RansomHouse reclama ataque à Megawork, agora sob controle alemão

A distinção central deste caso é entre quatro coisas que a cobertura de leak site costuma embaralhar: o que o ator alega, o que a vítima admite, o que o regulador afirma e o que a evidência demonstra. Aqui só existe a primeira. A RansomHouse — operação de dupla extorsão rastreada por diversos fornecedores como Jolly Scorpius — publicou a Megawork em seu site de vazamento em 16/07/2026. Tudo mais é lacuna.

A Megawork é uma consultoria de tecnologia brasileira fundada em 1992, sediada em Vitória-ES, especializada em implementação, suporte e otimização de SAP (S/4HANA, ECC, Business One), Microsoft e Google, com unidades em São Paulo, Rio de Janeiro, Belo Horizonte e Itajaí. A descrição publicada pelo ator — consultoria SAP líder atendendo serviços, atacado, utilities, mineração e siderurgia — é consistente com o perfil público da empresa, o que aumenta a confiança de que o alvo foi corretamente identificado, mas nada diz sobre a veracidade do comprometimento.

O ponto que nosso registro não capturava: em 15/07/2025 a GFT Technologies SE, grupo alemão de capital aberto, anunciou a aquisição de 100% da Megawork, transação totalmente em dinheiro com fechamento previsto para o Q4 de 2025 e sujeita à aprovação antitruste brasileira. À época do anúncio, a Megawork tinha cerca de 350 profissionais e reportou receita de aproximadamente €14 milhões em 2024, com margem EBITDA de 21%. Isso muda a análise: o alvo efetivo não é uma empresa isolada, mas uma subsidiária recém-integrada a um grupo internacional — o que amplia tanto a superfície de exposição quanto as obrigações de disclosure, inclusive potencialmente na esfera regulatória europeia da controladora.

Sobre o ator: a RansomHouse opera desde o fim de 2021, começou como marketplace de extorsão de dados e evoluiu para um modelo híbrido de RaaS que emprega o encryptor Mario, derivado do código-fonte do Babuk vazado em

2021. Fornecedores independentes convergem em que o grupo frequentemente prioriza exfiltração e extorsão pública sobre criptografia efetiva, posicionando-se falsamente como 'mediadores' que expõem falhas de segurança. Vetores documentados incluem exploração de appliances de borda não corrigidos, spear-phishing, credenciais de RDP comprometidas e contas de terceiros sem MFA. Para uma consultoria SAP, o vetor de acesso via credenciais ou fornecedor terceiro é especialmente plausível, mas não há nenhuma evidência técnica específica deste caso — a atribuição de TTPs aqui é inferência sobre o histórico do grupo, não observação do incidente.

A data de ataque de 10/07/2026 é uma estimativa do próprio ransomware.live, não uma constatação forense. Não localizamos nem número de registros alegados, nem amostra publicada, nem prova de vida dos dados. Isso importa porque números de registros são o campo mais manipulado do setor, e a ausência de qualquer cifra por parte do ator pode indicar tanto negociação em curso quanto um blefe sobre o volume real.

Buscas dirigidas não encontraram comunicado da Megawork ou da GFT sobre o incidente, manifestação da ANPD, boletim de CERT ou reportagem de veículo brasileiro com apuração própria. O silêncio não é prova de nada — pode significar negociação em andamento, avaliação interna ainda em curso, ou simplesmente que o caso não ganhou tração de imprensa. Mas registra-se como lacuna: nenhum lado, exceto o criminoso, se pronunciou até o fechamento deste relatório.

O risco distintivo de uma consultoria SAP não está apenas em seus próprios dados, mas na sua posição de cadeia de suprimentos. Empresas como a Megawork mantêm documentação de projeto, credenciais de acesso, especificações de integração e, em regimes de AMS, acesso continuado a ambientes ERP de clientes de médio e grande porte em energia, siderurgia, mineração e manufatura. Se o comprometimento for real e envolver esses ativos, o impacto de segundo grau sobre os clientes pode superar o dano direto à consultoria — mas isso é hipótese condicionada à confirmação, não fato estabelecido.

Não há impacto confirmado. Nenhuma interrupção operacional, exposição de dados ou notificação a afetados foi comprovada. O impacto potencial, condicionado à veracidade da alegação, recai sobre: (1) a própria Megawork/GFT, com risco de exposição de dados corporativos, documentação de projeto e credenciais; (2) clientes SAP da consultoria em energia, siderurgia, mineração, manufatura, atacado e serviços, caso credenciais ou dados de terceiros tenham sido exfiltrados — risco de cadeia de suprimentos; (3) titulares de dados pessoais (colaboradores e possivelmente contatos de clientes), com as consequentes obrigações sob a LGPD. A dimensão real depende de dados que ainda não existem publicamente.