Atualizado em 21 de outubro de 2026, com os dados até setembro.
Nesta edição do LDL Labs, contamos quantas empresas e órgãos brasileiros apareceram em sites de vazamento mantidos por grupos de ransomware, os endereços em que os criminosos anunciam as vítimas que não pagaram o resgate. Entre janeiro e setembro de 2026, identificamos pelo menos 109 vítimas brasileiras, contra 72 no mesmo período de 2025, uma alta de 51%. Setembro foi o pior mês da série, com 19 organizações expostas.
O número é um piso, não o total: só entra na conta quem o grupo decidiu expor publicamente e quem conseguimos identificar com segurança como brasileiro. Empresas que pagaram, negociaram em silêncio ou não foram listadas ficam de fora.
Principais números
- 109 vítimas brasileiras expostas de janeiro a setembro de 2026, contra 72 no mesmo período de 2025. No mundo, as publicações nesses sites cresceram 33% no mesmo período.
- 19 vítimas em setembro, o maior número mensal da série. Em setembro de 2025 foram 2.
- LockBit 5.0 e The Gentlemen respondem por 39% das vítimas brasileiras de 2026. Nos dados, a primeira vítima brasileira de cada um aparece em dezembro de 2025.
- Indústria e tecnologia são os setores mais atingidos em 2026, com 17 vítimas cada.
- Em 2025 foram 98 vítimas brasileiras no ano inteiro. 2026 passou essa marca em setembro.
Setembro de 2026 em detalhe
Foram 19 organizações brasileiras expostas em setembro, por 10 grupos diferentes. É o maior número mensal desde janeiro de 2025, quando a série começa. Três pontos chamam atenção:
- Tecnologia foi o setor mais atingido do mês, com 6 das 19 vítimas. Entre elas há empresas que administram a TI de outras empresas e de órgãos públicos. Quando o fornecedor de TI é comprometido, o acesso que ele tem aos clientes vai junto; é o cenário descrito em ataques à cadeia de fornecedores.
- The Gentlemen manteve o ritmo, com 5 vítimas brasileiras no mês. LockBit 5.0 e Emperador vêm em seguida, com 3 cada.
- Um grupo novo mirando o setor público. O Emperador, que apareceu em agosto, diz ter invadido duas prefeituras mineiras, um centro universitário, um órgão federal e uma integradora de TI que atende governos. Não encontramos confirmação pública de nenhum desses casos, e alegação de grupo recém-surgido pede cautela redobrada.
Vítimas brasileiras por mês
| Mês | 2025 | 2026 |
|---|---|---|
| jan | 11 | 8 |
| fev | 9 | 12 |
| mar | 12 | 11 |
| abr | 8 | 9 |
| mai | 6 | 9 |
| jun | 8 | 15 |
| jul | 9 | 11 |
| ago | 7 | 15 |
| set | 2 | 19 |
| out | 6 | – |
| nov | 4 | – |
| dez | 16 | – |
A variação mês a mês é grande porque grupos costumam publicar vítimas em lotes. Outubro de 2026 está em andamento e entra na próxima atualização.
Setores atingidos
| Setor | 2026 (jan a set) | 2025 (ano inteiro) |
|---|---|---|
| Indústria | 17 | 17 |
| Tecnologia e telecom | 17 | 15 |
| Serviços profissionais (contábil, jurídico, RH) | 14 | 10 |
| Saúde | 10 | 8 |
| Educação | 10 | 8 |
| Governo e setor público | 8 | 4 |
| Comércio e varejo | 7 | 8 |
| Transporte e logística | 7 | 6 |
| Construção e imobiliário | 6 | 7 |
| Energia e saneamento | 4 | 1 |
| Agronegócio | 3 | 4 |
| Mídia e comunicação | 2 | 4 |
| Associações e entidades | 1 | 1 |
| Serviços financeiros | 0 | 1 |
A indústria aparece no topo porque parada de produção pressiona pelo pagamento, e ambientes industriais costumam ter sistemas antigos e acesso remoto de fornecedores. Em tecnologia, o risco vai além da própria vítima: uma empresa de software ou de TI gerenciada comprometida pode abrir caminho para os clientes dela. Serviços profissionais, como escritórios de contabilidade e advocacia, vêm em terceiro: guardam dados sensíveis de muitos clientes e raramente têm equipe de segurança dedicada. Saúde e educação fecham a lista dos cinco setores com mais vítimas.
Grupos mais ativos contra o Brasil em 2026
- LockBit 5.0: 22 vítimas
- The Gentlemen: 20 vítimas
- INC Ransom: 6 vítimas
- Vect, Space Bears, Krybit, Nova e Emperador: 5 vítimas cada
Os dois primeiros explicam toda a alta do ano. Juntos, expuseram 42 organizações brasileiras em 2026; os demais grupos somam 67, contra 72 no mesmo período de 2025. Ou seja: sem LockBit 5.0 e The Gentlemen, o número de vítimas brasileiras teria ficado parecido com o do ano passado.
Em 2025, o grupo que mais expôs vítimas brasileiras foi o Arcus Media, com 9; em 2026 ele segue ativo, mas não aparece entre os que publicaram vítimas do Brasil. A troca de protagonistas de um ano para o outro é comum: grupos são derrubados por operações policiais, mudam de nome ou fecham, e afiliados migram para outras marcas.
O que isso significa para a sua empresa
A exposição num site de vazamento é a última etapa de um ataque que começou semanas antes, quase sempre por um caminho conhecido: credencial vazada sem autenticação multifator, VPN ou acesso remoto desatualizado, ou um fornecedor com acesso à rede. Três medidas cortam a maior parte desses caminhos:
- MFA em todo acesso remoto e em contas administrativas, sem exceção para diretoria ou fornecedor.
- Backup isolado e testado: backup acessível pela mesma rede costuma ser criptografado junto.
- Teste do caminho do atacante: um pentest de infraestrutura mostra se é possível sair de uma estação comum até o controlador de domínio e os backups.
Se a empresa já foi atingida, as primeiras horas definem o tamanho do estrago; veja o que fazer em resposta a incidentes nas primeiras horas e conheça o serviço de resposta a incidentes da LDL Security.
Metodologia
- Fonte: base pública do RansomLook, que monitora sites de vazamento de grupos de ransomware. Dados licenciados sob CC BY 4.0. Levantamento em 1º de outubro de 2026.
- Identificação de vítimas brasileiras: publicações com domínio .br, menção explícita ao Brasil ou a cidades e estados brasileiros, razão social brasileira ou nome em português. Cada caso foi revisado manualmente; 45 publicações foram excluídas por serem de outros países (Portugal, Colômbia, Argentina e México, entre outros) ou por não identificarem uma organização.
- Contagem: cada organização conta uma única vez, no mês em que apareceu pela primeira vez. Republicações da mesma vítima, pelo mesmo grupo ou por outro, não contam de novo (35 repetições removidas), e vazamentos anteriores a 2025 republicados depois ficam fora da conta (8 casos).
- Setores: classificados pela LDL Labs a partir do nome, da descrição publicada e do site da organização.
- Limitações: a contagem é um piso, porque nem toda vítima é publicada e nem todo site é monitorado. A comparação entre anos também depende de como cada grupo publica: quem informa o domínio ou descreve a vítima é mais fácil de atribuir ao Brasil do que quem publica só um nome. As alegações são dos próprios criminosos e não foram verificadas junto às organizações; parte delas pode ser exagerada ou falsa. Nenhuma vítima é identificada nesta pesquisa.
- Revisão de outubro de 2026: nesta atualização ampliamos a identificação de vítimas brasileiras (nomes em português sem domínio .br) e deixamos de contar republicações de vazamentos antigos e alegações genéricas que não apontam um órgão. Por isso os números de meses anteriores mudaram: o período de janeiro a agosto de 2026 passou de 83 para 90 vítimas, e o mesmo período de 2025, de 74 para 70.
Pesquisa atualizada mensalmente. Jornalistas e pesquisadores podem citar os dados como "LDL Labs, LDL Security, com dados do RansomLook (CC BY 4.0)".
Perguntas Frequentes
O que é um site de vazamento de ransomware?
É uma página mantida por um grupo criminoso onde ele anuncia as organizações atacadas e ameaça publicar os dados roubados se o resgate não for pago. Também é usada para pressionar a vítima publicamente.
Quantas empresas brasileiras foram vítimas de ransomware em 2026?
Entre janeiro e setembro de 2026, pelo menos 109 organizações brasileiras foram expostas em sites de vazamento, segundo o LDL Labs. O total real de ataques é maior, porque muitas vítimas não são publicadas.
Quais setores mais sofrem com ransomware no Brasil?
Em 2026, indústria e tecnologia lideram a lista de vítimas brasileiras expostas, com 17 cada, seguidas por serviços profissionais (14), saúde (10) e educação (10).
Quais grupos de ransomware mais atacam o Brasil?
Em 2026, LockBit 5.0 (22 vítimas) e The Gentlemen (20) respondem por 39% das organizações brasileiras expostas. Nos dados analisados, os dois só aparecem com vítimas do Brasil a partir de dezembro de 2025.
Pagar o resgate evita a exposição?
Não há garantia. Grupos já republicaram vítimas que pagaram, e os dados podem ser vendidos ou reutilizados. A recomendação é tratar o incidente com equipe especializada e envolver o jurídico antes de qualquer decisão.