Vazamentos, violações de dados e notas de resgate: Os piores ataques cibernéticos de 2026 até agora
Se alguma coisa, o ano de 2026 deixou claro que a segurança cibernética deixou de ser uma preocupação secundária. Hoje, a segurança está no centro de muitas conversas, entrelaçada em quase todas as principais notícias do ano.
As desigualdades ainda são comuns, o clima está piorando e, aparentemente, estamos a um espirro suspeito de distância da próxima pandemia global. Mas, por trás de tudo isso, corre uma corrente digital que toca todas as áreas: as guerras são travadas tanto em frentes digitais quanto físicas; os governos estão usando os próprios dados dos cidadãos como arma contra eles; botnets estão minando silenciosamente as instituições democráticas; hackers patrocinados por estados-nação estão visando a infraestrutura civil, desde redes elétricas até sistemas de água; e gangues de ransomware mantêm empresas e instituições como reféns em troca de pagamentos massivos. Os ataques estão ficando mais audaciosos, destrutivos e difíceis de conter.
À medida que entramos no último trimestre deste ano já horrendo de ataques digitais e guerra híbrida, aqui está uma olhada em alguns dos piores ataques e vazamentos até agora, e como eles podem nos afetar daqui para frente.
Mais de um ano após agentes do grupo de destruidores governamentais liderado por Elon Musk conhecido como Departamento de Eficiência Governamental (ou DOGE) invadirem e desmantelarem agências federais de dentro para fora, ainda estamos descobrindo sobre as falhas de dados que aconteceram sob a supervisão deles.
Após a entrada do DOGE na Administração da Previdência Social, ainda não se sabe o que aconteceu com alguns dos dados mais confidenciais do país, já que os processos judiciais continuam em tribunais federais. A alegação mais alarmante de um denunciante federal é que o DOGE carregou uma cópia em tempo real do banco de dados da Previdência Social para um servidor terceirizado não seguro, o que gerou uma corrida para entender o que estava armazenado no servidor. Esse banco de dados supostamente continha os números de Seguro Social e informações pessoais associadas da maioria dos americanos vivos.
Em petições judiciais, a Administração da Previdência Social não tem certeza do que estava no servidor, mas afirmou que o DOGE assinou um acordo com um grupo de ativismo político externo sob o pretexto de encontrar evidências de fraude eleitoral, o que o presidente Trump continua a alegar sem nenhuma evidência. O temor é que o banco de dados possa ser mal utilizado para atingir americanos por motivos espúrios.
Dois dos principais democratas da Câmara que investigam algumas das atividades do DOGE na Administração da Previdência Social disseram que a exposição "poderia muito bem ser a maior violação de dados da história de nossa nação."
Uma onda de ataques cibernéticos na Europa visando o fornecimento civil de energia e água, como usinas de energia e represas, estabeleceu uma tendência preocupante.
Vários ataques atribuídos à Rússia (ou parcialmente culpados a ela) arriscaram danos reais a comunidades e populações. A rede de energia da Polônia foi alvo de malware destruidor de computadores no final do ano passado, assim como uma usina termelétrica sueca e uma represa norueguesa que derramou uma quantidade de água equivalente a piscinas inteiras.
Mais tarde, no início deste ano, hackers russos alvejaram as estações de tratamento de água da Polônia, mostrando que o antagonismo de guerra híbrida de Moscou continua a se estender além do reino digital.
Agora, graças à recente guerra travada pelos EUA e Israel contra o Irã, hackers que trabalham para o regime iraniano estão hackeando ativamente infraestruturas críticas nos Estados Unidos em tentativas oportunistas de desestabilizar bairros e comunidades. A Agência de Cibersegurança e Segurança de Infraestrutura (CISA) afirmou que hackers iranianos alvejaram mais de cem fornecedores de água durante o verão, incluindo concessionárias de água de propriedade privada, que continuam sendo alvos fáceis, pois frequentemente carecem de financiamento básico e de proteções de segurança cibernética.
A provedora de pesquisa de mercado Klue esteve no centro de uma enorme violação de dados que afetou perto de 200 empresas, várias das quais eram gigantes da segurança cibernética, como Jamf, HackerOne e LastPass. Foi uma das violações de dados mais abrangentes do ano, afetando uma infinidade de clientes da Klue, menos de um ano depois que a empresa demitiu metade de sua equipe para apostar tudo em IA.
A Klue admitiu que uma gangue de extorsionários, chamada Icarus, invadiu seus sistemas usando uma credencial que ela havia emitido em 2022 para um projeto-piloto limitado. Portanto, parece que a empresa teve cerca de quatro anos para desativar a credencial antes que ela fosse roubada e usada para invadir seus sistemas. Na violação de dados, a Klue expôs as chaves dos serviços de nuvem de seus clientes, permitindo que os hackers invadissem e roubassem esses armazenamentos de dados para extorquir essas empresas em troca de resgate.
Embora governos e pesquisadores frequentemente instem as vítimas a não pagarem resgates para evitar que hackers lucrem com o cibercrime, a Klue disse aos seus clientes que havia chegado a um acordo com os hackers para não publicar os dados roubados — sugerindo fortemente que havia lhes pago.
Mas, como parte do acordo, os hackers admitiriam que outro grupo de hackers também possuía uma parcela dos dados dos clientes da Klue e instaram essas empresas vítimas a não lhes pagarem.
Quando é que um ataque não é exatamente um ataque? Quando lhe é concedido acesso simplesmente pedindo por ele. Foi isso que aconteceu quando milhares de contas do Instagram foram sequestradas no início de 2026, quando pessoas abusaram do chatbot de IA da Meta para redefinir as senhas de contas de outros.
Os sequestros, relatados pela primeira vez pelo 404 Media, ocorreram ao longo de vários meses e só foram notados depois que a notícia sobre a exploração começou a vazar online. O ataque foi simples em sua execução: fingindo ser um alvo, as pessoas abriam um chat com o chatbot de IA da Meta e fingiam ter perdido o acesso à conta. Ao solicitar que o chatbot enviasse um código de redefinição de senha para um endereço de e-mail escolhido pelo invasor, este obtinha acesso à conta da vítima.
O incidente afetou dezenas de milhares de contas antes que o acesso inadequado fosse descoberto e cortado. Foi uma falha constrangedora e de alta repercussão na segurança — e na confiança — de uma das maiores empresas de tecnologia do mundo.
O Federal Bureau of Investigation (FBI) dos EUA foi forçado a declarar um “grande incidente cibernético” em abril, motivando uma divulgação legalmente exigida ao Congresso, após descobrir que um de seus sistemas de vigilância havia sido comprometido. De acordo com relatos, a invasão potencialmente expôs números de telefone de alvos sob vigilância por agentes federais.
Espiões chineses foram acusados pela invasão da rede não classificada, que continha informações confidenciais sobre alvos de vigilância de escutas telefônicas e outras interceptações de comunicação. Como os parlamentares foram notificados, a violação provavelmente atingiu um alto patamar: causar “dano demonstrável” à segurança nacional dos EUA.
Meses depois, em agosto, o Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF) dos EUA confirmou seu próprio “grande incidente” que motivou uma divulgação separada ao Congresso. Uma gangue de ransomware assumiu a responsabilidade pela violação de um sistema que, segundo a agência de aplicação da lei, continha “alvos de investigações da ATF”.
Uma série de ataques contínuos, concorrentes e ocasionalmente sobrepostos a desenvolvedores de código aberto resultou em invasões massivas direcionadas a empresas de Big Tech e seus clientes.
Alguns dos maiores nomes em segurança, incluindo a ferramenta Trivy da Aqua Security, o Bitwarden e o Checkmarx, juntamente com outros grandes projetos de código aberto, foram comprometidos este ano. Os ataques permitiram que os invasores roubassem senhas, credenciais e outros tokens confidenciais dos computadores de qualquer pessoa que instalasse uma cópia com backdoor do software, ou cujo software pré-instalado fosse atualizado automaticamente para baixar o malware.
Esses ataques usaram credenciais roubadas para se espalhar ainda mais e abriram as portas para comprometimentos subsequentes de grandes empresas que dependem do software visado, incluindo a gigante de IA OpenAI e a empresa de hospedagem web Vercel. A principal agência cibernética da UE confirmou posteriormente um grande roubo de dados após o furto de suas chaves de nuvem pelos hackers.
Em agosto, dois hackers culpados por esses grandes roubos foram presos na Austrália.
Uma imensa violação de dados em uma empresa de verificação de documentos de identidade chamada IDScan ameaça afetar quase todos os motoristas na América do Norte: hackers divulgaram um mecanismo de busca na dark web capaz de listar as fotos de 150 milhões de motoristas nos EUA e no Canadá, incluindo o repórter que divulgou a história.
A empresa confirmou uma violação de dados logo em seguida, mas os detalhes ainda estão surgindo. Os hackers parecem estar mantendo o vasto cache de dados, roubados ao longo de um ano, como refém em troca de um resgate.
Esta violação se soma a uma lista já extensa de vazamentos de dados envolvendo passaportes e carteiras de motorista de pessoas: desde um sistema de check-in de hotel e um aplicativo de transferência de dinheiro até um provedor de telefonia pública prisional e um serviço de vistos do Reino Unido, os serviços expuseram documentos pessoais de mais de 2 milhões de pessoas. Muitas dessas ocorrências foram causadas por simples falhas de segurança que teriam sido facilmente evitadas se práticas básicas de segurança cibernética tivessem sido seguidas.
As massivas violações de dados ocorrem no momento em que aplicativos e sites de comunidades fechadas recorrem cada vez mais a verificações de "conheça seu cliente" para forçar os usuários a verificarem sua identidade antes de terem acesso permitido. Enquanto isso, os governos estão impulsionando leis de verificação de idade, exigindo verificações de identidade semelhantes de adultos para acessar uma vasta parte da internet.
A lógica é que, quanto maiores forem os vazamentos, menos eficazes serão esses sistemas de verificação de identidade, pois eles podem ser facilmente mal utilizados com um passaporte ou carteira de motorista roubados ou vazados. A implementação contínua desses sistemas de coleta de identidade levará inevitavelmente a mais violações de dados e falhas de segurança.
Uma série de violações de dados relacionadas à saúde atingiu de dezenas de milhões de pessoas em todos os EUA este ano. A maior violação conhecida de 2026 atingiu a empresa de seguros DentaQuest, resultando no roubo de dados de saúde de 15 milhões de pessoas. Outra grande violação de dados na CareCloud, uma empresa que hospeda registros eletrônicos de pacientes, permitiu que hackers roubassem as informações médicas confidenciais de pelo menos 3,7 milhões de pessoas.
E uma violação na gigante de dados de saúde e faturamento Aesto Health no final do ano passado foi posteriormente confirmada como tendo afetado pelo menos 9,5 milhões de pacientes em dezenas de provedores e consultórios que usam seu software.
A gigante fabricante de brinquedos Hasbro é o exemplo mais recente do que acontece quando uma grande corporação não está preparada para gerenciar um incidente de segurança. Semanas depois de descobrir hackers em seus sistemas no final de março, a empresa de 103 anos permaneceu amplamente offline, com seu site indisponível e incapaz de atender aos seus clientes.
A empresa, que possui marcas famosas como Transformers, Peppa Pig e Dungeons & Dragons, disse pouco sobre o incidente, quais dados foram levados (se é que foram) e se pagou aos hackers. Mas apenas a interrupção provavelmente afetou as finanças da empresa, e ela foi forçada a atrasar o envio de seu relatório trimestral à SEC, enquanto lutava para lidar com o incidente.
A Hasbro disse em maio que os hackers não estavam mais em seus sistemas e que sua recuperação estava em andamento. Embora a violação de dados tenha afetado algumas centenas de funcionários, os custos financeiros da invasão e os efeitos colaterais em seus negócios provavelmente serão percebidos nos próximos meses.
A gangue ShinyHunters continuou sua campanha de hacking, tendo como alvo dezenas de empresas com técnicas simples, mas altamente eficazes, de *voice-phishing* (phishing por voz). Os hackers de língua inglesa são adeptos de enganar empresas para que entreguem acesso aos seus sistemas internos, fingindo ser o suporte de TI ou, inversamente, um funcionário que esqueceu sua senha.
Poucas empresas sabem melhor o preço que uma campanha do ShinyHunters pode cobrar do que a gigante de tecnologia educacional Instructure. Os hackers invadiram o Canvas, o principal sistema de gestão de aprendizado da empresa, para roubar dados privados e informações pessoais de mais de 30 milhões de estudantes e funcionários.
Quando a empresa não pagou o resgate exigido, os hackers invadiram novamente e desfiguraram as telas de login do Canvas, usadas pelos alunos para acessar seus materiais de exames e trabalhos de curso. Este segundo ataque ocorreu durante as finais escolares, interrompendo exames nos Estados Unidos.
A Instructure acabou pagando o resgate, apesar dos esforços do FBI para dissuadir a empresa de pagar.
Esta não foi a única empresa alvo dos hackers do ShinyHunters. A gangue esteve por trás de algumas das maiores violações em termos de registros roubados: eles roubaram cerca de 40 milhões de registros do provedor de internet Charter e pelo menos 6 milhões de registros de clientes da companhia de cruzeiros Carnival, bem como de outras vítimas no ensino superior, finanças e governo.
Um ataque cibernético a uma empresa de tecnologia médica dos EUA, a Stryker, em março, fez com que hackers iranianos invadissem e limpassem remotamente de uma só vez dezenas de milhares de dispositivos de funcionários, interrompendo amplamente as operações da empresa por vários dias.
A violação representou uma mudança marcante nas táticas de hacking do Irã em um momento de guerra em curso: o país passou de seu foco típico em espionagem e operações de roubo e vazamento de dados em prol de ganhos políticos para ataques ativos e destrutivos em aparente retaliação à guerra.
O governo dos EUA conectou o grupo de hackers por trás da violação a um braço da inteligência iraniana. A invasão acabou tendo um impacto material nos resultados do primeiro trimestre da Stryker.
Em agosto, um destino semelhante abateu a fabricante de dispositivos médicos Boston Scientific, após um ataque cibernético cortar a rede global da empresa, causando uma "disrupção global" em suas operações. A empresa sediada em Massachusetts, que fabrica implantes cardíacos como marca-passos, disse que alguns pacientes foram afetados pelas interrupções, o que também a impediu de enviar e criar novos pedidos.
A Boston Scientific levou duas semanas para se recuperar de sua interrupção imediata, embora sua recuperação contínua tenha se estendido até setembro.
Publicado originalmente em 8 de junho, atualizado em 7 de julho e novamente em 15 de setembro.
