Ransomware disparou em julho e o seu setor pode ter mudado de posição na lista

Enquanto grande parte da atenção pública se concentrava nos avanços da inteligência artificial, o ransomware voltou a acelerar. Os dados de julho de 2026 compilados pela empresa britânica Comparitech, que monitoriza reivindicações publicadas em sites de fuga de dados, apontam para o segundo mês mais intenso do ano — com uma reorganização significativa dos setores visados e uma disputa cada vez mais clara entre dois grupos de ransomware-as-a-service. Para as organizações portuguesas, a leitura é dupla: o volume de extorsão digital mantém-se em máximos históricos e o novo Regime Jurídico da Cibersegurança já impõe prazos apertados a quem for atingido.

O que mostram os números de julho

Segundo a contabilização da Comparitech, os ataques de ransomware subiram 19% em julho face a junho, com um total de 799 ataques reivindicados, o mês mais elevado de 2026 depois de uma acalmia relativa em abril, maio e junho. O valor fica muito perto do máximo do ano: em março tinham sido contabilizados 805 ataques. Uma nuance importante é que a maioria destes casos não é confirmada pelas vítimas — em julho, apenas 51 dos 799 registos tinham confirmação por parte das organizações visadas.

Essa distinção é metodologicamente relevante. A Comparitech classifica um ataque como “confirmado” quando a organização divulga publicamente o incidente ou reconhece um ataque que corresponde à reivindicação de um grupo; se o grupo reivindica e a organização nunca reconhece, o caso fica como não confirmado — o que pode acontecer tanto porque o grupo mentiu como porque a vítima optou por não divulgar.

A distribuição geográfica manteve-se concentrada. Os Estados Unidos foram o país mais visado, com 322 dos 799 ataques do mês, seguidos da Alemanha, muito atrás, com 40 incidentes. Julho registou também uma subida de 31% nos ataques a organizações norte-americanas face a junho.

Que setores subiram — e quais desceram

A mudança mais interessante não está no total, mas na rotação de alvos. Os aumentos mais fortes verificaram-se nas empresas financeiras, tecnológicas, farmacêuticas e de faturação médica e no setor da educação, com subidas de 71%, 62%, 46% e 44%, respetivamente. Em sentido inverso, os ataques de ransomware a empresas de utilities caíram 44%, enquanto escritórios de advogados e organismos públicos registaram quedas de 31% e 11%.

Vale a pena sublinhar um ponto de contexto assinalado na cobertura destes dados: apesar de os ataques a infraestruturas de água nos Estados Unidos terem dominado manchetes recentes, esses incidentes não são ransomware, e a extorsão com cifragem contra utilities recuou no mês.

The Gentlemen e Qilin: uma rivalidade que já define o mercado

A análise da Comparitech, publicada a 5 de agosto, concluiu que The Gentlemen e Qilin representaram em conjunto 33% de todos os ataques de julho, com 135 e 125 reivindicações respetivamente. Seguiram-se DragonForce, com 41 ataques, INC (36), CRPx0 (33) e SafePay (30).

Esta troca de liderança não é um acidente estatístico de um mês. Dados da ReliaQuest relativos ao segundo trimestre indicam que os grupos de ransomware publicaram 2252 vítimas no Q2, menos 15% do que no Q1 mas cerca de mais 51% em termos homólogos, tendo The Gentlemen publicado 300 vítimas no trimestre, à frente dos 289 do Qilin, depois de um crescimento trimestral de 588% no Q1. A ReliaQuest atribui essa ascensão a recrutamento agressivo de afiliados e a um kit de intrusão bem embalado que baixa a barreira de entrada para novos operadores.

No conjunto do semestre, a Comparitech contabilizou 4217 ataques de ransomware no primeiro semestre de 2026, mais 11% do que no segundo semestre de 2025 (3809), dos quais 484 foram confirmados pelas organizações visadas, com Qilin como grupo mais prolífico (641 vítimas), seguido de The Gentlemen (464) e Akira (317).

A IA está mesmo a alimentar esta subida?

A narrativa fácil é atribuir tudo à inteligência artificial. Os investigadores são mais contidos. A GuidePoint Security, que contabilizou 2279 vítimas no Q2 de 2026, mais 7% em cadeia e mais 43% em termos homólogos, conclui que a preocupação prevalecente de que a IA venha a permitir uma nova classe de ataques catastróficos “nativos de IA” permanece em larga medida por concretizar, sendo antes usada como ferramenta de produtividade. Na prática, os operadores recorrem à IA para melhorar reconhecimento, analisar dados roubados e reforçar negociações de resgate, e não para inventar técnicas inéditas.

Há, ainda assim, sinais de evolução técnica que merecem atenção. A ReliaQuest destaca o grupo Deadlock, ativo desde julho de 2025 mas ausente dos sites públicos de fuga durante 11 meses, que emergiu em junho de 2026 com comando e controlo alojado em blockchain e evasão de EDR ao nível do kernel. É este tipo de capacidade — e não a promessa de malware totalmente autónomo — que hoje pressiona as defesas.

Números diferentes, tendência igual

Quem compara relatórios vai encontrar totais divergentes: cada equipa monitoriza um conjunto distinto de sites de extorsão e aplica critérios próprios de validação. A Black Kite, por exemplo, contabilizou 7551 vítimas publicamente divulgadas entre abril de 2025 e março de 2026, um aumento de 24,9% e o quarto ano consecutivo de máximos, tendo o número de grupos ativos passado de 127 no fecho do período para 146 em junho de 2026. As metodologias diferem, a direção não: mais grupos, mais vítimas listadas e uma base de atividade estruturalmente mais alta do que há dois anos.

Um alerta adicional: estes números são um piso, não um teto. Só contam casos publicados em sites de fuga de dados, deixando de fora vítimas que pagaram discretamente ou que travaram o ataque antes da cifragem.

Porque é que isto importa em Portugal

O ransomware não é um problema distante para o tecido empresarial nacional. O Centro Nacional de Cibersegurança já tinha identificado, no seu relatório anual, o destaque dos infostealers, do ransomware e de campanhas sofisticadas de engenharia social, com recurso a modelos de IA generativa, e assinalou um aumento significativo dos incidentes no ciberespaço de interesse nacional, num ano marcado por casos de grande impacto.

O enquadramento legal mudou entretanto. Com o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 (transposição da NIS2), as entidades abrangidas passaram a estar sujeitas a um ciclo de notificação faseado. Um incidente significativo obriga a três comunicações à autoridade competente: alerta precoce nas primeiras 24 horas após o conhecimento, notificação do incidente em 72 horas e relatório final no prazo de um mês, através da plataforma MyCiber. O CNCS disponibilizou essa plataforma na sequência do Regulamento n.º 756/2026, canal oficial para registo, autoidentificação, comunicações formais e notificação de incidentes.

A isto acresce a dimensão de dados pessoais: quando um ataque envolve exfiltração — e a esmagadora maioria envolve —, aplica-se também o dever de notificação à CNPD ao abrigo do RGPD, com prazo de 72 horas e eventual comunicação aos titulares em caso de risco elevado. São regimes distintos, com autoridades distintas, que podem ser acionados pelo mesmo incidente.

Medidas concretas para reduzir exposição

• Aplicar autenticação multifator resistente a phishing em VPN, acesso remoto, correio eletrónico e consolas de administração.
• Monitorizar credenciais expostas em stealer logs e forçar rotação sempre que surjam registos associados ao domínio da organização.
• Reduzir a janela de correção de vulnerabilidades críticas em equipamentos expostos à Internet (firewalls, VPN, servidores de transferência de ficheiros).
• Manter cópias de segurança offline ou imutáveis e testar restauros com regularidade, medindo o tempo real de recuperação.
• Segmentar a rede e limitar contas com privilégios de domínio, travando o movimento lateral típico destas operações.
• Preparar modelos pré-preenchidos das notificações de 24 e 72 horas e definir quem as submete no MyCiber.
• Ensaiar anualmente um exercício de mesa com cenário de dupla extorsão, incluindo comunicação a clientes e reguladores.

Para PME sem equipa de segurança dedicada, a prioridade prática é simples: MFA, cópias de segurança testadas e um plano escrito de quem faz o quê nas primeiras 24 horas. É esse trio que separa uma paragem de dias de uma paragem de semanas.

Perguntas frequentes

Quantos ataques de ransomware foram registados em julho de 2026?

A Comparitech contabilizou 799 ataques reivindicados em julho de 2026, mais 19% do que os 668 de junho. Desses, apenas 51 tinham sido confirmados pelas organizações visadas à data da análise; os restantes correspondem a reivindicações publicadas pelos grupos nos seus sites de fuga de dados.

Que grupos de ransomware estão mais ativos?

The Gentlemen e Qilin dominam o panorama e representaram cerca de 33% dos ataques de julho, com 135 e 125 reivindicações. Seguem-se DragonForce, INC, CRPx0 e SafePay, com volumes bastante inferiores.

A inteligência artificial está a criar novos tipos de ransomware?

Segundo a GuidePoint Security, o receio de ataques catastróficos nativos de IA continua em larga medida por concretizar. A IA está sobretudo a ser usada como ferramenta de produtividade pelos atacantes, para reconhecimento, análise de dados roubados e apoio às negociações de resgate.

Que prazos tem uma empresa portuguesa para notificar um ataque de ransomware?

As entidades abrangidas pelo Regime Jurídico da Cibersegurança devem enviar um alerta precoce em 24 horas, uma notificação de incidente em 72 horas e um relatório final no prazo de um mês, através da plataforma MyCiber. Se houver dados pessoais comprometidos, aplica-se ainda o dever de notificação à CNPD ao abrigo do RGPD.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Comparitech, ReliaQuest, GuidePoint Security, Black Kite, pelo Centro Nacional de Cibersegurança e em legislação publicada em Diário da República.