O grupo de ransomware Qilin reivindicou ao menos 365 organizações como vítimas ao longo de três meses, de acordo com uma investigação sobre cibercrime publicada em 11 de novembro de 2026. O número corresponde a vítimas reivindicadas pelo próprio grupo, e não a invasões verificadas de forma independente.
Em atividade desde setembro de 2022, o Qilin opera no modelo de ransomware como serviço, em que o grupo mantém a plataforma de ataque e terceiros executam as invasões. Os afiliados entram nas redes das vítimas e implantam o ransomware em troca de ao menos 80% dos pagamentos de resgate.
A operação usa dupla extorsão, prática em que os criminosos roubam arquivos sensíveis antes de criptografar os sistemas e ameaçam publicar o material caso o resgate não seja pago. Um levantamento citado na investigação descreveu o programa de afiliados do grupo como o mais ativo do mundo no período medido.
O alcance técnico do Qilin vai além das estações de trabalho. Reportagens anteriores examinaram ataques do grupo contra VMware vCenter e ESXi, com ferramentas de gerenciamento remoto, propagação pela rede e drivers vulneráveis para desligar produtos de segurança. Um ataque à camada de virtualização interrompe vários sistemas de negócio a partir de um único ponto comprometido.
A mesma investigação ligou o administrador do grupo, conhecido pela identidade Haise, a Aleksey Mikhailovich Yakovtsev, homem de 36 anos residente em São Petersburgo, na Rússia. A identificação é um achado de pesquisa, e não uma decisão judicial ou acusação criminal anunciada, e as tentativas de contato não tiveram resposta.
A cadeia de atribuição partiu de identidades reaproveitadas. Haise se candidatou ao fórum de cibercrime russo RAMP em junho de 2022, e mensagens privadas trataram o candidato também pelo nome de Telegram Alexbigboss44, que aparecia em publicações de 2020 nos fóruns Exploit e XSS sob o apelido Rjun. Um e-mail usado para registrar as contas Rjun levou a registros vazados da plataforma russa Gosuslugi.
Os pesquisadores registraram mais de 5.000 mensagens associadas ao identificador de Telegram desde 2018, além de registros de contato e dados de viagem vazados. O caso expõe uma fragilidade das operações criminosas de longa duração, porque trocar de apelido não apaga os vínculos antigos entre contas. A investigação não estabeleceu que as operações do Qilin tenham parado.
