Duas quadrilhas de extorsão brigaram na internet e uma delas ficou sem o próprio site. A operação de ransomware Clop, conhecida por publicar na rede Tor os dados das empresas que invade, teve a sua página de vazamentos tomada e desfigurada por um grupo rival, o ShinyHunters. Quem apurou e conferiu o episódio foi o BleepingComputer.
À primeira vista, é bandido contra bandido. O recado que sobra, porém, é para o dono da clínica, do escritório, da indústria e da loja: se o grupo que vive de invadir sistema não segurou o próprio servidor, a promessa que ele faz a uma vítima — apagar o que levou, não publicar nada, encerrar o assunto — vale o mesmo que o papel em que não foi escrita.
O que aconteceu, contado sem jargão
O ataque começou numa noite de sexta-feira. O ShinyHunters afirma ter explorado uma falha de envio de arquivo sem autenticação no Grav, o gerenciador de conteúdo que sustentava o site do Clop. Traduzindo: dava para colocar um arquivo dentro do servidor sem precisar provar quem era. Por essa brecha entrou um pequeno texto de provocação endereçado ao grupo rival, com um link para a página do próprio ShinyHunters.
Horas mais tarde, a página inteira havia sido substituída por um desenho feito de caracteres do Umbreon, o Pokémon que o ShinyHunters adota como símbolo, acompanhado de uma frase de deboche e do endereço do grupo na rede Tor. O BleepingComputer verificou por conta própria o arquivo enviado e a desfiguração. O pesquisador VXDB notou que a mesma arte já havia sido usada em agosto de 2020, na desfiguração do fórum HackForums.
A partir daí, tudo é alegação. O ShinyHunters diz ter conseguido acesso total ao servidor e levado código-fonte, plugins do Grav, registros de sistema e todos os arquivos guardados em /var/log — o tipo de material que costuma registrar atividade da máquina, tentativas de autenticação e o endereço de rede de quem se conectou. Diz também estar com as chaves privadas do endereço .onion do Clop, o que permitiria hospedar o mesmo endereço em servidores sob seu controle. O BleepingComputer deixa claro que não confirmou nenhuma dessas alegações. O grupo ainda anunciou que pretende extorquir o Clop e estipulou um prazo de 72 horas para o contato.
Pagar resgate não garante nada
Toda empresa que passa por um sequestro de dados chega na mesma pergunta: se eu pagar, eles apagam? O episódio do Clop responde melhor do que qualquer argumento de consultor. A estrutura que guardaria o material roubado, os registros de acesso e a identidade do site é a mesma que acabou de ser aberta por um terceiro. Do outro lado não existe cofre. Existe um servidor cuidado por gente que erra configuração e que também tem desafeto.
Pagar resgate não garante nada porque a promessa depende de dois fatores que ninguém consegue auditar: a intenção de quem recebeu o dinheiro e a segurança do lugar onde ele deixou a cópia. Vale lembrar de onde nasceu essa rixa. Em outubro de 2025, o Clop explorou vulnerabilidades no Oracle E-Business Suite, entre elas a falha de dia zero identificada como CVE-2025-61882, para roubar dados de organizações. O ShinyHunters sustenta que o código usado naquela campanha era dele e foi tomado sem autorização. Quem foi alvo daquele ataque não tem como saber por quantas mãos o material passou desde então.
A porta de entrada foi banal, e é isso que preocupa
Volte ao começo da história. Não houve técnica de cinema: houve um componente de site aceitando arquivo de quem não estava autenticado. O site institucional da clínica, o portal de pedidos da distribuidora, a área do cliente do escritório e a loja virtual do comércio rodam sobre a mesma família de tecnologia — um gerenciador de conteúdo, um punhado de plugins e formulários que recebem currículo, laudo, pedido ou nota fiscal.
Três perguntas dão conta de boa parte do risco, e nenhuma delas exige vocabulário técnico do dono do negócio. O que da minha empresa está publicado na internet hoje? Quem atualiza esses sistemas, em que dia e com que registro? Quem enxerga a tentativa de invasão às três da manhã de um sábado? As três apontam para o mesmo ponto cego: aquilo que está no ar e ninguém olha.
O que a sua empresa faz nesta semana
Não é preciso projeto de um ano para sair do pior cenário. Seis movimentos já mudam o tamanho do estrago:
- Inventário do que está exposto. Site, portal, VPN, câmera, sistema de acesso remoto, impressora: tudo que responde a partir da internet entra na lista. O que ninguém sabe que existe é o que ninguém corrige.
- Rotina de atualização com dono. Gerenciador de conteúdo, plugins, temas, sistema operacional e equipamento de rede precisam de data marcada, responsável com nome e registro do que foi aplicado.
- Borda fechada e rede separada. Publicar só o que precisa mesmo estar público, isolar a rede de visitantes da rede administrativa e exigir segundo fator no acesso remoto fazem parte do trabalho de firewall e segurança de borda.
- Registro guardado e vigiado. Log existe para responder o que aconteceu, quando e a partir de onde. Sem plantão, o alerta é lido na segunda-feira; com monitoramento 24 horas, ele é tratado na hora em que dispara.
- Backup tratado como plano de volta. Uma cópia com restauração testada, fora do alcance da mesma senha que administra o dia a dia, com tempo conhecido para religar a operação, é o que separa um susto de uma parada longa.
- Uma página com o roteiro da crise. Quem liga para quem no primeiro dia: direção, jurídico, TI, comunicação, clientes e órgão regulador quando houver. Decisão tomada no susto costuma ser a pior disponível.
A decisão de pagar é a última da fila
Quando o assunto vira resgate, a empresa já perdeu o controle da própria informação e passou a negociar com quem tem todo o interesse em mentir. As decisões boas acontecem antes, e são bem menos dramáticas: um inventário atualizado, uma correção aplicada na semana certa, um alerta lido de madrugada, uma restauração testada no mês passado. Nenhuma delas rende manchete. Todas elas evitam a conversa em que o dono da empresa pergunta quanto vale o silêncio de um criminoso e descobre, como no caso do Clop, que nem ele controla o próprio servidor.
Fonte: BleepingComputer — ShinyHunters hacks Clop leak site, threatens to extort ransomware gang, 2026.
A Ragnatela IOT Solutions atua nessas camadas: projeto de rede, firewall, nuvem privada em data center Tier III, backup com restauração testada e NOC com monitoramento 24 horas. Se você quer descobrir o que da sua empresa está exposto hoje e organizar a rotina de correção, fale com a nossa equipe.
Perguntas frequentes
Pagar o resgate resolve um ataque de ransomware?
Não existe garantia nenhuma. A promessa de apagar os dados depende da intenção de um criminoso e da segurança do servidor em que ele guardou a cópia. O caso do Clop mostra que nem esse servidor está a salvo: a própria página de vazamentos do grupo foi invadida e desfigurada por outra quadrilha, segundo o BleepingComputer.
Como descubro o que da minha empresa está exposto na internet?
Comece por uma lista simples: site institucional, portal de clientes, loja virtual, VPN, câmeras, impressoras e qualquer sistema acessado de fora. Depois, defina quem é o responsável por atualizar cada item e com que frequência. O que não está na lista é justamente o que fica sem correção.
Ter backup já é suficiente para se proteger?
Cópia feita não é a mesma coisa que retorno garantido. O backup precisa ser restaurado em teste, ficar fora do alcance das mesmas credenciais que administram o dia a dia e ter um prazo conhecido para colocar a operação no ar de novo. Sem teste, a empresa só descobre o problema no pior dia.
Por que guardar registros de acesso importa tanto?
Os registros respondem o que aconteceu, quando e a partir de onde. Sem eles, a investigação vira adivinhação e a empresa não consegue informar direção, jurídico e clientes com segurança. Guardar os logs é metade do trabalho; a outra metade é ter alguém acompanhando fora do horário comercial.
