João Miguel Mesquita
A investigação da Check Point Research (CPR) oferece uma visão pouco habitual sobre o funcionamento interno do grupo The Gentlemen, uma operação de ransomware-as-a-service (RaaS) que ganhou expressão ao longo de 2026. O acesso a essa informação surgiu após uma fuga de dados interna do próprio grupo criminoso, permitindo observar detalhes operacionais que raramente ficam expostos.
A 4 de maio de 2026, o administrador do grupo reconheceu em fóruns clandestinos que a sua base de dados interna, conhecida como Rocket, tinha sido comprometida. Entre os dados expostos encontravam-se conversas internas, credenciais, ferramentas, detalhes de pagamentos, informação sobre vítimas e elementos relacionados com a coordenação de ataques em larga escala.
Segundo a análise da CPR, a fuga representa uma oportunidade rara para compreender o funcionamento interno de uma operação moderna de ransomware.
O The Gentlemen surgiu em meados de 2025 e rapidamente aumentou a sua atividade. Em 2026, de acordo com os dados observados no seu portal de divulgação de vítimas, o grupo já acumulava mais de 400 organizações identificadas publicamente. O modelo financeiro assenta numa distribuição agressiva de receitas, atribuindo 90% dos ganhos aos afiliados e os restantes 10% ao operador principal, uma estratégia destinada a captar atacantes experientes.
A investigação descreve uma organização distante da imagem tradicional de grupos dispersos e informais. O The Gentlemen funciona através de uma equipa reduzida, composta por cerca de nove elementos identificados, organizada em torno de um administrador conhecido como zeta88, também associado ao pseudónimo “hastalamuerte”.
De acordo com a CPR, o administrador centraliza grande parte das operações. Gere infraestruturas, desenvolve o software de encriptação, mantém a plataforma RaaS, supervisiona pagamentos, distribui alvos e participa diretamente em ataques.
As conversas internas analisadas mostram que o responsável pela operação não se limita à gestão da plataforma e participa também nas fases operacionais dos ataques.
A análise identificou ainda vários identificadores TOX ligados a afiliados do grupo. Um deles pertence ao próprio administrador, reforçando a ideia de uma participação direta nas operações de intrusão.
Um dos aspetos que a investigação destaca é a crescente utilização de inteligência artificial como ferramenta de apoio operacional. As conversas internas indicam que o administrador afirmou ter criado o painel administrativo GLOCKER em apenas três dias com recurso a programação assistida por IA.
Modelos como DeepSeek, Qwen, Kimi e Emi surgem mencionados como ferramentas de apoio técnico e desenvolvimento. A utilização centra-se sobretudo em tarefas de programação, pesquisa técnica rápida e apoio operacional.
A CPR considera que a inteligência artificial está a assumir um papel de acelerador operacional dentro dos ecossistemas de ransomware.
Embora algumas discussões apontem para a possibilidade de recorrer a modelos locais sem filtros para analisar grandes volumes de informação roubada, a investigação refere que esses cenários parecem ainda estar numa fase inicial.
A conclusão, contudo, aponta para uma mudança mais estrutural. A inteligência artificial está a reduzir o tempo necessário para desenvolver componentes críticos de plataformas criminosas, ultrapassando a simples automatização de mensagens fraudulentas ou campanhas de phishing.
A análise mostra que os pontos de entrada preferenciais permanecem relativamente previsíveis. O grupo concentra esforços em infraestruturas acessíveis através da internet, incluindo VPN, firewalls, gateways de acesso remoto e interfaces de administração expostas.
Entre os métodos identificados surgem exploração de vulnerabilidades conhecidas, ataques de força bruta a painéis web, compra de acessos a terceiros e utilização de credenciais obtidas em mercados associados a roubo de informação.
Após o acesso inicial, o processo segue uma sequência repetida. Reconhecimento interno, obtenção de privilégios adicionais, exploração de diretórios empresariais, recolha de credenciais, movimentos laterais na rede e desativação de mecanismos de segurança antecedem a fase de encriptação.
A investigação conclui que o grupo segue um processo operacional repetível e industrializado, transformando ataques complexos em procedimentos escaláveis.
A CPR sublinha que o perigo não reside necessariamente em novas técnicas. O fator diferenciador está na capacidade de combinar ferramentas já existentes, vulnerabilidades recentes e processos coordenados para criar operações eficientes.
Outro dos episódios analisados mostra como uma intrusão pode servir de ponte para novas vítimas. Em abril de 2026, após comprometer uma consultora tecnológica no Reino Unido, o grupo terá utilizado informação recolhida nessa primeira violação para apoiar uma operação posterior contra uma organização na Turquia.
O caso evidencia uma preocupação crescente para as empresas portuguesas e internacionais, dado que uma falha de segurança pode propagar riscos para clientes, parceiros e fornecedores.
A investigação expôs ainda detalhes sobre processos de extorsão e pagamentos, incluindo negociações associadas a resgates e métodos de movimentação financeira. Os dados sugerem uma operação com elevado grau de organização financeira e processos claramente definidos.
No entendimento da CPR, o caso The Gentlemen ilustra a transformação do ransomware numa atividade altamente profissionalizada, com equipas pequenas, funções especializadas, processos internos definidos e modelos de receita estruturados.
Para os responsáveis tecnológicos, a principal conclusão prende-se com a necessidade de antecipar a deteção. Quando a fase de encriptação começa, o impacto pode já ter ultrapassado os sistemas, atingindo dados, credenciais, acessos e relações entre organizações.
