Em 2025, a FortiGuard Labs confirmou 7.831 vítimas de ransomware ao redor do mundo. Em 2024, esse número tinha sido de aproximadamente 1.600. Um crescimento de 389% em doze meses, sem trégua sazonal: mesmo os meses mais fracos do ano registraram centenas de vítimas novas. Esse único dado, tirado do 2026 Global Threat Landscape Report, já resume o argumento central do documento inteiro: cibercrime deixou de ser um conjunto de ataques isolados e passou a operar como uma linha de produção, com automação, reaproveitamento de ferramentas e velocidade de máquina em cada etapa.
Este artigo traduz os números centrais do relatório, mantém o Brasil e a América Latina em evidência onde os dados aparecem, e conecta cada estágio do ataque a uma decisão prática que uma equipe de segurança pode tomar diante dele.
O Que é o Relatório Global de Ameaças da FortiGuard Labs?
A FortiGuard Labs mantém sensores de telemetria espalhados globalmente desde 2002, e o relatório de 2026 consolida os dados coletados ao longo de 2025 em rede, endpoint, nuvem, e-mail e identidade. Em vez de listar famílias de malware isoladas, o documento organiza a análise em torno do ciclo completo de um ataque: exposição, preparação, exploração, pós-exploração e impacto. Essa estrutura importa porque desloca a pergunta de “qual malware nos atacou” para “em que ponto da cadeia conseguimos interromper o ataque”, uma mudança de enquadramento que aparece em quase todos os relatórios de inteligência de ameaças mais maduros do mercado atualmente.
A Exposição Já Está à Venda Antes do Primeiro Ataque
O relatório descreve um ponto que muda a lógica de defesa tradicional: para a FortiGuard Labs, exposição não começa com reconhecimento contra a rede da empresa, começa em mercados do submundo digital, onde credenciais e acessos já validados são vendidos antes de qualquer varredura nova acontecer. Em 2025, foram registrados 4,62 bilhões de stealer logs negociados ou compartilhados nesses mercados, um crescimento de 79,07% em relação a 2024. Três famílias de malware ladrão de credenciais concentraram a maior parte das infecções identificadas: RedLine, com quase 912 mil infecções, Lumma, com cerca de 500 mil, e Vidar, com pouco mais de 236 mil.
Do lado do acesso já pronto para uso, VPN corporativa lidera as ofertas mais anunciadas nesses mercados, seguida por RDP e ferramentas de acesso remoto como ScreenConnect. Reconhecimento tradicional também segue em volume gigantesco: 640 bilhões de eventos em 2025, o equivalente a mais de 20 mil varreduras por segundo em média global, mesmo com queda de 45% em relação ao ano anterior, uma redução que a FortiGuard Labs atribui a maior seletividade dos atacantes, não a menos atividade real. Regionalmente, a APAC concentrou o maior volume de varredura (cerca de 260 bilhões), seguida por EMEA, América do Norte e América Latina, essa última com aproximadamente 54,65 bilhões de eventos no ano.
Como Vulnerabilidades Viram Estoque Pronto Para Uso
O relatório identificou 635 vulnerabilidades sob exploração ativa em 2025. Dessas, 53,86% já tinham código de prova de conceito disponível publicamente, e 31,18% contavam com exploit funcional pronto para uso. Separadamente, no submundo digital, a FortiGuard Labs acompanhou discussões sobre 656 vulnerabilidades específicas, a maioria delas já embaladas com scripts, guias e playbooks operacionais, o que converte uma CVE de risco teórico em capacidade pronta para ser acionada por qualquer operador, independentemente do nível técnico.
O efeito mais concreto disso é a compressão do tempo entre divulgação e exploração, o TTE (time-to-exploit). Em ciclos de relatório anteriores, esse intervalo costumava passar de uma semana. Em 2025, a maioria dos casos analisados mostrou exploração dentro de 24 a 48 horas, e alguns nem chegaram a isso: o ataque ao Fortra GoAnywhere MFT, o zero-day da Oracle E-Business Suite e uma falha crítica do Apache Tomcat foram explorados no mesmo dia da divulgação pública, com TTE de zero dias.
Um exemplo concreto ilustra bem essa velocidade em escala real: na semana de 7 de julho, a exploração em massa de duas vulnerabilidades do Microsoft SharePoint (CVE-2025-49706 e CVE-2025-49704) gerou 4.682 execuções maliciosas confirmadas só naquela semana, uma alta muito acima do padrão de semanas próximas. A técnica usada carregava binários .NET diretamente na memória, sem depender de arquivo malicioso tradicional no disco.
Quando a Exploração Vira uma Corrida Automatizada
O volume de tentativas de exploração chegou a 121,99 bilhões em 2025, um aumento de 25% em relação aos cerca de 97 bilhões registrados em 2024. A América do Norte concentrou o maior volume absoluto e o crescimento mais acelerado; a América Latina, apesar de um volume menor em termos absolutos, também registrou aceleração relevante no período.
Um dado técnico ajuda a explicar por que antivírus tradicional sozinho não segura essa fase: 48,96% da atividade suspeita identificada por telemetria de endpoint em 2025 envolveu abuso de aplicações legítimas já presentes no sistema, o padrão conhecido como LOLbins (living-off-the-land binaries). Execução de PowerShell sem arquivo em disco apareceu em 10,46% dos sinais analisados. Isso significa que, na maior parte das vezes, um antivírus de assinatura encontra pela frente uma ferramenta legítima do próprio sistema operacional, usada de um jeito que ela não deveria — não um malware novo com assinatura para detectar.
O Que Acontece Depois que o Invasor Entra?
A fase de pós-exploração registrou 7,10 bilhões de detecções de comunicação com infraestrutura de botnet ao longo de 2025, uma média de cerca de 19,4 milhões por dia. Esse número confirma que, uma vez dentro do ambiente, os atacantes mantêm canais de controle contínuos, não conexões pontuais: milhões de dispositivos comprometidos seguem em contato regular com infraestrutura criminosa em qualquer momento do ano. Na América Latina, essas detecções somaram 2,09 bilhões, um crescimento de 12,05% em relação a 2024, concentradas principalmente no México, Panamá, Venezuela, Brasil e Colômbia.
Dentro do ambiente já comprometido, o movimento lateral se apoia fortemente em ferramentas administrativas legítimas, como Impacket, WinRM e WMIC, em vez de malware desenvolvido sob medida. Em ambientes de nuvem, o padrão se repete de outra forma: credenciais válidas funcionam como o próprio exploit, e chamadas de API legítimas funcionam como o mecanismo de execução, o que faz o incidente se misturar ao tráfego operacional normal até que a correlação comportamental entre em ação.
Ransomware: de Crise Pontual a Linha de Produção Contínua
O salto de 1.600 para 7.831 vítimas confirmadas concentra boa parte do peso deste relatório. Os grupos que mais produziram vítimas em 2025 foram Qilin (1.021 casos), Akira (645) e Safepay (645), com outros operadores maduros, como Play, Incransom e RansomHub, mantendo volume relevante logo atrás. Novos grupos continuam surgindo com frequência, a maioria deles sem atingir escala, o que sugere um ecossistema em constante teste, não uma consolidação em poucos nomes.
Os setores mais atingidos foram manufatura (1.284 vítimas), serviços empresariais (824), varejo (682), construção (601) e hospitais e clínicas médicas (285), um espectro amplo o suficiente para descartar a ideia de que só alguns setores “típicos” precisam se preocupar. Geograficamente, os Estados Unidos concentraram o maior número absoluto de vítimas (3.381), seguidos por Canadá (374) e Alemanha (291), com Reino Unido, França, Itália e Espanha aparecendo de forma recorrente na Europa.
O Brasil aparece nos dados com 141 vítimas confirmadas em 2025, o maior número entre os países latino-americanos citados no relatório, à frente do México (69), Argentina (50) e Colômbia (41). A atividade não teve pausa sazonal relevante: mesmo os meses mais fracos do ano registraram centenas de vítimas globais, com picos em março, setembro, outubro, novembro e dezembro.
Números desse tamanho tornam a pergunta menos sobre “se” e mais sobre “quando”, e sobre quanto tempo uma empresa levaria para detectar e conter um incidente assim. A InfoB é parceira certificada Fortinet e ajuda empresas a avaliar essa exposição real, não teórica, com base no ambiente que cada uma já tem hoje. Fale com um especialista da InfoB.
O Que Fazer Diante desse Cenário?
O relatório é bastante direto sobre a conclusão prática: o fator que trava essas fases é velocidade de resposta, não a quantidade de ferramentas isoladas em uso. Algumas mudanças concretas se destacam entre as recomendações que se repetem ao longo do documento:
- Tratar exploração ativa como incidente, não como item de backlog — assim que uma CVE em uso na empresa aparece como explorada publicamente, ela precisa de dono e prazo, não de fila de priorização por CVSS.
- Medir tempo de detecção, contenção e revogação de credenciais como indicador de risco de negócio — não só como métrica interna de TI.
- Adotar gestão contínua de exposição a ameaças (CTEM) — validar de forma recorrente o que está exposto, não apenas fazer inventário uma vez por ano.
- Fortalecer identidade como prioridade, não como item da lista — já que credenciais válidas, não malware, abrem a maior parte dos incidentes descritos no relatório.
- Correlacionar sinais entre rede, endpoint e nuvem — um alerta isolado de login incomum raramente conta a história toda; cruzado com atividade de API ou uso de ferramenta administrativa, conta.
Conclusão
O 2026 Global Threat Landscape Report descreve uma mudança de modelo operacional, não um pico isolado de atividade criminosa. Reconhecimento, exploração e controle pós-invasão já rodam de forma contínua e automatizada, com o Brasil e a América Latina presentes em praticamente todas as camadas de dados, do volume de varredura até a contagem final de vítimas de ransomware. A defesa que essa realidade exige troca contagem de ferramentas por velocidade de detecção, contenção e revogação, os três indicadores que o próprio relatório trata como a métrica de risco que realmente importa em 2026.
Perguntas Frequentes
O que é o Global Threat Landscape Report da Fortinet?
É um relatório anual da FortiGuard Labs, o laboratório de inteligência de ameaças da Fortinet, baseado em telemetria coletada por milhões de sensores em todo o mundo. A edição 2026 cobre dados de 2025 e descreve o ciclo completo de um ataque, de exposição inicial a impacto final.
Quanto o ransomware cresceu em 2025 segundo o relatório?
A FortiGuard Labs confirmou 7.831 vítimas de ransomware em 2025, contra aproximadamente 1.600 em 2024, um crescimento de 389% em um único ano, com atividade sustentada ao longo de todos os meses, sem queda sazonal relevante.
Quanto tempo leva para uma vulnerabilidade ser explorada depois de divulgada?
Em 2025, esse prazo caiu para uma janela de 24 a 48 horas na maioria dos casos analisados, e vários alertas críticos registraram exploração no mesmo dia da divulgação ou no dia seguinte. Anos atrás, esse intervalo costumava passar de uma semana.
O Brasil aparece nos dados de ransomware do relatório?
Sim. O Brasil registrou 141 vítimas confirmadas de ransomware em 2025 segundo a FortiGuard Labs, o maior número entre os países latino-americanos citados no relatório, à frente de México (69), Argentina (50) e Colômbia (41).
O que é living off the land (LOLbins)?
É a técnica de usar ferramentas legítimas já instaladas no sistema, como PowerShell ou utilitários administrativos do Windows, para executar um ataque, em vez de instalar malware próprio. Segundo o relatório, quase metade da atividade suspeita detectada em 2025 envolveu esse tipo de abuso de ferramenta legítima.
Como as empresas podem se proteger diante desses números?
Priorizando velocidade de detecção e contenção sobre volume de ferramentas: reduzir o tempo entre exposição e correção, adotar MFA resistente a phishing, monitorar comportamento em vez de depender só de assinatura, e tratar a gestão contínua de exposição a ameaças (CTEM) como rotina, não como projeto pontual.