Ecopetrol confirma vazamento após ciberataque

A Ecopetrol confirmou a detecção de um acesso não autorizado a ambientes de armazenamento de arquivos em nuvem e de uma tentativa de ransomware. O incidente afetou informações associadas a cerca de 3.300 contas de usuário de aproximadamente 15 empresas do grupo. A companhia afirmou que, até o momento, não identificou interrupções materiais em suas operações críticas nem impactos em suas plataformas transacionais.

O que a Ecopetrol informou?

A Ecopetrol disse ter identificado um acesso não autorizado a ambientes de armazenamento de arquivos em nuvem e uma tentativa de ransomware. Segundo a empresa, o incidente atingiu informações ligadas a cerca de 3.300 contas de usuário de aproximadamente 15 empresas do grupo.

A companhia também afirmou que os responsáveis publicaram dados que haviam sido copiados ilegalmente. Desde então, atua com a Unidade de Delitos Informáticos da Fiscalía General de la Nación e com o Ministério TIC para retirar o conteúdo e limitar o acesso.

Qual foi o alcance do incidente?

Em sua comunicação inicial, a Ecopetrol informou que, até aquele momento, não havia identificado interrupções materiais em suas operações críticas nem afetções em suas plataformas transacionais. Também não relatou impactos nos sistemas de suas subsidiárias, parceiros comerciais, entidades financeiras, fornecedores e clientes.

O Espectador informou que a companhia ativou protocolos diante da divulgação ilegal de informações e que trabalhava com autoridades para derrubar o conteúdo publicado de forma ilícita. Em outra cobertura, o veículo disse que o incidente alcançou 15 empresas do grupo e que as informações publicadas estavam sendo removidas ou restringidas.

Como o ataque foi atribuído e o que a empresa fez?

A ICS Strive situou o caso em 17 de julho de 2026 e o classificou como um ataque à infraestrutura energética crítica na Colômbia, com tentativa de ransomware bloqueada, mas com roubo de dados e extorsão. A análise posterior do LeMagIT atribuiu o ataque ao grupo de ransomware-as-a-service The Gentlemen, uma organização que já acumula mais de 250 vítimas em diferentes países e que opera sob um modelo de extorsão por roubo de dados, sem necessidade de criptografar sistemas críticos.

O LeMagIT também detalhou que a Ecopetrol revogou acessos não autorizados, bloqueou mecanismos de download em massa e apresentou uma denúncia criminal às autoridades nacionais. O mesmo relatório observou que, apesar da dimensão do incidente e do roubo de dados de aproximadamente 3.300 contas em ambientes em nuvem de cerca de 15 subsidiárias, a petroleira sustentou que suas operações críticas não haviam sido interrompidas.

Quais riscos a companhia ainda avalia?

De acordo com um cable reproduzido por Cong Nghe Va Doi Song, a Ecopetrol ainda avaliava o alcance dos dados comprometidos, que poderiam incluir informações sensíveis de segurança, dados proprietários e dados pessoais. Esse mesmo material indicou que a empresa alertou investidores de que não podia garantir que o vazamento não teria um efeito financeiro adverso grave, além de possíveis impactos significativos em seus negócios, reputação e situação financeira.

A Reuters, citada por esse portal, acrescentou que, no momento do aviso oficial, a Ecopetrol ainda não havia detectado a publicação aberta dos dados roubados, embora já tivesse recebido exigências de extorsão com ameaças de divulgação. A NIVEL4 Labs, em seu boletim semanal, também destacou o caso como incidente relevante da semana e informou que o ator malicioso baixou dados de cerca de 3.000 contas de usuário, enquanto a empresa mantinha suas funções críticas operando.