O ransomware que mais cresce no Brasil em 2026 tem uma característica que desarma a defesa tradicional: ele não criptografa nada. Não há tela vermelha, não há arquivo travado, não há pedido de resgate em cripto travando o seu servidor. O atacante entra, copia os dados em silêncio e some — para reaparecer semanas depois com uma ameaça: pague ou eu vazo tudo. É o modelo extortion-only, e ele explica por que tantas empresas brasileiras só descobrem que foram invadidas quando os próprios dados aparecem expostos.
Os números que colocaram o tema em pauta esta semana são duros. Relatórios recentes — referenciados por IT Forum, Securelist e Security Leaders — apontam que o Brasil entrou no top 10 global de vítimas de ransomware no primeiro trimestre de 2026, respondendo por cerca de 2% das vítimas no mundo. A média de ataques semanais por organização chegou a 3.736 em fevereiro, uma alta de 37% em um ano. E surgiu um novo grupo, o Vect 2.0, operando justamente sob a lógica de extorsão sem criptografia. Este artigo explica o que mudou e por que a defesa de 2026 precisa partir de outra premissa.
1. Os números de 2026: Brasil no top 10
Por anos o Brasil figurou nas estatísticas globais de cibercrime como um alvo relevante, mas raramente entre os primeiros colocados. Isso mudou. No primeiro trimestre de 2026, o país aparece entre as dez nações mais atingidas por ransomware, com cerca de 2% das vítimas globais registradas em portais de extorsão. A média de 3.736 ataques semanais por organização em fevereiro — crescimento de 37% sobre o mesmo período do ano anterior — mostra que não se trata de incidentes pontuais, e sim de uma pressão constante e crescente sobre a superfície de ataque das empresas brasileiras.
Há várias razões para o salto: digitalização acelerada, adoção de nuvem sem maturidade de segurança correspondente, cadeias de fornecedores expostas e a profissionalização do crime como serviço (RaaS, ransomware-as-a-service), que reduz a barreira técnica para operar um ataque. O resultado é um ambiente em que qualquer organização de médio porte é alvo viável.
2. Vect 2.0 e a nova geração de grupos
O surgimento do grupo Vect 2.0 é sintomático da virada. Diferente das gangues clássicas que se notabilizaram travando hospitais e oleodutos, a nova geração otimiza para velocidade e discrição. O objetivo não é causar interrupção visível — é exfiltrar o máximo de dados sensíveis no menor tempo possível e desaparecer antes que qualquer alarme dispare. Quanto menos barulho, mais tempo de permanência na rede, mais dados roubados e maior a alavanca de chantagem.
Esses grupos investem em movimentação lateral discreta, abuso de credenciais legítimas e uso de ferramentas administrativas que já existem no ambiente (living off the land), justamente para não acionar antivírus ou regras de detecção baseadas em assinatura. A ofensiva é desenhada para parecer tráfego normal.
3. Extortion-only: o ataque que não criptografa nada
No modelo clássico, a criptografia era ao mesmo tempo a arma e o alarme. Ela travava a operação — o que era o dano — mas também avisava, de forma inconfundível, que você tinha sido invadido. A tela de resgate era a notificação. O extortion-only retira essa peça. O atacante não criptografa porque não precisa: o valor está nos dados roubados e na ameaça de expô-los. Vazamento de dados de clientes, propriedade intelectual, contratos, informações financeiras — tudo isso vale mais como chantagem do que como sequestro.
A consequência é perversa. Sem criptografia, não há sintoma. A empresa continua operando normalmente, sem perceber que terabytes saíram pela porta dos fundos. A descoberta acontece da pior forma possível: quando o grupo entra em contato exigindo pagamento, ou quando os dados aparecem em um fórum de vazamentos. Nesse ponto, o estrago de reputação e de compliance já está feito.
4. Por que você descobre tarde demais
A defesa que a maioria das empresas construiu nos últimos anos foi pensada para o ransomware de criptografia. Backups robustos, planos de recuperação, capacidade de restaurar sistemas rapidamente — tudo isso responde à pergunta "como volto a operar depois que travaram meu sistema?". É uma postura de recuperação. Só que backup não desfaz um vazamento. Você pode restaurar cada servidor em minutos e, ainda assim, os dados que foram copiados continuam nas mãos do atacante.
O problema de fundo é a janela de detecção. Quando o ataque não gera sintoma, o tempo entre a invasão e a descoberta pode ser de semanas ou meses. E quanto maior essa janela, mais dados exfiltrados e maior a alavanca de extorsão. A pergunta que define a postura de segurança de 2026 não é "consigo me recuperar?", e sim "em quanto tempo eu perceberia que estou sendo invadido agora?". Para muitas empresas, a resposta honesta é: não percebo até ser tarde.
5. R$ 1,4 milhão: a conta de um incidente
O custo médio de um incidente para uma empresa de médio porte no Brasil já ultrapassa R$ 1,4 milhão — e esse número considera apenas a parte mensurável: resposta a incidente, perícia forense, consultoria jurídica, notificação de titulares, eventual pagamento. Ele não captura o dano de reputação, a perda de clientes, nem a exposição regulatória. Sob a LGPD, um vazamento de dados pessoais pode resultar em sanções administrativas relevantes, além da obrigação de comunicar a ANPD e os titulares afetados, o que amplifica o impacto público do incidente.
Em outras palavras: o cheque do resgate é a menor parte da conta. O grosso do prejuízo vem do que acontece depois que o vazamento se torna público.
6. Defesa em camadas: pentest contínuo, hardening e detecção de exfiltração
Se o ataque mudou de "travar para extorquir" para "roubar em silêncio", a defesa precisa mudar de "recuperar" para "detectar cedo e reduzir superfície". Três pilares sustentam essa nova postura.
O primeiro é o pentest contínuo. O teste de penetração anual, feito uma vez para cumprir checklist, não acompanha a velocidade com que vulnerabilidades surgem e configurações mudam. Testar de forma contínua mantém o mapa da sua superfície de ataque sempre atualizado e fecha as portas antes que o atacante as encontre.
O segundo é o hardening de identidade e infraestrutura: princípio de menor privilégio, autenticação forte, segmentação de rede e arquitetura zero trust, para que uma credencial comprometida não vire passe livre para movimentação lateral. Como os grupos modernos abusam de acessos legítimos, reduzir o que cada identidade pode fazer é uma das defesas mais eficazes.
O terceiro — e o mais decisivo contra o extortion-only — é a detecção de exfiltração. Como não há criptografia para soar o alarme, o alarme tem de vir da observabilidade: monitorar o tráfego de saída e identificar anomalias, como um volume incomum de dados deixando a rede para um destino desconhecido, em um horário atípico. É essa camada que transforma uma janela de detecção de semanas em uma de horas.
Como a CCX ajuda
O extortion-only não trava o seu sistema — ele rouba em silêncio. E contra um ataque silencioso, a diferença entre conter em horas e descobrir no vazamento é a sua capacidade de detecção. É aí que entram as práticas de Security Engineering & Cybersecurity da CCX: pentest contínuo (não o teste anual de checklist), hardening de identidade, WAF, firewalls com IA e arquitetura zero trust, desenhados para reduzir a superfície de ataque e dificultar a movimentação lateral que sustenta o roubo de dados.
A peça que fecha a defesa contra exfiltração silenciosa é a Observabilidade 360°: monitoramento com Datadog, Grafana, Prometheus e Sentry, tracing distribuído com OpenTelemetry e alertas inteligentes que enxergam o tráfego de saída anômalo — o sinal que delata o roubo de dados quando não há nenhum arquivo travado para avisar. Tudo com compliance LGPD e SOC 2 como ponto de partida, não como remendo.
A pergunta que vale fazer hoje, antes do próximo incidente: a sua janela de detecção é medida em horas ou em semanas?