Como o INC opera
Segundo a Acronis, que publicou uma análise em junho de 2026, o INC começou em 2023 e virou uma operação de ransomware como serviço semiprivada, com afiliados. Eles entram por phishing direcionado, por credenciais compradas de quem vende acessos e por falhas em sistemas expostos à internet, como Citrix NetScaler, Fortinet EMS e SimpleHelp. Primeiro copiam dados; só depois criptografam.
Em 2024 o código do INC foi oferecido à venda, e logo depois surgiu o Lynx, com grande parte do código em comum. Para quem foi atacado, a diferença de nome pesa pouco: a resposta é a mesma, e a identificação da variante fica com a equipe de resposta.
Criptografia parcial e o que ela pode deixar
A versão para Windows usa uma rotina de criptografia parcial que varia com o tamanho do arquivo. A versão para Linux e ESXi tem modos rápido, médio e lento, que mudam quanto de cada arquivo é cifrado. O objetivo do grupo é ganhar tempo, mas o efeito colateral é que arquivos grandes, como discos virtuais, bases MDF e backups, às vezes guardam trechos legíveis.
Isso não vale para todos os arquivos nem para todos os ataques. A versão para Windows também apaga as cópias de sombra. O que pode ser aproveitado depende do modo usado, do tipo de arquivo e de existirem cópias fora do alcance do ataque.
O papel da Data Rescue
Investigação, contenção e contato com o grupo não fazem parte do serviço. Depois do isolamento, você descreve servidores, bancos e backups atingidos e o envio é combinado por escrito, antes de qualquer remessa. O diagnóstico é grátis e leva de 02 a 48 horas e indica o que tem chance de ser aproveitado, inclusive em bancos SQL Server. O orçamento vem por escrito depois dele.