Números de fevereiro de 2026 (Breachsense)
Ascensão do Qilin: cronologia
O Qilin surgiu em meados de 2022 como operação RaaS (Ransomware-as-a-Service) em Go/Rust, com um modelo de partilha de receita com afiliados. A sua ascensão ao topo do mercado acelerou após vários eventos:
- Junho 2024: Ataque ao Synnovis (fornecedor de análises clínicas do NHS britânico), com roubo de 400 GB de dados de pacientes e interrupção de transfusões sanguíneas em vários hospitais de Londres.
- Setembro e outubro 2025: Aliança com LockBit 5.0 e DragonForce, anunciada pela DragonForce após o regresso do LockBit com a versão 5.0 e divulgada pela ReliaQuest a 8 de outubro de 2025, com partilha prevista de técnicas, recursos e infraestrutura.
- Janeiro e fevereiro 2026: 107 vítimas em janeiro e 104 em fevereiro, liderando o ranking global de vítimas reivindicadas nos dois meses (Breachsense).
Modelo operacional: double extortion RaaS
O Qilin opera um modelo de dupla extorsão sofisticado:
- Acesso inicial: Via credenciais comprometidas (phishing, credential stuffing) ou exploração de VPNs vulneráveis.
- Persistência e reconhecimento: Período de permanência antes da encriptação, usado para reconhecimento e exfiltração de dados sensíveis.
- Exfiltração: Upload de dados para infraestrutura controlada pelo grupo, especialmente documentos de RH, dados financeiros e propriedade intelectual.
- Encriptação: Ransomware em Go/Rust com capacidade de encriptação de ambientes VMware ESXi e NAS.
- Extorsão dupla: Pressão simultânea para pagamento do resgate (para decifrar) e não publicação dos dados exfiltrados no leak site.
Setores mais afetados em fevereiro de 2026 (todos os grupos)
Segundo a Breachsense, os setores com mais vítimas reivindicadas em fevereiro de 2026, considerando todos os grupos de ransomware, foram:
- Indústria transformadora (94 vítimas): propriedade intelectual e continuidade de produção como alavancas de extorsão.
- Saúde (93 vítimas, contra 40 em janeiro): hospitais, laboratórios e prestadores de serviços médicos, alvo preferencial pela criticidade e pela pressão para pagamento.
- Serviços jurídicos (48 vítimas): dados confidenciais de clientes.
- Empresas de TI (46 vítimas): acesso a clientes e a cadeias de fornecimento.
Implicações para exercícios de tabletop: As entidades abrangidas pelo DL 125/2025 que testem os seus planos de resposta a incidentes (medida de tratamento de incidentes do art. 27.º, alínea a)) devem usar cenários baseados no Qilin, especificamente o duplo vetor de exfiltração seguida de encriptação, que invalida estratégias de resposta baseadas apenas em recuperação de backups.
Controlos prioritários contra ransomware avançado
- MFA phishing-resistant em todos os acessos remotos e portais de email, elimina o principal vetor de acesso inicial.
- Backups imutáveis 3-2-1-1-0: 3 cópias, 2 meios, 1 off-site, 1 air-gapped, 0 erros testados, a única defesa contra encriptação completa.
- EDR/XDR em todos os endpoints e servidores: A deteção comportamental é essencial para identificar o período de reconhecimento antes da encriptação.
- Hunting proativo de TTPs Qilin: Procurar indicadores de Cobalt Strike, uso anómalo de ferramentas de administração remota (RMM), comunicações C2 por HTTPS/DNS.
- Segmentação de rede: Limitar o raio de impacto da encriptação lateralizando o acesso entre segmentos críticos.
RTO/RPO agressivos: Face ao modelo de dupla extorsão, a estratégia de resposta não pode ser apenas "restaurar backups". É necessário assumir que dados foram exfiltrados e ativar planos de gestão de violação de dados (notificação CNCS, CNPD) em paralelo com a recuperação operacional.