Ransomware em setembro de 2026: 790 vítimas e o que muda

A Bitdefender publica todo mês o Threat Debrief, um panorama de ransomware. A edição de outubro de 2026 cobre setembro e traz números e fatos que ajudam qualquer empresa a calibrar a própria defesa. Este texto resume o relatório em português, confere os fatos principais com fontes independentes quando há e diz o que fazer com ele. Os dados abaixo vêm da edição de outubro de 2026 do Threat Debrief.

Como o relatório é feito, e a ressalva

A Bitdefender combina fontes abertas (notícias e pesquisas) com dados dos sites de vazamento, onde os grupos de ransomware listam as vítimas que reivindicam. O relatório avisa que não é possível verificar todas as alegações, mas diz que as tendências ao longo do tempo são confiáveis. Por isso, os números são de vítimas reivindicadas, não de ataques confirmados.

Os números de setembro de 2026

790 vítimas reivindicadas entre 1º e 30 de setembro.
30% a mais do que em setembro de 2025.
The Gentlemen ficou em primeiro lugar, com 105 vítimas em setembro, e foi o grupo mais ativo em dois dos últimos três meses. Segundo o relatório, ele também reivindica vítimas fora da América do Norte, incluindo a América do Sul.
Qilin teve queda de 50% no número de vítimas em relação ao mês anterior. Akira também aparece entre os três primeiros.
Clop reivindicou apenas 2 vítimas, depois de o ShinyHunters comprometer o site de vazamento do grupo, segundo o relatório.

Sobre setores e países: a manufatura teve menos vítimas, educação e pesquisa continuaram entre os dez mais atingidos e o transporte subiu para a 10ª posição. Os Estados Unidos seguem como maior alvo, mas com menos vítimas em setembro, e o Japão aparece na 10ª posição. O relatório não cita o Brasil, e não é possível tirar conclusões sobre o país a partir dele.

Operation KillSwitch: o que mudou com a derrubada do KillSec

Em 30 de setembro de 2026, uma operação internacional apreendeu o site de vazamento do KillSec e vários de seus servidores. A Bitdefender, que acompanhava o grupo desde 2024 e contribuiu para a operação, relata três presos. A cobertura independente do The Record confirma a operação e acrescenta, segundo as autoridades, que o grupo lançou cerca de 1.000 ataques, ao menos metade bem-sucedidos, e que cinco servidores foram apreendidos. Os números de presos e de dados apreendidos variam entre as reportagens, por isso não os detalhamos aqui.

Um detalhe importante para o público de pequenas e médias empresas: o relatório afirma que as vítimas do KillSec incluem muitas organizações de pequeno e médio porte, e que boa parte das invasões do grupo não envolvia ransomware, mas a exploração de falhas em plataformas de nuvem para roubar dados. Ou seja, o problema nem sempre é um arquivo criptografado, e pode ser dado copiado em silêncio.

A lição que o próprio relatório destaca é a mais importante para uma empresa: depois de uma derrubada, é muito mais comum que os grupos mudem de nome e sigam atuando do que simplesmente desapareçam. A prisão de integrantes é um bom sinal, mas infraestrutura de reserva e parcerias podem continuar existindo. Ou seja, o risco não acaba quando um grupo sai das notícias.

Outros pontos do relatório

Citrix NetScaler: a vulnerabilidade CVE-2026-88779 foi incluída no catálogo de vulnerabilidades exploradas e está sendo usada para derrubar equipamentos NetScaler ADC e Gateway com login via SAML ativado. O Help Net Security confirma que a CISA incluiu a falha no catálogo e que a Citrix observou ataques direcionados. A falha afeta equipamentos locais das séries 14.1 e 13.1 configurados com SAML, e as versões corrigidas são 14.1-73.41 e 13.1-64.28 ou posteriores. Quem usa esses produtos deve conferir o aviso do fabricante e aplicar a correção.
CRPx0: o grupo anunciou o fim das operações de ransomware e colocou sua infraestrutura à venda por US$ 1.500, mantendo um programa de "hacking como serviço". Segundo o relatório, esse preço baixo pode facilitar a entrada de novos criminosos.

O que a sua empresa pode fazer

O relatório recomenda, entre outras ações, manter registros e acionar as autoridades em caso de ataque, acompanhar as regras de notificação de violações e reforçar os sistemas depois da recuperação. Traduzindo para o dia a dia de uma empresa pequena ou média:

Backups testados e isolados. Um backup que o ransomware consegue alcançar não é proteção. Teste a restauração de verdade.
Correções rápidas, principalmente em equipamentos expostos à internet, como VPNs e gateways.
MFA em todos os acessos remotos e contas de administrador.
Detecção e resposta nos computadores e servidores. Antivírus sozinho nem sempre basta. Veja o que cada versão do Bitdefender inclui em GravityZone e em EDR e XDR.
Plano de resposta escrito, com quem decide, quem avisa os clientes e a ANPD. A Resolução CD/ANPD nº 15/2024 prevê comunicação em 3 dias úteis quando há risco relevante.

Para o passo a passo, veja como proteger a empresa de ransomware e o que fazer após um ataque.

Precisa de ajuda?

A Codlinx, Parceira Oficial Bitdefender, ajuda empresas em todo o Brasil a escolher a versão certa, implantar e acompanhar a proteção. O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis. Peça um diagnóstico gratuito.

Perguntas frequentes

O que é o Bitdefender Threat Debrief?

É uma série mensal da Bitdefender que analisa o cenário de ransomware. Ela combina fontes abertas, como notícias e pesquisas, com dados de sites de vazamento, onde os grupos publicam as vítimas que reivindicam. A própria Bitdefender avisa que não consegue verificar todas as alegações, mas diz confiar nas tendências observadas ao longo do tempo.

Quantas vítimas de ransomware foram registradas em setembro de 2026?

O relatório registra 790 vítimas reivindicadas entre 1º e 30 de setembro de 2026, o que representa um aumento de 30% em relação a setembro de 2025. São vítimas reivindicadas pelos grupos, e não ataques confirmados um a um.

O relatório fala do Brasil?

Não cita o Brasil. Ele aponta os Estados Unidos como o maior alvo, com menos vítimas em setembro, e o Japão na 10ª posição. Sobre o grupo líder, The Gentlemen, diz que ele reivindica vítimas fora da América do Norte, incluindo América do Sul. Isso não permite concluir nada específico sobre o Brasil.

O que foi a Operation KillSwitch?

Em 30 de setembro de 2026, uma operação internacional, com apoio da Bitdefender, apreendeu o site de vazamento e servidores do KillSec. Segundo as autoridades, citadas pelo The Record, o grupo lançou cerca de 1.000 ataques, ao menos metade bem-sucedidos, e foram apreendidos cinco servidores. A Bitdefender fala em três presos; as reportagens divergem sobre o total e sobre o volume de dados apreendido, por isso este texto não cita esses números.

Se um grupo é derrubado, o risco acaba?

Não necessariamente. A Bitdefender afirma que, embora alguns grupos possam se desfazer após uma derrubada, é muito mais comum que eles mudem de nome e continuem operando. O relatório também lembra que infraestrutura de reserva e parcerias podem permanecer.

Preciso me preocupar com a falha do Citrix NetScaler citada no relatório?

Só se a empresa usa NetScaler ADC ou Gateway. O relatório informa que a CVE-2026-88779 foi incluída no catálogo de vulnerabilidades exploradas (KEV) e que está sendo usada para derrubar equipamentos com login via SAML ativado. Segundo o Help Net Security, a falha afeta equipamentos locais (on-premises) das séries 14.1 e 13.1 configurados com SAML, e as versões corrigidas são 14.1-73.41 e 13.1-64.28 ou posteriores. A Citrix informou ter observado ataques direcionados. Quem usa esses equipamentos deve conferir o aviso do fabricante e aplicar a correção.

O que uma pequena empresa deve fazer com essas informações?

Não é preciso decorar os grupos. O que importa é a base: backups testados e isolados, correções aplicadas com rapidez, MFA em todos os acessos remotos, proteção dos computadores e servidores com detecção e resposta e um plano de resposta a incidentes já escrito, incluindo quem avisa a ANPD e em quanto tempo.