NCC Group registou 2.865 vítimas de ransomware* no terceiro trimestre de 2026 a nível global. Setor industrial concentrou maioria dos ataques. Novas ameaças mostram como a IA generativa está a ser utilizada por cibercriminosos para identificar e selecionar os alvos mais valiosos. Um exemplo destacado no mais recente relatório é o BraZetsu, desenvolvido por um grupo composto por falantes nativos de português, que passou a concentrar a sua atividade em infraestruturas brasileiras e na região ibero-americana.
A atividade global de ransomware aumentou 23% no terceiro trimestre de 2026, com 2.865 vítimas reportadas, face às 2.325 registadas no trimestre anterior, segundo o mais recente relatório global de ciberameaçasda NCC Group, especialista em cibersegurança. O período ficou também marcado pelo aumento dos riscos sobre infraestruturas críticas e pela crescente utilização da Inteligência Artificial por grupos de cibercrime.
Em setembro foram registados 821 ataques de ransomware a nível global. A América do Norte continuou a ser a região mais afetada, com 390 ataques, seguida da Europa, com 211. O setor industrial voltou a liderar entre os mais visados, com 230 ataques, seguido pelo setor dos bens de consumo, com 161.
No conjunto do terceiro trimestre, a América do Norte concentrou 43% dos ataques e a Europa 27%, representando em conjunto 70% da atividade global de ransomware. O setor industrial foi alvo de 838 ataques neste período, a uma significativa distância do segundo setor mais afetado, o dos bens de consumo, com 526. Isto reflecte a crescente utilização da guerra híbrida por parte dos Estados-nação e de agentes maliciosos para causar graves perturbações nas infra-estruturas críticas.
Ciberataques atravessam a fronteira entre o mundo digital e físico
O relatório chama particular atenção para os riscos enfrentados pelas infraestruturas críticas. Durante o trimestre, um ciberataque contra uma pequena instalação de produção de energia no Reino Unido obrigou à interrupção das operações durante aproximadamente quatro dias.
Embora o Governo britânico não tenha atribuído formalmente o ataque, a atividade reportada apresenta semelhanças com campanhas anteriormente associadas a atores ligados ao Irão contra infraestruturas críticas. O incidente ocorreu num período de aumento das tensões geopolíticas e da atividade cibernética dirigida a infraestruturas críticas ocidentais, tendo sido encarado como um sinal de alerta para operadores de energia em toda a Europa.
O caso evidencia também os riscos decorrentes da crescente interligação entre sistemas de Tecnologias de Informação (IT) e Tecnologia Operacional (OT). Um ataque informático pode deixar de ter consequências exclusivamente digitais e interferir diretamente com processos físicos e com a disponibilidade de serviços essenciais.
Matt Hull, Vice-Presidente de Cyber Intelligence and Response da NCC Group, afirma: “Este ataque não foi apenas um lembrete de que os operadores de infraestruturas críticas de menor dimensão não podem assumir que estão fora do radar dos atacantes. É também um exemplo direto de atores maliciosos a atravessarem a fronteira entre o mundo digital e o mundo físico.”
E acrescenta: “Já vimos o impacto direto desta capacidade prolongar-se pelo quarto trimestre no setor do retalho. Existem medidas claras que todas as organizações de infraestruturas críticas podem adotar relativamente à separação entre IT e OT, incluindo manter visibilidade sobre contas privilegiadas, utilizar segmentação de rede para controlar acessos e configurar de forma segura o acesso remoto.”
IA começa a ser utilizada para identificar os alvos mais valiosos
O terceiro trimestre revelou também uma nova evolução na utilização da IA por cibercriminosos. O relatório destaca o BraZetsu, um sofisticado framework malicioso para Windows potenciado por Inteligência Artificial, como exemplo da utilização de IA generativa para automatizar a análise das vítimas, processar informação recolhida e dar prioridade aos alvos em função do seu potencial valor comercial.
O BraZetsu evoluiu rapidamente durante 2026. Desde fevereiro foram identificadas pelo menos cinco versões, passando de uma ferramenta básica de acesso remoto para uma plataforma especializada na exploração de organizações. O grupo responsável pela ameaça, identificado como Exilware, é composto por falantes nativos de português e passou a concentrar a sua atividade em infraestruturas brasileiras e na região ibero-americana.
Na versão mais recente, a IA é utilizada para analisar as redes comprometidas, identificar ativos empresariais relevantes e calcular o potencial valor da vítima no mercado negro. Entre os ativos procurados encontram-se plataformas ERP, dados financeiros, credenciais de ambientes cloud e software associado a sistemas industriais.
Agentes de IA criam um novo tipo de risco
O relatório alerta ainda para outro fenómeno emergente: agentes legítimos de IA que podem transformar-se involuntariamente em vetores de ataque devido a permissões excessivas, falhas de contenção ou instruções ambíguas.
Durante o trimestre foram identificados vários incidentes em que agentes de IA acederam inesperadamente a sistemas externos. A NCC Group considera que estes casos começam a revelar um padrão repetido, em vez de incidentes isolados, à medida que os agentes ganham capacidade para navegar na Internet, autenticar-se em sistemas, executar código e modificar dados.
Segundo Matt Hull, “Estamos a assistir em tempo real a uma utilização não intencional dos agentes de IA, à medida que começa a surgir um padrão de falhas repetidas em vez de incidentes isolados. Embora os ataques potenciados por IA possam ser considerados uma consequência natural da crescente sofisticação destas tecnologias, o cenário de ameaça está também a ser ampliado por organizações comprometidas devido a ações acidentais ou manipuladas de agentes.”
Qilin mantém liderança entre os grupos de ransomware
O Qilin manteve-se como o grupo de ransomware mais ativo pelo sexto trimestre consecutivo, com 365 vítimas reportadas no Q3. O The Gentlemen ocupou a segunda posição com 359, enquanto novos grupos como Deadlock e Storm demonstraram a rapidez com que novos intervenientes conseguem desenvolver operações com alcance internacional e dirigidas a múltiplos setores.
O relatório alerta ainda para a exploração persistente de sistemas expostos à Internet. Mais de 40 vulnerabilidades que afetam aplicações empresariais, equipamentos VPN, gateways de email e plataformas de gestão foram adicionadas ao catálogo de vulnerabilidades conhecidas e exploradas pela CISA durante o trimestre (agência governamental dos Estados Unidos responsável por proteger as infraestruturas críticas do país contra ameaças físicas e cibernéticas).
O relatório completo pode ser consultado aqui
* tipo de malware que impede o acesso a sistemas ou ficheiros e exige o pagamento de um resgate para o devolver
