Um grupo que nem sempre criptografa
O alerta AA23-158A, da CISA e do FBI, descreve o Cl0p, também chamado TA505, desde fevereiro de 2019. O grupo ficou conhecido pela dupla extorsão, mas a partir de 2021 passou a depender mais do roubo de dados do que da criptografia. O padrão é explorar uma falha ainda desconhecida em software exposto à internet, copiar dados de muitas empresas ao mesmo tempo e enviar e-mails de extorsão.
Foi assim com o Accellion FTA e, em 2023, com o GoAnywhere MFT e o MOVEit Transfer. Em outubro de 2025, a Oracle publicou alerta para a falha CVE-2025-61882 no E-Business Suite, explorada numa campanha de extorsão que o Cl0p assumiu. Em julho de 2026, a Ransom-ISAC relatou e-mails de extorsão atribuídos ao grupo, com cautela, depois da exploração de uma falha no PTC Windchill e no FlexPLM.
O que fazer quando chega o e-mail
Trate o e-mail como incidente de segurança, mesmo que nada pareça criptografado. A equipe de resposta confirma se o sistema citado foi de fato explorado e o que saiu dele, e o jurídico cuida das obrigações legais e contratuais. Como o nome do grupo é conhecido, a confirmação vem dos registros do sistema, não do texto da mensagem.
Quando faz sentido avaliar os arquivos
Se o servidor só teve dados copiados, os arquivos continuam lá e não há o que descriptografar. A avaliação faz sentido quando há arquivos criptografados, excluídos ou discos com falha, por exemplo se a invasão foi seguida de outro ataque. Para a variante Linux descrita em 2023, a SentinelOne publicou um descriptografador por causa de uma falha na criptografia; ele não serve para outras famílias.
A Data Rescue não investiga o vazamento nem fala com o grupo. Se houver dados inacessíveis em servidores ou em bancos como os do Oracle, você descreve o que aconteceu e o envio é combinado por escrito, antes de você mandar qualquer coisa.