O número de grupos de ransomware ativos atingiu o valor mais alto de que há registo no segundo trimestre de 2026, segundo o relatório trimestral da Check Point Research. O top 10 dos grupos passou a representar 57,6% de todas as vítimas, contra 71% no primeiro trimestre, enquanto o número de grupos ativos subiu de 71 para 93, um novo máximo no período coberto pelo relatório. O volume total de vítimas praticamente não se moveu — o que mudou foi quem está a atacar e, sobretudo, a velocidade a que novos operadores conseguem montar uma operação credível, com assistentes de programação baseados em inteligência artificial a encurtar prazos que antes se contavam em anos.
Resposta rápida: A Check Point Research contabilizou 93 grupos de ransomware ativos no segundo trimestre de 2026, um recorde, com 2.139 vítimas publicadas em sites de fuga de dados. Uma fuga interna do grupo The Gentlemen mostrou que o painel de gestão do ransomware foi construído em cerca de três dias com recurso a assistentes de IA. Para as organizações em Portugal, a prioridade prática é reduzir a janela de exposição a vulnerabilidades conhecidas, garantir cópias de segurança imutáveis e testar o plano de resposta a incidentes, incluindo os deveres de notificação ao CNCS.
O que mudou entre o primeiro e o segundo trimestre
Durante mais de um ano, a leitura dominante sobre o ecossistema do ransomware era a da concentração: poucas operações de ransomware-as-a-service (RaaS) a controlar a maior parte dos danos. O relatório da Check Point Research relativo ao segundo trimestre de 2026 descreve uma inversão desse quadro — os líderes continuam a dominar, mas o caminho para lhes fazer companhia ficou muito mais curto.
Os sites de fuga de dados registaram 2.139 vítimas no trimestre, praticamente o mesmo valor do trimestre anterior (mais 0,8%) e um aumento de 33% em termos anuais, o que confirma que o problema estabilizou num patamar historicamente elevado em vez de recuar. O grupo Cl0p, cuja campanha contra o Oracle E-Business Suite tinha inflacionado os números do primeiro trimestre, praticamente desapareceu, e a lacuna foi preenchida por um grupo intermédio muito mais numeroso.
A geografia também se alterou. A quota de vítimas nos Estados Unidos caiu de 50% para 42% de um trimestre para o outro, sobretudo porque os grupos que cresceram mais depressa — incluindo The Gentlemen e o recém-ativo Krybit — atacam alvos norte-americanos com muito menos frequência do que a média do ecossistema. Em termos práticos, isso significa que uma fatia crescente da atividade se distribui por outras regiões, incluindo a Europa.
| Indicador | 1.º trimestre de 2026 | 2.º trimestre de 2026 |
|---|---|---|
| Vítimas listadas em sites de fuga | 2.122 | 2.139 |
| Quota do top 10 de grupos | 71% | 57,6% |
| Grupos ativos | 71 | 93 (recorde) |
| Grupo mais ativo | Qilin (338 vítimas) | Qilin (279 vítimas) |
| Quota de vítimas nos EUA | 50% | 42% |
O Qilin manteve a liderança pelo quarto trimestre consecutivo com 279 vítimas, à frente do The Gentlemen, que cresceu 62% e ultrapassou o Qilin no mês de junho. Para referência, no primeiro trimestre de 2026 tinham sido listadas 2.122 organizações e o Qilin registara 338 vítimas — a queda do líder não se traduziu numa queda do total.
Um painel de gestão construído em três dias
O elemento mais invulgar do relatório não é estatístico. Uma fuga interna deu aos investigadores uma visão inédita da operação do The Gentlemen: registos de conversas e dados da plataforma expuseram uma equipa central de cerca de nove operadores apoiada por uma base mais ampla de afiliados, e confirmaram que o grupo usou assistentes de programação com IA para construir o painel de gestão do ransomware em cerca de três dias.
Segundo a análise, a equipa central de nove pessoas operava com uma divisão de receitas de 90/10 a favor dos afiliados, que executavam a maior parte do trabalho de intrusão, e o administrador conhecido como Zeta88 admitiu que as ferramentas de IA continuam a exigir alguém que compreenda o código o suficiente para o orientar e corrigir. Esta nuance é importante e a própria Check Point sublinha-a: trata-se de evidência de que a IA está a acelerar a construção de ferramentas de ransomware, mas o uso documentado foi escrever software mais depressa, não conduzir operações nem escolher alvos.
A consequência estratégica é a descida das barreiras à entrada. O sinal de fundo, nota a empresa, é que os obstáculos a montar um negócio sério de ransomware diminuíram o suficiente para que um operador experiente chegue ao topo em meses. Para quem defende, isso significa mais atores com capacidade real de causar dano, ainda que sem a máquina profissional dos grupos históricos.
A janela de exploração é o verdadeiro problema
Contar grupos pode ser enganador — a rotatividade é alta e muitas marcas duram poucos meses. O relatório assinala que a janela de exploração continuou a estreitar-se, com a IA a ser cada vez mais apontada como acelerador. Vulnerabilidades estão a ser armadas em horas ou dias após a divulgação, e não em semanas — uma tendência que se mantém independentemente de o mercado se concentrar ou fragmentar, porque uma equipa pequena com um exploit funcional contra um sistema sem correção causa tanto dano como uma operação profissional.
Do lado da gestão de exposição, a Check Point argumenta que a questão relevante deixou de ser quantas vulnerabilidades existem. Segundo o seu relatório sobre lacunas de exposição de 2026, as vulnerabilidades representam agora 42,6% das exposições críticas, mais do dobro do ano anterior. É um dado da própria empresa, obtido a partir da sua plataforma, e deve ser lido nesse contexto.
Menos vítimas a pagar, valores médios mais altos
As taxas de pagamento de resgate caíram para um mínimo de vários anos, próximo dos 23%. De acordo com a leitura do relatório, o valor médio dos resgates pagos subiu acima dos 680 mil dólares, apesar dessa queda na percentagem de vítimas que pagam, o que empurra os grupos para táticas agressivas de roubo de dados e dupla extorsão.
Essa mudança de modelo tem uma explicação técnica simples. Melhores estratégias de cópia de segurança reduziram a eficácia dos ataques de cifra, mas os backups não protegem contra roubo de dados: se os ficheiros já foram exfiltrados e estão prestes a ser publicados, restaurar sistemas não evita a fuga — daí a preferência crescente pela extorsão baseada em exfiltração.
Medidas práticas de mitigação
- Reduzir o tempo entre a divulgação de uma vulnerabilidade e a aplicação da correção nos sistemas expostos à Internet (VPN, firewalls, servidores de ficheiros, ERP, portais de acesso remoto), com um processo de emergência para casos explorados ativamente.
- Assumir a possibilidade de comprometimento e privilegiar cópias de segurança imutáveis e isoladas, que não possam ser apagadas ou cifradas remotamente, dado o recurso crescente à exfiltração e a frameworks de disseminação rápida como o abuso de Group Policy Objects.
- Impor autenticação multifator resistente a phishing em acessos remotos, contas de administração e correio eletrónico, e monitorizar credenciais expostas por infostealers.
- Vigiar sinais de exfiltração em massa (volumes anómalos de saída, uso de ferramentas de sincronização na nuvem, arquivos
.7zou.rarcriados em servidores de ficheiros) e não apenas eventos de cifra. - Testar o plano de resposta com um exercício de mesa que inclua a decisão sobre pagamento, a comunicação a titulares de dados e os prazos legais de notificação.
Porque é que isto importa em Portugal
O CNCS já tinha registado, na sexta edição do relatório «Riscos & Conflitos», um aumento significativo de incidentes no ciberespaço de interesse nacional, com destaque para o ransomware, indisponibilidades e grandes fugas de credenciais de entidades da administração pública, operadores de serviços essenciais e prestadores de serviços digitais. O mesmo relatório aponta, entre as tendências para o futuro próximo, a exploração contínua de vulnerabilidades, o aumento da comercialização de credenciais de acesso e a utilização ofensiva de ferramentas de inteligência artificial generativa.
No plano legal, a moldura mudou. O Decreto-Lei n.º 125/2025, que aprova o novo Regime Jurídico da Cibersegurança e transpõe a Diretiva (UE) 2022/2555, foi publicado a 4 de dezembro de 2025. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (NIS2), um incidente de ransomware deixou de ser apenas um problema operacional. O CNCS disponibilizou a plataforma MyCiber, na sequência do Regulamento n.º 756/2026, que é o canal oficial para registo de entidades, autoidentificação, comunicações formais e notificação de incidentes ao abrigo do DL 125/2025. O Regulamento entrou em vigor a 23 de junho e, nos termos do n.º 2 do artigo 10.º do decreto-lei, iniciou a contagem do prazo de 24 meses para a produção de efeitos das medidas de cibersegurança e da obrigação de relatório anual das entidades essenciais.
A vertente de proteção de dados é igualmente relevante: num ataque com exfiltração, a componente de violação de dados pessoais aciona os deveres do RGPD, incluindo a notificação à CNPD e, quando exista risco elevado, a comunicação aos titulares. Para as PME portuguesas, que raramente dispõem de equipas dedicadas, a lição do trimestre é dupla: o atacante médio ficou mais rápido a construir ferramentas, e o tempo disponível para corrigir sistemas expostos encurtou.
Perguntas frequentes
O que significa haver 93 grupos de ransomware ativos?
Significa que o número de marcas distintas a publicar vítimas em sites de fuga atingiu um máximo, com o top 10 a perder peso relativo. Não significa necessariamente mais ataques: o volume de vítimas ficou praticamente inalterado face ao trimestre anterior.
A inteligência artificial está a criar ransomware sozinha?
Não é isso que a evidência divulgada mostra. No caso documentado, os assistentes de IA aceleraram a escrita do painel de gestão da operação, mas exigiram alguém com conhecimento técnico para orientar e corrigir o código, e não foram usados para conduzir os ataques nem escolher alvos.
Se tiver cópias de segurança fiáveis, estou protegido?
As cópias de segurança imutáveis reduzem muito o impacto da cifra, mas não impedem a publicação de dados já roubados. É por isso que os grupos privilegiam cada vez mais a extorsão baseada em exfiltração, o que obriga a controlos de deteção de saída de dados e a um plano de comunicação.
Que obrigações tem uma empresa portuguesa após um ataque de ransomware?
Depende do enquadramento. As entidades abrangidas pelo novo Regime Jurídico da Cibersegurança devem notificar incidentes significativos através da plataforma MyCiber do CNCS, nos prazos definidos no regime e no respetivo regulamento; havendo dados pessoais comprometidos, aplicam-se em paralelo os deveres de notificação previstos no RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Check Point Research, pelo Centro Nacional de Cibersegurança e no Decreto-Lei n.º 125/2025 e respetivo regulamento.