Brasil no alvo de Akira

Brasil ficou no centro de vários relatórios de threat intelligence sobre ransomware em 2026. Uma análise da ISH Tecnologia citada por Estado de Minas apontou manufatura e tecnologia como os setores mais afetados no país, seguidos por serviços empresariais e varejo. O mesmo estudo mostrou que os grupos vêm deixando de mirar apenas estações de trabalho para concentrar esforços em hipervisores e ambientes corporativos.

Hipervisores e acessos perimetrais

Segundo esse levantamento, as campanhas mais ativas exploram VMware ESXi, Microsoft Hyper-V e Nutanix. A combinação que favorece os ataques inclui baixa adesão à autenticação multifator, hipervisores sem camadas específicas de proteção e backups acessíveis pela rede.

Nessa linha, o relatório atribui a Akira, Qilin e DragonForce uma maior concentração em comprometer hipervisores em organizações no Brasil e em outros países da América Latina. Não se trata apenas de criptografar máquinas isoladas, mas de atingir pontos de controle capazes de afetar virtualização, backups e disponibilidade operacional ao mesmo tempo.

A exposição de VPN também segue como vetor recorrente. Um artigo da CSO Online, citando a Huntress, indicou que agentes avançados usaram VPN para o acesso inicial em cerca de 70% dos casos. O mesmo texto afirmou que o Akira é conhecido por explorar vulnerabilidades em VPN e abusar de credenciais legítimas, especialmente em produtos da Ivanti, Cisco e Fortinet.

A Brandefense acrescentou que o vetor de acesso inicial mais observado para Akira foi o Cisco AnyConnect SSL VPN em ambientes sem aplicação de MFA, com referência específica à CVE-2023-20269. A mesma empresa disse que os afiliados do Akira ampliaram o foco para outras vulnerabilidades em dispositivos de borda, entre elas Cisco IOS XE e Palo Alto GlobalProtect.

Setores mais atingidos

Os painéis de atividade convergem na pressão sobre setores específicos. A Brandefense colocou LockBit5 entre os grupos de ransomware com maior crescimento de atividade no segundo trimestre de 2026 e disse que o Brasil esteve entre seus cinco países mais atacados, junto com Estados Unidos, Itália, Alemanha e México. No período, os setores mais atingidos pelo grupo foram serviços empresariais, manufatura, tecnologia e healthcare.

A Infosecurity Magazine também informou que, no segundo trimestre de 2026, a manufatura foi a indústria mais atacada por ransomware, seguida por serviços empresariais, varejo e software. No mesmo relatório, Qilin liderou a atividade de ransomware do período, enquanto DragonForce, Akira e LockBit 5.0 também apareceram entre os principais grupos por reclamações de ataques.

AhnLab, em seu relatório de junho de 2026, repetiu o padrão: manufatura apareceu como o setor mais afetado globalmente naquele mês, seguida por information and communications, professional, scientific and technical services e health and social welfare. A mesma empresa colocou Qilin na primeira posição entre os grupos de ransomware do mês, com Akira, LockBit 5.0 e DragonForce dentro do top 10.

Brasil nos trackers globais

Outros trackers reforçam a presença regional. A Derp.ca colocou Akira, Qilin e DragonForce entre os grupos mais ativos globalmente em 2026, com centenas de vítimas reivindicadas, e marcou o Brasil como um dos países com mais casos em sua seção de Top Countries.

Em uma linha mais restrita, a Nteve mencionou uma banda com quase 600 vítimas em mais de 60 países, com base em dados do ransomware.live, que contabiliza ataques no Brasil e em outros países latino-americanos, embora sem detalhar vítimas específicas nem setores no país. A Mallory.ai, por sua vez, reuniu dados do ransomware.live e mencionou a PP+K como vítima de um ataque atribuído a Qilin, identificando a empresa como localizada no Brasil, embora sem trazer detalhes técnicos do incidente.

A Brandefense também destacou que o LockBit5 suporta Windows, Linux, macOS, VMware ESXi e FreeBSD, uma cobertura de plataformas pouco comum entre os grupos líderes. No caso do Akira, o ransomware.live descreve que a maioria de seus vetores de acesso inicial envolve tentativas de força bruta contra dispositivos Cisco VPN com autenticação de um único fator.