A industrialização do cibercrime: como o Ransomware-as-a-Service transformou hackers em empresas estruturadas

Quando pensamos em ransomware, ainda é comum imaginar um hacker trabalhando sozinho, desenvolvendo um malware e procurando uma empresa vulnerável para atacar. Porém, essa imagem está cada vez mais distante da realidade. 

Hoje, muitas operações de ransomware fazem parte de um ecossistema estruturado, com desenvolvedores, operadores, afiliados, fornecedores de acesso, infraestrutura própria e modelos de divisão de receita. 

A Fortinet descreve essa evolução como uma industrialização do cibercrime, marcada por especialização de funções, automação e estruturas capazes de transformar acessos comprometidos em lucro de forma cada vez mais eficiente. 

Um dos principais responsáveis por essa transformação é o Ransomware-as-a-Service (RaaS). Mais do que uma nova maneira de distribuir malware, o RaaS criou um modelo no qual diferentes criminosos podem participar de partes específicas de uma operação sem precisar dominar todo o processo de ataque.

No modelo RaaS, os responsáveis pelo desenvolvimento do ransomware disponibilizam sua tecnologia e infraestrutura para outros criminosos, conhecidos como afiliados. 

De acordo com a CISA, esse modelo é como uma estrutura na qual operadores mantêm uma variante de ransomware e oferecem acesso a ela em troca de pagamento inicial, assinatura, participação nos lucros ou uma combinação desses formatos. 

Na prática, quem desenvolve a ferramenta não precisa necessariamente executar cada ataque. Os operadores podem cuidar do malware, infraestrutura e painéis de gerenciamento, enquanto afiliados buscam vítimas e conduzem as invasões. 

Um exemplo documentado pela Check Point Research é o VanHelsingRaaS. Quando surgiu, em março de 2025, o programa exigia de novos afiliados um depósito de US$ 5 mil. Os afiliados recebiam 80% dos pagamentos obtidos, enquanto os operadores ficavam com os outros 20%. A operação também oferecia painel administrativo e suporte a diferentes plataformas, incluindo Windows, Linux, BSD, ARM e ESXi. 

A comparação com empresas legítimas deve ser entendida apenas como uma analogia operacional porque nesse caso, estamos falando de atividade criminosa. Mas ela ajuda a explicar a mudança: o cibercrime incorporou especialização, terceirização e incentivos econômicos para ganhar escala.

Uma cadeia de fornecedores do crime

O RaaS não funciona isoladamente porque ao redor dessas operações surgiu um mercado no qual diferentes atores podem assumir funções específicas: Desenvolvedores criam e atualizam o ransomware, operadores administram o programa, afiliados conduzem ataques, Initial Access Brokers (IABs) podem se especializar em obter ou vender acessos previamente comprometidos. 

Além disso, outros criminosos negociam credenciais, infraestrutura ou recursos necessários para etapas específicas da intrusão. 

A Fortinet destaca justamente essa evolução para um mercado sustentado por funções especializadas, automação e disponibilidade de acessos comprometidos. 

Isso reduz uma barreira importante, já que um criminoso que sabe movimentar-se dentro de uma rede, mas não possui capacidade para desenvolver um ransomware sofisticado, pode recorrer a ferramentas criadas por terceiros. 

O acesso inicial também pode vir de outro participante, uma vez que a infraestrutura pode ser fornecida por outro serviço criminoso. As competências necessárias para executar o ataque deixam de precisar existir dentro do mesmo grupo.

O cibercrime criou seu próprio mercado entre fornecedores

Um Initial Access Broker pode ter como “produto” apenas o acesso a uma organização comprometida. 

Um desenvolvedor pode se concentrar exclusivamente no malware. 

Um operador de RaaS precisa atrair afiliados capazes de utilizar sua plataforma. 

O caso do LockBit ajuda a visualizar essa lógica. CISA, FBI e parceiros internacionais documentaram que a operação utilizava condições de pagamento favoráveis e uma interface simplificada para atrair afiliados, inclusive participantes com menor nível técnico. 

Quanto mais simples se torna operar a infraestrutura criminosa, menor tende a ser a barreira de entrada para determinados participantes. A escala do ransomware deixa, portanto, de depender apenas da quantidade de especialistas capazes de desenvolver malware do zero.

Reputação também importa no mercado criminoso

Outro paralelo inesperado com mercados legítimos é a importância da reputação. 

Afiliados precisam acreditar que os operadores cumprirão sua parte dos acordos. Os operadores, por sua vez, precisam atrair participantes capazes de gerar receita. 

A Check Point Research observou essa dinâmica no grupo Qilin, que combinava recrutamento de afiliados com gestão centralizada e participação de até 80% ou 85% para quem executava os ataques. 

É um paradoxo: organizações criminosas precisam construir relações de confiança dentro de um mercado baseado em invasão e extorsão.

Derrubar um grupo não elimina o ecossistema 

Operações policiais internacionais conseguiram desarticular ou enfraquecer importantes grupos de ransomware nos últimos anos. 

Mas existe uma consequência importante da industrialização: eliminar uma marca não significa necessariamente eliminar as pessoas, conhecimentos e relações econômicas que existiam ao redor dela. Isso acontece porque afiliados podem migrar, novas operações podem surgir e a infraestrutura pode mudar de nome ou ser reconstruída. 

No terceiro trimestre de 2025, a Check Point Research identificou 85 grupos ativos de extorsão. Os dez maiores concentravam 56% das vítimas publicadas, contra 71% no primeiro trimestre daquele ano, sinal de um mercado mais fragmentado. 

Isso mostra a diferença entre combater um malware e combater um ecossistema econômico criminoso. 

O ransomware virou um “produto” em constante evolução 

A industrialização também aparece na velocidade de desenvolvimento. A Check Point analisou duas versões do VanHelsing compiladas com apenas cinco dias de diferença e encontrou mudanças relevantes entre elas: 

• Ferramentas são atualizadas. 
• Novas funcionalidades aparecem. 
• Programas disputam afiliados. 
• Infraestruturas evoluem. 

O ransomware deixa de ser apenas um artefato criado para uma campanha e passa a fazer parte de uma operação que precisa continuar funcionando e gerando retorno.

Da criptografia para a extorsão 

O próprio modelo de monetização também mudou. O NIST reconhece em sua atualização de 2026 sobre ransomware que atacantes podem não apenas criptografar informações, mas também roubar dados e exigir pagamentos adicionais para impedir sua divulgação. 

Isso significa que restaurar arquivos nem sempre encerra o incidente. Se informações estratégicas, dados de clientes ou propriedade intelectual já foram exfiltrados, a organização continua exposta à pressão do atacante. 

O ransomware moderno precisa, portanto, ser compreendido dentro de uma lógica mais ampla de extorsão digital.

A inteligência artificial pode acelerar essa industrialização 

A IA adiciona uma nova variável ao problema. A Fortinet projeta para 2026 um ambiente de ameaças cada vez mais definido por velocidade, automação e escala, com IA apoiando diferentes etapas das operações criminosas. 

Já o 2026 Global Threat Landscape Report, também destaca que novas vulnerabilidades podem começar a ser exploradas em horas ou dias, comprimindo a janela disponível para resposta. 

O Gartner segue uma linha semelhante: sua análise sobre ransomware e extortionware em 2026 aponta que a IA aumenta escala, volume e sofisticação dos ataques. 

O risco mais importante talvez não seja um “ransomware criado por IA”, mas o aumento de produtividade de cada parte da cadeia criminosa. 

RaaS reduz a necessidade de construir tudo do zero. IA e automação podem reduzir ainda mais o tempo necessário para operar. 

O que muda para a defesa das empresas? 

Se o ataque funciona como uma cadeia, a defesa também precisa funcionar em camadas. A estratégia não pode depender apenas de uma ferramenta capaz de detectar a criptografia no estágio final. É necessário atuar antes. 

Isso inclui: 

• gestão contínua de vulnerabilidades e exposição; 
• proteção de identidades e privilégios; 
• MFA e controle de acessos privilegiados; 
• segmentação e microsegmentação; 
• monitoramento de endpoint, rede, identidade e cloud; 
• proteção de ambientes cloud e superfícies externas; 
• backups protegidos e testados; 
• planos estruturados de resposta a incidentes. 

O NIST organiza justamente a gestão do risco de ransomware ao redor das seis funções do Cybersecurity Framework 2.0: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. 

Essa visão é importante porque ransomware raramente começa na criptografia. Ele pode começar com uma vulnerabilidade, uma credencial comprometida ou um serviço exposto. 

O desafio é impedir que esse primeiro acesso evolua até os sistemas críticos.

Conclusão

O Ransomware-as-a-Service não criou o ransomware, mas mudou profundamente a forma como esse tipo de operação pode crescer. Ao separar desenvolvimento, execução, infraestrutura e distribuição de receita entre diferentes participantes, o modelo reduziu a dependência de grupos capazes de dominar todas as etapas de um ataque. 

Essa especialização ajudou a transformar o ransomware em uma ameaça mais persistente e mais difícil de combater. Enquanto desenvolvedores aprimoram ferramentas, afiliados conduzem ataques e outros atores fornecem acessos, infraestrutura ou serviços complementares, o ecossistema criminoso ganha escala sem precisar concentrar todas as competências em uma única organização. 

Para as empresas, isso exige uma mudança de perspectiva. A discussão não pode ficar restrita à pergunta “temos uma tecnologia capaz de bloquear ransomware?”. Também é preciso entender o que acontece depois de um primeiro comprometimento. 

Se um atacante conseguir acesso ao ambiente, quantas barreiras ainda existirão entre esse ponto inicial e os ativos mais críticos da organização? E quão rápido será possível detectar, conter e interromper essa movimentação? 



Quanto mais estruturado e especializado se torna o cibercrime, mais integrada precisa ser a defesa.