O cenário de cibersegurança é marcado por uma dinâmica constante: enquanto novas técnicas e vulnerabilidades ampliam as possibilidades de ataque, ameaças já conhecidas continuam sendo exploradas por cibercriminosos, especialmente em ambientes que mantêm sistemas desatualizados ou apresentam falhas de segurança. Por isso, compreender o risco cibernético vai além de acompanhar incidentes isolados ou ataques de grande repercussão. É necessário observar os padrões que se consolidam ao longo do tempo, identificar quais ameaças permanecem mais ativas e entender como as táticas utilizadas pelos criminosos evoluem.

No Brasil, essa análise é particularmente relevante diante da diversidade de ameaças que atingem usuários e organizações. Os dados de telemetria da ESET ajudam a obter uma visão mais ampla do cenário, permitindo identificar tendências, mudanças no comportamento dos cibercriminosos e tecnologias ou práticas que continuam sendo exploradas.

Com base nessa perspectiva, este post apresenta um panorama do cenário de ameaças digitais no Brasil durante o primeiro semestre de 2026, a partir da telemetria da ESET. Os dados reunidos entre janeiro e junho revelam a atividade de mais de 1.300 famílias de malware no período, com destaque para phishing, scripts maliciosos, ransomware e a exploração de vulnerabilidades antigas do Microsoft Office, entre outras ameaças.

A seguir, apresentamos as principais descobertas organizadas por categoria de ameaça, oferecendo uma visão dos riscos que marcaram o período e ajudando usuários, organizações e profissionais de cibersegurança a identificar os pontos que merecem maior atenção.

Cibersegurança no Brasil em números

Antes de entrar em cada categoria, vale observar os principais percentuais que ajudam a contextualizar o cenário do primeiro semestre:

  • Phishing lidera as detecções. Representa 35,9% do total de ameaças registradas no período. Dentro da categoria, os ataques envolvendo PDFs fraudulentos foram os mais frequentes, enquanto o phishing por código QR teve um aumento de 460% em fevereiro.
  • Vulnerabilidades antigas continuam sendo exploradas. A categoria de exploits representou 9,4% de todas as ameaças detectadas, e quase todo esse volume esteve concentrado em duas falhas do Microsoft Office identificadas em 2017: CVE-2017-11882 e CVE-2017-0199. Esta última apresentou uma forte aceleração em março, saltando de 2,2% para 50,3% das detecções relacionadas à vulnerabilidade.
  • Downloaders continuam entre as principais portas de entrada para ataques. A categoria respondeu por 12,9% de todas as detecções, com o JS/TrojanDownloader.Agent concentrando 34% dos casos. Os dados reforçam o papel desses códigos na primeira etapa da cadeia de infecção, abrindo caminho para a instalação de outras ameaças.
  • Ataques mais sofisticados surgiram em picos pontuais. O MSIL/XWorm, um RAT capaz de realizar roubo de credenciais e outras ações de controle remoto, saltou para 61,4% de suas detecções mensais em abril, após representar menos de 4% entre janeiro e março. O comportamento reforça que ameaças de menor volume também podem indicar campanhas relevantes.
  • Ransomware teve baixo volume, mas manteve alto potencial de impacto. Embora tenha representado apenas 0,15% do total de detecções, o Win/Filecoder.Babyk, associado ao grupo cibercriminoso Babuk, respondeu por 15,1% das detecções de ransomware, com 97,3% concentradas em março.

Com esse panorama em mente, podemos analisar os dados de cada categoria com mais detalhes.

Phishing no Brasil, a ameaça mais detectada

O phishing foi a principal categoria de ameaça registrada no primeiro semestre, com 35,9% do total. Entre as ocorrências estão páginas HTML falsas, documentos PDF e DOC fraudulentos, golpes por código QR e técnicas mais recentes, como o ClickFix: uma técnica de engenharia social usada por cibercriminosos para convencer a própria vítima a executar comandos maliciosos no dispositivo.

Dentro da categoria, PDF/Phishing (e-mails falsos com PDFs maliciosos anexo) foi a principal detecção, respondendo por 52% de todo o volume de phishing. O phishing por código QR, conhecido como Quishing, também merece destaque. As detecções de QRCode/Phishing e QRCode/URL (nomes de detecções relacionadas ao uso de códigos QR em campanhas maliciosas) somaram 7,2% de todo o volume de phishing, com um aumento de 460% em fevereiro.

Entre as marcas utilizadas nas campanhas de phishing identificadas na telemetria, DocuSign aparece em primeiro lugar, respondendo por 1,3% de todo o volume de phishing, seguida por Telegram, com 0,5%, e WeTransfer, com 0,3%. Recentemente, analisamos uma campanha de phishing que utilizava a DocuSign como isca para baixar malware no dispositivo das vítimas.

Exploits e vulnerabilidades do Office ainda exploradas em 2026

A categoria exploits (programas ou técnicas usados para explorar falhas de segurança) foi responsável por 9,4% de todas as ameaças detectadas. Quase todo esse volume vem de três falhas de segurança conhecidas do Microsoft Office, descobertas em 2010 e 2017: a CVE-2010-3971, CVE-2017-11882 e CVE-2017-0199. Para explicar melhor, CVE é o código utilizado para identificar vulnerabilidades de segurança catalogadas publicamente.

As três vulnerabilidades são falhas do Microsoft Office que permitem a criminosos executar código remotamente por meio de documentos maliciosos, podendo abrir caminho para a instalação de malware e o comprometimento de dispositivos. O dado também evidencia que vulnerabilidades antigas continuam sendo exploradas anos depois de sua descoberta, especialmente quando permanecem presentes em sistemas que não receberam as devidas atualizações de segurança.

Embora a Microsoft tenha lançado patches de segurança para ambas as vulnerabilidades nos anos correspondentes às descobertas, a CVE-2017-0199 apresentou um crescimento neste último semestre que chama a atenção, de acordo com a telemetria da ESET. Em fevereiro, ela representava apenas 2,2% das detecções relacionadas à vulnerabilidade. Em março, esse número saltou para 50,3%.

O movimento reforça um ponto importante: para os cibercriminosos, uma vulnerabilidade não deixa de ser útil simplesmente porque é antiga. Falhas já conhecidas e corrigidas podem continuar sendo exploradas enquanto houver dispositivos e sistemas desatualizados ou ambientes nos quais os patches ainda não foram aplicados.

Downloaders e droppers, as portas de entrada do malware

Downloaders e droppers são dois tipos de programas maliciosos que servem como primeira etapa de um ataque. Eles não causam o prejuízo final, mas abrem caminho para que outro malware mais perigoso entre no dispositivo da vítima. Apesar de terem função parecida, funcionam de formas diferentes.

O downloader precisa estar conectado à internet para baixar a carga maliciosa, ou seja, o malware real, de um servidor externo. O dropper já vem com essa carga maliciosa embutida dentro dele, sem precisar baixar nada da internet para executá-la.

Essa diferença importa também para a defesa. Bloquear um dropper logo na entrada, por exemplo no filtro de e-mail, pode impedir o ataque completamente, já que tudo que ele precisa já está ali. Já um downloader pode ser bloqueado na entrada, mas, se passar despercebido, ainda vai tentar buscar o malware depois, abrindo uma segunda chance de detecção ou de falha.

Downloaders

Essa categoria representou 12,9% de todas as detecções do semestre. A ameaça mais comum dentro dela foi a JS/TrojanDownloader.Agent, um downloader escrito em JavaScript, responsável por 34% dos casos da categoria.

Droppers

Essa categoria foi menor, com 2,3% do total de detecções. Dentro dela, a JS/TrojanDropper.Agent liderou, com 26,2% dos casos.

O destaque foi a PowerShell/TrojanDropper.Agent, um dropper que usa o PowerShell, ferramenta de automação do Windows. Em março, ela teve um salto expressivo. Normalmente representava entre 4% e 9% das detecções da própria categoria, mas naquele mês chegou a 69,4%, um crescimento de até 1.658% comparado ao seu mês mais fraco.

Infostealers, o roubo de dados na etapa final do ataque

A categoria de infostealers responde por 3,2% do total de detecções. O protagonista absoluto é o Win/PSW.Amatera, com 61% de toda a categoria e um comportamento marcado por dois picos distintos: 54,1% de suas próprias detecções ocorreram em janeiro e 45,6% em março, com praticamente zero nos meses intermediários e posteriores. São duas ondas separadas por meses de silêncio quase total, um padrão mais compatível com campanhas de distribuição pontuais do que com um crescimento sustentado. O Amatera é um infostealer especializado no roubo de credenciais, cookies de sessão, carteiras de criptomoedas e dados sensíveis.

Em seguida vêm Formbook (7,0% da categoria), AgentTesla (5,8%) e SnakeStealer (3,6%). Vale destacar um ponto importante: em muitas campanhas, os infostealers aparecem como o payload final de uma cadeia de ataque. Antes que um Amatera, Formbook ou Agent Tesla comece a roubar informações, a vítima pode ter sido exposta a phishing, um anexo malicioso, um downloader ou um exploit. Em campanhas analisadas pela ESET, por exemplo, o Formbook foi distribuído como payload final após a execução de arquivos maliciosos enviados por e-mail. Isso ajuda a dimensionar o significado dessas detecções: quando um infostealer consegue chegar ao dispositivo, significa que outras camadas da cadeia de ataque já foram bem-sucedidas ou não conseguiram impedir sua execução.

Spyware, monitoramento e vigilância de dispositivos

Enquanto os infostealers têm como foco principal coletar informações que possam ser roubadas e posteriormente utilizadas por criminosos, os spywares ampliam a vigilância sobre a vítima. Esses programas podem registrar teclas digitadas, realizar capturas periódicas de tela e acompanhar continuamente as atividades no dispositivo. A categoria representa cerca de 0,8% do total de detecções do semestre. O JS/Spy.Agent lidera, com 28,2% da categoria, seguido de perto pelo Win/Spy.Ousaban, com 24,3%.

O Ousaban é um exemplo particularmente relevante para entender esse comportamento. A ESET acompanha a ameaça desde 2018 e identificou no malware recursos de backdoor e keylogging, além de mecanismos capazes de exibir janelas sobrepostas para capturar credenciais de bancos e serviços de e-mail. A ameaça foi observada em campanhas direcionadas exclusivamente ao Brasil.

Trojans bancários: o Brasil continua na mira

O setor bancário é um alvo constante no Brasil, e os percentuais confirmam isso: 1,4% do total de detecções. JS/Spy.Banker concentra sozinho 47% das famílias de trojans detectados.

Aqui aparecem os nomes clássicos da fraude bancária latino-americana, amplamente documentados pelo setor: Guildma (17,8% da categoria), Casbaneiro (9,9%) e Grandoreiro (4,9%). Grandoreiro merece uma menção especial. A variante Grandoreiro_AGen teve um pico de 21,6% de suas próprias detecções concentradas em maio, contra 0% a 1,7% no restante dos meses. Em 2022, analisamos uma campanha que utilizava uma campanha de mensagens falsas se fazendo passar pela empresa de telefonia Vivo para propagar a ameaça.

O interesse da ESET pelo Grandoreiro também gerou desdobramentos concretos: em 2024, a empresa colaborou com a Polícia Federal do Brasil em uma operação global de disrupção do botnet Grandoreiro, fornecendo análise técnica, dados estatísticos e informações sobre servidores de comando e controle, contribuição que ajudou a identificar responsáveis pela operação da botnet.

Malware para Android, ameaças a dispositivos móveis

No ecossistema Android, o dado que mais chama a atenção é o Android/Exploit.Lotoor, responsável por 5,5% do total de detecções mobile. Diferentemente de outras ameaças, ele não está associado a uma única vulnerabilidade, mas a diferentes técnicas capazes de obter acesso privilegiado ao sistema. Esse tipo de exploit pode abrir caminho para a instalação de outras ameaças, como spyware e malwares com maior capacidade de persistência.

Também aparecem Android/Spy.Banker (5,3%) e Android/Spy.SpyMax (1,6%). A presença dessas ameaças reforça um cenário já conhecido: os celulares se tornaram um alvo importante para cibercriminosos. No caso dos trojans bancários, campanhas direcionadas a usuários brasileiros têm utilizado aplicativos falsos e técnicas de engenharia social para roubar credenciais e informações financeiras. Já ferramentas de espionagem como o SpyMax podem ser usadas para monitorar atividades no dispositivo e coletar dados da vítima.

Backdoors e RATs, controle remoto e uso duplo

Com 2,9% do total de detecções, essa categoria mistura três coisas distintas: webshells (persistência em servidores web, respondendo por 32,4% da categoria, distribuídas em 7 plataformas, lideradas pelo PHP com 61,5% de todos os webshells), RATs de controle remoto interativo e ferramentas legítimas de administração remota (RMM) detectadas por sua capacidade de acesso à distância, um caso de uso duplo que não confirma abuso, mas também não o descarta.

Um destaque relevante é o MSIL/XWorm, um RAT .NET de código aberto muito reutilizado, que saiu de uma participação entre 3,6% e 3,8% do seu próprio total mensal entre janeiro e março para 61,4% em abril, um salto de mais de 1.560%, caindo depois para 24,6% em maio e 3,0% em junho. O XWorm inclui roubo de credenciais, captura de tela e até um módulo plugin de ransomware, e seu pico coincide exatamente com o segundo mês de maior atividade geral do semestre.

Entre as ferramentas RMM de uso duplo (NetSupportManager, ConnectWiseControl, SuperOps, Atera, entre outras, somando cerca de 8,4% da categoria) observam-se vários picos isolados por mês, sugerindo campanhas de implantação massiva, legítimas ou abusadas, concentradas em momentos pontuais.

Ransomware no Brasil, baixo volume e alto impacto

Embora represente apenas 0,15% do volume total de detecções, o ransomware merece atenção pela gravidade e pelo impacto que um único ataque pode causar. Ao comprometer sistemas e dados, esse tipo de ameaça pode interromper operações, provocar indisponibilidade de serviços, gerar perdas financeiras e afetar a reputação das organizações. Por isso, seu impacto não está necessariamente relacionado ao volume de detecções. No entanto, esse percentual também reflete uma tendência observada no cenário de ransomware: os ataques têm se tornado mais direcionados e menos massivos, com grupos criminosos concentrando seus esforços em organizações capazes de gerar retornos financeiros mais elevados.

No primeiro semestre, o Win/Filecoder.Babyk, associado ao grupo de ransomware como serviço (RaaS) Babuk, foi o principal destaque. A ameaça respondeu por 15,1% de todas as detecções de ransomware, sendo que 97,3% delas ocorreram em março.

Também foram identificadas detecções relacionadas a outros grupos de RaaS conhecidos. O Phobos representou 2,0% da categoria e foi identificado em três meses diferentes. Já o INC Ransom respondeu por 0,8%, com variantes para Windows e Linux detectadas no mesmo mês. BlackMatter e MedusaLocker registraram 0,4% cada. O BlackMatter ficou conhecido, entre outros fatores, por ser apontado como um possível sucessor do DarkSide, grupo responsável pelo ataque à Colonial Pipeline.

Ao todo, os cinco grupos de RaaS mencionados representaram 18,8% das detecções de ransomware no período. Dados do site de monitoramento Ransomware.live indicam ainda que as vítimas brasileiras atribuídas ao MedusaLocker, entre janeiro e junho de 2026, atuavam nos setores de varejo alimentício e distribuição de produtos agrícolas.

Os sinais por trás dos números

O primeiro semestre de 2026 no Brasil reforça uma tendência já observada no cenário de cibersegurança: a maior parte das ameaças continua concentrada em phishing e scripts maliciosos. Ao mesmo tempo, ataques mais sofisticados surgem em ondas pontuais e com menor volume, o que faz com que movimentos relevantes acabem escondidos em meio aos números.

Os picos registrados em março e abril, a chegada do Babuk, o crescimento do XWorm e a retomada pontual do Grandoreiro mostram a importância de olhar além do volume de detecções. Esses episódios ajudam a entender não apenas quais ameaças aparecem com mais frequência, mas também onde os criminosos estão concentrando seus esforços e quais tendências podem ganhar força nos próximos meses.