Evolução do cenário de ameaças no segundo trimestre de 2026. Estatísticas de computadores

Evolução do cenário de ameaças no segundo trimestre de 2026. Estatísticas de computadores pessoais
Evolução do cenário de ameaças no segundo trimestre de 2026. Estatísticas de dispositivos móveis

As estatísticas deste relatório baseiam-se nos veredictos de detecção dos produtos da Kaspersky, salvo indicação em contrário. As informações foram fornecidas por usuários de produtos da Kaspersky que consentiram com o compartilhamento de dados estatísticos.

Números do trimestre

No segundo trimestre de 2026:

• as soluções da Kaspersky bloquearam quase 400 milhões de ataques provenientes de diferentes recursos da internet;
• o antivírus web detectou 52 milhões de URLs únicas;
• o antivírus de arquivos bloqueou mais de 16 milhões de objetos maliciosos e potencialmente indesejados;
• foram detectadas 2.538 novas modificações de ransomware;
• mais de 71 mil usuários foram alvo de ataques de ransomware;
• 15% de todas as vítimas de ransomware cujos dados foram publicados nos sites DLS (Data Leak Site) dos grupos foram afetadas pelo Qilin;
• mais de 213 mil usuários se depararam com mineradores maliciosos.

Ransomware

Principais tendências e eventos do trimestre

Ações contra invasores

A Microsoft desativou um serviço ilegal de assinatura eletrônica de malware utilizado por grupos de ransomware. A Digital Crimes Unit da Microsoft interrompeu a operação de um serviço MSaaS (malware-signing-as-a-service), mantido pelo grupo Fox Tempest. Esse serviço permitia que criminosos gerassem certificados para assinar malware digitalmente, abusando dos recursos da plataforma Microsoft Artifact Signing. Programas maliciosos assinados dessa forma foram observados em campanhas dos grupos de ransomware Rhysida, Akira, INC, Qilin e BlackByte. Eles também foram usados por loaders como o Oyster e pelos infostealers Lumma e Vidar. A Microsoft apreendeu o domínio usado pelo serviço, revogou os certificados e desativou as contas associadas, além de entrar com uma ação judicial contra o grupo.

Vulnerabilidades e ataques

A CISA confirmou que a vulnerabilidade no Windows, conhecida como BlueHammer, está sendo explorada em ataques de ransomware. No dia 22 de abril, a agência atualizou seu catálogo de vulnerabilidades exploradas conhecidas (KEV), registrando a exploração ativa da CVE-2026-33825 por grupos de ransomware. Trata-se de uma vulnerabilidade de escalonamento de privilégios no Microsoft Defender, divulgada inicialmente em abril. A Microsoft lançou o patch no dia 14 do mesmo mês, mas os sistemas não atualizados continuam em risco. A CISA não forneceu detalhes adicionais nem identificou os grupos que exploraram a BlueHammer.

A CheckPoint associou ao grupo Qilin a exploração da vulnerabilidade zero day CVE-2026-50751. Essa vulnerabilidade crítica nas soluções CheckPoint Remote Access VPN e Mobile Access foi explorada em ataques zero day a partir de 7 de maio e, já no início de junho, foi registrado um crescimento acentuado da atividade. Os ataques tiveram como alvo dezenas de organizações, e confirmou-se que pelo menos um incidente está relacionado ao grupo Qilin. Além disso, foi divulgada uma vulnerabilidade correlata de validação de certificados (CVE-2026-50752), que afeta conexões VPN site-to-site que usam o protocolo de troca de chaves obsoleto IKEv1.

Pesquisadores associam, com alta probabilidade, o uso do emulador legítimo QEMU aos ataques do grupo PayoutsKing, utilizado para executar máquinas virtuais ocultas, baseadas em Alpine Linux, em hosts comprometidos. Como as soluções de segurança frequentemente não conseguem inspecionar a atividade interna da máquina virtual, os invasores aproveitaram essa brecha para burlar os mecanismos de detecção. Dentro da imagem, os operadores implantam diversas ferramentas, inclusive software para coleta de credenciais, e configuram a máquina virtual como backdoor, controlado por um túnel SSH reverso até a infraestrutura dos invasores. Essa técnica não é nova e já foi analisada por nós, mas, em ataques de ransomware ela é encontrada com pouca frequência.

Grupos mais ativos

Esta seção apresenta dados sobre os grupos de ransomware mais ativos segundo o número de vítimas adicionadas a seus DLS (Data Leak Site). O grupo Qilin (14,57%) voltou ao primeiro lugar, após ocupar a segunda posição no ranking de atividade no trimestre anterior. Em seguida vêm o ransomware Akira (7,80%) e o grupo DragonForce (6,88%), que opera no modelo RaaS.

Proporção de vítimas de cada grupo (conforme dados de seu site DLS) em relação ao total de vítimas de todos os grupos publicado em todos os sites DLS analisados durante o período do relatório (download)

Número de novas modificações de ransomware

No segundo trimestre, as soluções da Kaspersky detectaram quatro novas famílias de ransomware e 2.538 novas modificações. As estatísticas continuam se estabilizando após os picos do primeiro e do quarto trimestre do ano passado.

Número de novas modificações de ransomware, Q2 2025 — Q2 2026 (download)

Número de usuários atacados por ransomware

No segundo trimestre, nossas soluções protegeram 71.860 usuários únicos contra ransomware. O período de maior atividade dos grupos de ransomware foi abril, mês em que 31.206 usuários foram atacados.

Número de usuários únicos atacados por ransomware, Q2 2026 (download)

TOP 10 países e territórios atacados por ransomware

* Nos cálculos, excluímos países e territórios com número relativamente baixo de usuários da Kaspersky (inferior a 50.000).
** Porcentagem de usuários únicos cujos computadores foram atacados por ransomware em relação ao total de usuários únicos de produtos da Kaspersky no país ou território.

TOP 10 famílias de ransomware mais disseminadas

* Porcentagem de usuários únicos da Kaspersky atacados por uma família específica de ransomware em relação ao total de usuários atacados por ransomware.

Mineradores

Número de novas modificações de mineradores

No segundo trimestre de 2026, as soluções da Kaspersky detectaram 6.067 novas modificações de mineradores, quase o dobro do período anterior.

Número de novas modificações de mineradores, Q2 2026 (download)

Número de usuários atacados por mineradores maliciosos

No segundo trimestre, detectamos ataques com mineradores nos computadores de 213.003 usuários únicos de produtos da Kaspersky em todo o mundo.

Número de usuários únicos atacados por mineradores maliciosos, Q2 2026 (download)

TOP 10 países e territórios atacados por mineradores

* Nos cálculos, excluímos países e territórios com número relativamente baixo de usuários da Kaspersky (inferior a 50.000).
** Porcentagem de usuários únicos cujos computadores foram atacados por mineradores maliciosos em relação ao total de usuários únicos dos produtos da Kaspersky no país ou território.

Ataques contra macOS

Eventos do trimestre

Em abril, pesquisadores da Aikido relataram um novo ataque do stealer GlassWorm, distribuído por extensões maliciosas para IDEs na plataforma Open VSX. O payload consistia em instalar outra extensão maliciosa em todos os ambientes de IDE presentes no sistema. Essa extensão, por fim, extraía dados de carteiras de criptomoedas, variáveis de ambiente e outros dados confidenciais, além de instalar um trojan de acesso remoto no dispositivo afetado.

Em maio, foi divulgada a descoberta de um ataque à cadeia de suprimentos por pesquisadores da Socket. Após o comprometimento, o pacote npm art-template inseria nas aplicações web compiladas com ele o carregamento do exploit kit Coruna, que ataca dispositivos com iOS.

Em junho, especialistas da Unit 42 da Palo Alto Networks identificaram uma nova família de backdoors, FlutterShell, voltada a dispositivos com macOS. Os malwares são escritos em Flutter e usam o mecanismo WebView para carregar páginas web com código JavaScript malicioso. No lado do backdoor, são registradas funções-ponte que são chamadas pelo código JS carregado e permitem que os criminosos executem qualquer payload no dispositivo do usuário.

Chama a atenção que os aplicativos maliciosos passaram pela notarização da Apple. Ainda que, no âmbito da pesquisa, o backdoor tenha atuado mais como adware, seu princípio de funcionamento permite entregar cargas com funcionalidades maliciosas mais complexas.

TOP 20 ameaças para macOS

Porcentagem* de usuários únicos que se depararam com esse malware em relação ao total de usuários das soluções de segurança da Kaspersky para macOS que sofreram ataques (download)

*Os dados do trimestre anterior podem apresentar pequenas variações em relação aos publicados anteriormente devido à revisão retrospectiva de alguns veredictos.

A proporção dos ataques do spyware PasivRobber continua caindo. As primeiras posições do ranking foram ocupadas por aplicativos de adware e software de roteamento de tráfego (NetTool). Também no segundo trimestre observou-se um aumento expressivo nas detecções do exploit DirtyCow, frequentemente usado para realizar jailbreak em iPhones.

TOP 10 países e territórios em termos de usuários atacados

* Porcentagem de usuários únicos que se depararam com ameaças para macOS em relação ao total de usuários únicos de produtos da Kaspersky no país ou território.

Estatísticas de ameaças a IoT

Esta seção apresenta estatísticas de ataques aos honeypots de IoT da Kaspersky. Os dados sobre a distribuição geográfica das origens dos ataques baseiam-se nos endereços IP dos dispositivos geradores dos ataques.

No segundo trimestre de 2026, a distribuição por protocolos dos dispositivos e das sessões que atacaram os honeypots da Kaspersky ficou assim:

Distribuição dos serviços atacados por número de endereços IP únicos dos dispositivos que realizaram os ataques (download)

A porcentagem do protocolo SSH na distribuição dos ataques cresceu ligeiramente em relação ao trimestre anterior.

Distribuição das sessões de trabalho dos criminosos com os honeypots da Kaspersky (download)

TOP 10 ameaças baixadas em dispositivos IoT

Porcentagem de determinada ameaça baixada em um dispositivo infectado após um ataque bem-sucedido em relação ao total de ameaças baixadas (download)

Na distribuição das ameaças a IoT, a maioria das posições é tradicionalmente ocupada por variantes do botnet Mirai. Além disso, aumentou a atividade de outro botnet conhecido, o Prometei.

Ataques aos honeypots de IoT

Na distribuição dos ataques via protocolo SSH, a maior fatia corresponde a ataques originados na Holanda, na Alemanha e nos EUA. Embora esses mesmos países ocupassem as três primeiras posições no trimestre anterior, a ordem entre eles se alterou.

A proporção dos ataques via protocolo Telnet originados no Paquistão continuou crescendo e deslocou para a segunda posição os ataques provenientes da China.

Ataques por meio de recursos web

Os dados estatísticos desta seção baseiam-se nos veredictos de detecção do antivírus web, responsável por proteger os usuários durante o download de objetos suspeitos a partir de páginas web maliciosas ou comprometidas. As páginas maliciosas são criadas deliberadamente por cibercriminosos. Podem estar infectados os recursos web em que o conteúdo é criado pelos próprios usuários (fóruns, por exemplo), bem como recursos legítimos invadidos.

Países e territórios de origem dos ataques web: TOP 10

As estatísticas a seguir mostram a distribuição, por países e territórios, da origem dos ataques cibernéticos (páginas web com redirecionamento para exploits, sites com exploits e outros programas maliciosos, centros de comando de botnets etc.) bloqueados pelos produtos da Kaspersky em computadores de usuários.
Observe que cada host único pode ter sido origem de um ou mais ataques web.

Para determinar a origem geográfica dos ataques web, utilizou-se a metodologia de correspondência entre o nome de domínio e o endereço IP real em que o domínio está hospedado, com a posterior identificação da localização geográfica deste endereço IP (GeoIP).

No segundo trimestre de 2026, as soluções da Kaspersky repeliram 399.312.961 ataques provenientes de recursos da internet hospedados em todo o mundo.

Foram registrados 52.850.592 URLs únicas que acionaram o antivírus web.

Distribuição das origens dos ataques web por países e territórios, Q1 2026 (download)

Países e territórios em que os usuários estiveram mais expostos ao risco de contaminação pela internet

Para avaliar o grau de risco de infecção por programas maliciosos pela internet a que estão expostos os computadores dos usuários em diferentes países e territórios do mundo, calculamos para cada um deles a porcentagem de usuários de produtos da Kaspersky que registraram acionamentos do antivírus web no período do relatório. Os dados obtidos são um indicador da agressividade do ambiente em que operam os computadores nos diferentes países e territórios.

Lembramos que este ranking considera apenas ataques de objetos maliciosos da classe Malware. Nos cálculos, não consideramos os acionamentos do antivírus web em programas potencialmente perigosos e indesejados, como RiskTool e adware.

* Nos cálculos, excluímos países e territórios com número relativamente baixo de usuários da Kaspersky (inferior a 10.000).** Porcentagem de usuários únicos que sofreram ataques web de objetos maliciosos da classe Malware em relação ao total de usuários únicos de produtos da Kaspersky no país ou território.

Em média, ao longo do trimestre, 4,54% dos computadores de usuários no mundo sofreram um ataque web da classe Malware ao menos uma vez.

Ameaças locais

Um indicador relevante são as estatísticas de infecção local nos computadores. Esse indicador abrange desde ameaças transmitidas por arquivos e mídias removíveis infectadas até aquelas que chegam de forma indireta, como programas ocultos em instaladores complexos ou arquivos criptografados.
Nesta seção, analisamos os dados estatísticos obtidos pela verificação, feita pelo antivírus, de arquivos no disco rígido, no momento de sua criação ou acesso, e pela varredura de diferentes mídias removíveis.

As estatísticas baseiam-se nos veredictos de detecção dos módulos OAS (On-Access Scan) e ODS (On-Demand Scan) do antivírus de arquivos. Foram considerados os programas maliciosos encontrados diretamente nos computadores dos usuários ou em mídias removíveis conectadas, como pen drives, cartões de memória de câmeras, telefones e discos rígidos externos.

No segundo trimestre de 2026, nosso antivírus de arquivos registrou 16.986.351 objetos maliciosos e potencialmente indesejados.

Países e territórios em que os computadores dos usuários estiveram sob maior risco de infecção local

Calculamos a porcentagem de usuários de produtos da Kaspersky em cada país ou território que tiveram o antivírus de arquivos acionado ao menos uma vez em seus dispositivos no período do relatório. Essas estatísticas refletem o nível de contaminação de computadores pessoais ao redor do mundo.

Observe que este ranking considera apenas ataques de objetos maliciosos da classe Malware. Nos cálculos, não consideramos os acionamentos do antivírus de arquivos em programas potencialmente perigosos ou indesejados, como RiskTool e adware.

* Nos cálculos, excluímos países e territórios com número relativamente baixo de usuários da Kaspersky (inferior a 10.000).** Porcentagem de usuários únicos em cujos computadores foram bloqueadas ameaças locais da classe Malware em relação ao total de usuários únicos de produtos da Kaspersky no país ou território.

Em média, no mundo, ameaças locais da classe Malware foram registradas ao menos uma vez, durante o segundo trimestre, em 10,93% dos computadores dos usuários.

O índice da Rússia neste ranking foi de 10,78%.