México foi o 2º em ransomware na América Latina

Atualização 2 de outubro de 2026: A SCILabs manteve o México entre os países latino-americanos com mais atividade de ransomware e apontou que o país concentrou 17,93% dos casos regionais no primeiro semestre de 2026. O material novo também adiciona contexto sobre o KillSec, a operação policial da Europol contra o grupo e um panorama global recente com medições distintas da Cyble e da NCC Group.

México foi reportado como o segundo país da América Latina com maior número de ataques de ransomware no primeiro semestre de 2026, com cerca de 52 ofensivas contra empresas e entidades mexicanas, segundo uma cobertura que cita o relatório Ransomware en LATAM. A nota também informa que o país concentrou 17,93% dos ataques regionais e que os setores mais afetados foram serviços financeiros, manufatura e órgãos públicos.

Quais setores mexicanos concentraram mais ataques?

O setor de serviços foi o mais atacado no México, com 19,66% dos ataques, segundo a cobertura de La Jornada. O setor governamental respondeu por 11,72%, enquanto o material disponível também coloca entre os mais atingidos os serviços financeiros e a manufatura.

Quais dados regionais o relatório citado trouxe?

O Tribuna de la Bahía, citando o relatório Ransomware en LATAM, informou 290 incidentes observados de ransomware na América Latina no período e alta de 25,54% em relação ao semestre anterior. A mesma cobertura atribuiu à análise a identificação de 50 variantes de ransomware na região.

Nesse recorte, The Gentlemen registrou pelo menos 49 ataques, Qilin 46 e LockBit 5.0, 43. Juntas, essas três variantes representaram 47,59% da atividade observada regionalmente, de acordo com a mesma fonte.

A cobertura acrescenta que a SCILabs baseou seus números em incidentes observados por meio de suas fontes de inteligência e casos analisados, e que esses dados não representam o total de ataques ou tentativas de ransomware ocorridos na América Latina. Por isso, os números devem ser lidos como um recorte da atividade observada, não como um levantamento exaustivo da região.

O que mudou na atividade do KillSec?

A cobertura da Computer Weekly indica que o KillSec mirava organizações de serviços financeiros e de saúde, especialmente empresas de tecnologia cujos produtos eram usados por clínicas e hospitais. A mesma fonte acrescenta que entre as vítimas havia grandes empresas e órgãos governamentais.

A Europol informou que forças de segurança fizeram prisões e apreenderam servidores e o site de vazamento associado ao KillSec. O órgão descreveu que o grupo obtinha dados sensíveis explorando vulnerabilidades e pontos de acesso mal protegidos.

A cobertura da operação policial atribuída à Europol sustenta que o KillSec atuava desde 2024 e que teria realizado ao menos 500 ataques bem-sucedidos, com uma possível cifra próxima do dobro, segundo a Infosecurity Magazine. Essa fonte não vincula esses números especificamente à América Latina.

O que mostraram as medições globais de agosto?

A Cyble indicou que a alta do ransomware em agosto esteve associada, entre outros fatores, ao recrutamento de mais afiliados e à exploração de sistemas acessíveis pela internet. A empresa também registrou casos de extorsão baseados apenas no roubo de dados, sem criptografia de arquivos.

A cobertura regional do relatório da Cyble apontou que a América registrou 603 vítimas publicamente reivindicadas em agosto de 2026, enquanto a Ásia-Pacífico registrou 143 e a Europa, 270. A metodologia corresponde a reivindicações públicas e não equivale necessariamente ao número total de intrusões confirmadas.

A NCC Group, por sua vez, registrou 1.073 ataques de ransomware relatados publicamente em agosto de 2026, cerca de 12% a mais que em julho, e colocou o Qilin como a operação líder com 15% dos ataques registrados. Essa medição difere da cifra de vítimas publicamente reivindicadas da Cyble por usar outra metodologia.

Qual caso regional ficou apenas como suposta vítima?

A VenariX en Español apontou o Hospital Hermilio Valdizán, no Peru, como possível vítima de um ataque de ransomware atribuído pela conta ao grupo RansomHouse, mas a própria publicação apresenta o caso como possível vítima e não como confirmação independente.