Por dentro do vazamento do The Gentlemen: como um novo grupo de ransomware cresceu tão rápido

O crescimento também aparece nos relatórios trimestrais de ransomware: no primeiro trimestre de 2026 foram 179 vítimas, um salto de 588% em relação às 26 vítimas registradas no último trimestre de 2025.

Como funciona o modelo de ransomware‑as‑a‑service

Assim como outras gangues modernas, o The Gentlemen opera com um modelo RaaS (ransomware‑as‑a‑service). Nesse formato, os desenvolvedores mantêm o malware e a infraestrutura, enquanto parceiros externos — chamados de afiliados — realizam as invasões e executam os ataques.

O banco de dados vazado revelou contas internas e informações operacionais ligadas ao painel de controle do serviço. Pesquisadores identificaram diversas contas de operadores conectadas ao sistema, administrado por um operador central conhecido como "zeta88" (também chamado de "hastalamuerte").

Nesse modelo de negócios:

• Os operadores principais desenvolvem o ransomware e mantêm servidores e sistemas de pagamento.
• Afiliados executam as invasões, roubam dados e implantam o malware.
• O valor pago em resgates é dividido entre afiliados e operadores da plataforma.

Essa divisão permite que o grupo escale rapidamente, mantendo uma equipe central relativamente pequena.

Ataques focados em infraestrutura de borda exposta

Um dos pontos mais importantes revelados pelo vazamento foi o foco do grupo em infraestruturas de rede expostas na internet.

Pesquisadores ligaram várias intrusões do The Gentlemen a ataques contra dispositivos como firewalls, gateways VPN e sistemas de gerenciamento de rede, especialmente quando estão diretamente acessíveis pela internet.

Uma vulnerabilidade frequentemente associada às operações do grupo é a CVE‑2024‑55591, uma falha crítica de bypass de autenticação em FortiOS e FortiProxy. Esse bug permite que invasores remotos obtenham privilégios de superadministrador por meio de requisições manipuladas.

Ao comprometer esses equipamentos de borda — que ficam na entrada da rede corporativa — os atacantes conseguem contornar várias camadas tradicionais de defesa e ganhar acesso privilegiado ao ambiente interno.

Um enorme inventário de dispositivos FortiGate comprometidos

Outro detalhe impressionante revelado por investigações de inteligência de ameaças é a escala da infraestrutura controlada pelo grupo.

Pesquisadores encontraram indícios de que a operação mantinha um registro com aproximadamente 14.700 dispositivos FortiGate já explorados ao redor do mundo, além de centenas de credenciais VPN válidas associadas a esses equipamentos.

Esse tipo de inventário funciona como um pipeline de ataques futuros. Uma vez obtido acesso ao dispositivo de perímetro, os criminosos podem se mover pela rede interna sem acionar as mesmas defesas que normalmente detectariam phishing ou malware.

O que os chats internos revelaram sobre as operações

Mesmo incompleto, o material vazado trouxe informações sobre como a gangue organizava suas campanhas.

Os canais de chat internos mostraram discussões relacionadas a:

• seleção de alvos
• gestão da infraestrutura
• atividades dos afiliados
• coordenação antes da divulgação pública de vítimas

Os dados incluem conversas em vários canais operacionais e registros do sistema de backend, permitindo aos pesquisadores reconstruir a cronologia de ataques e o fluxo de trabalho típico das campanhas de ransomware.

O principal alerta para empresas

Além de expor detalhes sobre uma gangue específica, o vazamento reforça uma tendência maior no cibercrime atual: dispositivos de borda se tornaram um dos principais pontos de entrada para ataques de ransomware.

Muitas organizações concentram esforços de segurança em endpoints — computadores e servidores — mas deixam de monitorar com a mesma intensidade firewalls, VPNs e sistemas de gerenciamento de rede.

Quando esses dispositivos são comprometidos, invasores podem escalar privilégios, roubar credenciais e se mover lateralmente dentro da rede corporativa.

Medidas defensivas consideradas essenciais incluem:

• Aplicar rapidamente correções em dispositivos de borda, especialmente para falhas críticas como a CVE‑2024‑55591 em produtos Fortinet.
• Evitar expor interfaces administrativas diretamente à internet.
• Utilizar autenticação multifator e segmentação de rede para acessos administrativos.
• Monitorar logs de firewalls, VPNs e sistemas de gerenciamento, que podem fornecer sinais iniciais de comprometimento.

Um retrato parcial, mas revelador

O banco de dados vazado não revela toda a estrutura da organização The Gentlemen. Pesquisadores enfatizam que o material analisado representa apenas uma visão parcial das atividades internas do grupo.

Ainda assim, o vazamento oferece um raro olhar nos bastidores de uma operação moderna de ransomware‑as‑a‑service — e mostra como esses grupos podem crescer rapidamente quando combinam afiliados, ferramentas automatizadas e infraestrutura vulnerável na internet.

Para equipes de segurança, a conclusão é clara: a borda da rede se tornou uma das linhas de defesa mais críticas na era do ransomware.