Brasil concentra vítimas listadas de ransomware

Atualização 1 de novembro de 2026: a nota soma o recorte regional de 1.080 vítimas de ransomware na América Latina e no Caribe, com 31,3% em infraestrutura crítica, e acrescenta novos achados técnicos sobre n0n, incluindo vítimas confirmadas, alvos e táticas.

Brandefense/ATLAS registrou 601 organizações do Brasil listadas como vítimas de ransomware em sites de vazamento. O monitoramento aponta consultoria, educação e pesquisa, tecnologia, governo e setor público, e varejo entre os setores mais representados. Entre os grupos com vítimas brasileiras aparecem LockBit, The Gentlemen e RansomHub, segundo o painel consultado em 29 de outubro de 2026.

O que os registros mostram sobre o Brasil?

ATLAS também documentou atividade recente que coloca o Brasil no centro de vários perfis de ransomware. Em setembro de 2026, a Brandefense registrou 24 vítimas listadas no país, o que equivale a 2,8% das vítimas globais observadas no período. O número vem do monitoramento de sites de vazamento e de reivindicações publicadas pelos próprios grupos.

No recorte de vítimas recentes, o ATLAS listou o Partido Liberal, reivindicado por Whitearmor; GTL Concreto e Logística e MPI LTDA, reivindicadas por Emperador; Prafesta, reivindicada por N0n; Hospital Sírio-Libanês, reivindicado por The-seven-deadly-sins; e Universidade de Passo Fundo e CLIMEDI, reivindicadas por The Gentlemen. Os registros incluem setores como organizações sem fins lucrativos, manufatura, construção, saúde e educação e pesquisa.

O que diz o ATLAS sobre Arcus Media e N0n?

O ATLAS identificou o Brasil como o país com maior proporção de vítimas do Arcus Media, um grupo de ransomware-as-a-service que usa dupla extorsão. A fonte documenta o uso de criptografia ChaCha20 com RSA-2048 e aponta vítimas em manufatura, saúde, varejo e serviços empresariais. No caso brasileiro, tecnologia foi o setor mais representado, seguido por manufatura, consultoria, educação e pesquisa, e varejo.

No caso do N0n, o ATLAS descreveu técnicas associadas a acesso via Remote Desktop Protocol e contas válidas, execução por comandos, persistência por autostart, ofuscação, staging de dados, inibição de recuperação, criptografia de dados e interrupção de serviços. O Brasil representava 53,4% das vítimas listadas pelo grupo no perfil consultado.

Que outras vítimas e táticas aparecem no monitoramento?

O ATLAS também registrou o Eclipse com uma vítima brasileira no varejo, dipecarr.com.br, publicada em 8 de outubro de 2026. Em paralelo, outras coberturas sobre N0n o descreveram como um grupo de extorsão emergente detectado pela primeira vez em 18 de setembro de 2026, com organizações afetadas no Brasil e em outros países.

A Cyberint o caracterizou como um ator motivado financeiramente, centrado em roubo de dados e extorsão. Segundo essa observação, não havia indício de criptografia de arquivos, e as publicações do site de vazamentos se referiam ao roubo de dados. O relatório registrou 120 vítimas em 28 países até 19 de outubro de 2026 e pedidos de resgate entre US$ 2,4 milhões e US$ 25 milhões.

Mallory, em uma investigação atribuída a achados da SOCRadar sobre um espaço de trabalho exposto dos operadores do N0n, mencionou scripts de ataque, código de um cifrador, infraestrutura de extorsão e um ambiente de programação assistido por IA. Também observou que quatro das 23 organizações envolvidas mostravam apenas tentativas de acesso sem resultado comprovado. A Cyware, por sua vez, relatou credential stuffing, exfiltração de dados e criptografia, além de indicadores como o diretório C:\Users\Public\n0n\ e arquivos com extensão .n0n.

O que amplia o novo informe regional?

Uma cobertura que cita dados da FortiRecon relatou 141 vítimas confirmadas de ransomware no Brasil, 69 no México, 50 na Argentina e 41 na Colômbia durante 2025. No plano regional, o informe sobre infraestrutura crítica citado pelo Diario Financiero contabilizou 1.080 vítimas de ransomware na América Latina e no Caribe entre janeiro de 2025 e setembro de 2026, com 31,3% dos casos em infraestrutura crítica.

Nesse recorte regional, os setores com mais organizações identificadas foram governo, com 81; saúde, com 78; e transporte e logística, com 68.

O que a pesquisa sobre n0n acrescenta?

A Cyberint informou que o n0n tinha 120 vítimas listadas em 28 países em 19 de outubro de 2026, embora tenha indicado que não observou criptografia de arquivos e que as publicações do site de vazamentos se referiam apenas a dados roubados. As exigências observadas variaram de US$ 2,4 milhões a US$ 25 milhões.

A SOCRadar identificou ao menos 23 organizações envolvidas na operação de extorsão do n0n, distribuídas em 14 países, e incluiu entre os casos apontados um ministério argentino e um provedor de internet venezuelano. Uma análise baseada nesses achados também disse que o n0n atacou 305 dispositivos FortiGate SSL-VPN por credential stuffing e buscou serviços RDP expostos. Esse recorte distinguiu 93 vítimas publicadas no site de vazamentos e 23 organizações-alvo confirmadas pela investigação.

A SOCRadar informou que um espaço de trabalho exposto associado ao n0n continha scripts de ataque, código de cifradores, infraestrutura de extorsão e um ambiente de programação assistido por inteligência artificial. Quatro das 23 organizações apresentavam apenas tentativas de acesso sem sucesso comprovado, segundo a análise. A SecurityArsenal acrescentou como TTPs associados ao n0n o acesso inicial por bordas ou VPN, a execução de scripts e macros, o movimento lateral com PsExec/WMI e a preparação de dados antes da criptografia, incluindo exclusão de shadow copies, enumeração em massa e staging.

O que se sabe sobre The Gentlemen?

Um perfil técnico do The Gentlemen identificou técnicas que incluem propagação via Group Policy e vinculou o ator aos nomes Storm-2697, segundo a Microsoft, e GOLD SHERWOOD, segundo a Sophos. Esse material adiciona contexto geral sobre o grupo, mas não confirma sua responsabilidade no incidente da Oldelval.