México lidera vítimas de ransomware na América Latina

México se consolidou em 2026 como um dos alvos mais ativos de ransomware na América Latina. Uma análise da EITMedia, baseada em um relatório de uma empresa internacional de segurança, coloca o país em segundo lugar na região em número de vítimas, atrás do Brasil, em um semestre em que o volume global de ataques cresceu 16,5%.

Quais grupos estão operando no México?

O monitoramento da Ransomware Response para o México mostra que os grupos mais ativos por vítimas registradas são LockBit 3.0, com 31 casos, Qilin com 20, LockBit5 com 12, Cl0p com 11 e RansomHub com 8, segundo a própria Ransomware Response. Esse retrato coincide com outras medições que apontam atividade contínua de bandas de dupla extorsão no país.

A Ransomlook.io também registra publicações recentes em sites de vazamento de dados atribuídas a LockBit, Akira e Qilin com vítimas em vários países da América Latina, entre eles o México, durante junho e julho de 2026, segundo a Ransomlook.io. Em paralelo, o relatório da BreachSense para julho de 2026 coloca TheGentlemen e Qilin na liderança global em número de vítimas listadas, com 119 cada um, dentro de um total de 811 empresas afetadas por 66 grupos em 78 países, de acordo com a BreachSense.

A Computerworld Espanha, com base em dados da NCC Group e da Comparitech, coloca Qilin e The Gentlemen em primeiro e segundo lugar global em número de ataques no segundo trimestre de 2026. Akira, DragonForce e LockBit completam o top 6, segundo a Computerworld Espanha, a NCC Group e a Comparitech. A EITMedia acrescenta que Qilin acumula 722 ataques confirmados no semestre, The Gentlemen cerca de 550 e Akira mais de 300, números que enquadram a atividade observada no México dentro de campanhas mais amplas, segundo a EITMedia.

Quais setores estão mais expostos?

No país, os setores mais afetados por ransomware são Business Services, com 40 vítimas, Manufacturing com 30, Technology com 21, Public Sector com 19 e Healthcare com 14, segundo o monitoramento setorial citado. O padrão deixa serviços empresariais e manufatura como os alvos predominantes.

Esse foco combina com a ficha da Blackpoint Cyber sobre The Gentlemen, que o descreve como uma operação RaaS surgida em agosto de 2025, especializada em dupla extorsão e com foco particular no setor industrial e de manufatura, de acordo com a Blackpoint Cyber. A mesma fonte afirma ainda que as regiões de sede das vítimas mais frequentes incluem Ásia e América do Sul, o que reforça sua presença em mercados como o México.

A Veeam situa Akira com 9% de participação de mercado entre variantes observadas em pagamentos no segundo trimestre de 2026 e The Gentlemen com 8%, segundo a Veeam. Isso consolida ambos como parte do núcleo de operações de extorsão mais rentáveis em escala global.

Quanta pressão isso gera sobre as defesas empresariais?

A análise técnica citada pela Computerworld Espanha detalha que The Gentlemen adotou um framework chamado GentleKiller, com variantes que usam drivers vulneráveis e utilitários para desativar soluções de EDR e atacar uma ampla gama de produtos de segurança para endpoints, segundo a Computerworld Espanha. Essa capacidade aumenta a probabilidade de impacto operacional em organizações com controles avançados.

No mapa da Ransomware.live, o México aparece com mais de 270 vítimas identificadas publicamente até o fim de julho de 2026, segundo a Ransomware.live. O número supera o mencionado em alguns relatórios regionais e sugere subnotificação em estimativas anteriores, além de indicar uma exposição real maior do que os "quase 80" casos citados por outros meios.