Blog

Numa terça-feira à tarde, os computadores de um tribunal superior pararam no meio das sessões de julgamento. Na tela, em vez de processos, uma mensagem: os arquivos estavam trancados e só seriam devolvidos mediante pagamento. Não foi filme. Foi o que aconteceu com o Superior Tribunal de Justiça em novembro de 2020, e o mesmo roteiro se repete, todos os meses, em hospitais, prefeituras, escritórios de contabilidade, indústrias e pequenos comércios. O nome desse crime é ransomware: o sequestro digital de dados.

Esta é a postagem-guia (pilar) do site sobre ataques hackers. Aqui você vai entender, em linguagem simples, o que é o ransomware, quais portas ele usa para entrar, que crimes são praticados durante e depois do ataque, como a polícia investiga e, principalmente, o que fazer para não ser a próxima vítima e como reagir se o pior acontecer.

1. Resumo do ataque

O criminoso entra na rede da vítima (por um e-mail falso, uma senha fraca ou uma falha de sistema não corrigida), copia os dados mais valiosos, destrói os backups e, por fim, embaralha (criptografa) os arquivos, deixando tudo inutilizável. Em seguida, exige um resgate, geralmente em criptomoeda, para devolver o acesso e para não publicar o que roubou. Pagar não garante nada.

2. Conceito e objetivos

A palavra vem do inglês ransom (resgate) + software (programa). Ransomware é um programa malicioso que bloqueia o acesso a arquivos, sistemas ou aparelhos, normalmente por meio de criptografia, e condiciona a liberação ao pagamento de um resgate. É, literalmente, um sequestro: o refém são os dados.

No início, era uma praga automática que infectava computadores ao acaso. Hoje, como explica o CERT.br, o ransomware evoluiu para um ataque elaborado, conduzido por grupos com divisão de tarefas, que invadem redes, comprometem sistemas críticos, copiam dados, destroem backups e aplicam múltiplas extorsões. Por isso, os especialistas dizem que o ransomware é muito mais que um vírus: é uma operação criminosa completa.

Os objetivos dos criminosos:

• Lucro rápido: o resgate, pago quase sempre em criptoativos, para dificultar o rastreamento.
• Pressão máxima: paralisar justamente o que a vítima não pode deixar parar (atendimento hospitalar, folha de pagamento, produção, prazos processuais).
• Venda dos dados: mesmo quando a vítima não paga, as informações roubadas viram mercadoria.
• Dano reputacional e político: alguns grupos escolhem órgãos públicos e grandes marcas pela visibilidade do estrago.

As modalidades de extorsão

• Extorsão simples: “pague para recuperar seus arquivos”.
• Dupla extorsão: “pague também para não publicarmos os seus dados”. Os grupos mantêm sites de vazamento, na internet oculta, onde expõem as vítimas que não pagam.
• Tripla extorsão: a pressão se estende a clientes, pacientes, fornecedores e parceiros da vítima, que passam a receber ameaças diretas, ou a vítima sofre ataques DDoS que derrubam seus sites até pagar.
• Extorsão sem criptografia: alguns grupos nem travam os arquivos; apenas roubam e ameaçam publicar. Esse modelo se aproxima da cyber extorsão, que explicamos em postagem própria.

O “ransomware como serviço”

Boa parte dos ataques hoje segue o modelo RaaS (Ransomware as a Service). Funciona como uma franquia criminosa: um grupo desenvolve o programa e a estrutura de cobrança e “aluga” tudo a afiliados, que executam as invasões e repassam uma porcentagem do resgate. Há ainda os corretores de acesso, que apenas invadem redes e vendem a “chave da porta” para quem vai aplicar o ransomware. Essa divisão de trabalho separa quem ataca de quem lucra e torna a investigação mais complexa.

3. Os números: o Brasil na mira

• Relatório da Acronis sobre o 2º semestre de 2025, divulgado em março de 2026, colocou o Brasil entre os três países mais visados por ransomware no mundo, atrás apenas de Estados Unidos e Índia. Segundo o mesmo estudo, no Brasil 44% dos incidentes começaram pela exploração de vulnerabilidades, 20% por credenciais comprometidas e 18% por e-mails maliciosos.
• Levantamento da Check Point Software sobre o 1º trimestre de 2026 manteve o Brasil entre os dez países mais atingidos, com destaque para a atuação do grupo LockBit no país, segundo o IT Forum.
• A ESET apontou que, no 1º semestre de 2026, o Brasil registrou mais de 100 vítimas divulgadas por grupos de ransomware, liderando a América Latina, e que sua telemetria detectou 195 ocorrências no país entre janeiro e maio, ligadas a nove famílias de RaaS.
• No mundo, a Chainalysis estimou em cerca de US$ 820 milhões os pagamentos de resgate em criptoativos rastreados em 2025.

Os números confirmam o que se vê nas delegacias: o ransomware não é um problema “das grandes empresas americanas”. Ele está aqui, e cada vez mais voltado a organizações médias e pequenas, que têm menos defesa.

4. As vulnerabilidades: por onde o criminoso entra

O ransomware quase nunca é a primeira etapa. Antes dele, alguém abriu uma porta. As portas mais comuns são:

• Falhas de software não corrigidas: sistemas, servidores e sites sem atualização. Foi o que vimos no caso da falha PHP2Shell, que obrigou governos e empresas a tirarem sites do ar. Uma brecha conhecida e não corrigida é convite para invasão em massa.
• Senhas fracas, repetidas ou vazadas: contas de acesso remoto e de administradores descobertas por ataques de força bruta ou pela reutilização de senhas vazadas (credential stuffing).
• E-mails e mensagens falsas (phishing): anexo de “nota fiscal”, “boleto”, “intimação” ou “currículo” que instala o programa espião usado como cabeça de ponte.
• Falsos alertas e falsos suportes técnicos: pop-ups do tipo “Seu celular está com vírus!” e telefonemas de suposto suporte que convencem a vítima a instalar programas maliciosos ou de acesso remoto.
• Acesso remoto exposto na internet sem verificação em duas etapas, especialmente o “trabalho em casa” improvisado.
• Backups mal guardados: cópias de segurança conectadas à mesma rede são criptografadas junto com o resto.
• Fornecedores e terceirizados: invadir uma empresa de software ou de TI pode dar acesso a dezenas de clientes de uma só vez.
• Licenças vencidas e sistemas antigos, que já não recebem correções de segurança.

5. Meios e modos de ataque: as fases do sequestro

A descrição a seguir é conceitual, suficiente para você reconhecer o ataque e entender por que cada medida de proteção existe:

1. Acesso inicial: o criminoso entra por uma das portas acima ou compra o acesso de um corretor.
2. Reconhecimento e silêncio: durante dias ou semanas, ele explora a rede sem chamar atenção, muitas vezes usando ferramentas legítimas do próprio sistema, o que dificulta a detecção.
3. Ampliação de poderes: busca contas de administrador para controlar tudo.
4. Roubo dos dados (exfiltração): copia contratos, cadastros de clientes, prontuários, folhas de pagamento, documentos sigilosos.
5. Destruição dos backups: elimina as cópias de segurança alcançáveis para que a vítima não tenha alternativa.
6. Criptografia: de uma vez, geralmente à noite, no fim de semana ou em feriados, os arquivos são embaralhados e os sistemas param.
7. Nota de resgate e negociação: surge a mensagem com prazo, valor e canal de contato. Há grupos com “atendimento ao cliente” e descontos para pagamento rápido.
8. Monetização: pagamento em criptoativos, lavagem do dinheiro e, quase sempre, venda ou publicação dos dados.

E o cidadão comum? Ele também pode ser vítima de versões mais simples, que bloqueiam o computador pessoal ou o celular (os chamados lockers) ou criptografam fotos e documentos, além de ter seus dados expostos quando a empresa ou o órgão que os guardava é atacado.

6. Gatilhos psicológicos explorados

• Medo: perder anos de trabalho, de prontuários ou de fotos de família.
• Urgência: cronômetros na tela, prazos curtos e valor que dobra se não pagar logo.
• Vergonha e reputação: “seus clientes vão saber que você não protegeu os dados deles”.
• Autoridade: na porta de entrada, e-mails que imitam órgãos públicos, tribunais, bancos ou a própria diretoria.
• Curiosidade e rotina: o anexo de “fatura”, “currículo” ou “comprovante” que ninguém estranha.

7. Crimes praticados e capitulação penal

Não existe, no Código Penal, um tipo com o nome “ransomware”. O ataque é uma cadeia de condutas, e cada elo pode configurar um crime diferente:

Observações práticas, úteis também para quem estuda para concursos:

• Extorsão é o crime central. A exigência do resgate, sob a ameaça de manter os dados inacessíveis ou de publicá-los, amolda-se ao art. 158 do CP. A extorsão é crime formal: consuma-se com o constrangimento, independentemente de a vítima pagar (Súmula 96 do STJ).
• Concurso de crimes. A invasão (crime contra a liberdade individual e a privacidade) e a extorsão (crime contra o patrimônio) protegem bens jurídicos distintos. Há quem sustente a consunção, mas no ransomware a invasão costuma produzir danos próprios (cópia e destruição de dados), o que reforça a tese do concurso material.
• Ação penal. Pelo art. 154-B do CP, a invasão depende de representação, salvo quando atinge a administração pública direta ou indireta, ou empresas concessionárias de serviços públicos. A extorsão é de ação penal pública incondicionada.
• Aumento de pena. O art. 154-A, § 5º, aumenta a pena de 1/3 à metade quando o crime é praticado contra chefes de Poder e dirigentes máximos da administração pública, entre outras autoridades.
• Dano a dados. A destruição de arquivos e backups também pode ser discutida como dano (art. 163 do CP, qualificado quando o patrimônio é público), mas a doutrina diverge sobre a possibilidade de dados digitais serem considerados “coisa”. Por isso, a solução mais segura costuma passar pelo art. 154-A, que menciona expressamente a destruição de dados.

E a empresa ou o órgão atacado? A vítima do crime também tem deveres. A LGPD (Lei 13.709/2018) exige medidas de segurança aptas a proteger os dados pessoais (art. 46) e a comunicação à ANPD e aos titulares de incidentes que possam causar risco ou dano relevante (art. 48). O Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis para essa comunicação, contado do conhecimento do incidente. Quem negligencia a segurança pode responder administrativa e civilmente pelos danos aos titulares.

Pagar o resgate é crime? Até a data desta publicação, não há no Brasil uma lei que proíba, de forma geral, o pagamento. Ainda assim, as autoridades e os especialistas recomendam não pagar: não há garantia de devolução dos dados nem de que eles não serão vazados, o pagamento financia novos ataques e a vítima que paga costuma voltar à lista de alvos. A decisão, em qualquer caso, deve ser tomada com assessoria jurídica e técnica, e comunicada à polícia.

8. O efeito cascata: os crimes que vêm depois

O sistema volta a funcionar, mas os dados roubados continuam circulando. É aí que começam os crimes futuros, muitas vezes contra pessoas que nem sabiam que seus dados estavam naquela empresa:

1. Golpes personalizados contra clientes e pacientes: com nome, CPF, endereço, número de contrato e histórico de compras, o golpista liga ou manda mensagem fingindo ser a empresa, e soa convincente. Boletos falsos, falsas centrais e falsas cobranças ganham credibilidade (fraude eletrônica – art. 171, § 2º-A, do CP).
2. Abertura de contas, empréstimos e compras em nome de terceiros com documentos vazados (fraude eletrônica, falsidade ideológica – art. 299 – e falsa identidade – art. 307 do CP).
3. Nova extorsão, agora individual: pacientes ameaçados de terem diagnósticos expostos, clientes de escritórios ameaçados de terem processos e negócios revelados.
4. Sextorsão e exposição íntima, quando arquivos pessoais estavam entre os dados roubados (art. 218-C do CP).
5. Revenda das credenciais encontradas na rede para novas invasões, inclusive de parceiros e fornecedores.
6. Espionagem empresarial e uso de segredos industriais por concorrentes que compram os dados.
7. Desvio de pagamentos: com acesso aos e-mails da empresa, criminosos enviam a fornecedores e clientes “novos dados bancários” para pagamento.

Os crimes de amanhã. Quatro tendências merecem atenção: (1) o uso de inteligência artificial para escrever e-mails de entrada perfeitos, analisar rapidamente os dados roubados e até negociar com a vítima; (2) ataques contra infraestrutura crítica e serviços essenciais (hospitais, saneamento, energia), em que a paralisação coloca vidas em risco e pode atrair os crimes contra a incolumidade pública; (3) o sequestro da casa e do carro conectados, travando aparelhos do dia a dia até o pagamento; e (4) a extorsão “só de dados”, sem criptografia, mais rápida e silenciosa, em que a ameaça de vazamento basta para cobrar o resgate.

9. Casos reais

STJ: o tribunal que parou (novembro de 2020)

Em 3 de novembro de 2020, durante as sessões de julgamento, o Superior Tribunal de Justiça teve seus sistemas sequestrados. Segundo reportagens da época, o ransomware identificado foi o RansomEXX, e cerca de 1,2 mil máquinas virtuais teriam sido criptografadas. O tribunal suspendeu sessões e prazos, acionou a Polícia Federal e informou que os dados estavam preservados em backup. Os sistemas ficaram cerca de dez dias fora do ar. Na mesma semana, o Ministério da Saúde e o Governo do Distrito Federal relataram incidentes, e STF e TSE reforçaram sua segurança. Nos anos seguintes, o TJ-RS (2021) e o TRF-3 (2022) também sofreram ataques de ransomware que paralisaram sistemas.

JBS e Colonial Pipeline: quando a vítima paga (2021)

Em 2021, a JBS teve fábricas paralisadas nos Estados Unidos e na Austrália após ataque atribuído pelo FBI ao grupo REvil, que opera no modelo de ransomware como serviço. A empresa confirmou ter pago o equivalente a US$ 11 milhões em bitcoin para limitar o impacto e evitar o vazamento de dados. No mesmo período, a operadora americana de oleodutos Colonial Pipeline pagou cerca de US$ 4,3 milhões ao grupo DarkSide, e o Departamento de Justiça dos EUA depois anunciou ter recuperado aproximadamente US$ 2,3 milhões desse valor, mostrando que o rastreamento de criptoativos funciona.

Operação Cronos: a polícia sequestra os sequestradores (2024)

Em fevereiro de 2024, uma força-tarefa liderada pela National Crime Agency britânica e pelo FBI, coordenada na Europa por Europol e Eurojust e com polícias de dez países, tomou o controle da infraestrutura do LockBit, então o grupo de ransomware mais ativo do mundo. Foram derrubados 34 servidores, obtidas mais de mil chaves de descriptografia para ajudar as vítimas, presas duas pessoas (na Polônia e na Ucrânia) e apresentadas acusações nos Estados Unidos contra integrantes do grupo. O próprio site de vazamentos do LockBit passou a exibir o aviso da polícia. O caso é o melhor exemplo de que a repressão ao ransomware depende de cooperação internacional. Ainda assim, o grupo tentou se reorganizar e segue citado em ataques ao Brasil em 2026.

10. Casos ilustrativos (fictícios)

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas ou fatos reais é coincidência.

Caso 1 – O escritório de contabilidade. Um funcionário abre o anexo “Guia DAS vencida.zip”. Três semanas depois, numa sexta-feira à noite, todos os arquivos do escritório são criptografados, e o backup, ligado ao mesmo servidor, também. Os criminosos cobram resgate e, como o escritório não paga, passam a mandar mensagens aos clientes ameaçando publicar declarações de imposto de renda. Enquadramento possível: art. 154-A, §§ 3º e 4º; extorsão (art. 158) contra o escritório e contra cada cliente ameaçado; organização criminosa e lavagem, se comprovada a estrutura. Para o escritório, dever de comunicar o incidente à ANPD e aos titulares.

Caso 2 – O hospital do interior. Uma senha de acesso remoto de um prestador de manutenção, sem verificação em duas etapas, é descoberta por força bruta. O ransomware paralisa prontuários, exames e o agendamento de cirurgias. Enquadramento possível: art. 154-A; extorsão; interrupção de serviço telemático de utilidade pública (art. 266, § 1º) e, a depender das consequências, crimes contra a vida ou a integridade de pacientes prejudicados, se comprovado o nexo causal e o dolo, ainda que eventual.

Caso 3 – O notebook do estudante. Procurando um programa “gratuito” para editar vídeos, um estudante baixa uma versão pirata. O computador trava com uma tela que exige pagamento em criptomoeda para devolver fotos e trabalhos da faculdade. Enquadramento possível: art. 154-A e extorsão. Lição: programa pirata é uma das portas preferidas para o ransomware doméstico.

Caso 4 – O cenário de amanhã. Uma inteligência artificial criminosa vasculha os dados roubados de uma rede de farmácias, identifica clientes que compram medicamentos de uso contínuo e dispara mensagens individuais ameaçando expor a condição de saúde de cada um, cobrando valores pequenos de milhares de pessoas. É a extorsão em escala industrial, e ela começa com um único ataque de ransomware.

11. Sinais de alerta (checklist)

• Arquivos que não abrem e passam a ter extensões estranhas no nome.
• Um arquivo de texto ou uma imagem de fundo com instruções de “como recuperar seus arquivos”.
• Computador muito lento, com o disco trabalhando sem parar, sem motivo aparente.
• Antivírus desativado sem que ninguém tenha mexido.
• Nas empresas: contas de administrador criadas sem autorização, acessos de madrugada, grande volume de dados saindo da rede, backups apagados ou falhando.
• E-mails com anexos compactados ou links de “nota fiscal”, “boleto” ou “intimação” inesperados.
• Avisos do provedor, do CERT.br ou de parceiros sobre falhas no seu sistema.

12. Prevenção: como não ser a próxima vítima

Para você e sua família

• Faça backup de fotos e documentos importantes e mantenha ao menos uma cópia desconectada (um HD externo que só fica ligado durante a cópia) ou em serviço de nuvem com histórico de versões.
• Atualize tudo: sistema operacional, aplicativos e navegador. Ative as atualizações automáticas.
• Não instale programas piratas nem aplicativos fora das lojas oficiais.
• Desconfie de anexos e links inesperados, mesmo de conhecidos. Confirme por outro canal.
• Ignore alertas de vírus em pop-ups e nunca instale programas a pedido de quem ligou para você.
• Use senhas fortes e únicas e verificação em duas etapas, começando pelo e-mail.

Para empresas, escritórios e órgãos públicos

• Backup que sobrevive ao ataque: cópias frequentes, ao menos uma fora da rede e imutável, e testes periódicos de restauração. Backup que nunca foi testado é esperança, não segurança.
• Correções em dia: priorize as falhas de sistemas expostos à internet e acompanhe os alertas do CERT.br.
• Verificação em duas etapas obrigatória para e-mail, acesso remoto, VPN e contas de administrador.
• Privilégio mínimo: cada pessoa só acessa o que precisa; contas de administrador separadas e monitoradas.
• Desative contas esquecidas de ex-funcionários, estagiários, fornecedores e testes.
• Segmente a rede, para que uma máquina infectada não contamine todas.
• Treine as pessoas para reconhecer e reportar phishing e comportamentos estranhos.
• Guarde registros (logs) por prazo adequado e monitore-os: sem eles, não há detecção nem investigação.
• Tenha um plano de resposta a incidentes, escrito e ensaiado, com responsáveis, contatos da polícia, da ANPD, de advogados e de peritos.
• Cobre segurança dos fornecedores em contrato.

O CERT.br disponibiliza gratuitamente o guia Ransomware: como se proteger, com orientações para proteger, detectar e responder, voltado sobretudo a pequenas e médias empresas. É leitura obrigatória para quem administra qualquer rede.

13. Já fui vítima: o que fazer

1. Isole, não desligue: desconecte da rede (cabo e Wi-Fi) as máquinas afetadas para conter a propagação. Evite desligá-las ou formatá-las por impulso, porque a memória e os registros guardam provas valiosas para a perícia.
2. Não apague nada: preserve a nota de resgate, os arquivos criptografados, e-mails suspeitos e registros de acesso. Fotografe as telas com data e hora.
3. Não negocie sozinho: não responda aos criminosos sem orientação técnica e jurídica.
4. Registre boletim de ocorrência na delegacia especializada em crimes cibernéticos ou pela delegacia virtual do seu estado. Em ataques a órgãos federais ou com repercussão interestadual ou internacional, a Polícia Federal também pode atuar.
5. Notifique o CERT.br (cert@cert.br) e acione equipe técnica especializada para investigar a causa da invasão antes de restaurar, ou o criminoso voltará pela mesma porta.
6. Verifique se existe ferramenta gratuita de recuperação: o projeto No More Ransom, mantido pela Europol e parceiros, reúne descriptografadores para diversas famílias de ransomware.
7. Se você é empresa ou órgão público, avalie e faça a comunicação do incidente à ANPD e aos titulares (art. 48 da LGPD), no prazo regulamentar.
8. Se você é cliente de uma empresa atacada, redobre a atenção a ligações e mensagens que usem seus dados, troque senhas, ative a verificação em duas etapas e consulte o Registrato, do Banco Central, para checar contas e empréstimos em seu nome. Se cair em golpe com Pix, ligue imediatamente para o banco e peça o MED (Mecanismo Especial de Devolução).
9. Se a empresa responsável não resolver o problema causado a você como consumidor, registre reclamação no consumidor.gov.br.

Ser vítima de ransomware não é sinal de incompetência. Até tribunais superiores e multinacionais foram atingidos. O que define o tamanho do prejuízo é o preparo e a rapidez da reação.

14. Públicos mais vulneráveis e cuidados específicos

• Hospitais e clínicas: não podem parar e guardam dados sensíveis, o que aumenta a pressão para pagar. Planos de contingência em papel e backups isolados são indispensáveis.
• Prefeituras e órgãos públicos de menor porte: sistemas antigos, poucos técnicos e contas esquecidas.
• Pequenas e médias empresas, escritórios de contabilidade e de advocacia: guardam dados de muitos clientes e raramente têm equipe de segurança.
• Escolas e universidades: redes abertas e muitos usuários.
• Idosos e usuários domésticos: mais expostos a falsos alertas, falsos suportes e programas piratas. Filhos e netos podem ajudar a configurar backups automáticos e atualizações.

15. Repressão: como a polícia investiga

• Preservação e perícia: os registros, a memória das máquinas e a nota de resgate permitem identificar a família do ransomware e, às vezes, o grupo responsável. A cadeia de custódia (arts. 158-A a 158-F do CPP) deve ser respeitada desde o primeiro atendimento.
• Requisição de registros aos provedores: o Marco Civil da Internet (Lei 12.965/2014) obriga provedores de aplicação a guardar registros de acesso por 6 meses (art. 15) e provedores de conexão por 1 ano (art. 13), acessíveis por ordem judicial (art. 22).
• Rastreamento de criptoativos: as transações em blockchain são públicas e podem ser seguidas até corretoras, onde é possível pedir a identificação dos titulares e o bloqueio dos valores, como no caso Colonial Pipeline.
• Técnicas especiais de investigação: interceptação telemática, infiltração virtual de agentes e ação controlada, previstas nas Leis 9.296/1996 e 12.850/2013, permitem alcançar grupos organizados.
• Cooperação internacional: como servidores e autores costumam estar no exterior, a Convenção de Budapeste, promulgada no Brasil pelo Decreto 11.491/2023, e canais como a Interpol e a Europol são decisivos, como mostrou a Operação Cronos.
• Medidas assecuratórias: sequestro e bloqueio de bens e criptoativos para ressarcir as vítimas e asfixiar financeiramente o grupo.

A grande dificuldade é a distância: muitos grupos atuam a partir de países que não extraditam seus nacionais. Por isso, a repressão moderna combina prisão (quando possível) com a derrubada de infraestrutura, a apreensão de chaves de descriptografia, o bloqueio de valores e o compartilhamento de inteligência entre países e com o setor privado.

16. Guia de leitura: o ecossistema do ransomware no site

Esta postagem é o ponto de partida. Para aprofundar cada porta de entrada e cada desdobramento do ataque, siga a trilha:

• A extorsão por trás do ataque: O que é Cyber Extorsão, como funciona e como se proteger.
• A porta da falha não corrigida: PHP2Shell: a falha que fez governos e empresas tirarem sites do ar.
• A porta da senha fraca: Força bruta: como criminosos testam milhares de senhas até abrir a sua conta.
• A porta do susto: “Seu celular está com vírus!”: o falso alerta que transforma o susto em golpe.

Fontes

• Ransomware: Como se Proteger – CERT.br/NIC.br.
• Todos podem ser alvo de ransomware: medidas básicas podem fazer a diferença – CERT.br, Fórum da Internet no Brasil, Belém/PA, 29/05/2026.
• Brasil entra no top 3 global de países mais visados por ransomware – Tribuna do Sertão, 24/03/2026 (relatório Acronis).
• Brasil entra na lista dos países mais afetados por ransomware no início de 2026 – IT Forum, 2026 (relatório Check Point).
• Ransomware no primeiro semestre de 2026: quais grupos lideraram os ataques e quais setores foram os mais afetados – WeLiveSecurity/ESET, 29/07/2026.
• Atrás de EUA e Índia, Brasil entra no top 3 global de ataques de ransomware – Monitor Mercantil, 2026 (dados Chainalysis).
• Estrago dos hackers no STJ foi grande – Baguete, 06/11/2020.
• Polícia Federal ainda está investigando ataque hacker ao STJ – ConJur, 09/06/2021.
• PF investiga ataque de hackers no GDF, STJ e órgãos federais – Correio Braziliense, 06/11/2020.
• JBS pagou US$ 11 milhões a hackers para evitar vazamento em ataque – Tecnoblog, junho de 2021.
• JBS pagou R$ 55 milhões em resgate de dados após ataque ransomware – TecMundo, 10/06/2021.
• Police arrest LockBit ransomware members, release decryptor in global crackdown – BleepingComputer, fevereiro de 2024.
• Two Arrested In LockBit Ransomware Gang Takedown – Silicon UK, fevereiro de 2024.
• No More Ransom – Europol e parceiros.
• Código Penal (Decreto-Lei 2.848/1940) – Planalto.
• Lei 14.155/2021 e Lei 12.737/2012 – Planalto.
• Marco Civil da Internet (Lei 12.965/2014) e LGPD (Lei 13.709/2018) – Planalto.
• CERT.br – Ransomware: Como se Proteger
• Tribuna do Sertão – Brasil no top 3 global de ransomware (Acronis)
• IT Forum – Check Point 1º tri 2026
• WeLiveSecurity – Ransomware no 1º semestre de 2026
• Baguete – Estrago dos hackers no STJ
• Tecnoblog – JBS pagou US$ 11 milhões
• BleepingComputer – Operação Cronos/LockBit

Leia também

• Ataque XSS (Cross-Site Scripting): quando um site verdadeiro vira armadilha para quem o visita
• Malware: o guia completo dos programas maliciosos — vírus, worms, trojans, spyware e ladrões de senha
• Ataque DDoS: quando milhares de aparelhos sequestrados derrubam um site
• O que é Cyber Extorsão, como funciona e como se proteger
• PHP2Shell: a falha que fez governos e empresas tirarem sites do ar
• Força bruta: como criminosos testam milhares de senhas até abrir a sua conta
• “Seu celular está com vírus!”: o falso alerta que transforma o susto em golpe
• Credential Stuffing: a senha que vazou em um site abre as suas outras contas
• Convenção de Budapeste: o tratado que mudou a investigação de crimes cibernéticos no Brasil

Chamada para Mentoria

Invasão de dispositivo informático, extorsão, organização criminosa, lavagem de dinheiro, cooperação internacional e cadeia de custódia da prova digital: o ransomware reúne, num único caso, temas que as bancas adoram cobrar nas provas objetivas, discursivas, práticas e orais para Delegado de Polícia. Saber fazer a capitulação correta, discutir concurso de crimes e ação penal e indicar as medidas cautelares cabíveis é o que separa o candidato aprovado dos demais.

Se você quer se preparar com quem vive a investigação desses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.