A Rockstar Games se recusou a pagar o resgate. Veja o que aconteceu depois e por que a decisão foi correta.

Publicado pela Pentesty · Resposta a incidentes

Em 13 de abril de 2026, o ShinyHunters vazou dados internos da Rockstar Games depois que a empresa se recusou a pagar uma exigência de resgate. O material vazado incluía dados internos de análise, métricas dos jogos e informações sobre o comportamento dos usuários.

A Rockstar afirmou que a invasão não afetou os jogadores nem as operações dos jogos. Mas a exposição de informações empresariais sensíveis e a própria tentativa de extorsão levantam uma pergunta que toda organização diante de uma exigência de ransomware ou extorsão de dados precisa responder: deve pagar?

A resposta, apoiada de forma quase unânime por profissionais de segurança e autoridades policiais, é não. A decisão da Rockstar de não pagar foi correta. Veja por quê e o que toda empresa pode aprender com o desdobramento desse caso. O mesmo grupo usou um roteiro paralelo de "pague ou vaze" contra outros alvos no mesmo período. Veja nossa análise sobre o vazamento da Udemy e o ShinyHunters para entender como esses ultimatos costumam se desenrolar.

O que foi vazado?

Segundo reportagens públicas, os dados vazados da Rockstar incluíam análises internas dos jogos, métricas de desempenho, dados de engajamento, informações sobre o comportamento dos usuários e dados internos de negócios que poderiam ser valiosos para concorrentes.

A Rockstar confirmou que os dados dos jogadores não foram comprometidos e que as operações dos jogos não foram afetadas. Essa distinção importa. A invasão foi dolorosa e constrangedora, mas o alcance dos danos foi limitado.

Ter análises internas e dados estratégicos expostos continua sendo um problema relevante. Isso pode munir concorrentes de informações, revelar rumos de produtos ainda não anunciados e prejudicar relações comerciais. Mas restringir a invasão a dados internos, em vez de registros dos jogadores, reduziu significativamente os danos.

A anatomia de um ataque "Pague ou vaze"

O ShinyHunters se tornou um dos grupos mais ativos no uso da extorsão de dados, às vezes chamada de dupla extorsão ou de ataques "Pague ou vaze". Sua abordagem é consistente entre os alvos.

Primeiro, obtém acesso inicial por roubo de credenciais, APIs expostas, armazenamento em nuvem mal configurado, ou engenharia social. Depois, exfiltra os dados silenciosamente antes de implantar qualquer ransomware, quando algum ransomware chega a ser utilizado. Com os dados em mãos, entra em contato com a vítima com uma exigência e um prazo. Se a vítima não pagar a tempo, os dados são publicados ou vendidos.

Esse modelo foi deliberadamente projetado para pressionar as organizações a decidir rápido, antes que consigam avaliar todas as opções ou consultar assessoria jurídica. O prazo é uma parte central da estratégia, não um detalhe posterior.

A mesma sequência aparece entre vítimas com diferentes tipos de dados. Para um mapeamento das cinco fases e de como defender cada uma pela perspectiva da inteligência de ameaças, leia Por dentro do ShinyHunters: como os grupos modernos de extorsão operam.

Por que pagar raramente funciona

As organizações que atendem a exigências de extorsão enfrentam um conjunto de realidades difíceis.

Não há comprovação de exclusão. Os atacantes não conseguem fornecer evidências confiáveis de que apagaram seus dados depois de receber o pagamento. Os dados podem já ter sido copiados para vários sistemas, vendidos a terceiros ou guardados para exercer pressão no futuro. O pagamento não encerra sua exposição.

Pagar também transforma sua organização em um alvo. Isso sinaliza que você pagará novamente. Grupos de ransomware e extorsão compartilham informações sobre vítimas que pagam. Um pagamento hoje pode aumentar a probabilidade de um novo ataque no futuro.

Cada pagamento também financia a próxima campanha. Ransomware é um negócio. A receita de uma extorsão bem-sucedida financia infraestrutura, ferramentas e o recrutamento de novos operadores. Pagar contribui para o ecossistema que fará outras vítimas e poderá atingir você novamente.

Também há aspectos jurídicos. Em algumas jurisdições, pagar agentes de ameaça sujeitos a sanções pode expor sua organização a responsabilização regulatória. A OFAC, do Departamento do Tesouro dos EUA, publicou orientações que deixam claro que determinados pagamentos podem violar regras de sanções.

E nada disso corrige o problema original. A vulnerabilidade que permitiu a entrada dos atacantes continua existindo. O pagamento compra o silêncio temporário de um grupo. Não melhora sua postura de segurança.

Instituições financeiras sujeitas a regras de notificação de incidentes enfrentam pressões sobrepostas, mas os argumentos contra pagar pela exclusão dos dados continuam válidos. Para entender como os bancos comunicam o escopo quando dados de clientes podem estar envolvidos, veja BTG Pactual e a segurança dos dados financeiros.

O que a Rockstar fez certo

A postura pública da Rockstar exemplifica várias boas práticas, mesmo sem termos visibilidade completa de sua resposta interna.

A empresa não pagou. Isso eliminou o incentivo financeiro e enviou uma mensagem clara de que ela não seria extorquida facilmente.

A empresa se comunicou de forma clara e rápida. Ao confirmar a invasão e esclarecer que os dados dos jogadores e as operações dos jogos não foram afetados, administrou os danos à reputação com transparência sobre o escopo.

A empresa conseguiu definir com precisão o que foi e o que não foi comprometido. A capacidade de afirmar com confiança que "os jogadores não foram afetados" sugere que havia registros e visibilidade suficientes para entender o que de fato foi acessado. Essa visibilidade não surge por acaso.

Construa um plano de resposta antes de precisar dele

O pior momento para definir seu plano de resposta a incidentes é enquanto o relógio da extorsão está correndo. Toda organização deve ter procedimentos testados que cubram o que acontece antes, durante e depois de um incidente.

Antes de um incidente, o trabalho envolve backups regulares, testados, offline e imutáveis, para que seja possível restaurar os sistemas sem pagar a ninguém. Significa manter um inventário atualizado dos ativos, pois você não consegue proteger o que não sabe que possui. Significa executar avaliações de vulnerabilidades continuamente, para conhecer sua superfície de ataque antes que os atacantes a conheçam. Pentesty.co automatiza esse processo, executando milhares de verificações de segurança sobre sua infraestrutura e entregando um relatório profissional de vulnerabilidades em menos de 10 minutos. Isso torna viável testar regularmente, em vez de apenas uma vez por ano. Quando é difícil agir a partir desses relatórios, o gargalo costuma estar no formato e na priorização. Abordamos esse tema em por que seu relatório de pentest pode estar mentindo para você. Também significa aplicar controles de acesso baseados no menor privilégio para que uma única conta comprometida não alcance tudo, além de classificar seus dados para avaliar com precisão o escopo de uma invasão quando algo acontecer.

Durante um incidente, as prioridades são isolar imediatamente os sistemas afetados para interromper a propagação, preservar as evidências antes de apagar qualquer coisa, envolver assessoria jurídica desde o início para orientação regulatória e proteção das comunicações jurídicas, contatar as autoridades policiais e acionar empresas especializadas em resposta a incidentes que já tenham negociado com esses grupos e conheçam os resultados realistas.

Depois de um incidente, o trabalho consiste em corrigir a causa raiz, realizar uma revisão pós-incidente para documentar o que mudou e melhorar o monitoramento para que o mesmo vetor de ataque não funcione uma segunda vez.

O valor empresarial da segurança proativa

O incidente da Rockstar ilustra uma verdade dolorosa. Quando você precisa decidir se vai pagar um resgate, já perdeu. A invasão aconteceu. Os dados foram copiados. Todas as opções restantes são ruins.

A questão real é o que poderia ter sido feito antes para evitar ou detectar o ataque. Para a maioria das organizações, a resposta envolve conhecer o que está exposto, encontrar e corrigir vulnerabilidades antes que os atacantes as explorem, identificar intrusões cedo, antes que uma quantidade significativa de dados saia do ambiente, e validar regularmente se as defesas realmente funcionam.

Executar um teste de intrusão completo costumava significar semanas de agendamento, consultores caros e um relatório que chegava muito depois do fim do trabalho. Esse modelo está mudando. Plataformas como a Pentesty.co oferecem testes de intrusão automatizados de nível profissional em minutos, tornando viável testar continuamente em vez de tratar a segurança como um evento anual.

Principais conclusões

A Rockstar Games se recusou a pagar o resgate exigido pelo ShinyHunters, e seus dados internos de análise foram vazados em seguida. A decisão de não pagar foi correta. O pagamento raramente encerra a exposição e financia ataques futuros. Ataques "Pague ou vaze" são uma tática deliberada de pressão, e a preparação é a única defesa eficaz. Toda organização precisa de um plano de resposta a incidentes testado antes de enfrentar uma situação de extorsão. A segurança proativa, conhecendo suas vulnerabilidades antes dos atacantes, é a única postura sustentável.

Quando um grupo de extorsão faz contato, é tarde demais para descobrir suas vulnerabilidades. Pentesty.co ajuda você a se antecipar aos atacantes com testes de intrusão automatizados, mais de 8.000 modelos de segurança e relatórios profissionais entregues em minutos, antes da invasão.

Você testa seu perímetro em uma frequência que cabe no orçamento? Solicite acesso antecipado à Pentesty.