VPN expostas continuam a abrir caminho aos criminosos

A atividade global de ransomware mantém uma trajetória de crescimento em 2026, num contexto em que os ataques à cadeia de abastecimento se tornam mais sofisticados e as VPN empresariais continuam a ser um dos principais pontos de entrada explorados pelos cibercriminosos. Só em junho foram registados 665 ataques a nível mundial, mais 23% do que os 543 contabilizados no mesmo mês de 2025.

Os dados constam do mais recente relatório de inteligência de ameaças da NCC Group, que contabilizou 2.229 ataques de ransomware durante o segundo trimestre de 2026, um aumento de 3% face aos 2.165 registados nos primeiros três meses do ano. No conjunto do primeiro semestre, o número de ataques já ascende a 4.394, aproximando-se do recorde histórico de 7.874 ataques registado em todo o ano de 2025. Mais do que o crescimento do volume de incidentes, o relatório alerta para a evolução das técnicas utilizadas pelos grupos criminosos, que privilegiam cada vez mais ataques indiretos.

Em vez de comprometerem diretamente uma organização, os atacantes procuram infiltrar-se em software, dependências e ferramentas de desenvolvimento utilizadas por milhares de empresas. Desta forma, uma única falha pode propagar-se rapidamente por múltiplas organizações, tornando os ataques à cadeia de abastecimento uma das estratégias mais eficazes para alcançar escala.

Setor industrial alvo de 30% dos ataques

Entre os grupos identificados pela NCC Group neste tipo de atividade destaca-se o TeamPCP, cujas campanhas demonstram como a manipulação de dependências de software e de fluxos de desenvolvimento pode permitir a propagação de ataques antes mesmo de serem detetados. O relatório identifica ainda um peso crescente da geopolítica no panorama das ciberameaças. Organizações com maior exposição política enfrentam riscos acrescidos associados a campanhas de espionagem patrocinadas por Estados, ataques de phishing relacionados com acontecimentos internacionais, ataques distribuídos de negação de serviço (DDoS), operações de desinformação e tentativas de permanência antecipada em infraestruturas críticas. Neste contexto, a NCC Group recomenda uma vigilância reforçada sobre a atividade de agentes associados à Rússia, Bielorrússia e China, bem como o recurso a capacidades de threat hunting baseadas na análise comportamental para complementar os mecanismos tradicionais de deteção.

O documento refere igualmente a eleição de Portugal, a 3 de junho, como um dos cinco novos membros não permanentes do Conselho de Segurança das Nações Unidas, considerando que a crescente relevância geopolítica dos países pode influenciar o respetivo perfil de risco cibernético. No entanto, o relatório não identifica dados específicos sobre ataques dirigidos a Portugal nem apresenta estatísticas dedicadas ao mercado nacional.

O setor industrial voltou a ser o principal alvo dos operadores de ransomware, concentrando 30% de todos os ataques registados no segundo trimestre. Seguiram-se os setores dos bens de consumo discricionário e das Tecnologias de Informação. Em junho, a tendência manteve-se, com 183 ataques dirigidos à indústria, 166 ao setor dos bens de consumo discricionário e 63 ao setor das Tecnologias de Informação. «Temos assistido a um aumento contínuo da escala e sofisticação destes ataques, pelo que as empresas devem garantir que a monitorização e a resiliência são contínuas, e não pontuais», alerta Matt Hull, VP e Head of Cyber Intelligence and Response da NCC Group.

Europa na segunda linha de ataques

Geograficamente, a América do Norte continuou a concentrar a maior fatia da atividade maliciosa, representando 44% dos ataques globais no segundo trimestre. A Europa surgiu em segundo lugar, com 579 ataques durante o trimestre e 153 em junho, equivalente a 23% do total mensal, seguida pela Ásia.

Entre os grupos de ransomware mais ativos, o Qilin manteve a liderança pelo quinto trimestre consecutivo, sendo responsável por 14% dos ataques observados. O The Gentlemen ocupou a segunda posição, seguido pelo DragonForce, enquanto o KryBit entrou pela primeira vez no grupo dos dez operadores mais ativos.

Outro dos alertas deixados pela NCC Group prende-se com a exploração de VPN empresariais e dispositivos de perímetro expostos à Internet. Segundo a análise, estes sistemas continuam a ser o principal ponto de entrada utilizado por operadores de ransomware, grupos de Ransomware-as-a-Service (RaaS) e ameaças persistentes avançadas (APT), que exploram vulnerabilidades para obter acesso inicial às redes corporativas.

Em 2026, cerca de 15% das mais de 150 notificações de Threat Intelligence emitidas pela NCC Group estiveram relacionadas com vulnerabilidades que afetavam VPN ou os respetivos fabricantes, muitas delas classificadas como de gravidade elevada ou crítica e já exploradas ativamente por agentes maliciosos.

---