O cenário de ransomware 2026 não está apenas crescendo: um grupo chamado Deadlock passou a esconder sua infraestrutura de comando em uma blockchain pública e a desligar ferramentas de proteção antes da criptografia. O caso aparece em um levantamento que registrou 2.252 vítimas nomeadas no segundo trimestre, alta de cerca de 51% em um ano.
A técnica não torna o ataque “invisível” nem significa que toda blockchain foi comprometida. Ela dificulta um tipo específico de defesa: bloquear ou derrubar o domínio usado para controlar o malware. Para empresas, o alerta é claro: depender somente do antivírus no computador ou de uma lista de endereços proibidos deixou de ser suficiente.
Os números do ransomware 2026
| Indicador do 2º trimestre | Resultado observado |
|---|---|
| Vítimas nomeadas por grupos | 2.252 |
| Variação anual | Cerca de 51% de alta |
| Grupos acompanhados | 90 |
| Países com vítimas | 99 |
| Participação dos Estados Unidos | Aproximadamente 49% |
| Setor mais atingido | Serviços profissionais, científicos e técnicos |
Os dados vêm de páginas públicas de extorsão e outras fontes abertas acompanhadas pela ReliaQuest. Eles não representam todos os ataques: grupos podem esconder vítimas que pagam, empresas podem não divulgar incidentes e criminosos também podem publicar alegações falsas. O conjunto é mais útil para entender tendências do que para calcular um total absoluto.
O relatório não apresentou um recorte específico do Brasil. Portanto, não é correto transformar os números globais em uma estimativa nacional. Ainda assim, cadeias de fornecedores, filiais e serviços terceirizados conectam empresas brasileiras a mercados e setores que aparecem entre os alvos.
Como o ransomware com blockchain funciona
Malwares precisam receber informações sobre a infraestrutura controlada pelos criminosos. Normalmente, defensores tentam identificar e bloquear domínios ou endereços IP. No caso analisado, o Deadlock recupera instruções de conexão a partir de um contrato inteligente na rede Polygon.
Como o registro está em uma blockchain pública, o grupo pode atualizar referências sem depender de um domínio central fácil de apreender. A blockchain não executa a criptografia dos arquivos e não invade a empresa sozinha; ela é usada como um ponto resistente para localizar a infraestrutura seguinte.
Outras famílias já haviam usado tecnologias descentralizadas em partes da extorsão. O que chama atenção no Deadlock é combinar esse método com tentativa de desativar a proteção do endpoint em nível de kernel.
O ataque tenta cegar a defesa antes de criptografar
O grupo utiliza um driver vulnerável para encerrar soluções de EDR, que monitoram comportamento e ajudam a responder a incidentes. Essa técnica é conhecida como BYOVD, sigla em inglês para “traga seu próprio driver vulnerável”. O criminoso abusa de um componente legítimo, mas inseguro, para obter acesso privilegiado e interferir nas ferramentas defensivas.
Quando a telemetria do endpoint some, a equipe pode perder os sinais mais próximos do ataque. É por isso que logs precisam existir em outras camadas: identidade, rede, nuvem, e-mail, servidores e sistemas críticos. Se todos os registros dependerem da máquina comprometida, o invasor pode apagar ou bloquear a única câmera que observava o incidente.
Por que o Deadlock chamou atenção agora
Segundo a pesquisa, o grupo operava desde pelo menos julho de 2025, mas passou 11 meses sem publicar vítimas em um site aberto. Em junho de 2026, apareceu com 75 organizações nomeadas. O salto pode representar atividade acumulada ou uma mudança para operações mais públicas; os meses seguintes mostrarão se o ritmo é sustentável.
As vítimas divulgadas estavam em diferentes setores na Europa e na Ásia Oriental, sem um único perfil dominante. Esse comportamento oportunista dificulta a ideia de que apenas grandes bancos ou multinacionais são alvo. Construção, manufatura e empresas de serviços aparecem com frequência porque uma interrupção operacional cria pressão para pagamento.
O que uma empresa deve corrigir primeiro
- Proteja identidades: autenticação multifator resistente a phishing, contas administrativas separadas e revisão de privilégios.
- Bloqueie drivers vulneráveis: mantenha sistemas atualizados e aplique listas de bloqueio recomendadas pelo fornecedor.
- Segmente a rede: uma estação comprometida não deve alcançar backups, servidores e todas as filiais.
- Mantenha logs fora do endpoint: centralize eventos de identidade, rede, nuvem e segurança com retenção protegida.
- Tenha backup isolado: cópias imutáveis ou offline, com restauração testada e credenciais diferentes.
- Controle ferramentas remotas: inventarie RMM, VPN e utilitários administrativos usados por equipes e fornecedores.
- Prepare resposta: defina quem isola máquinas, aciona jurídico, comunica clientes e preserva evidências.
O guia Ransomware com IA: o ataque que se adaptou sozinho explica como automação e inteligência artificial reduzem o tempo necessário para algumas etapas criminosas. O caso Deadlock mostra que a evolução também acontece na infraestrutura e na tentativa de desativar controles.
Plano de 24 horas após detectar sinais
- Primeiros minutos: isole sistemas afetados da rede sem desligar tudo de forma indiscriminada; acione o plano de resposta.
- Primeiras horas: preserve logs e evidências, revogue credenciais suspeitas e identifique o alcance.
- Ainda no mesmo dia: proteja backups, comunique liderança, jurídico e responsáveis por privacidade.
- Antes de restaurar: confirme o vetor inicial e remova persistência; restaurar no ambiente ainda comprometido reinicia o problema.
Não negocie ou pague por impulso. A decisão envolve riscos legais, sanções, continuidade, proteção de pessoas e possibilidade de os criminosos não entregarem uma recuperação funcional. Autoridades e especialistas em resposta devem ser acionados.
A lição para pequenas e médias empresas
Não é necessário comprar uma plataforma cara para iniciar. Inventário de contas, atualização, MFA, backup testado, segmentação básica e um contato de emergência já reduzem riscos importantes. O erro é adiar tudo porque a empresa não possui um centro de operações completo.
O ransomware em 2026 combina grupos que mudam de nome, afiliados que migram e técnicas reaproveitadas. Defender-se pelo “nome da gangue da semana” é menos eficaz que observar comportamentos: roubo de credenciais, acesso remoto, movimento lateral, desligamento de proteção e cópia de dados.
Fontes e metodologia
Informações verificadas em 3 de agosto de 2026. O ChamadoTI não reproduz instruções operacionais de ataque e distingue vítimas nomeadas por criminosos de incidentes confirmados.
- ReliaQuest — Ransomware and Cyber Extortion in Q2 2026.
- CISA — guia de resposta e prevenção contra ransomware.
- GuidePoint Security — relatório GRIT do segundo trimestre.
Imagem destacada: criação editorial original com inteligência artificial para o ChamadoTI.
