O ransomware voltou a demonstrar, durante o primeiro semestre de 2026, que continua sendo uma das ameaças cibernéticas mais ativas e lucrativas da atualidade. Entre janeiro e junho, foram confirmados 4.699 ataques, um aumento de 16,5% em relação ao mesmo período de 2025. Esse crescimento reflete a consolidação do modelo de Ransomware as a Service (RaaS) e a profissionalização das operações criminosas, facilitando a entrada de novos afiliados.
Grupos como Qilin, The Gentlemen e Akira seguem dominando o cenário, mantendo alta atividade e atingindo países em todo o mundo. Ao mesmo tempo, surgem novos grupos cibercriminosos, como o DragonForce, que busca se posicionar como um ecossistema para outros grupos. Já setores como serviços empresariais, manufatura e tecnologia continuam na mira dos criminosos e lideram a lista dos segmentos mais atacados.
A seguir, analisamos cada uma dessas tendências para entender o que aconteceu no primeiro semestre e se preparar para o que vem pela frente.
Os grupos mais ativos no semestre
Uma das principais conclusões da análise é que os grupos de ransomware Qilin, The Gentlemen e Akira continuam liderando o ranking de atividade, à frente dos demais grupos cibercriminosos. Juntos, eles foram responsáveis por 33,5% dos ataques registrados no primeiro semestre.
Assim como em 2025, o Qilin foi o grupo de ransomware com o maior número de ataques confirmados no semestre, totalizando 722 incidentes. Um de seus principais diferenciais continua sendo a oferta de assessoria jurídica para seus afiliados, um serviço incomum até mesmo dentro do ecossistema do ransomware.
Na sequência aparece o The Gentlemen, com quase 550 ataques, confirmando a ascensão desse grupo cibercriminoso. Como conseguiu esse crescimento? Por meio do estudo das defesas específicas de cada vítima e da adaptação de suas ferramentas para contornar os mecanismos de proteção existentes.
O Akira completa o pódio, com mais de 300 ataques registrados. Vale lembrar que, no ano passado, o aumento da atividade desse grupo acendeu um sinal de alerta entre as principais autoridades de cibersegurança do mundo, incluindo o FBI.
Outro destaque é o DragonForce, que acumulou quase 300 ataques no período. Seu objetivo, no entanto, é diferente: tornar-se a infraestrutura que permite que outros grupos realizem ataques utilizando suas próprias marcas. Trata-se de um modelo que impulsiona uma nova fase do cibercrime organizado.
Os setores mais afetados
Entre os setores mais impactados pelos ataques de ransomware no primeiro semestre de 2026 estão serviços empresariais, manufatura e tecnologia.
A principal conclusão desse cenário é que os cibercriminosos priorizam o impacto financeiro. Em vez de atacar setores aleatoriamente, eles concentram seus esforços em organizações críticas, cuja interrupção das operações gera custos elevados. Quanto maior o prejuízo causado por uma hora de inatividade, maior tende a ser a pressão para que a vítima pague o resgate.
Nesse contexto, a continuidade dos negócios torna-se o principal ponto de pressão. No setor de manufatura, por exemplo, a paralisação de uma linha de produção pode resultar em perdas milionárias. Já nas empresas de serviços, a indisponibilidade dos sistemas pode afetar diretamente clientes e contratos. No setor de tecnologia, um ataque a um fornecedor de software ou de serviços pode comprometer simultaneamente diversos clientes.
Além disso, a transformação digital amplia a superfície de ataque. Esses setores costumam depender de serviços em nuvem, acessos remotos e de um amplo ecossistema de fornecedores e parceiros, o que aumenta as oportunidades para os invasores quando a gestão da segurança não é adequada.
Por isso, o ransomware continua sendo um negócio altamente lucrativo. A escolha das vítimas está muito mais relacionada a critérios econômicos do que técnicos. Os grupos criminosos buscam organizações com capacidade financeira para pagar o resgate e nas quais o custo para restaurar as operações por outros meios seja maior do que o valor exigido pelos cibercriminosos.
Os países mais afetados e o cenário na América Latina
Com mais de 2 mil ataques confirmados, os Estados Unidos foram, de longe, o país mais afetado por ransomware no primeiro semestre de 2026. Em seguida aparece a Alemanha, com menos de 300 incidentes registrados. O top 5 é completado por Reino Unido, Canadá e França.
Na América Latina, o Brasil registrou mais de 100 vítimas, seguido pelo México, com quase 80 casos, Argentina, com 39, e Colômbia, com 33.
De acordo com a telemetria da ESET, entre janeiro e maio foram detectadas 195 ocorrências de ransomware no Brasil, incluindo nove famílias de Ransomware as a Service (RaaS) já documentadas.
Na Guatemala, foram identificados indícios da atuação de famílias como Akira e DragonForce. Já no Chile, o Qilin foi a família de ransomware com o maior número de detecções, atingindo um pico de 19 ocorrências em janeiro.
O que esperar do cenário de ransomware
Os dados do primeiro semestre de 2026 confirmam que, longe de dar sinais de desaceleração, o ransomware continua evoluindo como uma das ameaças cibernéticas mais lucrativas e sofisticadas do cenário atual.
O crescimento registrado nesse período, a liderança consolidada de grupos como Qilin, The Gentlemen e Akira, além do surgimento de modelos como o DragonForce, refletem um ecossistema criminoso cada vez mais profissionalizado, no qual a especialização e a colaboração entre diferentes atores ganham cada vez mais espaço.
Ao mesmo tempo, o foco em organizações cuja interrupção das operações provoca alto impacto financeiro demonstra que o ransomware já não busca apenas comprometer sistemas, mas afetar diretamente a continuidade dos negócios.
A concentração de ataques em setores como serviços empresariais, manufatura e tecnologia reforça que os operadores de ransomware priorizam organizações cuja paralisação operacional gera os maiores prejuízos. Esse cenário evidencia a necessidade de tratar a cibersegurança como um componente estratégico para garantir a continuidade dos negócios.
