Qilin e as 365 vítimas: o crime digital já opera como empresa

Segundo o BoletimSec, o grupo de ransomware Qilin reivindicou ao menos 365 organizações como vítimas ao longo de três meses, de acordo com uma investigação sobre cibercrime publicada em 11 de novembro de 2026. O detalhe que merece atenção logo de cara: o número é de vítimas anunciadas pelo próprio grupo, e não de invasões confirmadas por terceiros. Mesmo assim, o volume diz muito sobre o momento que vivemos.

O Qilin está em atividade desde setembro de 2022. Ou seja, não é um grupo novato que apareceu do nada. É uma operação que amadureceu, ganhou escala e hoje trabalha com uma disciplina quase empresarial. Fico pensando que o crime digital aprendeu direitinho o que muita empresa legítima ainda tem dificuldade de fazer: padronizar processos e repetir o que funciona.

Reivindicação não é prova, mas também não é ruído

Vale explicar o ponto sobre a natureza dos dados. Grupos de ransomware mantêm sites de vazamento, onde listam as vítimas que se recusaram a pagar ou que ainda estão sendo pressionadas. Esses sites funcionam como vitrine e como ferramenta de chantagem. Por isso, parte das publicações pode ser exagerada, repetida ou até falsa.

Ainda assim, ignorar esse tipo de dado seria um erro. Pesquisadores usam essas listas como termômetro de atividade, e a média de 365 organizações em três meses indica mais de quatro vítimas por dia. Mesmo descontando eventuais inflações, o ritmo é alto e sugere uma estrutura bem organizada por trás.

O que esse ritmo revela

• Existe um modelo de operação que se repete e escala, normalmente com afiliados que executam os ataques.
• As vítimas não são só grandes corporações. Empresas pequenas e médias entram na conta justamente por terem menos defesa.
• A pressão por vazamento de dados tornou-se parte do golpe, e não apenas o sequestro dos arquivos.

O que o dono da empresa precisa entender

Muita gente ainda pensa que ransomware é problema de banco, de hospital ou de multinacional. Não é. Para um grupo que opera nesse volume, a empresa de médio porte com backup mal testado, acesso remoto sem autenticação forte e sistemas desatualizados é um alvo muito atraente. Dá menos trabalho e rende resultado.

Na prática, o prejuízo raramente se limita ao resgate. Há parada de operação, perda de confiança do cliente, exposição de dados e, no Brasil, a conversa inevitável sobre LGPD. A redução de custo mais inteligente que conheço é a que evita o incidente, e não a que corta investimento em segurança.

Medidas que fazem diferença de verdade

Não existe bala de prata, mas existe higiene básica que barra boa parte dos ataques. Em projetos de resolução de problemas que acompanho, o que mais pesa é o seguinte:

• Autenticação multifator em acessos remotos, VPN e contas administrativas.
• Backups isolados da rede principal e, principalmente, testados com restauração real.
• Gestão de atualizações, com prioridade para falhas já exploradas ativamente.
• Segmentação de rede, para que uma invasão não alcance tudo de uma vez.
• Monitoramento e resposta a incidentes com responsáveis definidos antes da crise.

Na M3Solutions, a conversa com os clientes costuma começar por aí: processos otimizados de segurança, simples de manter e claros para quem opera. Uma política que ninguém segue não protege ninguém.

Uma reflexão para fechar

O caso do Qilin mostra que o cibercrime virou negócio recorrente, com meta, rotina e escala. Do outro lado, muitas empresas ainda tratam segurança como gasto eventual, lembrado só depois do susto. Essa assimetria é o que alimenta números como esses 365.

Não precisamos de pânico, precisamos de método. Entender o risco, corrigir o básico e treinar a equipe já coloca a empresa fora da lista dos alvos mais fáceis. E nesse jogo, não ser o mais fácil já é uma vitória importante.

Se o seu sistema fosse atacado amanhã, sua equipe saberia exatamente o que fazer na primeira hora? Se a resposta gerou dúvida, talvez seja hora de revisar isso hoje.