DeadLock dispara número de ransomware global e adota chat 1‑a‑1 para extorsão

A escalada dos ataques de ransomware em 2026 não é um mero sinal de que o crime cibernético está se tornando mais frequente; trata‑se de um indicativo de que os criminosos estão refinando suas técnicas para maximizar a pressão psicológica sobre as vítimas. De acordo com relatórios de inteligência de ameaças, o mês de julho registrou 929 casos de ransomware ao redor do globo, número que representa um aumento de aproximadamente 27% em relação a julho de 2025, quando foram contabilizados 730 incidentes. Esse salto coloca o mês de julho logo atrás de fevereiro de 2026, que chegou a 1.092 casos, a maior marca já observada nos últimos três anos. O destaque, porém, vai para o ransomware "DeadLock", que tem se popularizado no Japão e se espalhado rapidamente para redes corporativas da América Latina, Europa e Norte‑América.

O que diferencia o DeadLock das variantes tradicionais de ransomware é a sua estratégia de engajamento pós‑infecção. Ao contrário de outros malwares que deixam apenas uma mensagem estática exigindo pagamento, o DeadLock abre um canal de comunicação 1‑a‑1, geralmente via aplicativos de mensagem instantânea ou plataformas de chat encriptadas. Assim que o ransomware criptografa os arquivos da vítima, ele dispara um script que coleta o endereço de e‑mail ou número de telefone associado ao usuário e inicia uma conversa direta com um operador humano que se identifica como "Especialista em Desbloqueio". Essa tática tem duas consequências imediatas: cria um senso de urgência ao impedir que a vítima busque auxílio técnico sem ser observada, e permite que os criminosos ajustem a quantia do resgate com base na reação emocional do alvo. Estudos de psicologia do crime digital apontam que a intimidação em tempo real pode elevar a taxa de pagamento em até 45%, comparado aos pedidos estáticos.

Do ponto de vista técnico, a implantação do chat 1‑a‑1 exige uma infraestrutura de comando e controle (C2) mais robusta. Os operadores do DeadLock utilizam servidores de proxy distribuídos em múltiplas jurisdições para mascarar o tráfego, e emparelham a comunicação de chat com protocolos de mensagem criptografados como Signal ou Telegram. Esse duplo canal — criptografia de arquivos e comunicação encriptada — dificulta a detecção por soluções de segurança baseadas apenas em análise de comportamento de arquivos. Ferramentas de detecção de intrusão (IDS) que monitoram padrões de rede ainda conseguem identificar anomalias quando há picos de tráfego para servidores de chat recém‑registrados, mas a velocidade com que os operadores mudam de domínio (técnica de fast‑flux) reduz a janela de oportunidade para bloqueio.

O mercado de cibersegurança respondeu a esse novo vetor de ataque com lançamentos de soluções que combinam análise de sandbox avançada com inteligência de ameaças em tempo real. Empresas como a Trend Micro, Kaspersky Lab e CrowdStrike já integraram módulos de "chat‑monitor" que identificam tentativas de abertura de sessões de mensagem após a detecção de ransomware. Além disso, provedores de segurança gerenciada (MSSPs) têm adotado estratégias de resposta rápida que isolam a máquina comprometida e enviam alertas automáticos para equipes de resposta a incidentes (CSIRT), reduzindo o tempo de permanência (dwell time) de ameaças em menos de 30 minutos. Essa corrida tecnológica entre criminosos e defensores acentua a necessidade de atualização constante de assinaturas e de compartilhamento de indicadores de comprometimento (IOCs) entre organizações.

Para as empresas brasileiras, o crescimento dos ataques de ransomware tem repercussões econômicas diretas e indiretas. Segundo a Associação Brasileira das Empresas de Segurança da Informação (ABESI), o custo médio de um incidente de ransomware no país ultrapassa R$ 3,2 milhões, englobando pagamento de resgate, interrupção de operações e custos de recuperação. No caso do DeadLock, a exigência de pagamento via criptomoedas torna a rastreabilidade ainda mais complexa, elevando o risco de lavagem de dinheiro associado ao crime cibernético. Setores críticos como energia, saúde e agronegócio têm sido alvos prioritários, pois a perda de disponibilidade de sistemas de controle pode gerar prejuízos operacionais que se traduzem em perda de produção e, em última instância, em aumento nos preços ao consumidor.

Do ponto de vista geopolítico, a proliferação do DeadLock evidencia a crescente capacidade de grupos de crime organizado do Leste Asiático de operar transnacionalmente. O Japão, apesar de possuir uma das infraestruturas de segurança cibernética mais avançadas do mundo, tem sido um ponto de partida para campanhas que utilizam vulnerabilidades em softwares amplamente distribuídos, como sistemas de gerenciamento de documentos e plataformas de colaboração. A colaboração entre autoridades japonesas e agências de aplicação da lei dos Estados Unidos e da União Europeia tem intensificado a troca de informações sobre endereços de C2, mas a natureza descentralizada dos servidores de chat impede uma resposta coordenada eficaz.

A resposta regulatória também tem evoluído. No Brasil, a Lei Geral de Proteção de Dados (LGPD) já impõe multas severas para vazamentos de informações pessoais, mas ainda não há regulamentação específica para exigência de pagamento de resgate. O debate está em curso no Congresso Nacional, onde projetos de lei propõem a criminalização do pagamento de ransomware, sob o argumento de que tal prática incentiva o ciclo de extorsão. No entanto, especialistas em direito digital alertam que impedir o pagamento pode colocar em risco a continuidade de serviços críticos, especialmente em pequenas e médias empresas que não dispõem de seguros cibernéticos adequados.

Do ponto de vista de prevenção, a adoção de práticas de higiene cibernética continua sendo o pilar mais eficaz. Backups regulares, segmentação de rede, controle de privilégios de acesso e treinamento de funcionários para reconhecer tentativas de phishing são medidas que podem reduzir drasticamente a superfície de ataque. No caso do DeadLock, a primeira linha de defesa está em impedir que o script de coleta de dados de contato seja executado, o que requer políticas de restrição de execução de código (application whitelisting) e monitoramento de chamadas de API suspeitas. Empresas que já implementaram Zero Trust Architecture (ZTA) relatam taxas de sucesso na mitigação de ransomware superiores a 70%, pois o modelo de confiança mínima impede que o malware se mova lateralmente dentro da rede.

A perspectiva de futuro aponta para uma continuação da evolução das táticas de extorsão digital. Analistas da Gartner preveem que, até 2028, 60% dos ransomware groups utilizarão algum tipo de canal de comunicação interativo para negociar pagamentos, seja por chat, videoconferência ou até mesmo chamadas de voz automatizadas. Essa tendência exige que as equipes de segurança desenvolvam não apenas ferramentas de detecção, mas também protocolos de comunicação de crise que incluam psicólogos ou especialistas em negociação para lidar com a pressão psicológica exercida pelos criminosos. O investimento em inteligência artificial para analisar padrões de conversação e identificar sinais de coerção pode se tornar um diferencial competitivo para fornecedores de segurança.

Em resumo, o aumento de 929 casos de ransomware em julho de 2026, liderado pela variante DeadLock, revela um cenário de ameaças cada vez mais sofisticadas e orientadas ao comportamento humano. A combinação de criptografia de dados com chat 1‑a‑1 transforma a extorsão em uma experiência personalizada, elevando a taxa de pagamento e ampliando o impacto econômico global. Para o Brasil, onde a vulnerabilidade de empresas de médio porte ainda é alta, o desafio está em alinhar tecnologia, políticas regulatórias e treinamento de pessoal para criar uma postura resiliente. O futuro próximo exigirá respostas integradas que unem IA, análise de comportamento e estratégias de negociação, sob pena de permitir que grupos criminosos continuem a lucrar em escala mundial.