Aumento dos ataques de ransomware contra universidades: por que o ensino superior está na mira

Instituições de ensino superior sempre desempenharam um papel estratégico na produção de conhecimento, pesquisa científica, inovação tecnológica e formação de profissionais. Entretanto, essa importância também faz com que universidades se tornem alvos cada vez mais atrativos para grupos especializados em ransomware, que enxergam nessas organizações uma combinação de ativos digitais valiosos, ambientes tecnológicos complexos e alta pressão para restabelecimento rápido das operações.

O relatório Education Ransomware Roundup, divulgado pela Comparitech em julho de 2026, mostra que os ataques contra instituições de ensino superior cresceram durante o primeiro semestre do ano. Embora o número total de incidentes registrados contra todo o setor educacional tenha diminuído, a distribuição dos ataques mudou significativamente, concentrando-se nas universidades e faculdades.

Essa mudança demonstra que analisar apenas indicadores gerais pode levar a interpretações equivocadas sobre a evolução das ameaças. Uma redução global de incidentes não significa necessariamente que o risco diminuiu para todos os segmentos. No caso específico do ensino superior, o cenário apresentado pelo relatório aponta justamente para o movimento oposto.

Mais do que um aumento estatístico, o estudo evidencia uma alteração no comportamento das operações de ransomware, especialmente com a ascensão do grupo The Gentlemen, cuja atuação passou a concentrar uma parcela significativa dos ataques contra organizações acadêmicas.

O crescimento dos ataques ao ensino superior em 2026

Segundo a análise da Comparitech, os ataques de ransomware contra instituições de ensino superior cresceram 8% entre janeiro e junho de 2026 quando comparados aos seis meses anteriores.

À primeira vista, esse percentual pode parecer moderado. Entretanto, dentro do contexto da segurança cibernética, qualquer crescimento contínuo em ataques direcionados representa uma mudança relevante no cenário de risco, especialmente quando envolve organizações que dependem fortemente da disponibilidade de sistemas digitais.

Universidades administram ambientes extremamente diversificados. Além dos sistemas administrativos tradicionais, normalmente operam plataformas acadêmicas, laboratórios de pesquisa, ambientes de computação científica, bibliotecas digitais, sistemas financeiros, infraestrutura para ensino remoto e milhares de dispositivos utilizados por estudantes, professores e pesquisadores.

Essa diversidade tecnológica amplia a superfície de ataque e torna mais complexa tanto a prevenção quanto a resposta a incidentes de segurança.

Um cenário que exige interpretação cuidadosa

Um aspecto interessante apresentado pelo relatório é que, paralelamente ao aumento dos ataques às universidades, houve uma redução no número total de incidentes registrados contra todo o setor educacional.

Essa aparente contradição é explicada pela queda de aproximadamente um quarto dos ataques direcionados às escolas de ensino fundamental e médio.

Ou seja, a diminuição dos números globais não representa uma redução uniforme das ameaças. Na prática, houve uma redistribuição dos alvos preferenciais dos grupos criminosos.

Essa mudança reforça a importância de analisar indicadores segmentados em vez de observar apenas estatísticas agregadas. Para gestores de segurança, compreender onde os criminosos estão concentrando seus esforços é fundamental para direcionar investimentos, políticas de proteção e estratégias de resposta.

The Gentlemen e a mudança no perfil dos ataques

O relatório identifica a operação de ransomware The Gentlemen como um dos principais fatores responsáveis pela alteração do cenário observado em 2026.

Segundo os dados publicados, os ataques desse grupo contra o setor educacional cresceram 275% no primeiro semestre de 2026 em comparação com o segundo semestre de 2025.

Ainda mais significativo é o fato de que aproximadamente 80% das ações da quadrilha contra organizações educacionais tiveram como alvo faculdades e universidades.

Esses números mostram que determinadas operações de ransomware podem alterar significativamente o panorama de ameaças de um setor inteiro quando decidem concentrar suas atividades em um segmento específico.

Rebecca Moody, chefe de pesquisa de dados da Comparitech, destacou justamente esse comportamento ao afirmar que um único grupo pode produzir mudanças expressivas no cenário de ameaças ao alterar sua estratégia de seleção de vítimas.

Segundo ela, embora a redução inicial dos números totais possa parecer positiva, análises posteriores mostram que essa percepção é influenciada principalmente pela atuação específica de determinadas quadrilhas e pela escolha dos seus alvos.

Os números do primeiro semestre de 2026 revelam um problema global

O levantamento da Comparitech registrou 104 ataques de ransomware contra o setor educacional em todo o mundo durante o primeiro semestre de 2026. Desse total, 36 incidentes foram confirmados pelas próprias vítimas como ataques de ransomware, evidenciando que o problema permanece relevante para organizações de diferentes portes e regiões.

Embora o relatório não apresente detalhes sobre todos os casos registrados, esses números demonstram que o ambiente educacional continua figurando entre os segmentos monitorados por grupos especializados nesse tipo de crime. A continuidade dos ataques indica que as instituições permanecem sendo consideradas alvos de interesse para operadores de ransomware.

Outro aspecto importante é que os dados analisam incidentes ocorridos em escala global. Isso significa que o aumento dos ataques ao ensino superior não está restrito a um único país ou região, mas faz parte de uma tendência observada em diferentes mercados.

Estados Unidos concentram o maior número de vítimas

Entre os países analisados, os Estados Unidos aparecem como o principal alvo dos grupos de ransomware voltados ao setor educacional. Segundo o relatório, foram registradas 34 vítimas confirmadas no país durante o período analisado.

Na sequência aparecem o Reino Unido, com 13 vítimas confirmadas, e o Brasil, que contabilizou 8 vítimas no primeiro semestre de 2026.

Além desses três países, universidades localizadas em outros 17 países sofreram pelo menos um ataque de ransomware confirmado durante o período. Esse dado reforça que o problema possui alcance internacional e não está associado a uma realidade específica de determinado mercado.

Para organizações multinacionais, universidades com parcerias internacionais e instituições que compartilham pesquisas ou infraestrutura tecnológica com outros países, esse cenário amplia a necessidade de acompanhar continuamente a evolução das ameaças globais e compreender como mudanças no comportamento das quadrilhas podem afetar diferentes regiões.

Os grupos que mais atacaram o setor educacional

O relatório também identifica quais operações de ransomware estiveram mais ativas contra instituições de ensino durante o primeiro semestre de 2026.

Os grupos The Gentlemen e Qilin lideraram o número de ataques, sendo responsáveis por 15 incidentes cada. Em seguida aparece o LockBit, com 9 ataques, enquanto Interlock e Nova registraram 6 ataques cada.

Mais do que estabelecer um ranking entre as operações criminosas, esses dados ilustram um aspecto importante do cenário atual: múltiplos grupos continuam atuando simultaneamente contra o setor educacional. Isso significa que o risco não está associado exclusivamente a uma única organização criminosa, mas à presença contínua de diferentes operações buscando explorar oportunidades semelhantes.

No caso específico do The Gentlemen, o relatório chama atenção para a concentração das atividades em universidades e faculdades. Essa especialização demonstra como determinados grupos podem redefinir suas prioridades conforme identificam segmentos considerados mais atrativos dentro do ecossistema educacional.

O impacto financeiro continua aumentando

Além do crescimento dos ataques, o relatório aponta outra tendência relevante: a elevação dos valores exigidos pelos criminosos.

Durante o primeiro semestre de 2026, o valor mediano dos resgates solicitados às organizações do setor educacional foi de US$ 420.620. No semestre anterior, esse valor era de US$ 275.000.

Segundo a Comparitech, isso representa um aumento de 53% na mediana dos pedidos de resgate em apenas seis meses.

Esse crescimento demonstra que os impactos financeiros de um incidente não dependem apenas da quantidade de ataques registrados. Mesmo em cenários onde o número total de incidentes possa apresentar redução, a elevação dos valores exigidos pelos criminosos aumenta significativamente a pressão sobre as organizações afetadas.

Para instituições de ensino superior, essa realidade amplia os desafios relacionados ao gerenciamento de riscos. Além da interrupção das atividades acadêmicas e administrativas, ataques dessa natureza podem resultar em custos elevados associados à recuperação operacional, resposta ao incidente e restauração dos ambientes comprometidos, independentemente do desfecho das negociações envolvendo pedidos de resgate.

Quando um ataque ultrapassa a criptografia dos sistemas

Um dos aspectos destacados pela Comparitech é que os impactos de um ataque de ransomware não se limitam ao bloqueio do acesso aos sistemas corporativos.

Conforme observado por Rebecca Moody, os incidentes recentes demonstram que operações modernas podem produzir consequências muito mais amplas para as organizações afetadas. O roubo de dados continua sendo uma preocupação importante, mas não representa necessariamente o único risco enfrentado pelas vítimas.

Essa evolução evidencia que ataques de ransomware podem afetar simultaneamente a disponibilidade das operações, a integridade das informações armazenadas e a capacidade de recuperação dos ambientes tecnológicos, ampliando significativamente os desafios enfrentados pelas equipes responsáveis pela resposta ao incidente.

O caso da Mount Royal University evidencia a gravidade dos ataques

Entre os incidentes destacados pela Comparitech, o ataque à Mount Royal University, no Canadá, ilustra como uma única operação de ransomware pode gerar impactos prolongados para uma instituição de ensino superior. O caso foi citado no relatório não apenas pelo valor do resgate exigido, mas também pelas consequências operacionais observadas semanas após o incidente.

Segundo os dados divulgados, o maior pedido de resgate registrado no primeiro semestre de 2026 foi de US$ 1,9 milhão, justamente relacionado ao ataque contra a universidade canadense. O montante demonstra como organizações de ensino superior podem enfrentar exigências financeiras expressivas quando são escolhidas como alvo por grupos especializados em ransomware.

Entretanto, o impacto financeiro representa apenas uma parte do problema. O relatório informa que, um mês após o ataque, os sistemas da universidade ainda permaneciam afetados, indicando que o processo de recuperação operacional continuava em andamento. Esse dado evidencia que os efeitos de um incidente dessa natureza podem persistir por semanas, comprometendo a continuidade das atividades acadêmicas e administrativas.

Além da interrupção operacional, os invasores afirmaram ter roubado mais de 10 TB de dados. Embora o relatório apenas registre essa alegação feita pelos próprios criminosos, a informação reforça como os ataques modernos frequentemente combinam criptografia de sistemas com a exfiltração de grandes volumes de informações.

O risco vai além do roubo de dados

Rebecca Moody ressalta que o caso da Mount Royal University funciona como um lembrete de que os impactos do ransomware continuam evoluindo. Segundo sua avaliação, limitar a análise apenas à criptografia dos sistemas ou ao roubo de informações deixa de considerar outras consequências igualmente críticas para as organizações.

O relatório destaca que, nesse incidente, os invasores também apagaram discos rígidos inteiros contendo dados da instituição. Essa ação amplia significativamente a complexidade do processo de recuperação, pois elimina informações que poderiam ser utilizadas durante a restauração dos ambientes afetados.

Diferentemente da simples indisponibilidade causada pela criptografia, a exclusão de dados pode comprometer permanentemente parte do patrimônio informacional da organização. Mesmo após a contenção do ataque, determinados arquivos podem tornar-se irrecuperáveis, dependendo das condições dos sistemas e das estratégias de recuperação disponíveis.

Esse comportamento demonstra uma evolução nas consequências operacionais dos ataques de ransomware descritos pela Comparitech. O problema deixa de estar restrito ao bloqueio temporário de sistemas e passa a envolver riscos relacionados à perda definitiva de informações essenciais para o funcionamento institucional.

Recuperação operacional torna-se um desafio ainda maior

Ao comentar o incidente, Rebecca Moody observa que a exclusão dos discos rígidos não apenas dificultou a recuperação da universidade, como também reduziu sua capacidade de restabelecer os serviços afetados. Essa constatação evidencia que determinados ataques podem comprometer diretamente os processos de recuperação após o incidente.

Em um ambiente universitário, onde coexistem sistemas administrativos, plataformas acadêmicas, laboratórios de pesquisa e grandes volumes de dados institucionais, qualquer dificuldade adicional na restauração da infraestrutura pode prolongar significativamente os impactos sobre a operação.

Embora o relatório não detalhe os mecanismos técnicos utilizados pelos criminosos, os dados apresentados demonstram que a indisponibilidade dos sistemas não foi o único desafio enfrentado pela instituição. A combinação entre criptografia, alegações de roubo de dados e exclusão de informações amplia consideravelmente a complexidade do incidente.

Para gestores responsáveis pela segurança da informação, esse tipo de ocorrência reforça a necessidade de considerar cenários em que a recuperação não depende apenas da remoção do malware, mas também da preservação da integridade dos dados e da capacidade de reconstrução dos ambientes afetados.

O que os dados da Comparitech revelam sobre o cenário de 2026

Quando analisados em conjunto, os números apresentados no relatório revelam uma mudança importante no panorama do ransomware direcionado ao setor educacional. O crescimento de 8% nos ataques contra instituições de ensino superior, aliado ao aumento de 275% das ações do grupo The Gentlemen contra o segmento educacional e ao crescimento de 53% no valor mediano dos resgates, demonstra que o risco permanece elevado para universidades e faculdades.

Ao mesmo tempo, a redução no número total de incidentes contra o setor educacional mostra que estatísticas agregadas podem mascarar alterações relevantes no comportamento dos grupos criminosos. A redistribuição dos alvos evidencia que mudanças na estratégia de uma única operação de ransomware são capazes de modificar significativamente o panorama observado em determinado período.

Outro aspecto importante é a distribuição geográfica dos ataques. Com vítimas confirmadas nos Estados Unidos, Reino Unido, Brasil e em outros 17 países, o relatório caracteriza o ransomware contra universidades como um desafio internacional, afetando instituições em diferentes contextos tecnológicos e organizacionais.

Esses elementos reforçam que compreender a evolução das ameaças exige uma análise detalhada das tendências observadas, da atuação dos principais grupos criminosos e dos impactos operacionais registrados pelas organizações atingidas, permitindo uma visão mais precisa sobre a dinâmica atual do cenário de ransomware voltado ao ensino superior.

Considerações estratégicas para instituições de ensino superior

As informações apresentadas pela Comparitech demonstram que o cenário de ransomware direcionado às universidades continua em transformação. A mudança observada durante o primeiro semestre de 2026 evidencia que grupos criminosos podem alterar rapidamente suas prioridades, concentrando esforços em segmentos específicos conforme suas estratégias operacionais evoluem.

Nesse contexto, acompanhar apenas o número total de incidentes registrados deixa de ser suficiente para compreender o nível real de exposição enfrentado pelas instituições de ensino superior. A redistribuição dos ataques entre diferentes segmentos da educação mostra que análises mais detalhadas são essenciais para identificar tendências emergentes e compreender como o comportamento das operações de ransomware influencia o cenário de ameaças.

Outro aspecto relevante destacado pelo relatório é que a gravidade de um incidente não pode ser medida exclusivamente pela ocorrência da criptografia dos sistemas. O caso da Mount Royal University evidencia que ataques modernos podem envolver múltiplas consequências simultâneas, incluindo alegações de roubo de grandes volumes de dados, longos períodos de indisponibilidade operacional e até mesmo a exclusão de informações armazenadas, ampliando significativamente os desafios de recuperação.

Embora o relatório tenha como foco a análise estatística dos incidentes registrados, seus resultados reforçam a importância de que universidades acompanhem continuamente a evolução das ameaças direcionadas ao setor educacional e compreendam como mudanças na atuação dos grupos criminosos podem alterar rapidamente o perfil de risco enfrentado pelas instituições.

Conclusão

O relatório Education Ransomware Roundup, da Comparitech, mostra que o primeiro semestre de 2026 foi marcado por um aumento dos ataques de ransomware contra instituições de ensino superior, mesmo diante de uma redução no número total de incidentes registrados em todo o setor educacional. Essa diferença evidencia que a simples análise de indicadores gerais pode ocultar mudanças importantes na escolha dos alvos pelos grupos criminosos.

Entre os principais fatores apontados está a atuação da operação The Gentlemen, responsável por um crescimento expressivo dos ataques ao setor educacional e por concentrar a maior parte de suas ações em faculdades e universidades. O levantamento também destaca a presença de outras operações relevantes, como Qilin, LockBit, Interlock e Nova, demonstrando que o risco continua distribuído entre diferentes grupos especializados em ransomware.

Os dados apresentados ainda revelam uma elevação significativa no valor mediano dos resgates exigidos e mostram que as consequências dos ataques podem ir além da indisponibilidade temporária dos sistemas. O caso da Mount Royal University ilustra como um incidente pode resultar em impactos prolongados, alegações de roubo de grandes volumes de dados e até na exclusão de informações armazenadas, dificultando os processos de recuperação.

Com vítimas registradas em diversos países, incluindo Estados Unidos, Reino Unido e Brasil, o relatório reforça que o ransomware permanece como um desafio global para o ensino superior. A evolução observada durante o primeiro semestre de 2026 demonstra que compreender as mudanças nas estratégias dos grupos criminosos continua sendo um elemento importante para acompanhar o cenário de ameaças que afeta universidades e demais instituições acadêmicas em todo o mundo.