Paraguai reporta 7,4 milhões de dados expostos

Atualização 9 de setembro de 2026: a cobertura sobre o Paraguai agora inclui um ataque atribuído ao grupo Brigada Cyber PMC, com 7,4 milhões de registros expostos, além de dados mais recentes do CERT-PY sobre reportes e incidentes atendidos desde 2023.

Coberturas sobre o Paraguai ampliaram o alcance de um ataque de ransomware e o situaram em 7,4 milhões de registros expostos. Outras publicações também citaram o CERT-PY ao afirmar que o país soma mais de 9 milhões de dados expostos na web. A nota original sobre cooperativas e o boletim militar seguem no contexto de uma sequência de sinais de pressão sobre sistemas e dados no país.

O que disse a cobertura local sobre as cooperativas?

A nota do Caaguazú Noticias Digital afirmou que um representante do setor disse que as cooperativas paraguaias estão saindo de um ataque de ransomware. No mesmo trecho, a referência ficou associada à Incoop, a entidade reguladora mencionada pela cobertura.

O material não informa vítimas, alcance técnico nem se o impacto atingiu uma única cooperativa ou várias. Também não identifica o vetor inicial nem descreve a recuperação, mas deixa registrado um episódio sensível para o ecossistema cooperativo e financeiro do país.

Que outros dados de exposição foram mencionados?

A mesma cobertura afirmou que o Paraguai viveu o maior vetor de ataques em muito tempo e que, até hoje, há mais de 9 milhões de dados expostos na web. Esses dois dados aparecem como parte da entrevista publicada pelo Caaguazú Noticias Digital, sem detalhamento adicional sobre origem, tipo de registros ou responsáveis.

A nota também enquadra o comentário em uma conversa sobre ciberataques e uso de inteligência artificial. Segundo a publicação, o setor local vê sinais de pressão contínua sobre ativos expostos, embora o texto não separe o que corresponde a vazamentos anteriores e o que se refere a incidentes recentes.

O que foi acrescentado sobre o ataque de junho de 2025?

Coberturas secundárias sobre o caso afirmaram que dados de 7,4 milhões de pessoas foram vazados e que a publicação ocorreu depois de o cronômetro do grupo atacante chegar a zero em 13 de junho de 2025. Outra leitura sobre o incidente atribuiu o ataque ao grupo de ransomware Brigada Cyber PMC.

Essa mesma cobertura descreveu que o grupo cifrou bases de dados do governo paraguaio, exigiu um resgate milionário e deixou as instituições afetadas sem acesso aos seus sistemas de gestão por dias. Também informou que pelo menos 7,4 milhões de registros de cidadãos ficaram expostos.

Que mudanças aparecem nos números oficiais e regulatórios?

As publicações mais recentes citam estatísticas do CERT-PY e indicam que, entre janeiro de 2023 e julho de 2026, houve 8.309 reportes e 4.109 incidentes atendidos, com cerca da metade voltada ao setor privado. Outras notas publicadas em 17 de julho de 2026 repetem que o ano anterior registrou o maior vetor de ataques em muito tempo e que, até então, havia mais de 9 milhões de dados expostos na web.

Também entrou em cena um novo marco legal. A Lei Nº 7593/2025 de Proteção de Dados Pessoais determina que os responsáveis notifiquem incidentes de segurança à Autoridade de Controle e, quando couber, ao titular do dado, em um prazo que não pode passar de 72 horas após o conhecimento do fato.

Durante a tramitação no Senado, a casa ratificou sua versão do projeto e incluiu de forma expressa esse prazo de 72 horas. Análises posteriores acrescentam que a lei foi promulgada em 27 de novembro de 2025, prevê uma vacatio legis de dois anos e contempla a criação da Agência Nacional de Proteção de Dados Pessoais em 2026.

Quais obrigações concretas ficaram para as empresas?

Resumos regulatórios e escritórios jurídicos locais concordam que, sob a Lei Nº 7593/2025, os responsáveis pelo tratamento devem notificar a autoridade e as pessoas afetadas sobre qualquer incidente de segurança em até 72 horas. Em paralelo, uma análise técnica sobre uma lei de cibersegurança aprovada em 2025 acrescenta um relatório completo em até 15 dias úteis e a figura de um responsável de segurança.

Esse estudo também diz que o regime alcança provedores de telecomunicações, instituições financeiras, operadores de infraestrutura crítica e empresas que tratem dados pessoais de cidadãos paraguaios, ao mesmo tempo em que isenta algumas pequenas e médias empresas com menos de 50 funcionários que não lidem com dados sensíveis. Outro estudo jurídico-tecnológico soma como obrigações a designação de um delegado de proteção de dados em certos casos e a realização de avaliações de impacto para tratamentos de alto risco.

O que aconteceu com as Forças Armadas?

MercoPress informou, sem confirmação oficial no material disponível, que a Direção-Geral de TIC das Forças Armadas do Paraguai emitiu um boletim para alertar todas as unidades sobre uma infecção de ransomware que supostamente afetou seus sistemas de TI.

O aviso citado por essa fonte não traz detalhes técnicos nem permite saber quais sistemas foram comprometidos, se houve impacto operacional ou se o incidente continua ativo. Com os elementos disponíveis, só é possível dizer que a comunicação interna mencionada pela MercoPress aponta para uma possível intrusão no ambiente militar paraguaio.

Que relação Brigada Cyber PMC tem com o ransomware no Paraguai?

Brigada Cyber PMC aparece nas coberturas mais recentes como o grupo atribuído ao ataque de ransomware que deixou 7,4 milhões de registros expostos no Paraguai. A nota também associa esse caso a reportes posteriores sobre incidentes atendidos pelo CERT-PY e ao contexto de pressão sobre sistemas e dados no país.

No corpo do texto já consta que outras publicações atribuíram o ataque à Brigada Cyber PMC e que essa referência se soma aos números de 7,4 milhões de registros expostos. Também se menciona que o episódio faz parte de uma sequência de sinais sobre exposição de dados e atividade de ransomware no Paraguai, sem adicionar novos detalhes técnicos sobre o grupo.