Ecopetrol confirma vazamento após ciberataque

O que a Ecopetrol informou

A Ecopetrol confirmou ter detectado um acesso não autorizado a ambientes de armazenamento de arquivos na nuvem e uma tentativa de ransomware. Segundo a companhia, o incidente afetou informações associadas a cerca de 3.300 contas de usuário de aproximadamente 15 empresas do grupo.

A empresa informou ainda que os responsáveis divulgaram dados que haviam sido copiados ilegalmente. Desde então, trabalha com a Unidade de Crimes Informáticos da Fiscalía General de la Nación e com o Ministério TIC para retirar o conteúdo e limitar seu acesso.

Alcance do incidente

Na comunicação inicial, a Ecopetrol afirmou que, até aquele momento, não havia identificado interrupções materiais em suas operações críticas nem impactos em suas plataformas transacionais. Também não registrou efeitos sobre as operações de suas subsidiárias, parceiros comerciais, entidades financeiras, fornecedores e clientes.

O El Espectador informou que a companhia ativou protocolos diante da divulgação ilegal de informações e que vinha atuando com autoridades para derrubar o conteúdo publicado de forma ilícita. Em outra cobertura, o veículo disse que o incidente alcançou 15 empresas do grupo e que o material publicado estava sendo removido ou restringido.

Atribuição e resposta técnica

A ICS Strive situou o caso em 17 de julho de 2026 e o classificou como um ataque contra infraestrutura energética crítica na Colômbia, com tentativa de ransomware bloqueada, mas com roubo de dados e extorsão. A análise posterior do LeMagIT atribuiu o ataque ao grupo de ransomware-as-a-service The Gentlemen, uma organização que já acumula mais de 250 vítimas em diferentes países e que opera com um modelo de extorsão baseado no roubo de dados, sem necessidade de criptografar sistemas críticos.

O LeMagIT também detalhou que a Ecopetrol revogou acessos não autorizados, bloqueou mecanismos de download em massa e apresentou uma denúncia criminal às autoridades nacionais. O mesmo relatório observou que, apesar da dimensão do incidente e do roubo de dados de aproximadamente 3.300 contas em ambientes cloud de cerca de 15 subsidiárias, a petroleira sustentou que suas operações críticas não foram interrompidas.

Riscos ainda em avaliação

De acordo com um despacho reproduzido pelo Cong Nghe Va Doi Song, a Ecopetrol ainda avaliava o alcance dos dados comprometidos, que poderiam incluir informações sensíveis de segurança, dados proprietários e dados pessoais. O mesmo material disse que a empresa alertou investidores de que não podia garantir que o vazamento não causaria um efeito financeiro adverso grave, além de apontar possíveis impactos significativos sobre o negócio, a reputação e a situação financeira.

A Reuters, citada por esse portal, acrescentou que, no momento do aviso oficial, a Ecopetrol ainda não havia detectado a publicação aberta dos dados roubados, embora já tivesse recebido demandas de extorsão com ameaças de divulgação. A NIVEL4 Labs, em seu boletim semanal, também destacou o caso como um dos incidentes relevantes da semana e afirmou que o agente malicioso baixou informações de cerca de 3.000 contas de usuário, enquanto a empresa mantinha em operação suas funções críticas.