O Brasil foi o terceiro país que mais sofreu ataques com ransomwares em junho, registrando 23 casos. Os dados são da plataforma Ransomware.live, iniciativa de Julien Mousqueton, CISO da Cohesity, empresa líder em segurança de dados com IA. É a primeira vez que o Brasil aparece entre os dez países mais afetados desde o início da publicação de dados do site, em janeiro.

A plataforma monitora e coleta dados de sites de vazamento de grupos de ransomware continuamente para identificar e listar novas vítimas. Ransomwares são softwares maliciosos que bloqueiam o acesso de usuários ou organizações, exigindo pagamento de resgate para restauração, sob a ameaça de vazamento ou exclusão permanente.

O Brasil só aparece atrás de Estados Unidos, com 199 casos, e Alemanha, com 49. O Reino Unido vem logo após o Brasil, com 21, seguido de Índia e Canadá, ambos com 20. França (15), Itália (15), México (14) e Tailândia (13) completam o top 10.

“A emergência do Brasil, Índia e Tailândia como alvos recém identificados pode ser reflexo de uma estratégia deliberada de focar em jurisdições com menor maturidade na resposta a incidentes e na coordenação com forças de segurança”, avalia Gustavo Leite, vice-presidente da Cohesity para América Latina.

O número total de vítimas em junho, 708, representa uma redução de 10,5% em relação às 791 registradas em maio. “Apesar dessa diminuição mensal, o volume permanece historicamente elevado quando comparado aos doze meses anteriores, deixando claro o quão intenso e consistente é o atual cenário de ameaças”, aponta Leite.

Setores mais afetados

Em junho, o mercado B2B se manteve no topo dos alvos mais atingidos, registrando 123 vítimas — uma redução de 23,1% em comparação às 160 de maio. O setor de manufatura ficou na segunda colocação, com 83 ocorrências (queda de 19,4%), seguido por tecnologia, que somou 56 vítimas (recuo de 21,1%).

O segmento de saúde contabilizou 52 vítimas, registrando uma queda de 23,5% em relação às 68 do mês anterior. Na contramão, serviços ao consumidor foi o único a apresentar crescimento: uma alta discreta de 1,9%, passando de 52 para 53 vítimas. Já o setor de serviços financeiros teve um recuo de 26,5%, somando 25 vítimas, enquanto transporte/logística baixou 25,7%, chegando a 26 registros.

Números do site Ransomware.live são divulgados todos os meses pela Cohesity, que conta com a confiança de clientes em mais de 140 países, incluindo 70% da Fortune Global 500.

Ataques com ransomware nos últimos 12 meses:

• Junho – 708
• Maio – 791
• Abril – 870
• Março – 844
• Fevereiro – 784
• Janeiro – 702
• Dezembro de 2025 – 882
• Novembro de 2025- 717
• Outubro de 2025 – 839
• Setembro de 2025 – 598
• Agosto de 2025 – 530
• Julho de 2025 – 547

Setores com ransomwares mais afetados em junho:

1. Mercado B2B – 123 (queda de 23.1% em relação a maio)
2. Manufatura – 83 (queda de 19.4% em relação a maio)
3. Tecnologia – 56 (queda de 21.1% em relação a maio)
4. Serviços ao consumidor – 53 (aumento de 1.9% em relação a maio)
5. Saúde – 52 (queda de 23.5% em relação a maio)
6. Agricultura e produção de alimentos – 36 (queda de 7.7% em relação a maio)
7. Construção – 27 (queda de 15.6% em relação a maio)
8. Transportes/logísticas – 26 (queda de 25.7% em relação a maio)
9. Serviços financeiros – 25 (queda de 26.5% em relação a maio)
10.  Educação – 24 (queda de 14.3% em relação a maio)

Países mais afetados por ataques com ransomwares em junho:

1. Estados Unidos – 199
2. Alemanha – 49
3. Brasil – 23
4. Reino Unido – 21
5. Índia – 20
6. Canadá – 20
7. França – 15
8. Itália – 15
9. México – 14
10. Tailândia – 13

Rogério Souza | Analista de Segurança da Informação | Cyber Threat Intelligence | OSINT | Investigação Defensiva

Empresas não sofrem prejuízos apenas por ataques cibernéticos. Elas perdem reputação, propriedade intelectual, confiança do mercado e vantagem competitiva. Minha atuação é direcionada justamente para reduzir esses riscos.

Sou Rogério Souza, Analista de Segurança da Informação com experiência em resposta a incidentes, mitigação de ataques cibernéticos, investigação de fraudes digitais e apoio técnico na resolução de casos complexos. 

Atuei em equipes dedicadas à contenção e remediação de incidentes, contribuindo para o fortalecimento dos controles de segurança, aumento da resiliência operacional e recuperação de ativos comprometidos.

Minha especialidade está na convergência entre Cyber Security, Cyber Threat Intelligence (CTI), Inteligência de Fontes Abertas (OSINT), Investigação Defensiva e Produção de Provas Digitais. Utilizo técnicas de coleta, correlação e análise de dados para transformar grandes volumes de informações em inteligência acionável, permitindo decisões estratégicas fundamentadas em evidências.

Possuo experiência em monitoramento de ambientes digitais, análise de vínculos, due diligence, #compliance, investigação corporativa, avaliação de riscos e identificação de ameaças externas. Atuo apoiando departamentos jurídicos, escritórios de advocacia e organizações na preservação de evidências digitais, investigação de incidentes e desenvolvimento de estratégias para mitigação de riscos operacionais, financeiros e reputacionais.

Como entusiasta de Data Science aplicada à Segurança da Informação, busco integrar análise de dados, automação e inteligência para antecipar ameaças, identificar padrões e apoiar processos de tomada de decisão em ambientes corporativos.

Também integro o corpo de Experts da Criminal Player, referência nacional em Direito Penal e Processo Penal, onde contribuo para a formação de advogados e profissionais da área jurídica em Investigação Digital, OSINT e Provas Digitais.

Busco atuar em organizações que compreendem que Segurança da Informação deixou de ser apenas uma função técnica para se tornar um elemento estratégico de governança. 

Acredito que proteger ativos críticos, antecipar ameaças e transformar informação em inteligência de negócios são fatores determinantes para a continuidade, competitividade e crescimento sustentável das empresas.

Meu compromisso é agregar valor por meio de visão analítica, capacidade investigativa e atuação orientada à redução de riscos, permitindo que a organização tome decisões com maior segurança, rapidez e confiança.

https://www.linkedin.com/in/rdsweb

O IDCiber Threat Intelligence Center, por meio do monitoramento contínuo de fontes abertas, fóruns clandestinos e canais especializados, identificou a divulgação de uma alegada base de dados associada ao domínio governamental www.gov.il, anunciada por um ator de ameaça em 22/06/2025. Segundo a publicação analisada, o grupo afirma ter explorado uma vulnerabilidade de API e obtido acesso não autorizado a informações de aproximadamente 268.938 registros de cidadãos, contendo dados pessoais diversos. As evidências observadas incluem amostras de registros supostamente extraídos da base comprometida e disponibilizados em plataforma pública de compartilhamento de conteúdo. Em conformidade com as melhores práticas de proteção à privacidade, os dados pessoais identificáveis (PII) presentes nas amostras foram anonimizados nesta análise, não sendo reproduzidos nomes, documentos, telefones, endereços, e-mails, identificadores ou quaisquer informações que permitam a identificação direta de indivíduos.

A análise preliminar indica que o conjunto de informações alegadamente exposto contém categorias de dados de elevada sensibilidade, incluindo dados cadastrais, informações demográficas, informações de contato, dados de localização e outros atributos pessoais. Caso a autenticidade e atualidade da base sejam confirmadas pelas autoridades competentes, o incidente poderá representar riscos significativos de fraude, engenharia social, campanhas de phishing direcionado, roubo de identidade, comprometimento de contas e outras atividades criminosas. O anúncio também demonstra intenção de monetização dos dados por parte do ator de ameaça, que disponibilizou canal de contato para potenciais interessados na aquisição do conteúdo.

Até o momento da análise, as evidências observadas permitem confirmar a existência de uma publicação reivindicando a violação e exibindo amostras de registros, porém a validação integral da autenticidade, integridade, abrangência e origem dos dados requer investigação técnica complementar pelas entidades responsáveis. Considerando o potencial impacto sobre cidadãos e organizações governamentais, recomenda-se a realização de procedimentos de resposta a incidentes, validação dos dados expostos, revisão dos controles de acesso, análise de vulnerabilidades em APIs, monitoramento reforçado de credenciais e comunicação adequada às partes potencialmente afetadas.

• Classificação do incidente: Vazamento de Dados (Data Breach)
• Organização alvo: Domínio governamental (www.gov.il)
• Data da divulgação identificada: 22/06/2025
• Volume alegado de impacto: 268.938 registros
• Tipo de informação exposta: Dados pessoais e cadastrais (PII) – informações anonimizadas neste relatório
• Severidade estimada: Alta
• Status: Publicação identificada e em monitoramento

Fonte: IDCiber Threat Intelligence Center.

1. Introdução

Alvin Toffler (1928-2016) foi um dos futuristas do século XX. Além de ensaios sobre avanços tecnológicos, escreveu o livro O Choque do Futuro, no ano de 1970.

Em seu livro de maior sucesso, A Terceira Onda (1980), Toffler organizou a história da humanidade não por séculos ou dinastias, mas por grandes “ondas” que representaram momentos de mudanças tecnológicas e sociais.

Para Toffler, uma “onda” ocorre quando uma nova tecnologia ou forma de produzir riqueza colide com a sociedade, transformando modelos econômicos, as relações interpessoais, a forma de produção cultural e até mesmo a maneira como vivemos. As três ondas que Toffler apresentou, resumidamente, foram:

1ª Onda: A Revolução Agrícola – Iniciada há cerca de 10 mil anos, representou a transição do nomadismo para o sedentarismo. Caracterizou-se pelo domínio da agricultura e do pastoreio, onde a terra era a principal fonte de riqueza e poder.

2ª Onda: A Revolução Industrial – iniciada no final do século XVIII (Inglaterra) e que dominou os séculos XIX e XX. Os motores da mudança foram: a máquina a vapor, os combustíveis fósseis e a produção em massa.

3ª Onda: A Era da Informação – emergiu na metade do século XX (década de 1950/1960), cujos motores da mudança foram: o computador, a internet, a biotecnologia.

Ao encerrarmos o primeiro quarto do século XXI, uma ferramenta tecnológica demonstra estar revolucionando o cotidiano da sociedade e, ao mesmo tempo, desafiando nada menos do que a própria inteligência humana: a Inteligência Artificial (IA).

Diante desse cenário, então, surge uma indagação: em que medida o comunicado emitido pelo Five Eyes sobre IA faz soar o alarme para uma quarta onda?

Seria o Mythos, da Anthropic, a corrente de vento que começa a agitar os “mares da tecnologia”, os mesmos que conectam as nações por meio de uma navegação entre bits e bytes?

2) A Inteligência e o alarme

Five Eyes significa a aliança existente entre as Agências de Inteligência dos seguintes países: Austrália, Canadá, Nova Zelândia, Reino Unido e Estados Unidos da América (EUA), e representa, em última instância, a extensão do antigo projeto Echelon (vide livro Contra & Inteligência, 2024, pág. 83).

Em 22/06/2026, agências de cibersegurança ligadas ao Five Eyes emitiram um comunicado conjunto que denotou ser um alerta quanto à rápida obsolescência dos recursos tradicionais de cibersegurança, indicando que o avanço dos modelos de IA de Fronteira pode reduzir significativamente a marcha do tempo em relação à validade de premissas que orientam a cibersegurança tradicional.

Segundo o Five Eyes, as alterações tecnológicas que anteriormente eram esperadas ao longo de anos poderão ocorrer em poucos meses, exigindo maior capacidade de adaptação por parte das organizações públicas e privadas.

Em síntese, Agências de Inteligência anunciaram que ferramentas de IA estão incorporando novas e mais potentes capacidades de encontrar e explorar vulnerabilidades, cada vez mais rapidamente. Ou seja, a marcha do tempo foi acelerada pela IA reduzindo a janela temporal entre o surgimento de uma vulnerabilidade e sua exploração prática.

O alerta baseia-se na rápida evolução dos modelos de IA, que demonstram capacidades para executar, com elevado grau de automação e velocidade, atividades que tradicionalmente exigiam equipes altamente especializadas. Entre elas destacam-se:

‒        o reconhecimento técnico de infraestruturas digitais, mediante o mapeamento automatizado de ativos físicos e serviços;

‒        a identificação e correlação de vulnerabilidades em softwares, sistemas operacionais e aplicações;

‒        a análise de grandes volumes de dados para identificação de padrões, anomalias e oportunidades de exploração; e

‒        a priorização de vetores de ataque e o apoio à tomada de decisão em operações defensivas ou ofensivas no domínio cibernético.

Tarefas que antes dependiam predominantemente de operadores dedicados passam a ser executadas com maior velocidade e escala por sistemas baseados em IA, que, entre outras capacidades, podem reduzir barreiras técnicas para agentes maliciosos, ampliando a velocidade, a automação e a complexidade das operações cibernéticas.

O cenário torna-se ainda mais complexo porque amplia a capacidade operacional tanto de grupos criminosos independentes ou de atores patrocinados por Estados, tornando os ataques mais frequentes, adaptáveis e difíceis de serem detectados.

Embora muitas das recomendações já integrem as boas práticas consolidadas da cibersegurança, tal como a sempre sugerida redução da superfície de ataque, o Five Eyes orienta para que as organizações adotem estratégias baseadas em resiliência operacional, partindo do pressuposto de que incidentes de segurança poderão ocorrer.

Entre as medidas sugeridas estão:

‒        incorporação da IA para as operações defensivas;

‒        modernização de infraestruturas legadas;

‒        cadência de patching;

‒        fortalecimento dos controles de acesso e a aplicação do princípio do menor privilégio; e

‒        aprimoramento das capacidades de detecção, contenção e resposta a incidentes.

O alerta também evidencia uma mudança na dinâmica da cibersegurança. Se, nas últimas décadas, a evolução das defesas ocorreu por meio de melhorias graduais, a IA tende a reduzir significativamente os ciclos de inovação, exigindo revisões mais frequentes das arquiteturas de segurança, dos processos de governança e das estratégias de gestão de riscos. Nesse contexto, a capacidade de adaptação contínua passa a ser um componente essencial da postura de segurança das organizações.

A terminologia IA de Fronteira tornou-se mundialmente reconhecida na Cúpula de Bletchley Park, em novembro de 2023, também conhecida como Artificial Intelligence Safety Summit. Segue-se a sua definição:

2.1 What do we mean by frontier AI models?

For the purposes of this paper, we define “frontier AI models” as highly capable foundation models2 that could exhibit sufficiently dangerous capabilities. Such harms could take the form of significant physical harm or the disruption of key societal functionson a global scale, resulting from intentional misuse or accident [25, 26]. It would be prudent to assume that next-generation foundation models could possess advanced enough capabilities to qualify as frontier AI models, given both the difficulty of predicting when sufficiently dangerous capabilities will arise and the already significant capabilities of today’s models.[1] (grifei)

3) Quem é Mythos 5?

O Mythos 5 é um modelo de IA de Fronteira desenvolvido pela empresa Anthropic, pertencendo à mesma linhagem e geração do Claude.

Enquanto o Claude Fable 5 é a versão comercial e distribuída para o público e empresas, o Claude Mythos 5, como “irmão gêmeo” do Fable 5, compartilha a mesma base de dados, porém com modificações especificamente para defesa técnica avançada.

O Mythos, como modelo de testes controlados, encontrava-se enclausurado dentro de uma sandbox, uma espécie de prisão digital. Ao operar fora dessa sandbox, em pouco tempo, o Mythos encontrou centenas de falhas em sistemas operacionais, tal como o OpenBSD, navegadores, vulnerabilidades zero-day em softwares, além de bugs no Linux, inconsistências essas antes desconhecidas pelas comunidades de cybersegurança.

Essas descobertas, segundo o governo norte-americano, foram entendidas como potencialmente graves à segurança nacional dos EUA, resultando, em 12/06/2025, na diretriz de controle de exportação do Departamento de Comércio dos EUA que exigiu a suspensão imediata do acesso aos dois modelos por qualquer cidadão estrangeiro, tanto fora quanto dentro dos EUA, incluindo os próprios funcionários estrangeiros da Anthropic.

Como consequência, a Anthropic informou que, diante da dificuldade operacional de verificar, em tempo real, a nacionalidade de todos os usuários, optou por desabilitar temporariamente os modelos para toda a sua base de clientes. Segundo a Anthropic, o governo norte-americano não apresentou detalhes técnicos sobre a preocupação de segurança. A empresa declarou entender que a decisão estaria relacionada à existência de um método capaz de contornar (“jailbreak”) determinadas salvaguardas do modelo Fable 5, permitindo sua utilização para identificar vulnerabilidades de softwares.

Segundo a Anthropic, o Mythos 5 estava restrito a um conjunto limitado de organizações participantes do programa Project Glasswing, voltado para defesa cibernética e proteção de infraestruturas críticas.

A preocupação do governo norte-americano, em relação ao Mythos, seria decorrente do alerta de pesquisadores da Amazon que usaram prompts para fazer o Fable 5 fornecer informações supostamente proibidas e que poderiam auxiliar ciberataques.

Em suma, a determinação de suspensão, segundo o governo dos EUA, se deve ao potencial do modelo para acelerar a identificação de vulnerabilidades em softwares complexos, fortalecendo atividades defensivas, como auditorias de segurança e identificação preventiva de falhas. Entretanto, o mesmo modelo poderia ser empregado para apoiar agentes maliciosos a conduzirem operações ofensivas.

4) Reflexões críticas para a cybersegurança

Embora o comunicado do Five Eyes não mencione diretamente a Anthropic ou o Mythos, ambos os episódios convergem para uma mesma preocupação estratégica: o rápido aumento das capacidades ofensivas e defensivas proporcionadas pelos modelos de IA de Fronteira.

A metáfora da “quarta onda” parece ganhar consistência justamente porque os elementos disruptivos dessa transformação não decorrem apenas da evolução tecnológica em si, mas da velocidade com que os modelos de IA de Fronteira passam a alterar o equilíbrio entre ataque e defesa no domínio cibernético, com consequência diretas nas relações socioeconômicas.

A principal mensagem do comunicado é que modelos cada vez mais avançados tendem a acelerar a descoberta de vulnerabilidades, reduzir barreiras técnicas para agentes maliciosos e encurtar significativamente o ciclo de eficácia das arquiteturas tradicionais de cibersegurança.

O caso Mythos 5 da Anthropic representa um exemplo concreto para esse cenário de evolução tecnológica. Ao que tudo indica, em vez de tratar o risco apenas sob uma perspectiva teórica, o governo norte-americano passou a considerar determinados modelos de IA como ativos estratégicos, submetendo-os a mecanismos de controle compatíveis com tecnologias sensíveis de interesse para a segurança nacional, não distante do próprio espectro militar.

Sob essa perspectiva, os dois episódios (Five Eyes e Anthropic) sinalizam uma possível mudança de paradigma. A IA deixa de ser percebida apenas como uma ferramenta de inovação tecnológica e passa a integrar, de forma crescente e dual (civil e militar), as agendas de segurança nacional, governança tecnológica e competição estratégica entre Estados.

Não por acaso, CEOs de gigantes tecnológicas como o Google, OpenAI e a Anthropic estiveram presentes na última reunião do G7, realizada na cidade francesa de Évian-les-Bains, em junho de 2026, coincidentemente dias antes do comunicado das Agências de Inteligência. A ocasião foi marcada por uma deliberação conjunta voltada para o estabelecimento de diretrizes de governança para a IA, com ênfase na proteção de menores em plataformas online.

5) Conclusão parcial

Na medida em que essa nova onda tecnológica ganha forma, a atuação das Agências de Inteligência com projeção global, como o Five Eyes, torna ainda mais relevante o acompanhamento desse fenômeno sob a perspectiva da Inteligência Estratégica e da Contrainteligência Corporativa.

Até recentemente, as preocupações relacionadas à espionagem empresarial concentravam-se na proteção de pessoas, documentos, sistemas e redes. A rápida evolução dos modelos de IA, contudo, introduz uma nova categoria de ativo estratégico: a própria capacidade computacional de acelerar a identificação de vulnerabilidades, de ampliar a produção de conhecimentos técnicos especializados e de influenciar diretamente a vantagem competitiva de Estados e organizações privadas.

Nesse contexto, observa-se também o fortalecimento do que a Bravus Consultoria cita como sendo o Complexo Industrial da Inteligência (vide Contra & Inteligência, 2024, p. 104), caracterizado pela crescente integração entre governos, empresas de tecnologia, universidades, centros de pesquisa e organizações de defesa na disputa por capacidades críticas na Atividade de Inteligência e agora, mais do que nunca, em IA.

Se Alvin Toffler identificou três grandes ondas de transformação da civilização, os acontecimentos recentes sugerem que a IA poderá representar a força motriz de uma quarta onda, cujos efeitos extrapolam o ambiente tecnológico para alcançar a geopolítica, a segurança nacional e, por conseguinte, a contrainteligência corporativa.

Se essa interpretação estiver correta, talvez o alerta do Five Eyes não deva ser compreendido apenas como mais um Relatório de Inteligência (RELINT) sobre cibersegurança, mas como um dos primeiros sinais institucionais de que a IA inaugura uma nova fronteira de competição estratégica entre Estados, empresas e organizações.

Luis Fernando Baptistella

Capitão de Mar e Guerra (Vet.)

Diretor da Bravus Consultoria || Consultor em Inteligência e Contrainteligência

Autor dos livros Contra & Inteligência 4.0 e Counter & Intelligence 4.0

Pós-graduado em Inteligência Estratégica

Fontes consultadas:

https://www.cisa.gov/news-events/news/five-eyes-cyber-security-agencies-statement

Eric Geller – https://www.cybersecuritydive.com/news/ai-cyberattacks-five-eyes-frontier-models-warning/823526/

Pieter Arntz – https://www.malwarebytes.com/blog/ai/2026/06/claude-fable-5-and-mythos-5-abruptly-disabled-after-us-gov-deems-them-too-clever?utm_source=iterable&utm_medium=email&utm_campaign=b2c_pro_oth_20260622_juneweeklynewsletter_v4_178177982315&utm_content=Claude_logo

Bloqueios da Anthropic vieram após alerta da Amazon – CISO Advisor

Professor Danilo Gato – @odanilogato

Nota de Esclarecimento: Embora este artigo de opinião seja fundamentado nas referências citadas, o conceito de Quarta Onda, com base em Alvin Toffler, no que tange à Atividade de Inteligência e à Cybersegurança, é uma tese autoral desenvolvida pelo autor através de pesquisas e estudos próprios. Os direitos sobre esta metodologia/abordagem específica são reservados.

[1] Disponível em https://arxiv.org/abs/2307.03718.

Fonte: https://www.linkedin.com/pulse/quarta-onda-intelig%25C3%25AAncia-artificial-seguran%25C3%25A7a-e-nova-baptistella-xloif/

O setor financeiro global enfrenta uma crise sem precedentes na segurança digital, onde pagar o resgate de dados sequestrados virou a regra, não a exceção. Nos últimos 12 meses, 79% das instituições financeiras que sofreram ataques cibernéticos optaram por pagar os criminosos para recuperar seus sistemas. O dado alarmante faz parte de um novo estudo da Cohesity, empresa líder em segurança de dados com Inteligência Artificial, que ouviu 390 tomadores de decisão de TI e segurança em grandes corporações da América do Sul, América do Norte, Europa e Ásia.

O levantamento traça um diagnóstico severo sobre a vulnerabilidade do mercado: 77% das empresas financeiras globais já foram vítimas de cibercriminosos, sendo que mais da metade (57%) foi alvo de investidas apenas no último ano. O impacto financeiro e reputacional é quase inevitável, com 87% das organizações registrando perdas diretas de receita e 93% enfrentando severas consequências regulatórias ou legais após as invasões.

Apesar do cenário de terra arrasada, a pesquisa revela uma desconexão preocupante entre a realidade dos ataques e a percepção de segurança das lideranças. O cenário atual exige uma mudança profunda de postura, já que as ameaças deixaram de ser eventos isolados para se tornarem uma constante no ambiente digital, com frequência e sofisticação cada vez maiores.

• Confiança em alta: Mesmo com uma em cada quatro empresas sendo atacada repetidamente, 46% dos entrevistados afirmam ter total confiança em suas estratégias de resiliência.
• O fator IA: A Inteligência Artificial surge como a grande aposta de defesa para 39% dos executivos, que acreditam que a tecnologia assumirá um papel central na detecção de ameaças e na tomada de decisões autônomas, otimizando a eficiência das equipes internas e do SOC (Security Operations Center) na resposta a incidentes.

A Estratégia da Sobrevivência: Organização Mínima Viável (MVC)

Diante do consenso de que é praticamente impossível blindar as empresas contra todos os tipos de ameaças, o mercado financeiro passou a adotar uma nova filosofia de sobrevivência: o conceito de Minimum Viable Company (MVC), ou Organização Mínima Viável.

Em vez de gastar energia e tempo tentando reerguer toda a infraestrutura tecnológica de uma só vez após um apagão cibernético, o foco da estratégia MVC muda drasticamente. A prioridade máxima passa a ser a recuperação estritamente essencial. O objetivo é colocar de pé a menor versão funcional possível da empresa, garantindo que o negócio continue operando (mesmo que de forma limitada ou sob condições degradadas) até que a crise seja totalmente controlada.

Medidas Práticas: O Caminho para a Resiliência

Para enfrentar o aumento dessas ameaças, viabilizar a estratégia de MVC e reduzir vulnerabilidades críticas, a Clavis Segurança da Informação destaca medidas prioritárias, com foco no SOC, voltadas à proteção e rápida recuperação do ambiente digital corporativo:

Treinamento de Colaboradores: A capacitação contínua transforma o elo mais fraco em defesa activa, reduzindo drasticamente a eficácia de ataques de phishing e engenharia social.

Controle de Identidade: A adoção de Autenticação Multifator (MFA) é a barreira mais eficiente para impedir que credenciais roubadas permitam o acesso indevido a dados sensíveis.

Monitoramento e Auditoria: O acompanhamento em tempo real permite detectar anomalias rapidamente, enquanto auditorias frequentes corrigem vulnerabilidades antes que sejam exploradas por criminosos.

Automação de Segurança: O uso de ferramentas automatizadas acelera a resposta a incidentes e reduz a janela de exposição de falhas críticas, que pode superar 55 dias.

Backup e Recuperação: Manter cópias de segurança isoladas e planos de recuperação testados garante a continuidade do negócio e protege a empresa contra extorsões digitais.

A segurança de redes corporativas consolida-se como um pilar indispensável para a estabilidade e o crescimento sustentável no mercado brasileiro. Com ameaças cada vez mais ágeis e onerosas, investir em um ecossistema que integre soluções tecnológicas, processos automatizados e conscientização humana deixa de ser uma demanda técnica para se tornar um diferencial competitivo estratégico.

Ataques com ransomwares fizeram 791 vítimas no mês de maio, numa leve diminuição de 9,1% em comparação aos 870 registrados em abril. Os dados são da plataforma Ransomware.live, iniciativa de Julien Mousqueton, especialista em cibersegurança e executivo da Cohesity, empresa líder em segurança de dados com IA.

O site monitora e coleta dados de sites de vazamento de grupos de ransomware continuamente para identificar e listar novas vítimas. Ransomwares são softwares maliciosos que bloqueiam o acesso de usuários ou organizações, exigindo pagamento de resgate para restauração, sob a ameaça de vazamento ou exclusão permanente.

Olhando para os últimos 12 meses, a atividade permanece substancialmente elevada. O número de maio está bem acima da faixa de 501 a 598 vista entre junho e setembro, e somente um pouco abaixo do pico recente de 882 em dezembro. “A queda de 9,1% em relação a abril é estatisticamente notável, mas não deve ser interpretada como evidência de uma queda sustentada”, analisa Gustavo Leite, vice-presidente da Cohesity para América Latina e Caribe.

Apesar desse recuo, o cenário de ameaças permaneceu dinâmico, diz. “Quatro grupos divulgaram suas primeiras vítimas em maio, e nove agentes novos apareceram em sites de vazamento. Isso sinaliza a fragmentação contínua do ecossistema de ‘ransomware-as-a-service’, quando desenvolvedores profissionais alugam ou vendem sua infraestrutura para outros hackers”.

Segundo Leite, o surgimento de nove atores em um mês reflete a fragmentação do ecossistema, onde afiliados mudam de nome ou se separam de grandes operações. Apesar desse influxo, 15 grupos antes ativos ficaram inativos em maio. “Embora novas operações surjam, muitas são efêmeras devido à pressão policial, dissolução interna ou mudança de identidade”, destaca.

Países e setores mais afetados

Os Estados Unidos seguiram como o país mais afetado, representando 309 das 791 vítimas (39,1%). O Reino Unido (49 vítimas) e a Alemanha (41 vítimas) ocuparam o segundo e o terceiro lugares, respectivamente. O Canadá (32), a Espanha (23) e o Japão (17), aparecem em seguida, antes de Austrália (20), México (16) e França (16).

O mercado B2B continuou sendo o mais visado, com 160 vítimas. O setor de manufatura registrou 103 casos, seguido pelos setores de tecnologia (71) e saúde (68). “O alto volume registrado constantemente no setor de saúde ressalta a persistente atratividade do setor para operadores de ransomware que buscam alvos com alto potencial de exploração”, diz o executivo.

O vice-presidente da Cohesity para América Latina e Caribe também chamou a atenção para os 39 casos no setor de agricultura e produção de alimentos. “Ataques a esse setor têm aumentado, numa tendência que merece atenção, dadas as implicações para a infraestrutura crítica das cadeias de suprimentos de alimentos”, disse. O setor de educação figurou pela primeira vez no ranking dos dez principais setores neste mês, com 28 vítimas.

Números do site Ransomware.live são divulgados todos os meses pela Cohesity, que conta com a confiança de clientes em mais de 140 países, incluindo 70% da Fortune Global 500.

Ataques com ransomware nos últimos 12 meses:

• Maio – 791
• Abril – 870
• Março – 844
• Fevereiro – 784
• Janeiro – 702
• Dezembro de 2025 – 882
• Novembro – 717
• Outubro – 839
• Setembro – 598
• Agosto – 530
• Julho – 547
• Junho – 501

Setores com ransomwares mais afetados em maio:

1. Mercado B2B – 160
2. Manufatura – 103
3. Tecnologia – 71
4. Saúde – 68
5. Serviços ao consumidor – 52
6. Agricultura e produção de alimentos – 39
7. Transportes/logísticas – 35
8. Serviços financeiros – 34
9. Construção – 32
10. Educação – 28

Países mais afetados por ataques com ransomwares em maio:

1. Estados Unidos – 309
2. Reino Unido – 49
3. Alemanha – 41
4. Canadá – 32
5. Espanha – 23
6. Austrália – 20
7. Itália – 20
8. Japão – 17
9. França – 16
10. México – 16

Os pesquisadores de ameaças da Gen (NASDAQ: GEN), líder global na promoção da liberdade digital por meio de um portfólio de marcas confiáveis que inclui Norton, Avast, LifeLock e MoneyLion, entre outras, identificaram uma sofisticada campanha de fraude que utiliza falsas ofertas de emprego e processos de recrutamento aparentemente legítimos para roubar credenciais de acesso dos usuários e obter informações sensíveis. Os criminosos exploram a reputação de organizações e marcas amplamente reconhecidas, assim como o interesse gerado por grandes acontecimentos internacionais, para dar maior credibilidade aos seus golpes.

Entre os exemplos analisados, foram encontrados sites que se passavam pela FIFA e por outras entidades e marcas vinculadas a um dos eventos esportivos mais aguardados de 2026. No entanto, os pesquisadores também observaram tentativas semelhantes que utilizavam a imagem de empresas reconhecidas de diferentes setores para gerar confiança nos usuários.

A investigação revelou que os criminosos não se limitam a publicar vagas falsas. Em muitos casos, eles constroem processos completos de contratação que incluem perfis falsos de recrutadores, alguns deles baseados em fotografias e informações de profissionais reais disponíveis publicamente em plataformas como o LinkedIn. Além disso, enviam convites de calendário e direcionam as vítimas para sites projetados para imitar páginas legítimas de recrutamento.

Os pesquisadores alertam que uma página de emprego com aparência profissional não garante que seja autêntica. Os cibercriminosos podem copiar logotipos, fotografias, descrições de vagas e até botões de login de sites legítimos para criar páginas fraudulentas altamente convincentes. Além disso, o uso de ferramentas de inteligência artificial facilitou a criação desse tipo de sites maliciosos, tornando-os cada vez mais difíceis de detectar.

Uma vez no site, os usuários são convidados a iniciar sessão por meio de opções conhecidas, como o acesso com o Google. No entanto, por trás dessas páginas há formulários criados para capturar credenciais e outras informações sensíveis. Os pesquisadores observaram que algumas campanhas rejeitavam contas pessoais e solicitavam especificamente contas corporativas, com o objetivo de obter acesso a sistemas internos, arquivos e outros recursos empresariais.

“A engenharia social tornou-se cada vez mais sofisticada. Os cibercriminosos já não dependem apenas de e-mails suspeitos ou mensagens mal redigidas; agora são capazes de replicar processos completos de recrutamento, inclusive com ajuda da IA, e aproveitar a confiança gerada por marcas e organizações reconhecidas. Isso transforma as falsas ofertas de emprego em uma ameaça especialmente perigosa, já que as vítimas acreditam estar diante de uma oportunidade profissional legítima quando, na realidade, estão entregando acesso a informações valiosas”, afirma Iskander Sanchez-Rola, Diretor Sênior de IA e Inovação na Norton.

Os pesquisadores também descobriram que, uma vez que uma página maliciosa é removida, os criminosos geralmente registram novos domínios para dar continuidade à campanha. Essa capacidade de adaptação dificulta a detecção e permite que as ameaças permaneçam ativas por mais tempo.

Desde 1º de maio de 2026, os produtos da Gen, incluindo Norton, bloquearam mais de 250 ataques relacionados a essas campanhas, embora os especialistas alertem que o alcance real pode ser maior devido à constante evolução das táticas utilizadas pelos cibercriminosos.

Para ajudar os usuários a identificar esse tipo de ameaça, os especialistas da Norton recomendam:

• Desconfiar de ofertas de emprego inesperadas ou excessivamente atraentes.
• Verificar se as vagas provêm de sites oficiais e prestar atenção ao endereço do site.
• Confirmar a legitimidade dos recrutadores antes de fornecer informações pessoais.
• Evitar inserir credenciais em páginas acessadas por links recebidos por e-mail ou aplicativos de mensagens.
• Suspeitar de qualquer processo de recrutamento que solicite credenciais corporativas ou informações sensíveis em etapas iniciais.
• Confirmar a existência da vaga diretamente nos canais oficiais da organização.
• Utilizar ferramentas de cibersegurança, como o Norton 360 com Norton Scam Protection, que utiliza inteligência artificial para ajudar a detectar tentativas de phishing e sites fraudulentos antes que comprometam informações pessoais ou credenciais de acesso.

À medida que as campanhas de fraude evoluem, a combinação entre engenharia social e o uso indevido de marcas reconhecidas continua se tornando uma das ferramentas mais eficazes para os cibercriminosos. Manter uma postura crítica e verificar cada etapa do processo pode ajudar a diferenciar uma oportunidade legítima de uma fraude projetada para comprometer informações pessoais e corporativas.

Sobre a Gen

A Gen (NASDAQ: GEN) é uma empresa global dedicada a impulsionar a Liberdade Digital por meio de suas marcas de consumo confiáveis, incluindo Norton, Avast, LifeLock, MoneyLion e outras. A família de marcas da Gen tem como base a oferta de segurança cibernética e empoderamento financeiro para as primeiras gerações digitais. Hoje, a Gen capacita as pessoas a viverem suas vidas digitais com segurança, privacidade e confiança para as gerações futuras. A Gen oferece produtos e serviços premiados em cibersegurança, privacidade online, proteção de identidade e bem-estar financeiro para quase 500 milhões de usuários em mais de 150 países. Saiba mais em GenDigital.com.

Sobre os Laboratórios de Ameaças da Gen

Os Laboratórios de Ameaças da Gen representam a equipe de pesquisa e tecnologia de Segurança Cibernética dentro da Gen, focada em descobrir e analisar as mais recentes ameaças digitais e golpes em todo o mundo. Com base em dados, pesquisa e experiência técnica, a equipe mapeia padrões e riscos que moldam um cenário de ameaças em constante evolução. Essas descobertas impulsionam tecnologias de segurança que protegem as pessoas em todo o portfólio de marcas confiáveis da Gen, incluindo Norton, Avast e LifeLock, entre outras.

Sobre a Norton

A Norton é líder em cibersegurança e faz parte da Gen (NASDAQ: GEN), empresa global dedicada a promover a Liberdade Digital por meio de um portfólio de marcas confiáveis para o consumidor. A Norton capacita milhões de pessoas e famílias com proteção premiada para seus dispositivos, privacidade online e identidade digital. Os produtos e serviços da Norton são certificados por organizações independentes de testes, incluindo AV-TEST, AV-Comparatives e SE Labs. A Norton também é membro fundadora da Coalition Against Stalkerware. Saiba mais em https://br.norton.com

Os cibercriminosos agora visam os serviços financeiros mais do que qualquer outro setor para ataques de negação de serviço distribuída (DDoS) na web e em APIs (camadas 3 e 4), revela a Akamai (NASDAQ: AKAM) em seu relatório State of the Internet (SOTI) intitulado AI-Empowered Botnets and API Visibility Gaps: Attack Trends in Financial Services. As descobertas revelam uma mudança perigosa à medida que hacktivistas pró-Irã e bots impulsionados por IA usam táticas de DDoS para interromper serviços bancários online, sistemas de pagamento e aplicações críticas.

Impulsionada por infraestruturas alimentadas por IA, a duração média dos ataques globais de DDoS das camadas 3 e 4 direcionados ao setor de serviços financeiros aumentou 738% desde 2024. Isso mostra que, embora a transformação digital tenha permitido avanços como serviços bancários online e pagamentos em tempo real, ela também facilitou as invasões.

Algumas descobertas importantes do relatório:

• Entre os líderes de serviços financeiros entrevistados no Estudo sobre o impacto da segurança de APIs de 2026, 96% relataram pelo menos um incidente com a segurança de APIs nos últimos 12 meses, o índice mais alto entre todos os setores.

• Em 2025, 60% do total de ataques na web e 83% das incursões contra pontos de extremidade de APIs visaram serviços bancários.

• Quase 80% das instituições financeiras enfrentaram ataques de ransomware nos últimos dois anos, mas menos da metade adotou tecnologias avançadas de segurança.

• A atividade avançada de bots aumentou 147% no final de 2025 e, em um estudo de caso, impressionantes 96% de todo o tráfego de websites foram identificados como bots de scraping mal-intencionados.

• Os métodos de ataques cibernéticos contra serviços financeiros variam significativamente de acordo com a região: a EMEA é o principal alvo de DDoS das camadas 3 e 4 (62%), a APAC é a mais visada por DDoS da camada 7 (52%) e, na América do Norte, os ataques na web são os mais predominantes (44%).

“Os cibercriminosos e hacktivistas continuam impulsionando os ataques de DDoS, transformando-os em uma ameaça constante, e os serviços financeiros estão na mira”, afirma Steve Winterfeld, CISO consultivo da Akamai. “Além disso, os dados mostram que as APIs são cada vez mais visadas, pois a IA não reduz os riscos de segurança tradicionais, ela os amplifica. Felizmente, as organizações de serviços financeiros podem aproveitar as estratégias de segurança e as práticas recomendadas detalhadas neste relatório.”

O relatório também mostra tendências baseadas em dados sobre atividades criminosas, a participação do CISO da FS-ISAC, um destaque de segurança sobre recursos MITRE, um destaque de nuvem sobre as diferenças entre arquiteturas de IA e estratégias práticas de mitigação de ataques de DNS e DDoS.

Já em seu 12º ano, os relatórios SOTI Security da Akamai continuam oferecendo insights críticos sobre tendências de cibersegurança e desempenho na web, extraídos de ataques observados na infraestrutura protetiva de cibersegurança da Akamai, que lida com uma parcela significativa do tráfego global da web.

Sobre a Akamai

A Akamai é a empresa de cibersegurança e computação em nuvem que potencializa e protege negócios online. Nossas soluções de segurança líderes de mercado, inteligência avançada contra ameaças e equipe de operações globais oferecem defesa em profundidade para garantir a segurança de dados e aplicações empresariais em todos os lugares. As abrangentes soluções de computação em nuvem da Akamai oferecem desempenho e acessibilidade na plataforma mais distribuída do mundo. Empresas globais confiam na Akamai para obter a confiabilidade, a escala e a experiência necessárias para expandir seus negócios com confiança. Saiba mais em akamai.com e akamai.com/blog, ou siga a Akamai Technologies no X e no LinkedIn.

O setor elétrico brasileiro enfrenta um cenário cada vez mais desafiador no campo da cibersegurança. Somente no primeiro semestre de 2025 foram registradas mais de 535 mil tentativas de ataques cibernéticos contra empresas do segmento, segundo dados da Energy Future. O avanço das ameaças ocorre em um momento em que o Brasil figura entre os países mais visados por malwares na América Latina, enquanto ataques de ransomware seguem crescendo globalmente. Para especialistas, o volume de ocorrências expõe a vulnerabilidade de uma infraestrutura considerada essencial para o funcionamento da economia e dos serviços públicos.

Para Cláudio Calonge, CEO da Briskcom, empresa com mais de duas décadas de atuação em tecnologia e adequação regulatória para o setor elétrico, o aumento das tentativas de invasão demonstra que a proteção digital deixou de ser uma questão exclusivamente tecnológica e passou a ser um tema estratégico para a continuidade das operações. “A cibersegurança não é mais uma opção, mas uma exigência inegociável para garantir a continuidade e a segurança do fornecimento de energia. O setor precisa adotar uma postura preventiva e entender que a resiliência operacional depende diretamente da maturidade dos seus processos de proteção digital”, afirma.

O risco vai além da interrupção de sistemas. Estudos internacionais mostram que ataques de ransomware ao setor de energia podem gerar prejuízos milionários, considerando paralisação operacional, perda de produtividade, custos de recuperação e danos reputacionais. Em um ambiente cada vez mais conectado e dependente de dados, falhas de segurança podem afetar desde operações de geração e transmissão até processos críticos de monitoramento e tomada de decisão.

A preocupação não é apenas teórica. Em 2024, o Operador Nacional do Sistema Elétrico conseguiu bloquear aproximadamente 539 milhões de ataques cibernéticos, evidenciando a intensidade da atividade criminosa direcionada à infraestrutura energética. Ao mesmo tempo, relatórios recentes apontam que parte relevante dos agentes ainda opera com sistemas legados e enfrenta dificuldades para alcançar os níveis de adequação exigidos pelas normas do setor. O próprio Tribunal de Contas da União já alertou para vulnerabilidades regulatórias e de fiscalização, reforçando a necessidade de investimentos contínuos em proteção digital e gestão de riscos.

Nesse contexto, Calonge avalia que o principal desafio dos próximos anos será transformar a cibersegurança em uma cultura permanente dentro das organizações. Segundo ele, não basta investir em ferramentas se os processos não evoluírem na mesma velocidade das ameaças. “O setor elétrico precisa compreender que cada vulnerabilidade pode representar riscos que ultrapassam os limites de uma única empresa e impactam toda a cadeia de fornecimento de energia. As melhorias precisam ser implementadas com rigor técnico e visão de longo prazo para proteger não apenas os negócios, mas também a estabilidade de um serviço essencial para a sociedade”, conclui.

The dark web is often misunderstood, but it plays an important role in both privacy technology and cybercrime activity. In this episode, Tom Eston speaks with cybersecurity researcher and educator John Hammond about what the dark web actually is and how it has evolved in recent years. The discussion covers underground marketplaces, ransomware leak sites, […]

The post The Dark Web Explained with John Hammond appeared first on Shared Security Podcast.

The post The Dark Web Explained with John Hammond appeared first on Security Boulevard.

Neste ano, o Brasil sofreu mais de 315 bilhões de tentativas de ataque cibernético apenas no primeiro semestre — número que representa cerca de 84% de todo o tráfego malicioso registrado na América Latina no período, de acordo com um levantamento da Fortinet divulgado em agosto passado. Com adversários fazendo uso crescente de IA para conduzir campanhas de phishing, ataques DDoS e exploração de vulnerabilidades em ambientes híbridos e multicloud, líderes de segurança corporativa se veem diante de uma encruzilhada: manter o SOC (Security Operations Center) da forma como está ou apostar em novas tecnologias e formas de trabalho que respondam à nova realidade.

Grupos criminosos adotam táticas avançadas e combinam técnicas de Advanced Persistent Threat (APT) com ferramentas de IA para driblar as defesas tradicionais. Golpes que envolvem deepfakes ou phishing automatizado por IA tornam cada vez mais difícil distinguir o legítimo do malicioso. Ao mesmo tempo, a superfície de ataque das organizações se expandiu dramaticamente. Com ambientes de TI híbridos e multicloud, centenas de novos serviços e integrações são adicionados constantemente aos ecossistemas corporativos, abrindo brechas que muitas vezes são difíceis de monitorar.

O problema é que grande parte dos SOCs atuais foi concebida para um contexto em que as ameaças eram baseadas em assinatura e o volume de eventos era controlável. Hoje, porém, a multiplicação de fontes de telemetria, tais como endpoints, nuvens, APIs, identidades, dispositivos IoT e aplicações SaaS, faz com que o volume de logs cresça de forma exponencial.

Não se trata apenas de mais dados, mas de dados de naturezas distintas, com diferentes formatos, níveis de granularidade e relevância operacional. Ferramentas modernas de detecção e monitoramento, como EDRs, XDRs e soluções de observabilidade, coletam informações em tempo real e geram fluxos contínuos de telemetria que precisam ser correlacionados com ameaças conhecidas e comportamentos anômalos. Sem uma arquitetura de dados e automação adequadas, esse ecossistema torna-se difícil de orquestrar – e o SOC passa a lidar menos com ruído e mais com complexidade analítica. O desafio, portanto, deixou de ser filtrar falsos positivos e passou a ser transformar grandes volumes de logs em inteligência acionável com velocidade e contexto.

E, quando os adversários passam a empregar IA para criar malwares praticamente indetectáveis, um SOC calcado apenas em esforço humano não consegue escalar na mesma proporção do risco. O resultado é um descompasso perigoso entre a capacidade defensiva e a velocidade com que as ameaças modernas atuam, evidenciando que manter o status quo não é mais sustentável.

Uma das principais transformações em curso é a adoção do modelo de SOC as a Service, que redefine a forma como as empresas estruturam sua defesa cibernética. Diferente do modelo híbrido ou totalmente interno, o SOCaaS oferece monitoramento, detecção e resposta a incidentes 24×7 por meio de uma plataforma escalável e baseada em nuvem, administrada por especialistas em cibersegurança.

Esse formato elimina a necessidade de manter infraestrutura local pesada e reduz o tempo de implantação, ao mesmo tempo em que garante acesso contínuo a tecnologias e analistas altamente especializados.

Ao integrar telemetria proveniente de múltiplas camadas, o SOC as a Service consolida os eventos em um único datalake de análise, aplicando correlação e contextualização automatizadas com apoio de SOAR e machine learning. Assim, os alertas deixam de ser tratados de forma isolada e passam a compor narrativas completas de ataque, permitindo uma visão tática e antecipada das ameaças.

Essa automação nativa reduz drasticamente o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR), pontos críticos para conter ataques modernos que podem se propagar em minutos.

Outro benefício do modelo é a atualização contínua da inteligência de ameaças. Fornecedores de SOCaaS normalmente operam com bases globais de threat intelligence, alimentadas por fontes de ciberinteligência regionais e internacionais.

Essa atualização constante amplia a visibilidade sobre novas campanhas maliciosas, técnicas de exploração e indicadores de comprometimento (IoCs), garantindo que o ambiente corporativo permaneça protegido mesmo diante de vetores inéditos. Ao mesmo tempo, as plataformas de SOCaaS modernas integram recursos de análise comportamental (UEBA) e aprendizado contínuo, permitindo identificar padrões anômalos e prevenir movimentos laterais antes que evoluam para incidentes graves.

Mais do que uma modernização tecnológica, a adoção de modelos de SOC as a Service representa um novo paradigma de defesa cibernética. O CISO que ainda vê o SOC apenas como um centro de monitoramento precisa agora encará-lo como um núcleo de inteligência e antecipação, sustentado por automação, correlação de dados e aprendizado de máquina.

Os ataques de ransomware estão longe de desacelerar. No último ano, foram registradas 11.796 vítimas diretas desse tipo de ciberataque ao redor do mundo, 1,3 vítimas por hora, segundo dados do BTTng da Apura Cyber Intelligence, plataforma de inteligência em ameaças cibernéticas. O impacto vai além dos números: empresas paralisadas, serviços essenciais comprometidos e milhões de pessoas expostas a riscos iminentes.

A onda de ataques abrange qualquer empresa de todos os segmentos, desde a saúde até os serviços públicos. Em maio passado, a Ascension Healthcare, uma das maiores operadoras de saúde dos EUA, foi alvo de um ataque cibernético que comprometeu sistemas críticos, incluindo registros médicos e comunicação interna. Hospitais ficaram sem acesso a informações essenciais por semanas, forçando equipes a recorrerem a procedimentos manuais. “Isso gerou riscos reais, com erros relatados no Kansas e em Detroit, que poderiam ter resultado em graves consequências médicas”, explica Anchises Moraes, Especialista de Theat Intel da Apura.

A Ascension não divulgou oficialmente o grupo por trás do ataque, mas investigações apontam para o Black Basta. Sete dos vinte e cinco mil servidores foram comprometidos, e 5,6 milhões de indivíduos receberam notificações sobre o possível vazamento de dados.

No Brasil, a TOTVS foi alvo do grupo BlackByte, com relatos de que dados da empresa foram acessados. A companhia informou seus acionistas, garantindo a continuidade dos serviços, mas sem dissipar completamente a incerteza. Já a Sabesp sofreu um ataque do grupo RansomHouse, que não apenas roubou dados, mas também os publicou posteriormente.

O futuro dos ataques: alvos menores, impactos maiores

Se antes os criminosos miravam grandes corporações exigindo valores exorbitantes, a tendência é que ataques menores, porém em massa, ganhem força em todo o mundo, incluindo o Brasil. Pequenas e médias empresas se tornaram alvos fáceis, já que possuem menos recursos para segurança e maior propensão a pagar resgates. “Elas têm mais dificuldade em recuperar dados roubados ou encriptados, tornando-se presas ideais para esses criminosos”, alerta Anchises.

A expansão internacional do grupo de cibercriminosos conhecido como Scattered Spider acendeu um sinal de alerta entre empresas latino-americanas. Especialistas em segurança apontam que, embora não haja registros confirmados de ataques desse grupo no Brasil ou vizinhos até o momento, seu alcance global e métodos sofisticados representam um risco iminente para organizações na região.

Com táticas de engenharia social elaboradas e capacidade de driblar defesas tradicionais, o Scattered Spider tem mirado grandes empresas em diversos países. “A questão não é mais ‘se’ seremos atacados, mas de ‘quando’ e ‘como’, afirma Felipe Guimarães, Chief Information Security Officer da Solo Iron. “As táticas empregadas pelo grupo exploram fragilidades universais, presentes em empresas em todo o mundo – o que inclui as empresas latino-americanas”, pondera o especialista.

Um dos maiores riscos é que os setores visados pelo Scattered Spider no exterior também são pilares econômicos na América Latina. O grupo historicamente focou suas ações em empresas de telecomunicações, terceirização de processos de negócios (BPO) e grandes empresas de tecnologia – indústrias que possuem ampla presença na região. Nos últimos tempos, foi observado um aumento de interesse do grupo pelo setor financeiro global, o que inclui bancos e instituições presentes no Brasil e países vizinhos.

“Isso significa que companhias latino-americanas, seja diretamente ou através de filiais e parceiras, podem entrar na mira à medida que o Scattered Spider amplia seu raio de atuação. Mesmo empresas que não operam internacionalmente devem se precaver, pois os criminosos podem enxergar organizações locais como pontes de entrada para fornecedores ou clientes globais, ou simplesmente como alvos lucrativos por si sós, caso identifiquem falhas de segurança exploráveis”, pontua Guimarães.

Na mira das agências de inteligência

Relatórios do FBI e da Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA descrevem o Scattered Spider como “especialista em engenharia social”, empregando diversas técnicas para roubar credenciais e burlar autenticações.

Entre os métodos documentados estão phishing por e-mail e SMS (smishing), ataques de vishing (ligações telefônicas fraudulentas) em que os criminosos se passam por equipe de TI da própria empresa, e até esquemas elaborados de SIM swap – quando convencem operadoras de telefonia a transferir o número de celular de uma vítima para um chip sob controle deles. Essas táticas permitem interceptar códigos de autenticação multifator (MFA) enviados via SMS ou aplicativos, dando aos invasores as chaves para acessar sistemas internos.

Alguns incidentes recentes no cenário latino-americano já envolveram vetores parecidos, como uso de ferramentas legítimas em ataques e exploração de credenciais vazadas, o que reforça a necessidade de vigilância. Em 2024, por exemplo, houve casos de gangues de ransomware operando na região que abusaram de softwares legítimos e brechas em procedimentos internos de empresas, aplicando práticas muito similares ao do Scattered Spider.

Estratégias de mitigação

Diante da crescente ameaça representada por grupos como o Scattered Spider, Guimarães recomenda a adoção de estratégias com foco especial em fortalecer métodos avançados de autenticação multifator (MFA), preferencialmente resistentes a phishing, como chaves físicas de segurança ou soluções baseadas em certificados digitais. Técnicas como MFA com validação numérica e a restrição do uso de SMS para autenticação são essenciais para reduzir o risco de engenharia social e ataques por fadiga de notificações, muito usados pelo grupo.

Além disso, a adoção de uma abordagem mais robusta em relação à gestão de identidades e acessos (IAM) é uma estratégia muito importante na contenção desse tipo de ameaça. “As identidades digitais estão se tornando uma nova superfície de ataque; por isso, é fundamental que as empresas implementem políticas rígidas de gestão de identidades, controle granular de acessos e monitoramento contínuo das atividades dos usuários”, destaca.

“Também é muito importante o controle rigoroso sobre ferramentas de acesso remoto e a implantação de monitoramento avançado. É recomendável que as organizações restrinjam o uso dessas ferramentas por meio de listas autorizadas e adotem sistemas robustos como EDR e DLP para identificar rapidamente atividades suspeitas”, finaliza o especialista.

Tokens e senhas já não são os métodos favoritos para acessar dispositivos ou contas pessoais. Dando lugar às impressões digitais, reconhecimento facial e até à análise da voz, os sistemas biométricos representam a nova fronteira na autenticação de transações.

Mais de 4,2 bilhões de dispositivos móveis já utilizam algum tipo de biometria ativa, segundo a Juniper Research, e a previsão é que, até o final de 2026, 57% de todas as transações digitais globais serão validadas por esses métodos. No Brasil, a adesão à tecnologia também já é uma realidade palpável. Uma pesquisa da Accenture mostra que 73% dos consumidores brasileiros se sentem mais seguros usando biometria do que os tradicionais códigos numéricos em aplicativos bancários e carteiras digitais.

E, infelizmente, isso também atrai a atenção dos criminosos cibernéticos. “Com o avanço das tecnologias biométricas, especialmente o reconhecimento facial, empresas e governos vêm reforçando sistemas de segurança com identificações automáticas de indivíduos. No entanto, esse movimento é acompanhado pelo cibercrime na busca por técnicas sofisticadas, alimentadas por Inteligência Artificial, capazes de burlar os sistemas de autenticação”, explica Anchises Moraes, Head de Threat Intelligencena Apura Cyber Intelligence S.A.

Segundo o especialista em cibersegurança, criminosos utilizam desde impressoras de alta resolução até softwares para falsificar características biométricas, desafiando a proteção tecnológica de aplicativos bancários, serviços públicos e plataformas financeiras.

Esses ataques podem ser classificados em cinco níveis de complexidade. O nível 1 utiliza fotos digitais de alta resolução, vídeos em HD e até máscaras de papel, enquanto o nível 2 se baseia em bonecos realistas e máscaras 3D de látex ou silicone. Já no nível 3, os fraudadores recorrem a artefatos ultra-realistas e cabeças de cera. O nível 4 envolve a alteração de mapas faciais 3D para enganar os servidores de autenticação quanto à “prova de vida”. O estágio mais avançado, nível 5, inclui a injeção digital de imagens e vídeos diretamente nos dispositivos, ou mesmo o uso de deepfakes altamente convincentes, levando sistemas a aceitar a fraude como se fosse atividade orgânica do usuário legítimo.

Fraudes com deepfake e uso de identidades digitais sintéticas têm crescido no Brasil. Relatórios, como o da Deloitte publicado pelo portal Infochannel, apontam que o prejuízo econômico com fraudes movidas por inteligência artificial pode chegar a R$ 4,5 bilhões até final de 2025. Crescimentos de mais de 800% no uso de deepfakes já foram observados.

Na China, um caso emblemático escancarou o potencial destrutivo desses golpes. Um empregado de uma estatal foi induzido a transferir US$ 622 mil (cerca de R$ 3,1 milhões) após conversar por vídeo com quem acreditava ser seu próprio CEO. O fraudador usou deepfake em tempo real para replicar a imagem e voz da liderança da empresa, produzindo uma situação de extrema urgência para forçar as transferências. O golpe usou vídeos públicos do executivo para criar o avatar, e golpes similares vêm sendo relatados desde então.

Anchises esclarece, portanto, que as empresas de cibersegurança têm apostado em múltiplas camadas de proteção para mitigar essas ameaças. Uma das principais estratégias é a adoção de sistemas multimodais: combina-se dados de vídeo, áudio, sensores de temperatura, profundidade e análise comportamental, dificultando a ação dos golpistas. Sistemas avançados também integram detecção de deepfakes em tempo real e biometria comportamental, que monitora detalhes como velocidade de digitação, pressão sobre o touchscreen e até a forma como o dispositivo é manuseado.

Outras táticas envolvem técnicas de desafio e resposta  dinâmico, com desafios imprevisíveis gerados por IA (como pedir para piscar apenas um olho ou falar informações contextuais não planejadas), e a junção de provas de vida (“liveness”) passivas com ativas – mixando análises automáticas de vídeo com interações em tempo real. Ademais, cresce o monitoramento sistemático de vazamentos: equipes especializadas vasculham a dark web e bases de dados abertas em busca de imagens e perfis reciclados em novas tentativas de fraude. Apesar da sofisticação dos ataques, a resposta das empresas também evolui, demonstrando que a guerra pela identidade digital está apenas começando.

“Por isso se faz fundamental o trabalho desenvolvido pela Apura em conjunto com outras empresas de cibersegurança, ao monitorar as redes em busca de possíveis ameaças e, quando, infelizmente, um ataque for bem-sucedido, avaliar minuciosamente todos os fatores envolvidos para desenvolver e aprimorar ainda mais as táticas defensivas contra cibercriminosos que querem explorar as vulnerabilidades do uso de biometrias”, finaliza o especialista da Apura Cyber Intelligence.

Sobre a Apura Cyber Intelligence, acesse: https://apura.com.br

https://www.identy.io/pt-br/fraudes-causadas-por-ia-podem-causar-prejuizos-economicos-de-cerca-de-r-45-bilhoes-ao-brasil-em-2025

The BlackBasta ransomware group’s leaked chat logs have proven to already be another unique and fascinating opportunity for researchers to better understand the internal operations of a Russia-based organised cybercrime enterprise. These leaks followed a major leak of Conti chat logs in 2022, which also proved to be a treasure trove of intelligence on the cybercrime enterprise. The BlackBasta gang consists of former Conti ransomware members and it should come as no surprise that their operations are similar in nature and structure.

Ransomware researchers have several valuable resources to conduct investigations with nowadays. This includes ransomware.live, which contains several resources including ransomch.at, a collection of negotiation chats between ransomware gangs and their victims, as well as the ransomware tool matrix and ransomware vulnerability matrix. These resources allow to deeply understand the capabilities and motivations of these ransomware gangs. However, leaked chat logs are the final missing piece of the puzzle and offer a deeper understanding from the cybercriminal’s very own perspective and organisational structure.

Active since April 2022, BlackBasta is one of the top-tier ransomware gangs and one of the largest cybercrime enterprises in the world. According to the US Cybersecurity Infrastructure and Security Agency (CISA), BlackBasta impacted up to 500 different businesses and critical infrastructure in North America, Europe, and Australia as of May 2024.

The importance of the Ascension Health incident

This blog shall dive deep into the Ascension Health attack by BlackBasta. It is a step-by-step extraction of the conversation between the BlackBasta members while they decide how to handle the attack.

The new insights around how BlackBasta and other ransomware gangs perceive being involved with incidents at healthcare sector victim should prove useful for incident responders, law enforcement, and governments that have to resolve these types of attacks on the healthcare sector on an alarmingly regularly basis.

Background

On 9 May 2024, mainstream news organisations in the US reported about a cyberattack and significant disruption of services of Ascension Health, one of the largest healthcare providers in the country. On 11 May 2024, BleepingComputer reported that BlackBasta was to blame for the attack on Ascension Health and that ambulances had been disrupted and patients were being redirected to other hospitals.

How the Incident Began

The BlackBasta attack on Ascension Health began many months before the ransomware was deployed on their network. Reconnaissance of Ascension Health by members of BlackBasta began around 3 November 2023. They shared 14 email addresses of Ascension Health employees, which we can only assume were used for phishing or password guessing. Ransomware gangs often used Zoominfo to profile their targets to determine whether it is worth it for them to attack and get a ransom from them.

The ransomware gang themselves wrote in their Matrix chat that CBS News had written about a cyberattack on Ascension Health on 9 May 2024 and exclaimed that “it looks like one of the largest attacks of the year.”

Another BlackBasta member “gg” confirmed in the chat that it was them and appeared to be surprised that the news was writing about it.

Later, “gg” appeared to feel bad about the attack and concerned that cancer patients were suffering. However, at this stage it is hard to tell if they are serious or being sarcastic.

One member of BlackBasta who used the moniker “tinker” then stated that he wanted to be the negotiator for the BlackBasta team and began to strategize how to extract a ransom payment.

“gg” says they encrypted Ascension Health’s network using the Windows Safe Mode Boot technique, which is a function that BlackBasta is well-known to do.

The negotiator, “tinker” begins to weigh up their options. He states he believes the FBI and CISA will be involved, as well as Mandiant and begins to compare the incident to the Change Healthcare attack by ALPHV/BlackCat (and later RansomHub) who received a 22 million USD ransom payment.

“gg” shares that all the stolen data was put on a server named “ftp8” and tagged as “ALBIR_DS” and says to “tinker” that he should “look at the folder name, everything we downloaded from them is there."

The operator, “gg” also shared a summary of the target environment of Ascension Health. This includes number of servers being over 12,000, what security tools they use such as Cylance, Tanium, and McAfee. Plus, “gg” said they downloaded over 1.4TB of data to "ftp8" and used BlackBasta ransomware version 4.0 and attacked them on 8 May 2024.

Interestingly, “gg” appears to have also recommended to bluff to the victim that they stole more than 1.5TB and say to the victim that they stole 3TB instead.

Negotiation Strategizing

After having established the details of the incident, Tinker (the negotiator) began to wonder about the likelihood of getting a ransom payment as well as estimate how much Ascension Health is likely losing per day.

Tinker (negotiator) then explains to the rest of the BlackBasta members involved in the attack what course of action they should take to get the ransom from Ascension Health. Tinker says they would normally set a 3% of the annual revenue and negotiate from there. They note that there are clear problems with the victim being a hospital and that this attack followed the Change Health attack by ALPHV/BlackCat. They also noted that they are worried as they believe the US National Security Agency (NSA) attacked TrickBot's servers four years ago and that the FBI took down Qakbot more recently. Tinker is  also worried that one of Ascension Health’s patients will die and they will be blamed and labelled as a terrorist attack.

Tinker also noted that when BlackSuit attacked Octapharma that it was labelled by the news as "hostile actions by Russia" and they warned that Conti was already under sanctions and that because they are tied to Conti they may not get paid.

Tinker, ransomware negotiator for BlackBasta, ultimately recommended giving the decryptor for free to Ascension Health and resorting to data theft extortion. This is notable, as it is a similar situation to the Irish HSE ransomware attack by Conti, who also provided the decryptor for free.

Healthcare Impact

The fact Ascension Health is a major medical organisation with many patients appeared to take its toll on the BlackBasta members. Tinker wrote in the BlackBasta chat they he found a post on Reddit by a doctor that works for Ascension Health who described the damage of the attack.

Another member of BlackBasta, “nn” also found out that Ascension Health is a group of hospitals. He immediately recommends giving them a decryptor for free.

Interestingly, “gg” compares the attack on Change Health and also recognises Mandiant and warns that the FBI and CISA will be involved. Plus, “gg” noted that they did not encrypt via virtualization (such as vCenter, ESXi or Hyper-V) and reconfirmed they used Safe Mode Boot. Further, “gg” was also inclined to give Ascension the decryptor for free too.

Another BlackBasta member, “nickolas” comments about the situation. He warned and was particularly concerned about law enforcement retaliation, such as hacking back, sanctions, indictments. He recommended auditing the entire infrastructure and having a rebrand of the BlackBasta name, which means changing the ransomware, leak site, and other personas.

Tinker (negotiator) is aware however of the risk of someone dying and how it will impact their chances of getting the ransom.

Tinker also discussed the politics of the scenario. He compared the situation to the colonial pipeline incident of 2021. He mentioned how Russia reacted and arrested ransomware operators. He also brought up the war in Ukraine and how ransomware attacks on the US impact the politics with Russia.

Tinker highlighted that the ransomware was used to encrypt patient data and how it caused the hospital management system to crash. He was particularly concerned about the ambulances being unable to operate but also tries to minimize the severity of the incident. Nevertheless, he asked to see the stolen data himself to get a better understanding of what data BlackBasta operators have that they can leverage against Ascension Health.

By the end of deliberations, Tinker recommends giving a free decryptor and then demand a ransom for the stolen data.

tinker edited his message to then clarify that he reckons they should demand a ransom in the 10s of millions USD or over 100 million USD.

Ransomware Negotiations

The operator “gg” then shared the opening message to Ascension Health shared via the Black Basta negotiation portal:

The negotiator for Ascension Health (who BlackBasta believes is Mandiant) replied to the negotiation chat portal:

“gg” then clarified the terms of the ransom demand. A payment will be needed to delete and share the stolen data He maintains the offer to provide a free decryptor:

The negotiator for Ascension Health asked for the decryption tool:

The decryptor was then provided to Ascension Health:

Later, “gg” then shares a file tree for ""DS"" (which is equal to Ascension Health). The file is added to a ZIP and shared via a temp[.]sh link and is password protected:

The operator “gg” then uses Privat (a screenshot sharing site) to show the proof that they have deleted the data of Ascension Health:

From these messages, it appears no ransom was paid and BlackBasta returned the data and deleted it.

Change of Heart

The most interesting part of this engagement with Ascension Health by BlackBasta was that the members deliberated back and forth about whether to provide a free decryption tool but all appeared to be fine with demanding a ransom for the victim data.

The operator “gg” appears to have a change of heart. He exclaims that they (the members of the BlackBasta ransomware gang) are "pentesters" and not "killers" and claims he “held a meeting in the office” which is interesting as it further proves they are a cybercrime enterprise, potentially with full-time employees.

The operator “gg” decided to help Ascension Health and requests not to work on hospitals anymore.

He also said “the software will fly to the trash” which likely means the group was thinking of ditching the brand of BlackBasta and rebrand to another name. Finally, “gg” warns other BlackBasta members not to target hospitals any more:

The Impact of the BlackBasta Attack on Ascension Health

According to the HIPAA Journal, the personal data of up to 5.6 million patients was exposed and Ascension confirmed that some patient data was stolen during the attack. Ascension said that it found no evidence that the ransomware group gained access to electronic health records or other clinical systems, so full medical histories have not been stolen. During the attack, however, Ascension was forced to divert ambulances, close pharmacies, take critical IT systems offline and resort to pen and paper to record patient information. The attack affected a large percentage of its 136 hospitals across the US and took Ascension around 6 weeks to restore access to its electronic medical record system and resume normal operations. The ransomware attack reportedly caused delays in revenue cycle processes, claims submission, and payment processing, in addition to significant remediation costs.

Lessons Learned

This chat log confirms that BlackBasta attacked Ascension Health using version 4.0 of their ransomware and used the Safe Mode Boot technique on 12,000 endpoints of the healthcare system.

If reconnaissance began on 3 November 2023 and the attack happened on the 8 May 2024, that would make the amount of time they took to gain access and deploy the ransomware was up to 187 days long or around six months. Due to this, cybercriminal campaign appears to be comparable to a more focused state-sponsored level intrusion where months of planning and numerous attempts are made to infiltrate a target.

The BlackBasta negotiator, Tinker, believed that they were going to get a very high ransom payment in the 10s of millions or up to 100 million USD and compared the attack to the Change Health incident by ALPHV/BlackCat who got 22 million USD.

The high ransom payment by Change Health has appeared to be like a dinner bell for ransomware gangs to go after other healthcare sector victims. Paying the ransom as a healthcare organisation clearly has significant downstream impact on the rest of the industry and it should be an absolute last resort and default to be to never pay the ransom.

There was an interesting change of heart and moment where the operator “gg” decided to give up on the Ascension Health attack, provide them a decryptor, provide the data back to them, and share proof that they deleted it. The members of BlackBasta were clearly concerned about hack-backs from law enforcement or intelligence services, as well as sanctions and deanonymization. The BlackBasta team also mentioned several times during this incident that they were going to have to rebrand because of the attack.

Overall, this incident goes to show that even Russia-based cybercrime enterprises with dozens of members remain paranoid about being attack by law enforcement and intelligence services. It is really interesting that they themselves admit that their actions warrant such a response.

One of the key lessons to learn from this engagement is that if a healthcare organisation is attacked by a ransomware gang, then it would be a valid strategy to tell the news about the incident. News about patients lives being at risk and dying will get the attention of these ruthless cybercriminals who will realise the mistakes they made and are potentially likely to at least provide a free decryptor and may give up entirely on their ransom payment pursuit and move on to the next target.

Lastly, these chat logs appear to prove that the West’s policies aimed at increasing pressure on Russia-based ransomware gangs is evidently working. These organised cybercrime enterprises are beginning to alter their targeting behaviour as a result to avoid the wrath of law enforcement retaliation.

One of the challenges with investigating cybercrime is the infrastructure the adversaries leverage to conduct attacks. Cybercriminal infrastructure has evolved drastically over the last 25 years, which now involves hijacking web services, content distribution networks (CDNs), residential proxies, fast flux DNS, domain generation algorithms (DGAs), botnets of IoT devices, the Tor network, and all sorts of nested services.

This blog shall investigate a small UK-based hosting provider known as BitLaunch as an example of how challenging it can be to tackle cybercriminal infrastructure. Research into this hosting provider revealed that they appear to have a multi-year history of cybercriminals using BitLaunch to host command-and-control (C2) servers via their Anonymous VPS service.

The year-on-year growing number of CobaltStrike C2 servers hosted on BitLaunch’s services could be an indicator of tacit collusion with cybercriminals through the facilitation of cheap and quick to procurement of VPSs that end up being used to launch ransomware attacks on all sorts of victims, including hospitals, schools, governments, companies, and charities.

The concept of aiding and abetting criminal activity in law is essentially when an individual or an organisation intentionally assists, facilitates, or encourages a crime. In this case, it would be aiding and abetting the creation of cybercriminal infrastructure. If a hosting provider ignores clear red flags (e.g., cryptocurrency payments from known illicit sources or use of servers for illegal activities), they might still be held criminally liable under wilful blindness under certain laws.

In the past, authorities have taken down bulletproof hosting (BPH) providers that knowingly support cybercrime, such as CyberBunker and LolekHost. In February 2025, the UK government also sanctioned a Russia-based BPH known as ZSERVERS (aka XHOST) for facilitating LockBit attacks.

A podcast version of the blog is available here.

Update: This blog was updated with a statement from BitLaunch (see the end of this blog).

Who is BitLaunch aka BL Networks aka BLNWX?

Active since at least 2017, BitLaunch (also known as BL Networks or BLNWX) is a virtual private server (VPS) reseller whose autonomous system number (ASN) is AS399629. Up to 48 IPv4 networks belong to BitLaunch which are used to "instantly launch a Linux or Windows VPS” where customers can “pay hourly with Bitcoin, Litecoin, and Ethereum, with no firm commitments." BitLaunch also supports their customers via a command-line (CLI) tool and a Python library. BitLaunch has another name, however, in their legal terms and conditions they go by Liber Systems and have their own separate website.

Why focus on BitLaunch?

BitLaunch is quite interesting as they present themselves as a UK-based company run by two local UK businessmen. Their “anonymous Bitcoin VPS” service is regularly abused for all sorts of cybercriminal activities. What triggered this research was the fact that their nickname “BLNWX” was regularly reappearing in cyber threat intelligence (CTI) vendor reports on ransomware and other cybercriminal campaigns. It is also worth highlighting that while BitLaunch own their own IP networks, they are a VPS reseller as well who works with DigitalOcean, Linode, and Vultr, as shown from their website below.

One website that reviews so-called “offshore services” (offshore[.]cat) has listed BitLaunch as being a “verified” offshore hoster that accepts cryptocurrency, only requires email request confirmation to open an account, and is described as allowing anyone to “create VPSs in seconds, using crypto” making them an attractive hoster for cybercriminals. Their service paired with their CLI tools and Python libraries makes it super easy to stand up C2 servers rapidly.

Command and Control (C2) infrastructure on BLNWX

Significant numbers of CobaltStrike C2s among other hacking tools and malware families have been discovered on BitLaunch. I would like to thank the owner of the C2IntelFeedsBot (@drb_ra) account on X/Twitter who assisted with this research by providing their feed of C2 servers discovered on BitLaunch.

The image below shows a sampling of the known C2 servers hosted with BitLaunch between 2021 and 2025. The most notable part of this diagram is the number of CobaltStrike C2 servers in particular. Cobalt Strike is a well-known C2 framework used by organised cybercriminal groups to launch ransomware attacks. It is also favoured by state-sponsored threat groups as well.

Over the last few years, several dozen C2 servers have been identified by the C2IntelFeedsBot and each year, the number of C2s has continued to grow as more cybercriminals identify BitLaunch as a preferable service to support their ransomware campaigns.

The image below displays the totals calculated between “2021-06-26 12:33:41" and "2025-02-05 18:46:10." It is not a complete picture by any means, but this independently verifiable data gives a decent idea of the rate at which BitLaunch is being used by cybercriminals, with each year since 2022 has trended upwards.

One of the interesting things about CobaltStrike is that it is a commercial offensive security tool (OST). It is issued to legitimate customers through licenses, which have a unique watermark. While there have been several cracked versions of CobaltStrike over the years, it is possible to track certain groups through their usage of the same CobaltStrike versions.

The image below shows the distribution of the CobaltStrike watermarks gathered from BitLaunch. Notably, “0” is the most common. This is often the case when analysing CobaltStrike watermarks as this signifies it is the cracked version.

OSINT collection and analysis of the CobaltStrike watermarks revealed potential connections to several well-known cybercriminal groups using BitLaunch who have a history of conducting ransomware attacks:

1. "426352781” – This watermark is used by ShadowSyndicate, a ransomware affiliate group tracked by Group-IB which is connected to multiple Ransomware-as-a-Serivce (Raas) platforms. This watermark is also historically associated with CobaltStrike Beacons dropped by the Qakbot malware botnet.
2. “206546002” – This watermark is also used by ShadowSyndicate as well as Blister Loader, PLAY ransomware, and FIN7-linked ransomware operators.
3. “1580103824” – This watermark was linked to ShadowSyndicate as well, alongside the Cleo exploitation campaign attributed CL0P ransomware. A threat group tracked by CERT-UA as UAC-0056 has also been observed using this watermark too.
4. ”987654321” – This watermark has been associated with the IcedID malware botnet and the Dagon Locker ransomware gang previously.
5. ”1359593325” – This watermark has been used by CobaltStrike Beacons in campaigns attributed to the Russian Foreign Intelligence Service (SVR)
6. “391144938” and “305419896” – These watermarks have been attributed to campaigns by multiple Chinese cyber-espionage campaigns tracked by SentinelOne, Recorded Future, Zscaler, and Cisco Talos.

C2s on BLNWX attributed to Ransomware Gangs by CTI vendors

There are a number of CTI reports over the last couple years that directly reference BitLaunch Networks (BLNWX) IP addresses as Indicators of Compromise (IOCs) as part of high-profile ransomware campaigns.

This includes attribution to the Yanluowang ransomware attack against Cisco, a C2 linked to the JavaScript more_eggs backdoor used by FIN6 (who is connected to ransomware campaigns), a dozen IPs attributed to Rhysida ransomware attacks, and a Rhysida and Interlock ransomware precursor campaign tracked as TAG-124, as well as the PaperCut exploitation campaign which involved both LockBit and CL0P.

The VirusTotal graph is available here.

Additional notable CTI alerts that called out BLNWX include a report on Latrodectus, a ransomware precursor campaign, by Proofpoint; Okta-themed phishing campaigns attributed to Scattered Spider, who has carried out ALPHV/BlackCat and RansomHub attacks, by Intel471; infrastructure used to enable the BlackBasta ransomware gang by QuadrantSec, as well as C2 servers of the IcedID malware botnet that has been used by ransomware gangs for initial access.

Assessment of BitLaunch

As of February 2025, BitLaunch's parent firm Liber Systems Limited is run by two UK-based directors according to UK Companies House. While they are profiting off this Anonymous VPS service they are not taking the appropriate steps to prevent their service from being used by ransomware and malware gangs. Organised cybercrime groups have evidently found and recognised this about BitLaunch and are leveraging the cheap, crypto-accepting service that doesn’t ask too many questions.

To be fair to BitLaunch, they appear to be responsive to takedowns and are noted on Offshore[.]cat as enforcing DMCA requests. The crux of the issue though is that the cybercriminals can use their service to rapidly spin up instances for C2 for a few hours and chuck it away again. This means there often no need to submit a takedown as the cybercriminals has already abandoned the C2 and can spin up another one. Therefore, the cybercriminals can continually leverage BitLaunch without interference.

As a security researcher, and not a police officer, I cannot comment on how cooperative BitLaunch have been with the police and it is probably not something BitLaunch would want to advertise to their customers anyway based on who some of their customers are.

For BitLaunch’s two directors, this works out nicely for them. They can take the cybercriminals money via cryptocurrency and also appear to be ethical and compliant by assisting with law enforcement takedown requests. Currently, they appear to be helping both the criminals and the police, and have been getting away with it for years.

On BitLaunch’s front page advertisement they highlight as the main focus as being able to pay hourly for the use VPS and that customers can pay in “anonymous cryptocurrency.” It is in my opinion, and that of other cybersecurity researchers I have spoken to about this (including red teamers and penetration testers), that this service is perfect for C2 servers and almost nothing else legitimate.

The Broader Issue with Anonymous VPSs

In BitLaunch’s blogs, they say they believe the internet should be "open, free, and devoid of interference by any single government or authority" adding that accept cryptocurrency because "citizens of some countries do not have bank accounts and can use Bitcoin instead" because the local banks have control over who their citizens can send money to. Their blogs also state that they believe internet users should be allowed to run their own virtual private networks (VPNs) for anti-surveillance and privacy reasons. They also provide lots of guides on how to configure private VPNs for this purpose. While this is a legitimate service that is useful for some people in specific situations, having it be abused by ransomware gangs is a situation that needs to be changed.

This issue of selling anonymous VPSs is not specific to this one company. BitLaunch is obviously a small company and proactively combating cybercriminals from registering VPSs on their service is an expensive and multi-pronged challenge for any hoster, which includes preventing abuse while preserving the privacy of their customers.

Hosters such as BitLaunch could use services such as Shodan, Abuse.ch, GreyNoise, OTX Alienvault, and AbuseIPDB to check if their IP addresses are being abused. One interesting example of a hoster trying to tackle this issue is how PQ Hosting (aka Stark Industries Solutions) announced publicly on their blog that they have partnered with Team Cymru, a netflow security intelligence firm. Alternatively, hosters could use a blockchain analytics platform like Chainalysis, TRM Labs, or Arkham Intelligence, to trace cryptocurrency payments from known illicit wallet clusters.

There will, however, always be some threats that slip through the net. It is undoubtedly a difficult challenge for small hosters who do not have funds to sacrifice on network observability tools or CTI platforms. Even some of the world’s largest hosters, such as Cloudflare struggle with this as well and end up having their services abused for cybercrime operations.

The anonymous VPS problem could be compared to issues in other industries such as stolen funds being used to buy gift cards or game keys that are then resold for money laundering. Another platform often abused for a variety of scams and phishing campaigns is Gmail. Is Google being wilfully negligent to cybercrime happening on their platform? That’s a question I shall leave for readers to decide on their own.

Overall, this type of issue is analogous to a hotel offering rooms for the night and organized criminals renting them to commit various types of crimes inside them. Ultimately, the criminals are the ones breaking the law, not the hotel, but if the hotel is being constantly made aware of these activities by bystanders and law enforcement, it is their duty to shut that activity down, to the best of their abilities.

What the UK Could Do About It

In this scenario around BitLaunch, there are three potential ways the UK could help stop these small hosters being taken advantage of by cybercriminal operations.

Firstly, the cybersecurity and hosting industry could launch an initiative through institutions, such as the British Computer Society (BCS) or something, that would work to convince hosting providers that the hassle being investigated by law enforcement agencies, sanctions, or the chance of being arrested is not worth the funds generated from selling C2 servers to cybercriminals.

Secondly, as BitLaunch (or Liber Systems) is registered here, the UK Government Department for Science, Innovation, and Technology (DSIT) could work with them and other small hosters to regulate the industry and provide support to these businesses to warn them of the dangers of offering unregulated VPS services and inform them how they contribute to the damage that ransomware attacks are having on the UK and elsewhere.

Third, providing free network observability services to hosters could also help them proactively shutdown C2 servers before they are weaponised against victims. All UK hosters can sign-up to the free UK government-provided service called MyNCSC, offered by the UK NCSC, which is part of GCHQ. Hosters will then get alerts when MyNCSC detects which IPs are flagged for hosting C2 servers (such as CobaltStrike).

As the UK government’s mandate is to “make the UK the safest place in the world to live and work online” then tackling the issue with these UK-based hosters supporting ransomware should also be one of those priorities.

Indicators of Compromise

Historic Malicious BLNWX IP addresses are available below:

• https://www.virustotal.com/gui/collection/275b81bcec9bdd14ea2908f340343fef1f99ee2dfe9a8bc99761d409c8676013/iocs
• https://otx.alienvault.com/pulse/67af7c32be1268271aad22e7/

Introduction to Infrastructure Pivoting

Pivoting on infrastructure is a handy skill for cyber threat intelligence (CTI) analysts to learn. It can help to reveal the bigger picture when it comes to malware, phishing, or network exploitation campaigns. Infrastructure pivoting essentially is the act of looking for more systems an adversary has created. The main benefit of this pursuit is the identification of additional targets or victims, more tools or malware samples, and ultimately new insights about the adversary’s capabilities.

If done correctly, being able to pivot on adversary infrastructure will be very useful during incident response (IR) engagements. For example, it may lead to being able to attribute the intrusion to a known adversary. This will help others during an IR engagement understand the level of threat posed to the victim organisation.

Receiving Threat Data

To be able to pivot on adversary infrastructure, threat data is needed such as the intelligence shared by threat reports put out by various researchers from public and private sector organisations. This scenario, however, involves relying on the analysis skills of other researchers to explain what the infrastructure is and when they observed it in use.

This blog will examine threat data provided by public sector organisations such as the Computer Emergency Response Team of Ukraine (CERT-UA) as well as cybersecurity vendors such as Deep Instinct, Cyble, and Fortinet. These organisations have shared indicators of compromise (IOCs) uncovered following analysis of adversary intrusion activities or upload to online malware sandboxes, such as VirusTotal, among others.

Introduction to the Ghostwriter Campaign

On 3 June 2024, Fortinet shared a report on malicious XLS macro documents leading to Cobalt Strike Beacons. Analysis of the XLS documents showed that they appeared to be targeting the Ukrainian military and linked to a known Belarusian state-sponsored APT group tracked as Ghostwriter (aka UNC1151, UAC-0057, TA445). On 4 June 2024, Cyble also shared a report on a similar campaign.  

In both reports, if the XLS was opened and the macros were executed by the target, a malicious DLL file was downloaded from an adversary-created domain. In Fortinet’s report, two similar “.shop” domains were mentioned. In Cyble’s report another “.shop” domain was also called out.

Overlapping IOCs

The first pivot on Ghostwriter APT infrastructure that will be demonstrated involves finding indicators of compromise (IOCs) such as domains and IP addresses that appear in multiple threat reports.

The fastest way to realize these overlaps is through continuous collection of reported IOCs into a Threat Intelligence Platform (TIP). This will reveal IOCs that appear in multiple threat reports through tagging and sources of where IOCs come from. Eventually, one domain or IP address will get reported by multiple entities and the connection will make itself apparent.

In Figure 1 (see below) the domain “goudieelectric[.]shop” appeared in both Cyble’s blog and Fortinet’s blog. Analysis of all three domains found that they use the same generic top-level domain (gTLD), registrar, and name servers, as well as have a robots.txt directory configured. These common infrastructure characteristics indicate that all three domains were created by the same adversary.

Figure 1. Three similar domains appearing in two threat reports.

Domain Registration & Hosting Overlaps

When more IOCs are reported in other threat reports it is possible to link them to other known domains, this is due to adversaries reusing the same registrars, name servers, and gTLDs.

In Figure 2 (see below), Deep Instinct reported two more domains that could also be linked to the previous three domains through the mutual use of the PublicDomainsRegistry registrar, Cloudflare name servers, and the robots.txt file.

Figure 2. Five similar domains that appear across three threat reports.

Further, CERT-UA reported three more domains (see Figure 3 below) that could be linked to the infrastructure cluster through this same method as well. This pattern of behaviour is a strong indicator that these domains were created by the same adversary.

Figure 3. Eight similar domains that appear across four threat reports.

Finding Unreported Domains

Since the domains from the above threat reports were collected and linked together through overlapping attributes, it is now possible to use these attributes to find more domains that had gone unreported.

Using a VirusTotal domain attribute query, additional domains can be found by using the following registration pattern:

• Name Servers: CLOUDFLARE
• Registrar: PublicDomainRegistry
• TLD: *.shop

This revealed up to 24 domains that matched this pattern that were likely created by Ghostwriter, a state-sponsored APT group:

• backstagemerch[.]shop
• bryndonovan[.]shop
• chaptercheats[.]shop
• clairedeco[.]shop
• connecticutchildrens[.]shop
• disneyfoodblog[.]shop
• eartheclipse[.]shop
• empoweringparents[.]shop
• foampartyhats[.]shop
• goudieelectric[.]shop
• ikitas[.]shop
• jackbenimblekids[.]shop
• kingarthurbaking[.]shop
• lansdownecentre[.]shop
• lauramcinerney[.]shop
• medicalnewstoday[.]shop
• moonlightmixes[.]shop
• penandthepad[.]shop
• physio-pedia[.]shop
• semanticscholar[.]shop
• simonandschuster[.]shop
• thevegan8[.]shop
• twisterplussize[.]shop
• utahsadventurefamily[.]shop

Note: VirusTotal domain searches are only available to VirusTotal Enterprise users. There are other providers which allow you to search for domain registration patterns such as DomainTools, Validin, and Zetalytics. There also some free OSINT sites such as nslookup.io and viewdns.info that can be useful in certain scenarios.

Finding Related Malware Samples

Using the list of similar domains that were uncovered through the registration pattern search, it is then possible to find additional malware samples communicating with them.

This can be achieved by looking at domains in VirusTotal and checking the Relations tab can show communicating files as shown in Figure 4 below.

Figure 4. Additional malware samples uncovered via the VirusTotal relations tab

Using a VirusTotal graph can help to reveal every communicating file with every domain discovered through the registration pattern search, as shown in Figure 5 below.

Figure 5. All communicating files with every additional domain identified.

URL to the VirusTotal Graph: https://www.virustotal.com/graph/embed/gd2c04407d9ba4b75b2ce73d6155d166d3ef75eaf29894ff5ac287c90400072bc?theme=dark

URL to the VirusTotal Collection: https://www.virustotal.com/gui/collection/2aa6b36a717be8bc49f7925434ca40f3ecb9f628414b491da3e985677508ca08/iocs

Lessons Learned

In conclusion, it is important for CTI analysts to closer inspect the attributes of the IOCs they come across. It is not uncommon for state-sponsored APT groups to make such mistakes when creating their infrastructure to launch attacks from. By exploiting this fact, CTI analysts can learn much more about the adversary’s targets, capabilities, and the behaviours of the humans themselves behind such campaigns.

The importance of this type of work was demonstrated in December 2023 when the US Treasury sanctioned members of the Russian APT group known as Callisto (aka Star Blizzard, BlueCharlie, COLDRIVER, GOSSAMER BEAR). The real world identity of Andrey Korinets was revealed after he was sanctioned for fraudulently creating and registering malicious domain infrastructure for Russian federal security service (FSB) spear phishing campaigns.