Qilin e Interseguro marcam outubro de 2026

Cadeia de ataque e TTPs

O material não permite reconstruir uma única cadeia de ataque, porque na prática reúne incidentes distintos, com níveis de evidência muito diferentes. O que pode ser afirmado é que o padrão dominante na região durante o período foi a publicação de reclamações em sites de extorsão, seguida em alguns casos por confirmações parciais das vítimas ou por reportes de impacto operacional. No extremo mais sólido do espectro, o Ministério da Justiça da Colômbia sofreu cifragem e perturbação tecnológica. No extremo menos sólido, boa parte das menções a Qilin, Direwolf, Panzer, SafePay, Nightspire ou DragonForce apenas comprova a existência de uma reclamação pública.

A inteligência disponível sugere várias técnicas recorrentes, embora nem sempre explícitas. Há referências a acesso não autorizado a sistemas, extração de dados sensíveis, publicação de dados em leak sites e ameaças de divulgar informações caso não houvesse contato ou negociação. Na Interseguro, a própria empresa falou de acesso não autorizado e bloqueio de acessos comprometidos. No Brasil, a Polícia Federal descreveu um caso com extração de dados sensíveis e posterior exigência de pagamento. Na Colômbia, a BlackFog mencionou cifragem de arquivos. Além disso, o material não traz IOCs, hashes, infraestrutura C2, vetores iniciais nem TTPs detalhadas.

Impacto regional

A região mostra uma mistura de pressão operacional real, reclamações criminais não verificadas e campanhas de publicação em sites de extorsão. O padrão mais repetido não é a cifragem visível, mas a publicação de nomes de vítimas em portais de leak sites e a indexação por trackers de inteligência. Só em poucos casos aparece uma confirmação direta da vítima ou uma descrição clara do impacto funcional. Isso obriga a separar, país por país, o que está comprovado do que apenas foi reivindicado.

Panorama regional

No conjunto, o material expõe o uso intensivo de leak sites como vetor de pressão pública. Qilin concentra várias menções, mas nem todas equivalem a incidentes verificados. Direwolf, DragonForce, Emperador, Panzer, SafePay e Nightspire completam o mapa de reclamações em diferentes países, enquanto a confirmação mais clara de um incidente técnico sério continua sendo a do Ministério da Justiça da Colômbia.

Argentina

A Oldelval sofreu um ciberataque que afetou seus sistemas administrativos e obrigou a ativar protocolos de cibersegurança e restauração, mas o transporte de petróleo seguiu sem interrupções. A fonte de referência atribuiu o fato ao grupo The Gentlemen, embora tenha deixado claro que a vítima não confirmou a ameaça nem o vetor do ataque. O caso permanece, por ora, numa zona intermediária entre impacto real e atribuição não verificada.

Chile

O Chile concentra várias reclamações de leak site com níveis distintos de consistência, mas sem confirmação pública das vítimas. A Cotesma aparece associada ao Qilin em registros de inteligência, com um arquivo de acompanhamento que a situa como organização chilena supostamente afetada. A LD Constructora também foi publicada pelo Qilin segundo relatos de terceiros. Em paralelo, a Anwo S.A. figura em uma reclamação do SafePay, com suposta ameaça de divulgação de dados. Nenhum desses casos vem acompanhado de evidência independente de cifragem ou exfiltração.

Bolívia

A Solutend foi listada pelo Panzer com uma suposta exfiltração de 35 GB, mas as fontes consultadas deixam claro que se trata de informação indexada do leak site e não verificada forensemente. Breach House, Recent Breaches e SecurityIncident.net tratam o caso como uma reclamação não confirmada. Até o momento, não há notificação pública da empresa nem confirmação independente da autenticidade dos dados alegados.

Peru

O Peru combina um caso confirmado pela própria vítima com várias reclamações não corroboradas. A Interseguro notificou acesso não autorizado, delimitou o alcance aos seus próprios sistemas e afirmou que suas apólices e operações continuavam funcionando. Além disso, indicou que a informação potencialmente envolvida correspondia principalmente a dados de identificação, contato e números de apólice. No mesmo país aparecem TQC S.A., Hospital Hermilio Valdizán, Segres Systec e a reclamação contra o Governo do Peru e o Gob.pe, mas todos permanecem no terreno da inteligência ou da reclamação pública sem validação independente.

Colômbia

A Colômbia é o país com o incidente tecnicamente mais sólido do período. O Ministério da Justiça foi afetado por ransomware com cifragem de arquivos e perturbação de sua infraestrutura tecnológica. A investigação oficial não encontrou evidência de roubo de informação e nenhum grupo reivindicou publicamente a responsabilidade. Isso faz do caso um ponto de comparação útil: o impacto foi real, ainda que a atribuição criminal siga sem solução.

Brasil

O Brasil reúne uma operação policial formal e dois sinais adicionais de interesse. A Polícia Federal anunciou a Operação Insidioso, baseada em um ataque anterior com extração de dados sensíveis e exigências de pagamento. O Albert Einstein, por sua vez, informou um acesso a dados de pacientes, mas disse não ter encontrado evidência de divulgação ou uso indevido e sustentou que os sistemas assistenciais continuaram funcionando. Mais tarde, a Brame Telecom apareceu vinculada ao Qilin em registros de inteligência, novamente sem confirmação independente.

México

A MCM Telecom figura em uma série de registros associados ao Qilin. Darkfield e Ransomware.live reproduzem a reclamação do grupo, mas não há detalhes suficientes para confirmar cifragem, sistemas afetados ou exfiltração. Também não aparece um comunicado da empresa confirmando o incidente. O caso, por enquanto, é uma menção de leak site, não um evento acreditado.

Uruguai

A Associação de Escrivães do Uruguai foi reclamada pelo Nightspire em 8 de outubro. DeXpose, Kalir Brief, Ransomware.live, FalconFeeds, BreachSense, PrivTools e Rosetta Intel registram a inclusão, mas nenhuma dessas fontes traz verificação independente de intrusão, cifragem ou exfiltração. O caso ilustra bem a saturação informativa produzida pelos portais de vazamentos quando ainda não existe confirmação pública da vítima.

Estados Unidos

A cidade de Vicksburg, no Mississippi, relatou um incidente de ransomware que desligou temporariamente sistemas municipais, embora os serviços essenciais tenham permanecido operacionais e a recuperação tenha ocorrido em etapas. Em paralelo, os trackers de atividade de outubro registram os Estados Unidos como o país com grande volume de vítimas reclamadas, mas esses números reúnem reclamações de operadores e não incidentes verificados. A diferença entre volume observado e volume confirmado continua decisiva.

Paraguai

Não foram identificados fatos verificáveis adicionais para o Paraguai no material fornecido.

Indicadores técnicos

Não foram publicados IOCs verificáveis no material de investigação. As fontes citadas descrevem vítimas, reclamações, datas de descoberta e, em alguns casos, volumes alegados de dados, mas não trazem hashes, domínios maliciosos, IPs de infraestrutura, rotas de exfiltração nem artefatos técnicos que permitam construir uma lista de indicadores confiáveis.

Análise para equipes de segurança

A prioridade operacional não é perseguir cada reclamação criminal, mas discriminar entre exposição confirmada e ruído de leak sites. As equipes devem tratar como casos de maior urgência os incidentes com confirmação da vítima ou com impacto operacional comprovado, como Interseguro, o Ministério da Justiça da Colômbia, Oldelval e Vicksburg. Nesses casos há base real para revisar contenção, troca de credenciais, segmentação e continuidade do negócio.

Na Interseguro, a sequência sugere um padrão de acesso não autorizado contido a tempo, com bloqueio de acessos, rotação de chaves e monitoramento contínuo. Isso obriga a revisar contas privilegiadas, acessos remotos, trilhas de autenticação, registros de atividade administrativa e possíveis rotas laterais. Também convém isolar qualquer dependência de terceiros que consuma esses sistemas. O valor de um caso assim não está na cifra reclamada pelo ator, mas na disciplina de contenção aplicada pela vítima.

Para o Ministério da Justiça da Colômbia, a leitura é diferente. O problema não foi apenas o acesso inicial, mas a cifragem e a perturbação de serviços públicos sensíveis. Nesse cenário, a atenção deve se concentrar em recuperação coordenada, restauração de serviços, validação de integridade e revisão do alcance da afetação. O fato de não haver atribuição pública não reduz a necessidade de monitorar persistência, reinfecção e estados de recuperação incompleta.

As reclamações não confirmadas, como MCM Telecom, Cotesma, LD Constructora, Brame Telecom, Solutend, TQC S.A. ou a Associação de Escrivães do Uruguai, exigem outro tratamento. Não convém ignorá-las, porque podem antecipar exposição real, mas também não convém assumir que o dado publicado é íntegro ou autêntico. Nesses casos, o trabalho útil é de inteligência interna: verificar se há correlatos de acesso anômalo, mudanças em contas, vazamentos de credenciais, tráfego incomum ou indícios de exfiltração que permitam passar da reclamação à evidência.

A leitura de fundo para segurança é que os leak sites funcionam como amplificadores de pressão. Eles publicam nomes, quantidades supostas e ameaças de divulgação, mas o valor analítico real depende de a organização afetada confirmar o incidente, de haver impacto funcional e de existirem provas técnicas de comprometimento. Separar essas camadas evita tanto o subregistro quanto o alarmismo inútil.

Perguntas frequentes

Quais casos do relatório estão confirmados pela vítima e quais seguem como apenas reclamações de leak site?

Interseguro, Oldelval, Vicksburg e Albert Einstein têm comunicação direta da vítima ou da entidade afetada. Já MCM Telecom, Cotesma, LD Constructora, Brame Telecom, Solutend, TQC S.A., a Associação de Escrivães do Uruguai e outros aparecem apenas como reclamações ou registros de inteligência. O corpo do relatório separa os dois planos.

Qual incidente tem a evidência técnica mais sólida e por quê?

O Ministério da Justiça da Colômbia é o caso mais sólido porque a BlackFog documentou cifragem de arquivos e alteração de infraestrutura tecnológica, com impacto em serviços públicos. Diferentemente de muitas reclamações indexadas em leak sites, aqui há descrição operacional do dano. Ainda assim, a fonte também esclarece que não houve grupo publicamente adjudicado.

O que diferencia a Interseguro dos demais casos peruanos do relatório?

A Interseguro confirmou acesso não autorizado, limitou o alcance aos seus sistemas, notificou clientes e disse que as apólices e operações continuavam ativas. Os demais casos peruanos, como TQC S.A., Hospital Hermilio Valdizán, Segres Systec e a reclamação contra o Gob.pe, permanecem no terreno da inteligência ou da reclamação não corroborada. Essa diferença muda a prioridade operacional.

Como deve ser lida a atribuição ao Qilin no México, Chile e Brasil?

Ela deve ser lida como associação de inteligência, não como confirmação forense. MCM Telecom, Cotesma, LD Constructora e Brame Telecom aparecem vinculadas ao Qilin em registros de terceiros, mas o material não traz evidência independente de cifragem, exfiltração ou impacto operacional. O relatório trata esses casos como reclamações, não como fatos fechados.

Quais países concentram incidentes confirmados e quais mostram maior densidade de reclamações?

Colômbia e Peru concentram os eventos mais claros, com ransomware confirmado no Ministério da Justiça e acesso não autorizado confirmado na Interseguro. México, Chile, Uruguai, Brasil e Bolívia mostram mais densidade de reclamações de leak sites do que incidentes plenamente verificados. Os Estados Unidos trazem um caso confirmado em Vicksburg, além de alto volume de reivindicações em trackers.

Limitações do material

O material não permite construir IOCs verificáveis nem uma linha técnica completa de intrusão para a maioria dos casos. Também não traz hashes, IPs, domínios de infraestrutura, amostras, artefatos de malware ou rastros de exfiltração. Em vários incidentes, a única evidência disponível é a publicação em um leak site ou o registro de um agregador de inteligência.

A atribuição criminal é especialmente fraca em vários blocos. MCM Telecom, Cotesma, LD Constructora, Brame Telecom, Solutend, TQC S.A., Anwo S.A. e a Associação de Escrivães do Uruguai aparecem em reclamações públicas que não foram corroboradas de forma independente. O relatório preserva essa incerteza porque o material assim exige.

Também não há identificação clara de grupo no caso do Ministério da Justiça da Colômbia. O dano está documentado, mas não a autoria. Em Oldelval ocorre algo semelhante, embora o impacto reportado seja menor e a vítima não tenha confirmado a ameaça específica nem o vetor.

Os países sem cobertura verificável no material são listados em uma única frase final: não há fatos adicionais para o Paraguai além da ausência de material verificável, e o restante das menções se concentra nos países desenvolvidos no corpo.

Gráficos