O Brasil se consolidou, em 2026, como o principal epicentro do ransomware na América Latina no setor de saúde. O país concentra 51% das ocorrências regionais e figura entre os três maiores alvos globais, segundo a edição de maio de 2026 do Elytron Threat Pulse, relatório desenvolvido pela Elytron Cybersecurity.

O levantamento reúne fontes públicas e privadas de inteligência: comunicados oficiais, notícias, registros de incidentes, monitoramento de deep e dark web, dados do relatório State of Ransomware da BlackFog e ocorrências identificadas pela própria Elytron em ambientes de clientes, tratadas de forma anonimizada. A Elytron usou como referência quantitativa global 2.424 ocorrências de ransomware registradas no primeiro trimestre de 2026.

Extorsão dupla: roubo de dados antes da criptografia

A tática dos ataques mudou. Em 96% dos incidentes monitorados, os criminosos primeiro copiaram dados sensíveis das vítimas e só depois criptografaram os sistemas.

O ransomware deixou de ser apenas uma ameaça de paralisação operacional. Mesmo quando a empresa consegue restaurar seus sistemas por backup, criminosos ainda podem vender, publicar ou usar as informações sigilosas como instrumento de pressão.

“Quando o dado é roubado antes da criptografia, o backup imutável já não resolve o problema sozinho. A empresa pode até restaurar seus sistemas, mas a informação já saiu do ambiente”, afirma Diogo Navarro, especialista em Cyber Threat Intelligence da Elytron e responsável pelo relatório.

Para Navarro, a defesa precisa evoluir para uma arquitetura baseada em detecção comportamental, monitoramento de tráfego de saída, proteção de dados sensíveis e resposta integrada à crise.

Por que o setor de saúde é um alvo prioritário

No setor de saúde, essa mudança de tática pesa mais que em outros setores. Operadoras, hospitais, laboratórios, fornecedores de tecnologia médica e indústrias farmacêuticas lidam com dados sensíveis que não podem ser trocados ou cancelados depois de vazados, como:

  • Prontuários médicos
  • Resultados de exames
  • Históricos clínicos
  • Dados genéticos
  • Propriedade intelectual

Senhas e credenciais financeiras dá para trocar depois de um vazamento. Prontuários, exames e dados genéticos acompanham pacientes e organizações por anos, o que amplia seu valor em fóruns e mercados clandestinos.

Aceleração da extorsão cibernética na América Latina

O relatório aponta uma aceleração de 250% da extorsão cibernética na América Latina, impulsionada por ambientes legados, alta dependência operacional e fragilidades estruturais na cadeia de suprimentos.

No Brasil, a saúde aparece entre os dez setores mais afetados, com 10,4% das vítimas. Provedores de serviços e empresas de tecnologia somam 34% dos ataques no país, o que amplia a exposição indireta do setor sempre que esses fornecedores mantêm conexões com hospitais, laboratórios, operadoras e demais organizações do ecossistema.

Grupos mais ativos: Lockbit5 e The Gentlemen

O cenário brasileiro revela forte concentração em grupos específicos. Lockbit5 e The Gentlemen aparecem empatados na liderança entre os grupos mais ativos no país em 2026, com 13 vítimas cada.

O The Gentlemen ganhou relevância por sua atuação contra saúde, indústria farmacêutica e medicina diagnóstica, incluindo os casos da Greenpharma e do Laboratório Santa Luzia, ambos no Brasil, listados em abril no portal de vazamentos do grupo.

Na avaliação de Navarro, o The Gentlemen combina maturidade técnica com ausência de restrições setoriais. “O grupo preocupa pela capacidade de abusar de drivers legítimos assinados, escalar privilégios em nível de kernel e desabilitar soluções de endpoint antes do impacto final”, explica. O especialista também destaca o uso de payloads com execução manual por senha, mecanismo que dificulta a detonação automática em sandboxes e atrasa a geração de indicadores de comprometimento.

Cadeia de suprimentos: o elo mais frágil

A cadeia de suprimentos é outro ponto de atenção. O relatório mostra que fornecedores terceirizados, laboratórios, plataformas de gestão, MSPs e fabricantes de equipamentos conectados podem operar como portas de entrada para ataques de dupla extorsão.

“Laboratórios, fornecedores de equipamentos de imagem e sistemas de billing mantêm acessos permanentes às redes hospitalares, muitas vezes sem MFA e sem monitoramento ativo”, observa Navarro.

Como as organizações de saúde podem se proteger

Diante desse ambiente, a Elytron recomenda:

  • Segmentação entre redes administrativas e clínicas
  • Contenção de movimento lateral
  • Engenharia de detecção em SIEM/XDR
  • Gestão rigorosa de risco de terceiros
  • Monitoramento contínuo da deep e dark web para identificar vazamentos de credenciais, menções à marca e ameaças direcionadas ao setor

“A disrupção do atendimento hospitalar agora concorre com o vazamento de dados sensíveis; a extorsão na saúde tornou-se dupla e cirúrgica”, resume Navarro.

Conclusão

O avanço do ransomware no setor de saúde brasileiro mostra que backup e criptografia já não são suficientes. Com 96% dos ataques envolvendo roubo de dados antes da criptografia, a proteção precisa incluir detecção comportamental, gestão de terceiros e monitoramento contínuo de ameaças.

Quer avaliar a maturidade de segurança da sua organização de saúde? Fale com a Elytron Cybersecurity.