Em 2026, o ecossistema de ransomware mudou de forma. Os grandes nomes que dominaram manchetes em anos anteriores perderam terreno, e três operações assumiram a liderança da contagem de vítimas confirmadas: INC Ransom, Akira e LockBit. Segundo o rastreador Ransomnews, estes três grupos somam, até outubro de 2026, 127 vítimas confirmadas em conjunto, um número que ajuda a explicar por que razão equipas de segurança em Portugal e no resto da Europa estão a reorganizar prioridades de defesa à volta destes três nomes.
Este artigo compara os três grupos lado a lado: táticas de intrusão, valor dos resgates exigidos, setores-alvo, ações policiais sofridas e o que cada um significa para uma equipa de TI que precisa de decidir onde investir o orçamento de segurança que resta este ano. Faz parte da cobertura contínua de cibersegurança deste site. Não é um exercício académico. Os números vêm de bases de dados públicas que cruzam notificações de violação, processos judiciais e sites de fuga de dados na dark web.
O estado do ransomware em 2026: contexto antes da comparação
Antes de comparar INC Ransom, Akira e LockBit entre si, vale a pena situar o momento. O Ransomnews confirmou 863 ataques de ransomware em 2026 até à data, cada um verificado contra uma fonte pública como uma notificação de violação, um registo judicial ou uma peça jornalística. Isso é um volume elevado, mas a distribuição por grupo mudou bastante em relação a 2025.
No topo da tabela continuam a Qilin (91 vítimas confirmadas, 13% do total) e a The Gentlemen (87 vítimas, 13%), ambas já analisadas em detalhe num artigo anterior deste site sobre a comparação entre Qilin, The Gentlemen e DragonForce. Mas imediatamente depois desses dois gigantes vem um segundo pelotão que, para uma empresa portuguesa a decidir onde investir em deteção, é tão relevante quanto os líderes: INC Ransom com 50 vítimas (7%), Akira com 42 vítimas (6%) e LockBit com 35 vítimas (5%).
A Bitsight, numa métrica diferente que conta tentativas de ataque em vez de vítimas confirmadas publicamente, estimou a Qilin em 1.550 ataques nos últimos 12 meses, o que mostra como a metodologia de cada rastreador altera drasticamente os números absolutos. Por isso, ao longo deste artigo, usamos sempre a mesma fonte (Ransomnews) para comparar os três grupos entre si, evitando misturar critérios diferentes.
Também vale a pena olhar para a velocidade com que estes ataques se desenrolam depois da intrusão inicial. Um relatório da Unit 42 sobre a resposta a incidentes em 2026 apurou que o quarto mais rápido de atacantes já consegue chegar à fase de exfiltração de dados em apenas 72 minutos depois de obter acesso inicial. Isso deixa cada vez menos margem para uma equipa de segurança detetar e conter um ataque antes de os dados saírem da rede, independentemente de qual dos três grupos aqui comparados está por detrás da intrusão.
INC Ransom vs Akira vs LockBit: tabela de especificações
A tabela seguinte resume as características operacionais de cada grupo com base nos dados mais recentes disponíveis em outubro de 2026.
| Característica | INC Ransom | Akira | LockBit |
|---|---|---|---|
| Vítimas confirmadas em 2026 | 50 | 42 | 35 |
| Quota do total de ataques confirmados | 7% | 6% | 5% |
| Vítimas históricas acumuladas (desde o início) | 217 | 311 | 545+ |
| Modelo de negócio | Ransomware-as-a-Service (RaaS) | RaaS com variante Akira_v2 | RaaS, estrutura mais antiga e descentralizada |
| Faixa de resgate exigido | Não divulgado de forma fiável para 2026 | $200.000 a mais de $4 milhões | Não divulgado de forma fiável para 2026 |
| Proceeds históricos estimados (FBI/CISA) | Sem estimativa pública consolidada | Cerca de $42 milhões até início de 2024, mais de 250 organizações afetadas | Historicamente o maior volume de proceeds entre famílias de ransomware rastreadas pelas autoridades dos EUA |
| Ação policial direta em 2026 | Nenhuma identificada nas fontes revistas | Nenhuma ação a visar especificamente a Akira | Infraestrutura visada em julho de 2026 (ação contra Media Land/ML.Cloud) |
| Site de fuga ativo em outubro de 2026 | Sim | Sim, usando a Tor com variante Akira_v2 | Infraestrutura de hospedagem afetada, mas marca continua ativa |
| Setores mais visados | Serviços profissionais, saúde, administração pública | PME em eletricidade, climatização, manufatura | Variado, historicamente forte em logística e manufatura |
| Exemplo de vítima recente | Instituições profissionais na Europa | Colegio Oficial de Arquitectos de León (Espanha, outubro de 2026) | Vítimas associadas à rede Media Land/BlackSuit/Play |
| Tendência de atividade | Estável a crescer face a 2025 | Estável, com picos mensais (ex.: 84 vítimas em março de 2026 segundo relatos secundários) | Declínio face ao pico histórico, mas resistente a takedowns |
Um aviso importante de leitura: diferentes rastreadores contam de forma diferente. O próprio Ransomnews registou 863 incidentes confirmados numa publicação e 866 noutra, porque a base de dados é viva e os casos são reclassificados à medida que surgem mais provas. Isto significa que os números acima devem ser lidos como a melhor estimativa disponível em outubro de 2026, não como um censo definitivo e imutável.
INC Ransom: o recém-chegado que já lidera o segundo pelotão
A INC Ransom tornou-se, com 50 vítimas confirmadas em 2026, o terceiro grupo mais ativo do ano depois de excluir Qilin e The Gentlemen da contagem. Isso representa 7% dos 863 incidentes confirmados pelo Ransomnews. O número pode parecer modesto comparado aos líderes absolutos, mas coloca a INC acima de nomes históricos como a própria Akira e a LockBit, que durante anos dominaram as tabelas de atividade.
O grupo opera segundo o modelo clássico de ransomware-as-a-service: um núcleo desenvolve o malware e a infraestrutura, afiliados executam as intrusões e o lucro é dividido. Esta estrutura explica em parte a resistência do grupo a desaparecer, porque mesmo que uma célula de afiliados seja desmantelada, o núcleo central e o código continuam disponíveis para novos operadores.
Um dado que falta no caso da INC, e que convém assinalar com honestidade editorial, é a ausência de uma estimativa fiável e atual do valor médio de resgate exigido pelo grupo em 2026. As fontes disponíveis não apresentam um número consolidado e verificável para este período, pelo que não o inventamos aqui. O mesmo se aplica à falta de registo de uma ação policial específica contra a INC Ransom durante 2026 nas fontes revistas para este artigo. Isso não prova que nenhuma investigação esteja em curso, apenas que não há, até à data de publicação, uma operação de desmantelamento tornada pública.
Akira: o grupo que ataca pequenas e médias empresas em série
A Akira soma 42 vítimas confirmadas em 2026 segundo o Ransomnews, cerca de 6% do total de incidentes rastreados. O padrão de alvos é diferente do que se vê na INC: a Akira tem-se concentrado fortemente em pequenas e médias empresas, sobretudo nos setores de eletricidade, climatização e manufatura ligeira nos Estados Unidos, embora o alcance seja global.
Um exemplo concreto: em 3 de agosto de 2026, a Akira reivindicou dois ataques no mesmo dia contra a Belasco Electric e a Albers Mechanical Contractors, ambas empresas norte-americanas de pequena dimensão. No caso da Belasco, os operadores ameaçaram divulgar cerca de 16 GB de dados de funcionários, financeiros e contratuais. No caso da Albers, o volume ameaçado rondava os 30 GB. Este padrão de “duplo ataque no mesmo dia” é típico de operações RaaS com múltiplos afiliados a trabalhar em paralelo.
Mais recentemente, em outubro de 2026, o Ransomnews atribuiu à Akira um ataque ao Colegio Oficial de Arquitectos de León, em Espanha, um sinal de que o grupo continua ativo em território europeu e não se limita ao mercado norte-americano. Historicamente, segundo um relatório conjunto do FBI e da CISA, o grupo já tinha afetado mais de 250 organizações e gerado aproximadamente $42 milhões em proceeds até 1 de janeiro de 2024. Essa mesma análise, resumida pela Adaptive Security, aponta uma faixa de resgate exigido entre $200.000 e mais de $4 milhões, dependendo do porte da vítima.
Em agosto de 2026, a Akira já operava com uma variante atualizada, apelidada de Akira_v2, com o site de fuga Tor continuando ativo. Vale a pena notar que a ação de aplicação da lei registada em julho de 2026 nos Estados Unidos, que visou infraestrutura associada a LockBit, BlackSuit e Play, não nomeou a Akira como alvo direto, o que ajuda a explicar por que o grupo continua operacional sem interrupções visíveis.
LockBit: o veterano que sobrevive às ações policiais
A LockBit é, de longe, o nome com maior histórico entre os três. O Ransomnews atribui-lhe mais de 500 ataques verificados desde 2019, com uma contagem total de 545 vítimas confirmadas na base de dados, o que a torna a operação de ransomware com mais vítimas históricas já rastreadas por aquela fonte. Mesmo assim, em 2026, a atividade recente da marca caiu para 35 vítimas confirmadas no ano, 5% do total, ficando atrás tanto da INC como da Akira em atividade corrente.
Essa diferença entre “liderança histórica” e “atividade atual” é o ponto mais importante a entender sobre a LockBit em 2026. O grupo foi alvo de múltiplas ações de desmantelamento ao longo dos últimos anos, e a mais recente aconteceu em julho de 2026: em 14 de julho, o Departamento de Justiça dos EUA tornou públicas acusações contra operadores da Media Land/ML.Cloud, alegando que esta operação de hospedagem dava suporte de infraestrutura à LockBit, à BlackSuit e à Play em conjunto. A mesma ação foi associada a mais de $62 milhões em perdas nos Estados Unidos. No dia anterior, 13 de julho de 2026, autoridades dos EUA, da Europa e do Reino Unido coordenaram sanções contra a mesma operação de hospedagem.
O padrão que emerge é de uma marca resiliente: mesmo com infraestrutura repetidamente atingida por ações policiais internacionais, o nome LockBit continua a aparecer em novas vítimas, o que sugere reconstrução rápida de infraestrutura ou a persistência de afiliados que continuam a usar o código e a marca mesmo após desmantelamentos parciais.
Vetores de ataque: como cada grupo entra nos sistemas
A forma como cada grupo obtém acesso inicial é, para uma equipa de defesa, mais útil do que qualquer contagem de vítimas, porque é precisamente aí que um ataque pode ser travado antes de causar dano. Os três grupos analisados neste artigo têm padrões documentados e divergentes.
A Akira é a mais bem documentada neste aspeto. Um aviso conjunto do FBI, da CISA e de parceiros internacionais identifica que os atacantes associados à Akira obtêm acesso inicial sobretudo através de serviços VPN sem autenticação multifator configurada, com destaque para produtos Cisco vulneráveis a falhas como a CVE-2020-3259, a CVE-2023-20269 e a CVE-2024-40766. O mesmo aviso regista ainda o uso de credenciais válidas, spearphishing e RDP exposto à internet como métodos complementares. A Red Canary, numa análise separada, confirmou que desde pelo menos agosto de 2025 intrusões da Akira exploraram VPNs SonicWall mal configuradas ou vulneráveis à CVE-2024-40766, além de vulnerabilidades no Veeam Backup & Replication identificadas como CVE-2023-27532 e CVE-2024-40711, usadas tanto para acesso inicial como para escalada de privilégios.
A INC Ransom segue um padrão mais disperso. Uma análise da Acronis publicada em junho de 2026 atribui as intrusões do grupo a spearphishing, à compra de credenciais junto de corretores de acesso inicial (initial access brokers) e à exploração de aplicações expostas à internet, citando especificamente a CVE-2023-3519 no Citrix NetScaler, a CVE-2023-48788 no Fortinet EMS, a CVE-2024-57727 no SimpleHelp RMM e a CVE-2025-5777, conhecida como Citrix Bleed 2. Depois de entrar na rede, a INC tem um comportamento característico: segundo uma análise da ZeroFox citada pela The Hacker News em junho de 2026, o grupo foca-se em dispositivos de borda não corrigidos, rouba credenciais diretamente de servidores de backup Veeam e usa uma mistura de binários legítimos do sistema (LOLBins) e ferramentas comerciais de administração remota para se mover lateralmente dentro da rede comprometida. A mesma fonte posicionou a INC Ransom em quarto lugar entre os grupos de ransomware mais ativos no primeiro trimestre de 2026, com mais de 120 incidentes reportados, atrás apenas de Qilin, Akira e The Gentlemen.
A LockBit, por ser a operação mais antiga das três, tem um histórico de exploração de vulnerabilidades mais extenso e mais variado ao longo dos anos. Um aviso conjunto da CISA, do FBI e de parceiros internacionais identificou a exploração da CVE-2023-4966, a chamada Citrix Bleed, em aparelhos Citrix NetScaler ADC e Gateway, por atores associados à LockBit 3.0. Mais recentemente, a Google Threat Intelligence documentou que, em julho de 2025, um ator tentou explorar a CVE-2025-53770 e a CVE-2025-53771 no Microsoft SharePoint, acabando por implementar uma carga associada à LockBit identificada como LOCKBIT.WARLOCK. Este caso deve ser lido como uma intrusão associada à marca LockBit, não como prova de que todos os afiliados da marca usam o mesmo método.
Um ponto de convergência relevante: a ENISA, na sua análise do panorama de ameaças de 2026, mapeia tanto a Akira como a INC Ransom (junto com a Qilin) na técnica T1190 da matriz MITRE ATT&CK, “exploração de aplicação exposta ao público”, confirmando que ambos os grupos dependem fortemente de vulnerabilidades em sistemas de borda, como VPNs, firewalls e plataformas de backup, para entrar nas redes das vítimas. Esta sobreposição explica por que motivo a correção rápida de vulnerabilidades em dispositivos de borda continua a ser a defesa mais rentável contra qualquer um dos três grupos.
Portugal e Europa: qual é a exposição real
Para um leitor português, a pergunta mais prática não é apenas “qual grupo é mais perigoso no mundo”, mas “qual é o risco real para uma organização sediada em Portugal”. Os dados aqui são mais escassos, mas não inexistentes.
O Ransomnews, na sua base de dados dedicada a ataques de ransomware em Portugal, confirmou seis incidentes em território português até 2 de outubro de 2026, contra três em todo o ano de 2025 e apenas dois em 2024. É um aumento proporcionalmente grande, mesmo que o número absoluto continue baixo comparado com mercados maiores. Olhando para o histórico acumulado desde 2018, a mesma fonte identifica a administração pública como o setor mais afetado em Portugal, com 16 vítimas confirmadas (36% do total histórico), seguida da saúde com 10 vítimas (23%) e da educação com cinco vítimas (11%).
Nenhuma das fontes revistas para este artigo atribui, de forma verificável, uma vítima portuguesa especificamente à INC Ransom, à Akira ou à LockBit em 2026. Isso não significa ausência de risco, apenas ausência de confirmação pública até à data. O que reforça a cautela é o facto de a Akira já ter atingido uma vítima espanhola (o Colegio Oficial de Arquitectos de León) em outubro de 2026, mostrando que o grupo está ativo na Península Ibérica, mesmo que o alvo direto não tenha sido português.
O contexto mais amplo de ciberataques em Portugal, que já reportou uma média de 2.437 incidentes por semana, mais 32% do que a média europeia, sugere que o país continua a ser um alvo proporcionalmente ativo dentro do panorama europeu, mesmo quando o foco é especificamente ransomware em vez de ciberataques em geral. Para equipas de segurança portuguesas, a lição prática é tratar os três grupos com a mesma prioridade dada a qualquer outra ameaça de exploração de aplicações expostas, dado o padrão de T1190 identificado pela ENISA para dois dos três grupos analisados.
Benchmarks: comparando atividade, impacto e resiliência
Ao colocar os três grupos frente a frente em três eixos (atividade em 2026, histórico acumulado e exposição a ações policiais), fica claro que nenhum deles é objetivamente “o pior”. Cada um representa um perfil de risco diferente para uma equipa de segurança.
| Métrica de benchmark | INC Ransom | Akira | LockBit | Fonte |
|---|---|---|---|---|
| Vítimas confirmadas em 2026 | 50 | 42 | 35 | Ransomnews |
| Vítimas históricas acumuladas | 217 | 311 | 545+ | Ransomnews |
| Proceeds/impacto financeiro documentado | Sem dado consolidado | ~$42M até 2024 (FBI/CISA) | Maior histórico entre famílias rastreadas pelas autoridades dos EUA | FBI/CISA, Adaptive Security |
| Ação policial em 2026 | Nenhuma registada | Nenhuma direta | Infraestrutura atingida em julho de 2026 | Departamento de Justiça dos EUA, BleepingComputer |
| Organizações afetadas historicamente | Sem contagem pública consolidada | 250+ até 2024 | Centenas, maior base histórica entre os três | FBI/CISA, Ransomnews |
Este cruzamento de dados mostra algo que os relatórios de ameaça de 2026 têm vindo a repetir: a atividade recente de um grupo e o seu histórico acumulado nem sempre andam de mãos dadas. A LockBit tem o maior histórico, mas a menor atividade das três em 2026. A INC Ransom, por outro lado, é o nome com menor histórico documentado publicamente mas lidera a contagem corrente entre os três analisados aqui.
Um relatório da Dragos sobre ransomware industrial no primeiro trimestre de 2026 confirma que o padrão de dupla extorsão, roubo de dados seguido de encriptação, continuou a ser a tática dominante entre grupos e afiliados durante o período, ao lado de roubo de credenciais, abuso de contas válidas e exploração de serviços de acesso remoto. A mesma análise não fornece uma percentagem exata e verificável do total de ataques que envolvem dupla extorsão especificamente para 2026, pelo que evitamos apresentar aqui um número que não conseguimos confirmar numa fonte primária como a Coveware ou a Unit 42. O que fica claro, mesmo sem essa percentagem exata, é que nenhum dos três grupos comparados neste artigo depende apenas de encriptação: todos ameaçam publicar dados roubados, o que significa que uma cópia de segurança eficaz resolve o problema de disponibilidade mas não o problema de confidencialidade.
Preços e custos: quanto custa cada tipo de ataque
A tabela de “preços” neste contexto não é uma lista de produto, é o custo estimado que uma vítima enfrenta ao ser atingida por cada grupo, com base nos dados públicos disponíveis.
| Grupo | Faixa de resgate documentada | Custo adicional típico | Nota de fiabilidade |
|---|---|---|---|
| INC Ransom | Sem faixa fiável publicada para 2026 | Custo de resposta a incidente, notificação regulatória, possível indemnização a terceiros | Dado em falta nas fontes revistas, não estimado para evitar fabricação de números |
| Akira | $200.000 a mais de $4 milhões por vítima (histórico FBI/CISA) | Tempo de paragem operacional, custos legais, recuperação de sistemas | Fonte oficial (alerta conjunto FBI/CISA) |
| LockBit | Sem faixa fiável publicada para 2026 (histórico anterior envolveu exigências de vários milhões) | Custos de investigação forense elevados dado o histórico de reincidência da marca | Histórico consolidado, mas sem número atual verificável para 2026 |
O ponto central aqui é que, ao contrário de um software comercial, não existe uma lista de preços pública e estável para ataques de ransomware. O valor exigido varia caso a caso, consoante o porte da vítima, o setor e a perceção de capacidade de pagamento. Qualquer número apresentado sem esta ressalva deve ser lido com desconfiança.
Exemplos reais de ataques em 2026
Para tornar a comparação concreta, eis cinco casos documentados que ilustram o comportamento de cada grupo durante 2026.
- Akira contra a Belasco Electric (3 de agosto de 2026): empresa de serviços elétricos nos EUA, com ameaça de divulgação de aproximadamente 16 GB de dados de funcionários, financeiros e contratuais.
- Akira contra a Albers Mechanical Contractors (3 de agosto de 2026): empresa de climatização e fabricação, com ameaça de divulgação de cerca de 30 GB de dados, reivindicada no mesmo dia que o ataque à Belasco.
- Akira contra o Colegio Oficial de Arquitectos de León (outubro de 2026): instituição profissional espanhola, mostrando que o grupo mantém presença ativa fora dos Estados Unidos.
- LockBit e a rede Media Land/ML.Cloud (julho de 2026): ação do Departamento de Justiça dos EUA revelou que a infraestrutura de hospedagem associada a esta rede servia tanto a LockBit como a BlackSuit e a Play, com mais de $62 milhões em perdas atribuídas nos EUA.
- Sanções internacionais contra a infraestrutura da LockBit (13 de julho de 2026): ação coordenada entre EUA, Europa e Reino Unido contra a mesma operação de hospedagem, um dia antes da divulgação das acusações formais.
Vale a pena notar, a título de contexto adicional, que o grupo Clop (não incluído nesta comparação de três porque os dados de atividade de 2026 não permitem compará-lo diretamente com os outros três neste formato) foi notícia no início de outubro de 2026 quando o grupo extorsionista ShinyHunters invadiu e desfigurou o próprio site de fuga da Clop, alegadamente roubando dados de servidor e as chaves privadas do serviço onion. Isto mostra que, mesmo dentro do submundo do crime organizado, a competição entre grupos de extorsão é real, como noticiou a BleepingComputer.
Cinco casos de uso: qual ameaça priorizar segundo o seu setor
Em vez de tratar os três grupos como uma ameaça genérica, faz mais sentido mapear o perfil de risco da sua organização contra o padrão de alvos de cada um.
- PME em serviços técnicos (eletricidade, climatização, manufatura ligeira): o perfil da Akira é o mais relevante aqui. O grupo tem histórico comprovado de atingir empresas deste porte e setor, com ataques frequentemente reivindicados em pares no mesmo dia.
- Administração pública e serviços profissionais na Europa: a atividade recente da INC Ransom e da Akira em território europeu (incluindo o caso espanhol de outubro de 2026) sugere que estes dois grupos merecem atenção reforçada em planos de resposta a incidentes para este setor.
- Empresas de logística e manufatura com infraestrutura legada: o histórico da LockBit nestes setores, mesmo com atividade reduzida em 2026, justifica manter controlos de segmentação de rede e cópias de segurança isoladas (air-gapped), dado o padrão histórico de ataques de alto impacto.
- Organizações que já usam serviços de hospedagem terceirizados: o caso Media Land/ML.Cloud mostra que a cadeia de fornecimento de infraestrutura (fornecedores de hospedagem, VPS, proxies) pode ser o elo mais fraco, independentemente de qual grupo de ransomware acabe por explorar essa infraestrutura.
- Equipas de resposta a incidentes com orçamento limitado: dado que nenhum dos três grupos foi alvo de um desmantelamento completo e definitivo em 2026, a prioridade prática deve ser deteção precoce de exfiltração de dados e segmentação de rede, em vez de apostar unicamente em inteligência de ameaças sobre um grupo específico.
Guia de migração: como atualizar a sua postura de defesa
Para equipas que ainda têm planos de resposta a incidentes desenhados à volta de ameaças de 2023 ou 2024, eis os passos recomendados para atualizar a postura de defesa face ao panorama de INC Ransom, Akira e LockBit em 2026.
- Reveja os indicadores de compromisso publicados no alerta conjunto do FBI e da CISA sobre a Akira e confirme se as suas ferramentas de deteção de endpoint já os incluem nas regras ativas.
- Audite acessos de fornecedores de hospedagem e infraestrutura cloud, dado o padrão revelado pelo caso Media Land/ML.Cloud, onde um único fornecedor serviu múltiplos grupos de ransomware em simultâneo.
- Implemente segmentação de rede que limite o movimento lateral a partir de sistemas de pequena dimensão (muitas vezes o ponto de entrada preferido pela Akira em ataques contra PME).
- Garanta cópias de segurança isoladas da rede principal (offline ou com imutabilidade), já que os três grupos continuam a usar encriptação como vetor principal de extorsão, mesmo com a tendência crescente de ataques sem encriptação noutras famílias de ransomware.
- Reforce a monitorização de exfiltração de dados, não apenas de encriptação, porque os três grupos ameaçam publicar dados roubados independentemente de a vítima pagar ou não.
- Atualize playbooks de resposta a incidentes para incluir contacto imediato com autoridades competentes, dado que ações policiais contra infraestrutura (como a de julho de 2026 contra a LockBit) dependem de denúncias e cooperação das vítimas.
- Reavalie contratos de seguro cibernético à luz da faixa de resgate documentada para a Akira ($200.000 a mais de $4 milhões), ajustando coberturas se a sua organização se encaixar no perfil de alvo típico do grupo.
- Teste regularmente os planos de recuperação de desastre com simulações que assumam exfiltração prévia de dados, não apenas perda de acesso a sistemas.
Prós e contras de cada grupo (na perspetiva de risco para a vítima)
Esta secção resume, de forma direta, os fatores que tornam cada grupo mais ou menos previsível e perigoso para uma equipa de defesa.
INC Ransom
- Fator de risco elevado: maior atividade corrente entre os três grupos analisados em 2026, com 50 vítimas confirmadas.
- Fator de risco elevado: ausência de ação policial pública conhecida em 2026, o que sugere operação sem interrupções significativas de infraestrutura.
- Fator de risco reduzido: histórico acumulado mais baixo dos três (217 vítimas), sugerindo uma operação relativamente mais recente e com infraestrutura possivelmente menos madura.
Akira
- Fator de risco elevado: padrão comprovado de ataques múltiplos no mesmo dia contra PME, o que sugere operação eficiente com múltiplos afiliados ativos.
- Fator de risco elevado: faixa de resgate documentada ($200.000 a $4 milhões+) é das poucas com confirmação oficial, o que facilita o planeamento de seguro cibernético.
- Fator de risco reduzido: não foi alvo direto da ação de julho de 2026 contra infraestrutura partilhada, mas isso também significa que continua sem interrupção conhecida.
LockBit
- Fator de risco elevado: maior histórico acumulado de vítimas (545+) entre todos os grupos rastreados pelo Ransomnews, o que implica vasta experiência operacional.
- Fator de risco reduzido: atividade corrente em 2026 é a mais baixa dos três grupos analisados (35 vítimas), possivelmente reflexo de repetidas ações policiais.
- Fator de risco elevado: mesmo após múltiplos desmantelamentos de infraestrutura, a marca continua a reaparecer, indicando resiliência estrutural da rede de afiliados.
Veredito: qual grupo representa o maior risco em 2026
Com base nos dados reunidos, a INC Ransom é, neste momento, o grupo com maior atividade corrente entre os três (50 vítimas confirmadas em 2026, sem ação policial pública conhecida a travar o seu crescimento). Isto faz da INC a ameaça com a trajetória mais preocupante para o resto do ano, precisamente porque continua a crescer sem sinais visíveis de desmantelamento.
A Akira continua a ser a ameaça mais previsível em termos de perfil de alvo (PME em setores técnicos) e a única das três com uma faixa de resgate oficialmente documentada pelas autoridades dos EUA, o que a torna o caso de estudo mais útil para planeamento de seguro e resposta a incidentes.
A LockBit, apesar de ser o nome mais antigo e historicamente mais destrutivo, mostra sinais claros de desgaste operacional em 2026, com a menor contagem de vítimas correntes entre os três e com a sua infraestrutura repetidamente atingida por ações internacionais, incluindo a mais recente em julho de 2026. Isto não significa que a marca deva ser ignorada, mas sim que o risco imediato que representa é hoje menor do que o risco representado pela INC Ransom ou pela Akira.
Para equipas de segurança com recursos limitados, a recomendação prática que resulta desta comparação é simples: tratar a deteção de exfiltração de dados e a segmentação de rede como prioridades universais, porque funcionam contra os três grupos, em vez de desenhar defesas específicas apenas para a ameaça que fez mais manchetes no último mês.
Este padrão de concentração de poder entre poucos grupos, com os líderes absolutos a somar mais de um quarto dos ataques confirmados, está também documentado na análise mais ampla sobre o custo das fugas de dados em 2026 e na forma como o valor médio de resgate tem evoluído ao longo do ano. Para equipas que precisam de priorizar vulnerabilidades específicas em vez de grupos, a comparação entre NVD, CISA KEV e EPSS continua a ser a referência prática para decidir o que corrigir primeiro.
Perguntas frequentes
A INC Ransom, a Akira e a LockBit são o mesmo tipo de operação?
Todos operam segundo o modelo de ransomware-as-a-service (RaaS), em que um núcleo central disponibiliza malware e infraestrutura a afiliados que executam os ataques e dividem o lucro. A diferença está na maturidade da operação, nos setores visados e na exposição a ações policiais.
Qual destes três grupos é o mais ativo em 2026?
Segundo o Ransomnews, a INC Ransom lidera com 50 vítimas confirmadas em 2026, seguida da Akira com 42 e da LockBit com 35, excluindo da contagem os líderes absolutos do ano, Qilin e The Gentlemen.
A LockBit ainda está ativa depois de tantas ações policiais?
Sim. Apesar de múltiplas ações de desmantelamento, incluindo uma em julho de 2026 contra infraestrutura de hospedagem partilhada com a BlackSuit e a Play, a marca LockBit continua a aparecer associada a novas vítimas, mostrando resiliência estrutural da rede de afiliados.
Quanto custa, em média, um ataque da Akira?
De acordo com o alerta conjunto do FBI e da CISA, a Akira exigiu historicamente resgates entre $200.000 e mais de $4 milhões, consoante o porte da vítima. Não existe, nas fontes públicas disponíveis, uma média atualizada e fiável especificamente para 2026.
Estes grupos atacam empresas em Portugal?
As fontes revistas para este artigo não identificam, de forma verificável, vítimas portuguesas atribuídas especificamente à INC Ransom, Akira ou LockBit em 2026. No entanto, dado que a Akira já atingiu uma instituição em Espanha em outubro de 2026, o risco para organizações portuguesas, sobretudo PME em setores técnicos, não deve ser descartado.
Pagar o resgate garante a recuperação dos dados?
Não há garantia. O histórico documentado destes grupos mostra exigências de resgate que variam fortemente, e autoridades como o FBI recomendam consistentemente não efetuar pagamentos, uma vez que isso financia operações futuras e não garante que os dados exfiltrados não sejam divulgados mesmo após o pagamento.
Qual a diferença entre vítimas “confirmadas” e “reivindicadas”?
Vítimas reivindicadas são aquelas que o próprio grupo de ransomware anuncia no seu site de fuga, sem verificação externa. Vítimas confirmadas, como as usadas neste artigo através do Ransomnews, passaram por um processo de verificação contra fontes públicas independentes, como notificações regulatórias ou processos judiciais.
Porque é que a Clop não entrou nesta comparação?
A Clop foi notícia relevante em outubro de 2026 devido a um ataque contra o seu próprio site de fuga por parte do grupo extorsionista ShinyHunters, mas as fontes disponíveis não fornecem um número de vítimas confirmadas para 2026 diretamente comparável com os dados usados para a INC Ransom, a Akira e a LockBit, pelo que foi excluída desta comparação específica para manter rigor metodológico.