O grupo de ransomware DireWolf incluiu a Eva AI Limited em seu site de vazamentos e afirmou ter obtido dados internos da companhia. A publicação teria sido registrada em 17 de agosto de 2026, segundo informações de monitoramento atribuídas ao Ransomware.live.
Até o momento, porém, as informações disponíveis devem ser tratadas como uma alegação do grupo criminoso. Não há confirmação independente suficiente para determinar quais sistemas teriam sido comprometidos, qual volume de informações teria sido obtido ou se os arquivos anunciados são legítimos.
Esse cuidado é especialmente importante em casos de ransomware: aparecer em um site de extorsão não comprova, por si só, todas as afirmações feitas pelos atacantes.
Quem é a Eva AI Limited
A Eva AI Limited é uma empresa sediada em Londres, no Reino Unido, especializada em soluções de tecnologia voltadas principalmente para recursos humanos e recrutamento.
A companhia desenvolve ferramentas que combinam automação de processos, chatbots, machine learning e analytics para auxiliar empresas em atividades relacionadas ao RH.
Esse perfil pode aumentar a sensibilidade de um eventual vazamento, já que plataformas relacionadas a recrutamento e gestão de pessoas podem processar informações corporativas e dados relacionados a candidatos e funcionários.
Não há, entretanto, evidência pública suficiente neste momento para afirmar quais categorias de dados teriam sido acessadas no suposto ataque.
DireWolf afirma ter obtido informações internas
De acordo com a publicação observada em plataforma de monitoramento de ransomware, o DireWolf afirma ter roubado dados internos da Eva AI Limited.
A alegação representa uma etapa comum do modelo de extorsão utilizado por grupos contemporâneos de ransomware.
Após comprometer uma organização, criminosos podem copiar arquivos antes de criptografar sistemas. Os dados roubados passam então a ser utilizados como instrumento adicional de pressão: caso a vítima não negocie, os atacantes ameaçam publicar as informações.
Esse modelo é conhecido como dupla extorsão.
DireWolf surgiu em 2025
O DireWolf é um grupo relativamente novo no ecossistema de ransomware.
Análises de segurança indicam que a operação começou a aparecer publicamente em maio de 2025 e passou a utilizar estratégias de dupla extorsão, combinando roubo de informações e criptografia dos sistemas comprometidos.
Os arquivos criptografados pelo malware podem receber a extensão “.direwolf”, enquanto a nota de resgate costuma ser criada como HowToRecoveryFiles.txt.
Os criminosos também utilizam infraestrutura na rede Tor para comunicação com as vítimas.
Operação possui estrutura centralizada
Uma análise publicada pela Halcyon descreve o DireWolf como uma operação fechada e centralizada, diferentemente de algumas estruturas de Ransomware-as-a-Service (RaaS) que distribuem suas ferramentas para uma grande quantidade de afiliados.
Segundo o relatório, o grupo demonstra capacidade de obter controle administrativo dos ambientes antes de realizar movimentação lateral utilizando recursos nativos do Windows.
O ransomware também é desenvolvido em Go (Golang) e pode coordenar a criptografia de diferentes máquinas acessíveis dentro da rede comprometida.
Malware tenta dificultar a recuperação
Análises técnicas anteriores mostram que o DireWolf não se limita a criptografar arquivos.
O malware possui mecanismos destinados a dificultar tanto a investigação quanto a recuperação dos sistemas.
Entre as ações documentadas estão a remoção de logs, exclusão de cópias de segurança disponíveis no Windows e desativação de mecanismos relacionados ao ambiente de recuperação.
O ransomware também utiliza mecanismos para evitar sua execução repetida na mesma máquina e pode realizar sua própria exclusão após determinadas etapas da operação.
Esse conjunto de técnicas busca aumentar o impacto operacional e reduzir as alternativas de recuperação da vítima.
Grupo continua ativo em 2026
O DireWolf não desapareceu depois de suas primeiras campanhas.
Relatórios de inteligência de ameaças publicados em 2026 continuam identificando atividade do grupo. Em um levantamento referente ao início de janeiro, por exemplo, o DireWolf respondeu por 7,2% dos incidentes de ransomware monitorados no período analisado pela Red Piranha.
Outro relatório sobre a evolução do ransomware aponta atuação oportunista em diferentes setores, principalmente na América do Norte e Europa.
A eventual inclusão de uma empresa de inteligência artificial em seu site de vazamentos reforça justamente essa característica: o grupo não parece restringir sua atuação a uma única indústria.
Empresas de IA também entram na mira do ransomware
O caso chama atenção por envolver uma organização cuja atividade está diretamente ligada à inteligência artificial e automação empresarial.
O crescimento acelerado do mercado de IA também amplia a quantidade de informações estratégicas concentradas nessas empresas. Além de dados administrativos convencionais, companhias do setor podem armazenar propriedade intelectual, código-fonte, integrações empresariais, informações de clientes e grandes volumes de dados utilizados em suas plataformas.
Isso não significa que essas informações tenham sido roubadas da Eva AI Limited. Até que existam detalhes técnicos ou confirmação da empresa, seria especulativo determinar o conteúdo do material alegadamente obtido pelo DireWolf.
O episódio, entretanto, mostra que empresas que desenvolvem inteligência artificial enfrentam os mesmos riscos de ransomware e extorsão que organizações de setores tradicionalmente visados.
Confirmação da empresa será determinante
A principal questão agora é saber se a Eva AI Limited reconhecerá publicamente o incidente e fornecerá informações sobre sua dimensão.
Uma confirmação poderá esclarecer o vetor inicial do ataque, período de comprometimento, sistemas afetados e principalmente quais informações — se alguma — foram efetivamente retiradas da infraestrutura.
Também não existem elementos suficientes, neste momento, para afirmar que clientes específicos foram afetados.
Até que novas evidências sejam divulgadas, portanto, a informação central permanece sendo uma alegação feita pelo DireWolf em sua própria infraestrutura de vazamentos, e não uma confirmação independente de todo o conteúdo reivindicado pelos criminosos.
Para o setor de tecnologia, o episódio reforça outro ponto: à medida que empresas acumulam mais dados e incorporam IA aos processos corporativos, proteger a infraestrutura que sustenta essas plataformas se torna tão importante quanto proteger os próprios modelos.
