Oldelval e Hospital Clínico sob ransomware

Resumo executivo

O relatório Estado da Infraestrutura Crítica 2026, citado pelo Diario Financiero, registrou 1.080 vítimas de ransomware na América Latina entre janeiro de 2025 e setembro de 2026, e 338 desses casos, equivalentes a 31,3%, atingiram infraestrutura crítica. A mesma cobertura informou que as vítimas regionais de infraestrutura crítica cresceram 28% entre janeiro e setembro de 2026 em relação ao mesmo período de 2025, de 125 para 160 casos, com Brasil, México e Argentina na dianteira do recorte agregado.

O retrato consolidado, porém, não deve ser confundido com uma lista de incidentes confirmados caso a caso. No material analisado, os fatos com verificação direta da vítima ou de uma autoridade são bem menos numerosos do que as alegações publicadas em sites de vazamento ou as menções em relatórios de inteligência. Essa diferença importa porque o universo de 338 vítimas regionais inclui tanto eventos reconhecidos publicamente quanto casos inferidos por cobertura jornalística ou inteligência de ameaças, sem que a pesquisa permita auditar cada registro de forma independente.

Os dois casos latino-americanos mais bem documentados neste conjunto são o Hospital Clínico da Universidade do Chile e a Oleoductos del Valle, Oldelval, na Argentina. No hospital chileno, a Agência Nacional de Cibersegurança notificou a Universidade do Chile sobre o incidente, a instituição confirmou um ciberataque que afetou o Serviço de Imagenologia e a plataforma RIS PACS, e depois reconheceu acesso não autorizado a pedidos e resultados de exames médicos. As informações expostas incluíam RUT, nome completo, sexo, idade, data de nascimento, datas e horários de exames, tipo de exame, médico solicitante e resultados. O hospital desativou a conta comprometida, suspendeu preventivamente a plataforma externa de consulta e apresentou uma queixa criminal.

Na Oldelval, a BlackFog informou que um ciberataque afetou sistemas administrativos da operadora de oleodutos, mas a empresa ativou seus protocolos de cibersegurança, restaurou os sistemas afetados e manteve o transporte de petróleo sem interrupções. A atribuição ao grupo The Gentlemen ficou no campo do não confirmado pela vítima. No plano técnico, SOCRadar e outras análises sobre The Gentlemen descrevem uma operação de ransomware como serviço com infraestrutura exposta, painéis Ghost C2, RevSocks, builds personalizados de INC e táticas de dupla extorsão. No entanto, esses achados pertencem ao ecossistema do ator, não provam que a Oldelval tenha sido impactada pelo mesmo conjunto de ferramentas nem que o incidente argentino tenha incluído criptografia ou exfiltração confirmadas.

Lido com rigor, o resultado é um mapa regional em que a maior parte dos números vem de relatórios agregados ou de reclamações em sites de vazamento, mas os casos com confirmação direta das vítimas continuam menos numerosos. Os fatos mais bem verificados mostram dois padrões distintos. No Chile, acesso não autorizado e publicação de dados clínicos. Na Argentina, interrupção limitada a sistemas administrativos, recuperação operacional e atribuição ainda incerta. A diferença entre alegações públicas e evidência confirmada segue sendo o ponto crítico para qualquer leitura de risco em infraestrutura crítica latino-americana.

Contexto e antecedentes

O ponto de partida do período é o relatório Estado da Infraestrutura Crítica 2026, do Centro de Ciberinteligência da Entel Digital, conforme resumido pelo Diario Financiero. O trabalho contabilizou 1.080 vítimas de ransomware na América Latina entre janeiro de 2025 e setembro de 2026, com 338 casos de infraestrutura crítica. A cobertura também informou que as vítimas regionais de infraestrutura crítica passaram de 125 entre janeiro e setembro de 2025 para 160 no mesmo intervalo de 2026. Em termos relativos, a alta foi de 28%, acima da média global informada pela nota, de 26,1%.

A fonte jornalística também trouxe uma leitura setorial. Transporte e logística concentraram 27,8% das vítimas, seguidos por energia, combustíveis, água e saneamento com 22,2%, e saúde e governo com 16,7% cada um. O dado é relevante porque organiza o risco em torno de serviços de alta dependência operacional e grande exposição pública. Não se trata de um ranking de impacto econômico, mas da distribuição de vítimas dentro da amostra observada pela Entel Digital.

O mesmo relatório, sempre segundo o Diario Financiero, colocou o Brasil com 80 ataques acumulados, o México com 60 e a Argentina com 45 no período analisado. O Chile somou 55 vítimas de ransomware, das quais 18 foram classificadas como infraestrutura crítica. No recorte do país, houve 11 vítimas de infraestrutura crítica entre janeiro e setembro de 2026, contra sete em todo 2025. Essa diferença temporal sugere aceleração na segunda metade do período coberto pelo estudo, embora o material disponível não permita atribuir a mudança a uma única família de ransomware ou a um vetor dominante.

Fora do agregado, os casos documentados mostram comportamentos diferentes. O Hospital Clínico da Universidade do Chile terminou com uma queixa criminal, uma filtragem de dados médicos na internet e medidas visíveis de contenção. A Oldelval, por sua vez, reportou recuperação operacional e continuidade do transporte de petróleo. Na Colômbia, a BlackFog mencionou um ataque ao Ministério da Justiça que criptografou arquivos e alterou serviços públicos, mas a investigação oficial não encontrou evidência de roubo de informação e nenhum grupo reivindicou publicamente o ataque. No México, a COMAPA Victoria disse ter sofrido uma tentativa de sequestro de dados, restabeleceu a operação com backups e negou exposição de dados bancários ou pessoais; a reclamação da Qilin permaneceu sem verificação segundo a Yazoul Security.

Esse contraste entre registros confirmados e reclamações não verificadas é decisivo para ler o cenário regional. O crescimento agregado das cifras não elimina a necessidade de distinguir entre uma intrusão com acesso confirmado, uma publicação em site de vazamento e uma simples menção em inteligência aberta. Sem essa separação, o universo de 338 vítimas de infraestrutura crítica mistura níveis de evidência que não são equivalentes.

Tabela de fatos principais

Linha do tempo da operação

Cadeia de ataque e TTPs

A evidência disponível permite reconstruir dois planos distintos. O primeiro é o dos incidentes confirmados. No Hospital Clínico da Universidade do Chile houve acesso não autorizado à plataforma RIS PACS, extração de pedidos e resultados médicos, publicação posterior na internet e contenção por meio da desativação da conta comprometida. Na Oldelval, por outro lado, o fato confirmado é um ciberataque que afetou sistemas administrativos, seguido por restauração de serviços e continuidade do transporte de petróleo. Em nenhum dos dois casos o material disponível permite fixar com certeza o vetor inicial, o grupo atacante ou a cadeia completa de intrusão.

O segundo plano é o do ecossistema técnico associado ao The Gentlemen, que aparece vinculado de forma não confirmada ao caso da Oldelval na BlackFog. A Acronis descreve o The Gentlemen como uma operação de ransomware como serviço cuja infraestrutura interna ficou exposta em uma brecha de maio de 2026. Esse material permitiu observar estrutura organizacional, afiliados, infraestrutura e vínculos com o ecossistema Qilin. A Cohesity REDLab acrescentou que o malware associado exibe ataque direto a backups, tentativa de apagar Volume Shadow Copies, uso de drivers vulneráveis para desativar produtos de segurança e dupla extorsão com criptografia e ameaça de publicação.

A SOCRadar trouxe a camada mais técnica. A empresa descreveu sete servidores controlados por adversários, entre eles nós de conhecimento e desenvolvimento, um painel Ghost C2, um host de RevSocks e um nó de staging. Também relatou três pacotes por vítima preparados para uma onda prevista em 1º de outubro de 2026, 46 builds personalizados de cifradores INC destinados a seis vítimas e uma captura de tela com um cifrador em execução em um equipamento vítima dentro da infraestrutura analisada. Esses elementos descrevem uma operação em preparação ou em curso, mas não provam seu uso contra a Oldelval nem contra os casos de saúde confirmados.

TTPs observadas ou atribuídas na infraestrutura analisada pela SOCRadar

Da intrusão ao ruído de extorsão

O valor analítico de separar esses planos é alto. Um site de vazamento pode anunciar uma vítima, mas isso não equivale a um ataque confirmado, nem a uma exfiltração validada, nem a uma interrupção operacional. O material da SOCRadar mostra que o The Gentlemen operava infraestrutura, builds de ransomware e mecanismos de acesso compatíveis com um esquema de intrusão e extorsão. Mas o que existe contra a Oldelval, no material disponível, é uma referência jornalística a um ciberataque e uma eventual atribuição não confirmada.

Na saúde, a cadeia aparece mais nítida. O Hospital Clínico foi alertado pela Agência Nacional de Cibersegurança, a instituição corroborou acesso ao RIS PACS, identificou publicação na internet e detalhou os tipos de dados expostos. Isso permite diferenciar acesso, exfiltração ou ao menos subtração de informação, e divulgação posterior. A parte que não fica fechada é a magnitude total do material extraído e a atribuição técnica do ator.

Em infraestrutura crítica de transporte e energia, o problema não é só a criptografia. A Oldelval manteve o fluxo do negócio principal, o que reduz o impacto visível, mas não elimina o incidente. O padrão é compatível com campanhas que atingem áreas administrativas, gestão documental ou sistemas periféricos para forçar pagamento ou criar pressão, sem necessariamente interromper a operação física central. Essa hipótese é plausível a partir do material sobre o The Gentlemen, mas continua sendo uma hipótese.

Impacto regional

Panorama regional

A leitura regional combinada deixa duas camadas: um agregado amplo e uma base confirmada muito mais restrita. A Entel Digital, citada pelo Diario Financiero, registrou 1.080 vítimas de ransomware na América Latina entre janeiro de 2025 e setembro de 2026, das quais 338 eram infraestrutura crítica. Em paralelo, as vítimas de infraestrutura crítica cresceram de 125 para 160 entre janeiro e setembro de 2025 e 2026, respectivamente. Isso coloca o setor crítico como um terço das vítimas regionais medidas pelo relatório.

O desdobramento setorial concentrou os casos em transporte e logística, energia, combustíveis, água e saneamento, saúde e governo. Essa distribuição se encaixa com a seleção de alvos observada nos fatos confirmados. O Hospital Clínico da Universidade do Chile representa saúde, a Oldelval representa energia e transporte, e a COMAPA Victoria representa água e saneamento. O Ministério da Justiça da Colômbia acrescenta governo, embora, nesse caso, a evidência pública fale de criptografia e disrupção, não de roubo confirmado de dados.

Brasil, México e Argentina concentraram os maiores volumes absolutos do período agregado. O Brasil ficou em primeiro com 80 casos, o México com 60 e a Argentina com 45. Mas essas cifras não devem ser lidas como uma auditoria forense de todos os incidentes. A própria cobertura alerta que não existe uma lista individual de vítimas que permita verificar um a um os totais reportados.

Argentina

A Argentina oferece duas leituras que não devem ser misturadas. A primeira é o agregado regional do relatório da Entel Digital, que coloca o país com 45 casos acumulados entre janeiro de 2025 e setembro de 2026. A segunda é o caso da Oldelval, que conta com um reporte direto da BlackFog e uma atribuição não confirmada ao The Gentlemen.

A Oldelval, operadora da principal rede de oleodutos do país, sofreu um ciberataque que afetou sistemas administrativos. A empresa ativou seus protocolos, restaurou os sistemas e manteve o transporte de petróleo sem interrupções. Esse ponto é importante porque reduz a chance de superestimar o caso como uma interrupção de infraestrutura crítica em sentido físico. O incidente existiu, mas o impacto operacional principal foi contido.

A atribuição ao grupo The Gentlemen aparece como reclamação não confirmada pela própria fonte de inteligência. A BlackFog assinalou que a Oldelval não confirmou a ameaça específica nem o vetor de ataque e que continuava avaliando o alcance total do incidente. Mais tarde, a Acronis descreveu o The Gentlemen como uma operação RaaS com vínculos ao ecossistema Qilin, enquanto a Cohesity REDLab e a SOCRadar detalharam seu arsenal técnico e sua infraestrutura exposta. Tudo isso reforça a compreensão da ameaça, mas não resolve a atribuição do caso argentino.

A outra leitura argentina vem do Clarín, que citou uma investigação da CrowdStrike sobre uma campanha conduzida entre maio e agosto de 2026 que comprometeu ao menos 15 entidades de saúde. A CrowdStrike documentou extração de credenciais e prontuários de pelo menos uma organização, mas não identificou vítimas nem falou em interrupções, resgates ou notificações a pacientes. Esse caso não está ligado ao incidente da Oldelval, mas sugere atividade intensa no setor de saúde argentino.

Chile

O Chile é o caso com melhor documentação pública em todo o conjunto. O Diario Financiero informou 55 vítimas de ransomware no país entre janeiro de 2025 e setembro de 2026, das quais 18 eram infraestrutura crítica. Também indicou 11 vítimas de infraestrutura crítica entre janeiro e setembro de 2026, contra sete em todo 2025. No recorte setorial, transporte e logística concentrou 27,8%, energia, combustíveis, água e saneamento 22,2%, e saúde e governo 16,7% cada um.

O incidente do Hospital Clínico da Universidade do Chile oferece uma janela concreta para esse componente da saúde. A Agência Nacional de Cibersegurança notificou a universidade sobre o incidente, o hospital confirmou o ataque ao Serviço de Imagenologia e à plataforma RIS PACS, e a queixa detalhou acesso a pedidos e resultados de exames. As informações comprometidas incluíam RUT, nome completo, sexo, idade, data de nascimento, horários, tipo de exame, médico solicitante e resultados. Essa granularidade transforma o caso em um exemplo de exposição de dados clínicos com impacto direto sobre privacidade e potencial reutilização indevida.

As medidas adotadas também ficaram registradas. O hospital desativou a conta comprometida e suspendeu preventivamente a plataforma externa de consulta para implementar melhorias de segurança. A NIVEL4 Labs acrescentou que a instituição não detectou a intrusão por conta própria no início, mas foi alertada pela autoridade, e que a queixa reconhece que ainda não se conhecia a magnitude total da subtração nem se os dados haviam sido usados para outros fins ilícitos. Esse detalhe deixa uma parte do expediente em aberto, mas não altera a confirmação central do acesso não autorizado e do vazamento.

A ADN Radio acrescentou um dado estrutural útil para interpretar o caso. Mais de 70% do setor público e 85% do setor privado chileno usam registros clínicos eletrônicos, segundo cifras atribuídas ao CENS e à ANCI. Isso não prova vulnerabilidade por si só, mas amplia a superfície de exposição quando uma plataforma clínica fica comprometida. O episódio do Hospital Clínico se insere justamente nesse tipo de dependência.

Brasil

O Brasil aparece como o país com mais casos acumulados no relatório da Entel Digital, com 80 ataques. A cobertura do Diario Financiero não trouxe detalhamento por vítima, setor, vetor de acesso, criptografia ou exfiltração. Por isso, o número deve ser lido como um agregado de monitoramento e não como base para reconstrução forense local.

Há, porém, um incidente confirmado no plano operacional na frente de saúde, por meio da Operação Insidioso da Polícia Federal. A investigação foi aberta para casos ligados a invasão de sistemas, extração de dados e extorsão posterior, com busca e apreensão e prisão temporária em Joinville, Santa Catarina. A operação foi anunciada em 7 de outubro de 2026 e o ataque investigado ocorreu em julho de 2026.

A CNN Brasil, citando a Polícia Federal, acrescentou que o incidente investigado afetou o Hospital Einstein, em São Paulo, e foi tratado como um ataque de ransomware. A publicação falou em acesso não autorizado a dados de pacientes, incluindo nomes, CPF ou datas de nascimento, receitas e resultados de exames. Com essa informação, o caso brasileiro se encaixa em uma combinação de intrusão, acesso a dados médicos e resposta policial formal.

A cobertura brasileira sobre ThreatVectr e Ransomware.live acrescenta uma cautela metodológica. Os registros em páginas de extorsão representam reivindicações publicadas por grupos criminosos, não necessariamente confirmações das organizações citadas. Essa advertência é relevante para não superestimar o volume de reclamações como evidência consolidada de vítimas confirmadas.

México

O México figura com 60 casos acumulados no relatório da Entel Digital e com um dos incidentes mais bem articulados em fontes locais, o da COMAPA Victoria, em Tamaulipas. O órgão informou que sofreu uma tentativa de sequestro de dados, com bloqueio de arquivos para exigir resgate. Seu gerente geral disse depois que todos os dados foram restabelecidos por meio de backups, que não houve pagamento de resgate e que a operação institucional não sofreu impacto.

A COMAPA Victoria também afirmou que seus escritórios e serviços ao público continuaram operando normalmente assim que as ferramentas web pausadas durante a resposta foram restauradas de forma gradual. Disse ainda que não houve exposição de dados pessoais nem bancários dos usuários, porque as transações e pagamentos on-line não são processados em seus servidores, mas em plataformas bancárias e empresas especializadas. Esse detalhe reforça a ideia de continuidade operacional sem perda confirmada de dados sensíveis pelo lado do órgão.

A parte ainda não verificada veio da Yazoul Security, que relatou uma reclamação da Qilin em seu site de vazamento, mas afirmou que não havia amostras, capturas, árvores de arquivos ou outra prova de comprometimento. Em outras palavras, houve alegação de exfiltração, mas não validação pública dessa alegação. Esse padrão coincide com o alerta metodológico do restante do relatório: um leak-site não substitui evidência técnica nem confirmação institucional.

Colômbia

A Colômbia aparece no material com duas referências diferentes. Uma é o ataque ao Ministério da Justiça reportado pela BlackFog, que criptografou arquivos e perturbou partes de sua infraestrutura tecnológica, com impacto sobre processos judiciais, gestão documental e monitoramento de cultivos ilícitos. As autoridades isolaram sistemas comprometidos e iniciaram uma recuperação coordenada. A investigação oficial não encontrou evidência de roubo de informação e nenhum grupo de ransomware reivindicou publicamente o ataque.

A outra referência é a reclamação não verificada da ThreeAM contra a Coosalud EPS. A Yazoul Security classificou o caso como uma reivindicação sem prova pública de exfiltração, sem amostras de dados nem validação de terceiros. A Coosalud não havia confirmado nem negado publicamente a acusação. Esse é mais um exemplo de por que o agregado regional não pode ser tratado como um censo homogêneo de incidentes confirmados.

Uruguai

O Uruguai não soma um caso de ransomware confirmável no material disponível. O Observador informou que a Antel atribuiu suas interrupções de fibra óptica a cortes físicos provocados por terceiros e não a um ataque cibernético. Por isso, esse evento deve ser excluído do universo de ransomware contra infraestrutura crítica.

Países sem fatos verificáveis adicionais

Paraguai, Bolívia, Peru e Estados Unidos não trazem fatos verificáveis adicionais na pesquisa disponível para esta apuração.

Indicadores técnicos

A investigação da SOCRadar sobre a infraestrutura do The Gentlemen publicou indicadores concretos, mas eles dizem respeito à operação analisada por essa fonte e não devem ser misturados com IOCs confirmados do caso Oldelval. O material disponível não publica IOCs dos incidentes do Hospital Clínico nem da Oldelval como conjunto forense final.

Análise para equipes de segurança

A prioridade operacional não deveria ser apenas seguir o contador agregado de vítimas, mas separar rapidamente três estados distintos. Primeiro, o incidente com acesso confirmado, como o do Hospital Clínico, em que já há evidência de subtração de dados e publicação. Segundo, o incidente com disrupção ou criptografia sem evidência pública de exfiltração, como o Ministério da Justiça da Colômbia. Terceiro, a reclamação não verificada em leak-sites, como COMAPA Victoria ou Coosalud, que pode antecipar risco, mas não deve ser tratada como fato consumado.

Para equipes de saúde, o caso chileno deixa três controles urgentes. Rastreabilidade de acessos em plataformas clínicas, monitoramento de contas privilegiadas e capacidade de detecção precoce em sistemas como RIS PACS ou equivalentes. A notificação da Agência Nacional de Cibersegurança foi decisiva para revelar o incidente, o que sugere que a detecção interna pode falhar se não houver correlação entre logs, alertas de acesso e monitoramento de atividade anômala.

Para operadores de infraestrutura crítica em energia, transporte e água, o caso Oldelval mostra que a continuidade física pode sobreviver a um incidente cibernético se houver restauração rápida e segmentação entre sistemas administrativos e a operação principal. Mas essa separação não deve gerar complacência. Um sistema administrativo comprometido pode servir como ponto de pressão, vazamento de informação ou pivô para outras superfícies. Controles de backup, isolamento e desativação de contas comprometidas seguem como o núcleo mínimo.

A camada de ameaça exposta pela SOCRadar sobre o The Gentlemen acrescenta um conjunto de indicadores de comportamento que vale observar em hunting. Ghost C2, túneis por RevSocks, uso de QuickLine/Mythic, abuso de drivers para desativar ferramentas de segurança e preferência por arquivos financeiros, jurídicos, de RH e executivos. Se uma organização detectar esses padrões junto com tentativas de exfiltração para armazenamento em nuvem ou uso de contas válidas, o limiar de suspeita sobe rapidamente.

No plano regional, o maior erro seria interpretar as cifras da Entel Digital como um mapa exato de vítimas confirmadas. Elas não são. São um bom termômetro de pressão, mas o valor tático está em cruzá-las com relatórios de autoridades, queixas, resposta institucional e validação independente. Sem essa depuração, um SOC ou um CSIRT corre o risco de priorizar ruído de extorsão acima de incidentes com impacto real e verificável.