Evolução das ameaças de TI no terceiro trimestre de 2026. Estatísticas de PCs

Evolução das ameaças de TI no terceiro trimestre de 2026. Estatísticas de PCs
Evolução das ameaças de TI no terceiro trimestre de 2026. Estatísticas de dispositivos móveis

As estatísticas deste relatório se baseiam nos veredictos de detecção dos produtos da Kaspersky, salvo indicação em contrário. As informações foram fornecidas por usuários dos produtos da Kaspersky que consentiram com o envio de dados estatísticos.

Números do trimestre

No terceiro trimestre de 2026:

• as soluções da Kaspersky bloquearam mais de 311 milhões de ataques originados de diversos recursos da internet;
• o antivírus web reagiu a 47 milhões de links únicos;
• o antivírus de arquivos bloqueou mais de 23 milhões de objetos maliciosos e potencialmente indesejados;
• foram detectadas 4.470 novas modificações de ransomware;
• mais de 81 mil usuários foram alvo de ataques de ransomware;
• 15% de todas as vítimas de ransomware cujos dados foram publicados em páginas DLS (Data Leak Site) de grupos foram atacadas pelo Qilin;
• mais de 217 mil usuários foram alvo de mineradores.

Ransomware

Principais tendências e eventos do trimestre

Combate aos invasores

Em agosto, o criador e principal administrador do programa RaaS Ransom Cartel foi condenado a 16 anos de prisão. Ele é o desenvolvedor do trojan de ransomware e, no momento da prisão, desempenhava um papel central nas atividades do RaaS: gerenciava o programa de afiliados, recrutava participantes (affiliates), fornecia a eles informações e ferramentas para os ataques, trabalhava com intermediários de acesso inicial, se comunicava com as vítimas e processava os pagamentos.

Em setembro, um dos participantes do RaaS Ryuk foi condenado a dois anos de prisão e três anos de supervisão administrativa. Em 2019 e 2020, ele e seus cúmplices invadiram redes de organizações e criptografaram dados com o trojan Ryuk. Segundo fontes abertas, centenas de estações de trabalho e servidores foram comprometidos. De acordo com a acusação, o invasor recebeu das vítimas um total aproximado de 1.610 BTC em resgates.

Também em setembro, um participante do RaaS Conti foi condenado a quatro anos de prisão. O invasor é acusado de ataques ocorridos em 2021 e 2022. Além de executar os ataques diretamente, ele também desenvolveu parte do arsenal malicioso do grupo.

Vulnerabilidades e ataques

Em julho, pesquisadores publicaram um artigo sobre a exploração da vulnerabilidade CVE-2026-0257 pelo grupo Qilin, no software de firewalls da Palo Alto Networks. Ela permitia que os invasores contornassem a autenticação e, assim, comprometessem as redes das vítimas sem ter contas válidas.

No período analisado, a CISA publicou, em seu catálogo de vulnerabilidades exploradas conhecidas (KEV), informações sobre várias CVEs exploradas ativamente por grupos de ransomware, listadas a seguir:

• CVE-2026-15409/CVE-2026-15410 nos gateways de acesso remoto SonicWall SMA1000. A CISA não especificou quais grupos exploraram essas vulnerabilidades, mas pesquisadores associaram essa atividade ao INC Ransom.
• CVE-2026-45659 no Microsoft SharePoint Server permitia que um invasor autenticado com poucos privilégios executasse código remotamente.
• CVE-2025-60710 no Microsoft Windows permitia que os invasores escalonassem privilégios localmente.
• CVE-2026-59310 no VMware vCenter possibilitava a execução remota de código sem autenticação.
• CVE-2025-14733 no WatchGuard Firebox também possibilitava a execução remota de código sem autenticação.
• CVE-2026-63077 no JetBrains TeamCity. O contorno da autenticação pelo protocolo de sondagem de agentes permitia executar comandos do sistema operacional com os privilégios do processo do servidor TeamCity. Isso podia dar acesso, entre outros, a configurações, credenciais e pipelines de CI/CD.

Grupos mais ativos

Esta seção apresenta dados sobre os grupos de ransomware mais ativos com base no número de vítimas adicionadas aos seus DLS (Data Leak Site). Assim como no trimestre anterior, o primeiro lugar é ocupado pelo grupo Qilin (15,39%). Em seguida vem o grupo The Gentlemen (7,89%), que foi particularmente ativo no primeiro trimestre do ano, mas não ocupou os primeiros lugares no período anterior. Observamos também a entrada na lista do Deadlock (4,46%), um ransomware relativamente novo que se tornou conhecido em julho de 2025.

Porcentagem de vítimas de um grupo específico (segundo seu site DLS) entre todas as vítimas de todos os grupos publicadas em todos os sites DLS analisados no período (download)

Número de novas modificações de ransomware

No terceiro trimestre, as soluções da Kaspersky detectaram três novas famílias de ransomware e 4.470 novas modificações, cifra que supera o número de variantes do trimestre anterior em mais de uma vez e meia.

Número de novas modificações de ransomware, Q3 2025 – Q3 2026 (download)

Número de usuários atacados por trojans de ransomware

No período analisado, nossas soluções protegeram 81.556 usuários únicos contra ataques de ransomware. Setembro foi o mês em que os usuários foram alvos de ransomware com mais frequência.

Número de usuários únicos atacados por trojans de ransomware, Q3 2026 (download)

TOP 10 países e territórios atacados por trojans do tipo ransomware

* Nos cálculos, excluímos os países e territórios com número relativamente pequeno de usuários da Kaspersky (inferior a 50.000).
** Porcentagem de usuários únicos cujos computadores foram atacados por trojans do tipo ransomware em relação ao total de usuários únicos dos produtos da Kaspersky no país ou território.

TOP 10 famílias de trojans do tipo ransomware mais difundidas

* Porcentagem de usuários únicos da Kaspersky afetados por uma família específica de trojan ransomware em relação ao total de usuários afetados por trojans ransomware.

Mineradores

Número de novas modificações de mineradores

No terceiro trimestre de 2026, as soluções da Kaspersky detectaram 2.197 novas modificações de mineradores. Após o pico no segundo trimestre, é possível falar em um retorno a uma distribuição mais estável, similar a do ano passado.

Número de novas modificações de mineradores, Q3 2026 (download)

Número de usuários atacados por mineradores

No terceiro trimestre, detectamos ataques com mineradores nos computadores de 217.024 usuários únicos dos produtos da Kaspersky em todo o mundo.

Número de usuários únicos atacados por mineradores, Q3 2026 (download)

TOP 10 países e territórios atacados por mineradores

* Nos cálculos, excluímos os países e territórios com número relativamente pequeno de usuários da Kaspersky (inferior a 50.000).
** Porcentagem de usuários únicos cujos computadores foram atacados por mineradores em relação ao total de usuários únicos dos produtos da Kaspersky no país ou território.

Ataques contra macOS

Eventos do trimestre

No início do terceiro trimestre, pesquisadores da Jamf descobriram o novo stealer PamStealer. Sua característica distintiva é o uso de módulos de autenticação conectáveis (Pluggable Authentication Modules, PAM) para verificar a senha de administrador digitada pelo usuário.

Ao longo do trimestre, pesquisadores da Socket detectaram vários ataques à cadeia de suprimentos que comprometeram pacotes populares do npm, PyPI e Cargo (gerenciador de pacotes do Rust). O código malicioso desses pacotes também tinha como alvo sistemas macOS. Assim, em 11 de julho, foi publicado o pacote npm infectado jscrambler, cujo módulo malicioso era um infostealer escrito em Rust. Seu alvo eram carteiras de criptomoedas, segredos de diversos serviços e navegadores, configurações de servidores MCP e chaves de API de agentes de IA. Em agosto, foi detectado um ataque aos pacotes (crates) arrayref, internment e append-only-vec, que instalava um backdoor em Rust no dispositivo. Em setembro, foram publicadas versões maliciosas dos pacotes npm e PyPI MemTensor, que instalavam um backdoor em Go que tinha como alvo segredos, configurações e tokens de API de diversos serviços.

Em agosto, pesquisadores da Jamf também relataram a descoberta do novo backdoor Overlord. Ele era distribuído como instaladores falsos do Zoom e tinha funcionalidades de spyware bastante amplas, pouco comuns em backdoors para macOS. O malware podia escutar o microfone, vigiar o usuário pela câmera, capturar a tela e registrar as teclas digitadas.

No terceiro trimestre, descobrimos uma versão atualizada do stealer de criptomoedas e backdoor MacSync, com um esquema significativamente alterado de entrega do código malicioso.

TOP 20 ameaças para macOS

Porcentagem* de usuários únicos que se depararam com este malware em relação ao total de usuários das soluções de proteção da Kaspersky para macOS que foram atacados (download)

* Os dados do trimestre anterior podem diferir ligeiramente dos publicados anteriormente devido à revisão retroativa de alguns veredictos.

A porcentagem do Ngrok, aplicativos para criar túneis de rede que podem ser usados tanto em ataques quanto para fins legítimos, continua crescendo. Agora esses programas ocupam o primeiro lugar do ranking. Também observamos o aumento das detecções do conhecido malware Amos, não apenas do stealer tradicional, mas também da versão com funcionalidades de backdoor.

TOP 10 países e territórios em termos de usuários atacados

* Porcentagem de usuários únicos que enfrentaram ameaças para macOS em relação ao total de usuários únicos dos produtos da Kaspersky no país ou território.

Estatísticas de ameaças de IoT

Esta seção apresenta estatísticas de ataques aos honeypots de IoT da Kaspersky. Os dados geográficos sobre a origem dos ataques baseiam-se nos endereços IP dos dispositivos de origem.

Distribuição por protocolo

No terceiro trimestre de 2026, a porcentagem de dispositivos que atacaram os honeypots da Kaspersky pelo protocolo SSH aumentou e chegou a 18,42%.

Distribuição dos serviços atacados por número de endereços IP únicos dos dispositivos que realizaram os ataques (download)

A mesma dinâmica é observada na distribuição dos ataques pelos protocolos Telnet e SSH.

Distribuição das sessões de interação dos cibercriminosos com os honeypots da Kaspersky (download)

TOP 10 ameaças baixadas em dispositivos IoT

Porcentagem de uma determinada ameaça que foi baixada em um dispositivo infectado em decorrência de um ataque bem-sucedido em relação ao total de ameaças baixadas (download)

Na distribuição geral das ameaças de IoT, a porcentagem da botnet Mirai diminuiu, mas observa-se o crescimento de outras ameaças de botnet que distribuem malware.

Ataques aos honeypots de IoT

Na distribuição dos ataques pelo protocolo SSH, as maiores porcentagens correspondem aos Países Baixos, à Bulgária e aos EUA, sendo que a porcentagem de ataques originados na Bulgária quadruplicou. Em seguida vem a Alemanha, cuja porcentagem caiu aproximadamente pela metade.

A porcentagem dos ataques pelo protocolo Telnet originados no Paquistão continuou crescendo e chegou a 47,73%.

Ataques por meio de recursos web

Os dados estatísticos desta seção baseiam-se nos veredictos de detecção do antivírus web, que protege os usuários no momento do download de arquivos suspeitos a partir de uma página web maliciosa ou infectada. As páginas maliciosas são criadas intencionalmente pelos criminosos. Recursos web cujo conteúdo é criado pelos próprios usuários (por exemplo, fóruns), bem como recursos legítimos comprometidos, podem ser infectados.

Países e territórios de origem dos ataques web: TOP 10

As estatísticas abaixo mostram a distribuição, por país e território, das origens dos ataques pela internet bloqueados pelos produtos da Kaspersky contra computadores de usuários (páginas web com redirecionamento para exploits, sites com exploits e outros programas maliciosos, centros de comando de botnets etc.). Observe que cada host único pode ter sido a origem de um ou mais ataques web.

Para determinar a origem geográfica dos ataques web, usamos o método de correspondência entre o nome de domínio e o endereço IP real em que esse domínio está hospedado, além da determinação da localização geográfica desse endereço IP (GeoIP).

No terceiro trimestre de 2026, as soluções da Kaspersky bloquearam 311.083.655 ataques provenientes de recursos da internet hospedados em todo o mundo. Foram registrados 46.936.926 URLs únicos que acionaram o antivírus web.

Distribuição das origens dos ataques web por país e território, Q3 2026 (download)

Países e territórios onde os usuários estiveram mais expostos ao risco de infecção pela internet

Para avaliar o grau de risco de infecção por programas maliciosos pela internet a que estão expostos os computadores dos usuários em diferentes países e territórios do mundo, calculamos para cada um deles a porcentagem de usuários dos produtos da Kaspersky que tiveram detecções do antivírus web no período analisado. Os dados obtidos indicam o nível de agressividade do ambiente em que os computadores operam nos diferentes países e territórios.

Lembramos que este ranking considera apenas ataques de objetos maliciosos da classe Malware. Nos cálculos, não levamos em conta os programas potencialmente perigosos e indesejados, como RiskTool e adware, detectados pelo antivírus web.

* Nos cálculos, excluímos os países e territórios com número relativamente pequeno de usuários da Kaspersky (inferior a 10.000).
** Porcentagem de usuários únicos que sofreram ataques web de objetos maliciosos da classe Malware em relação ao total de usuários únicos dos produtos da Kaspersky no país ou território.

Em média, ao longo do trimestre, 4,34% dos computadores de usuários da internet no mundo sofreram pelo menos um ataque web da classe Malware.

Ameaças locais

As estatísticas de infecções locais nos computadores dos usuários são um indicador importante. Elas incluem objetos que entraram no dispositivo por meio da infecção de arquivos ou mídias removíveis, ou que chegaram a ele inicialmente de forma oculta (por exemplo, programas incluídos em instaladores complexos, arquivos criptografados etc.).

Nesta seção, analisamos os dados estatísticos obtidos com base no funcionamento do antivírus que verifica os arquivos no disco rígido no momento em que são criados ou acessados, além dos dados de verificação de diversas mídias removíveis. As estatísticas se baseiam nos veredictos de detecção dos módulos OAS (On-Access Scan) e ODS (On-Demand Scan) do antivírus de arquivos. Foram considerados os programas maliciosos encontrados diretamente nos computadores dos usuários ou em mídias removíveis conectadas aos computadores, como pen drives, cartões de memória de câmeras, celulares e discos rígidos externos.

No terceiro trimestre de 2026, nosso antivírus de arquivos registrou 23.733.652 objetos maliciosos e potencialmente indesejados.

Países e territórios onde os computadores dos usuários estiveram mais expostos ao risco de infecção local

Para cada país e território, calculamos a porcentagem de usuários dos produtos da Kaspersky em cujos dispositivos o antivírus de arquivos foi acionado pelo menos uma vez no período analisado. Essas estatísticas refletem o nível de infecção dos computadores pessoais em diferentes países e territórios do mundo.

Observe que este ranking considera apenas ataques de objetos maliciosos da classe Malware. Nos cálculos, não levamos em conta os programas potencialmente perigosos ou indesejados, como RiskTool e adware, detectados pelo antivírus de arquivos.

* Nos cálculos, excluímos os países e territórios com número relativamente pequeno de usuários da Kaspersky (inferior a 10.000).
** Porcentagem de usuários únicos em cujos computadores foram bloqueadas ameaças locais da classe Malware em relação ao total de usuários únicos dos produtos da Kaspersky no país ou território.

Em média, no mundo, ameaças locais da classe Malware foram detectadas pelo menos uma vez durante o terceiro trimestre em 10,88% dos computadores dos usuários.

O índice da Rússia neste ranking foi de 9,37%.