O que os avisos #StopRansomware revelam sobre a economia do ransomware: pagamentos, setores, afiliados
Os avisos conjuntos #StopRansomware publicados pela CISA, pelo FBI e por agências parceiras costumam ser lidos como material de resposta a incidentes: indicadores de comprometimento, mapeamentos de táticas, listas de mitigação. Lidos lado a lado, formam também um registro público incomum de como a economia do ransomware está organizada. Os avisos sobre ALPHV/Blackcat, Black Basta e Medusa descrevem, em linguagem deliberadamente sóbria, quem faz o trabalho, como o acesso às redes é comprado e como as vítimas são pressionadas a pagar.
Um mercado de trabalho, não uma única gangue
O aviso sobre a Medusa (AA25-071A, publicado pela primeira vez em março de 2025 e atualizado em agosto de 2026, também disponível no FBI) é o mais explícito sobre dinheiro. Ele afirma que os desenvolvedores da Medusa recrutam corretores de acesso inicial em fóruns de cibercrime, oferecendo aos IAB pagamentos entre 100 e 1 milhão de dólares, além da oportunidade de trabalhar com exclusividade para a Medusa, e observa que a maioria dos IABs trabalha ao mesmo tempo para várias variantes de ransomware. O acesso às redes é a mercadoria; a marca que o compra é amplamente intercambiável. O mesmo aviso descreve um modelo de afiliados em níveis: a Medusa começou como uma operação fechada em junho de 2021 e, no início de 2023, passou a uma estrutura de ransomware como serviço, em que os afiliados recebem níveis de confiança variáveis conforme a experiência e a rentabilidade. Com afiliados mais novos, a negociação do resgate pode ser controlada centralmente pelos desenvolvedores. O aviso sobre a ALPHV/Blackcat e o aviso sobre a Black Basta descrevem seus protagonistas da mesma forma: operações RaaS em que afiliados nominalmente identificados executam a intrusão e a extorsão sob condições definidas pelo núcleo do grupo. O site de vazamentos como mecanismo de pagamento
Os avisos tratam os sites de vazamentos como parte do processo de pagamento, não como publicidade. O site .onion da Medusa lista vítimas com temporizadores de contagem regressiva; uma vítima pode pagar 10 mil dólares em criptomoeda para adicionar um único dia ao timer. Os atores oferecem uma tarifa reduzida por tempo limitado para pagamento rápido e, segundo o aviso, baseiam suas exigências na receita publicamente divulgada da vítima. O documento também registra o que pode acontecer depois do pagamento: uma vítima que pagou foi contatada novamente para desembolsar mais metade do resgate, supostamente por um 'descriptografador verdadeiro', e os autores observam que não há como verificar se os dados roubados são realmente removidos. O aviso sobre a Black Basta descreve um mecanismo paralelo: as notas de resgate dão às vítimas de 10 a 12 dias antes de publicar os dados no site Tor 'Basta News' do grupo. A atualização da ALPHV documenta o outro extremo do mercado: alguns afiliados praticam extorsão apenas com os dados roubados, sem sequer implantar ransomware. Alvos oportunistas, setores recorrentes
Nenhum dos três grupos é descrito como seletivo. Os atores da Medusa operam de forma oportunista, mirando vítimas com software sem patch; ainda assim, a saúde tem sido vítima frequente, e em abril de 2026 o aviso contabiliza mais de 500 vítimas da Medusa em setores de infraestrutura crítica. Os afiliados da Black Basta haviam atingido mais de 500 organizações no mundo até maio de 2024, em pelo menos 12 dos 16 setores de infraestrutura crítica, com a saúde apontada como atrativa pela dependência de tecnologia e pela disrupção que um ataque causa ao atendimento. A atualização da ALPHV observou que, de quase 70 vítimas vazadas desde meados de dezembro de 2023, o setor de saúde foi o mais atingido — período que se seguiu a um incentivo do administrador do grupo a mirar hospitais após ação contra sua infraestrutura. Pagamentos em queda, risco de sanções de pé
Em matéria de pagamentos, a posição publicada pelo governo é regulatória, não estatística. O aviso atualizado da OFAC sobre pagamentos de resgate, emitido em setembro de 2021, afirma que o governo dos EUA desencoraja fortemente todas as empresas e cidadãos privados a pagar resgates ou exigências de extorsão, adverte que facilitadores como instituições financeiras, seguradoras cibernéticas e empresas de resposta a incidentes podem enfrentar sanções civis com base em responsabilidade estrita, e registra uma presunção de negativa para licenças envolvendo pagamentos de resgate a partes sancionadas. O mesmo documento, anunciado junto com a designação da exchange Suex por facilitar receitas de ransomware, informa às vítimas que relatar o ataque prontamente às autoridades ou à CISA pode render crédito por divulgação voluntária e mitigação significativa — com a ressalva de que não há garantia de recuperar o acesso aos dados. Os dados de mercado mostram a pressão no lado do pagamento. A Chainalysis mensurou cerca de 813,55 milhões de dólares em pagamentos de ransomware em 2024, aproximadamente 35 por cento abaixo do recorde de 1,25 bilhão de dólares de 2023 e a primeira queda desde 2022; menos da metade dos incidentes registrados terminou em pagamento, e um negociador citado no relatório estima que cerca de 30 por cento das negociações levam ao pagamento. A Chainalysis também observou que os pagamentos finais se agrupam entre 150 e 250 mil dólares independentemente da exigência inicial: é a negociação, não o número de abertura, que define o preço final. Por que os avisos citam afiliados nominalmente
O detalhe recorrente nesses documentos é estrutural: quem compromete a rede, quem negocia, quem mantém o ransomware e o serviço que movimenta o dinheiro são partes distintas, muitas vezes em jurisdições distintas. É por isso que os avisos nomeiam afiliados, corretores de acesso inicial e intermediários em vez de uma única marca. A aplicação da lei segue os papéis, como quando o Tesouro designou em 2021 a exchange Suex — a primeira corretora de moedas virtuais sancionada por facilitar receitas de ransomware, ligada a pelo menos oito variantes — sem atribuir vínculo a qualquer variante RaaS específica. Para quem acompanha sites de vazamento, a conclusão prática é a mesma que cobrimos em nosso texto sobre como funcionam os sites de vazamento de ransomware em .onion: a contagem regressiva é um mecanismo de pagamento, e a maquinaria ao redor — preços de corretores, afiliados em níveis, risco de sanções para facilitadores — é o que esses avisos realmente documentam.
