consolidação

O relatório identifica uma mudança estrutural no ecossistema criminoso, com a redução do número de grupos ativos e o reforço do peso dos operadores mais robustos. Depois de, em 2025, o número de grupos ativos ter atingido um pico de 85, o primeiro trimestre de 2026 revelou um movimento de reconsolidação, impulsionado por ações policiais, disrupção de infraestruturas e competição entre operadores.

Segundo a análise da Check Point Research, os grupos mais fortes conseguiram absorver afiliados, recuperar capacidades e aumentar escala operacional.

Para as equipas de segurança, esta consolidação altera o perfil do adversário, alerta a empresa. Grupos maiores tendem a investir mais em processos, ferramentas, comunicação, infraestrutura e capacidade de negociação. Também conseguem adaptar-se melhor a disrupções, mudar geografias, reutilizar acessos e profissionalizar operações.

Sectores mais afetados

A distribuição sectorial mostra os serviços empresariais como o segmento mais atingido, concentrando 35% das vítimas identificadas. Seguem-se os setores de bens de consumo, com 14%, e indústria transformadora, com 11%.

Serviços financeiros e saúde representam 5% cada, enquanto tecnologia, automóvel e administração pública registam 4% cada.

Segundo a Check Point Research, em muitos casos os setores afetados refletem a distribuição de tecnologias exploradas, aplicações empresariais vulneráveis ou acessos já comprometidos. Ou seja, nem sempre os atacantes escolhem um setor por ser mais lucrativo. Muitas vezes atacam onde já existe uma oportunidade operacional.

Portugal fora do topo, mas exposto ao risco

Embora Portugal não surja entre os países mais visados no relatório global, o risco para organizações portuguesas não deve ser subestimado. Num mercado com forte presença de PME, cadeias de fornecimento interligadas, adoção crescente de cloud e dependência de serviços digitais, esta tendência deve preocupar administradores, diretores financeiros, equipas de IT e responsáveis de segurança.

Segundo Rui Duro, muitas empresas continuam a encarar o ransomware apenas como um problema que começa no momento da encriptação dos sistemas. “Na realidade, o ataque começa muito antes, quando um acesso fica exposto, quando uma credencial é roubada, quando uma vulnerabilidade não é corrigida ou quando uma política de segurança não acompanha a complexidade da cloud. A defesa eficaz exige visibilidade, prevenção e contenção antes da disrupção”, acrescenta Rui Duro.