É difícil determinar o número exato de ataques de ransomware, já que as vítimas nem sempre divulgam os incidentes e os atacantes inflam muito suas alegações. Mas pesquisadores especializados em rastrear o setor e em eliminar duplicidades nos dados concordam que os incidentes reivindicados dispararam nos últimos meses. Algumas estimativas apontam para quase 3.000 ataques supostos em sites de vazamento, onde grupos publicam supostas vítimas, somente ao longo do verão. Segundo algumas estimativas, isso representaria um aumento de 20% a 40% desde a primavera. E, mais importante, os pesquisadores destacam que, embora o volume sempre oscile, os ataques de ransomware vêm se mantendo consistentemente e preocupantemente elevados nos últimos anos.
“O que vemos é que a maior parte do aumento recente foi impulsionada por ataques internacionais; os Estados Unidos ficaram um pouco mais estáveis, mas ainda altos, ainda com muitos ataques”, afirma Cynthia Kaiser, ex-vice-diretora de cibersegurança do FBI (Bureau Federal de Investigação dos EUA), que hoje lidera a área de pesquisa da plataforma antirransomware Halcyon. “Internacionalmente, estamos vendo muito mais ataques. Isso, para mim, é a grande novidade, e acredito que ela seja, em parte, impulsionada pela IA.”
Ataques de ransomware totalmente baseados em IA ainda não surgiram, talvez porque o modelo de negócios criminoso já funcione tão bem. Mas os criminosos virtuais parecem estar usando modelos de linguagem de grande porte (LLMs, na sigla em inglês) em aspectos mais banais de seus ataques.
“Estamos vendo a IA ser cada vez mais usada em certas etapas da cadeia de ataque de ransomware, como a criação de e-mails de phishing mais convincentes e no processo de negociação, mas os grupos de ransomware ‘bem-sucedidos’ ainda são, em grande parte, operados por humanos”, diz Allan Liska, pesquisador de ransomware há muito tempo e analista de inteligência de ameaças da Recorded Future. “Mas o fato de esses grupos estarem experimentando muito com IA significa que isso pode mudar no futuro, e mudar rapidamente.”
Kaiser observa que as tendências mais amplas em golpes são sempre relevantes para o ransomware, porque os atacantes costumam usar os mesmos tipos de técnicas de phishing e engenharia social para obter acesso inicial a sistemas-alvo. No Japão, por exemplo, os golpes bem-sucedidos dispararam nos últimos meses, à medida que a IA permite que atacantes estrangeiros gerem, pela primeira vez, conteúdo em japonês consistentemente convincente.
Alguns grupos de ransomware, notadamente Gentlemen, Qilin e Akira, surgiram como algumas das operações mais proeminentes e estáveis dos últimos meses. No entanto, à sombra deles há uma série de grupos menores, novos atores e uma fragmentação do ecossistema de ransomware. Nas últimas semanas, vários novos grupos apareceram e rapidamente reivindicaram ataques a dezenas de empresas. A análise da Halcyon indica que cerca de 111 grupos de ransomware reivindicaram ataques entre julho e setembro deste ano.
Um novo grupo que se autodenomina Global Secret Group reivindicou ataques a 48 vítimas, com mais da metade delas listada no mesmo dia, segundo a análise da empresa de segurança ReliaQuest. Outro, chamado Storm, listou 71 vítimas em apenas 20 dias. Nem todos os ataques podem ser legítimos, mas eles ainda geram incerteza para as empresas.
“Esse crescimento aconteceu porque, na minha visão, essa aceleração que a IA proporcionou a esses atores de ameaça, basicamente permitindo que eles saiam e criem seus próprios grupos”, afirma Brandon Tirado, diretor de pesquisa de ameaças da ReliaQuest.
Em vez de depender dos tradicionais provedores de “ransomware como serviço”, todos os pesquisadores com quem a Kernel Panic conversou afirmam ter visto mais operadores solitários se lançando por conta própria. Tirado diz que sua equipe conseguiu identificar recentemente quem está por trás de um novo grupo e descobriu que ele é comandado por um adolescente inexperiente que faturou mais de US$ 800 mil em menos de duas semanas. Ele se recusou a revelar publicamente o nome do jovem.
Kaiser, da Halcyon, concorda que mais atores estão usando IA para tentar agir por conta própria, com capacidades ampliadas para enganar alvos, explorar vulnerabilidades, verificar seus próprios códigos e até comprometer ferramentas de acesso remoto de outros grupos, obtendo acesso redundante a uma vítima caso uma via seja bloqueada. Mas ela acrescenta que ainda não está claro o quão bem-sucedidos esses novatos serão a longo prazo. Ela suspeita que muitos deles possam ter um pico inicial e depois desaparecer, porque não têm o conhecimento institucional nem os recursos ampliados de um grupo consolidado.
Enquanto atacantes estabelecidos normalmente realizam ataques de “dupla extorsão”, nos quais implantam um ransomware tradicional que criptografa os sistemas da vítima e, ao mesmo tempo, roubam os dados do alvo, ameaçando publicá-los na internet, aqueles que operam de forma independente podem estar mais propensos a focar apenas na extorsão de dados, para simplificar suas operações.
“O número de ataques que a Recorded Future registrou só este ano já supera o total de 2025”, diz Liska, “mas o número de ataques envolvendo criptografia pode, na verdade, diminuir de um ano para o outro.”
