KRYBIT amplia ofensiva para a Colômbia

Atualização 6 de setembro de 2026: A Security Arsenal detalhou que a KRYBIT publicou 14 vítimas em 24 horas, distribuídas por 9 países e mais de 8 setores, e a CYFIRMA incluiu Colômbia e Chile como alvos da onda. A CyberRakshak Labs também recomendou tratar várias entradas como um cluster de alegações de extorsão, e não como brechas totalmente confirmadas.

KRYBIT, EMPERADOR, THEGENTLEMEN e INCRANSOM publicaram novas vítimas em janelas de 24 a 72 horas, com casos confirmados no México e nos Estados Unidos e sinais de expansão para a América Latina. A Security Arsenal associou a KRYBIT 14 vítimas em um dia, incluindo duas no México, e a THEGENTLEMEN 16 vítimas em 24 horas, das quais cerca de 31% vieram da LATAM.

¿Qué muestran los posteos recientes de KRYBIT?

A atividade da KRYBIT foi concentrada e multirregional, com 14 vítimas publicadas em 24 horas, distribuídas por 9 países e mais de 8 setores, segundo a Security Arsenal. No Weekly Intelligence Report de 4 de setembro de 2026, a CYFIRMA acrescentou Colômbia e Chile à lista de países-alvo, ampliando a presença na LATAM para além do México.

Esse monitoramento também apontou concentração de vítimas na Índia, no México e nos Estados Unidos, com distribuição adicional em outros países. Em paralelo, o grupo listou o domínio tum.com.mx e também uicc.org em seu leak site em 1º de setembro de 2026, o que reforça a hipótese de uma campanha simultânea contra várias organizações.

Investigações externas sobre tum.com.mx identificaram a vítima como Transportistas Unidos Mexicanos División Norte, S.A. de C.V., uma das maiores operadoras de transporte rodoviário do México. Outras fontes de acompanhamento de vazamentos, porém, classificaram o domínio como educação. A divergência setorial não altera o dado central, a presença de uma vítima mexicana atribuída à KRYBIT.

¿Qué sectorialización se vio en esta ola?

A nova leva de publicações da KRYBIT cobre uma taxonomia setorial mais ampla, com varejo, e-commerce, alimentos, saúde ou diagnóstico, manufatura, construção, biotecnologia, tecnologia ou serviços e automotivo ou transporte, segundo a CYFIRMA. A Security Arsenal, por sua vez, apontou concentração em healthcare, education, professional services e technology, além de outros setores corporativos.

Fontes técnicas de monitoramento de vítimas também mostram que várias entradas de 1º de setembro de 2026, entre elas seashellhospital.com e uicc.org, foram associadas ao setor de saúde. Esses registros se encaixam em uma sequência de publicações iniciada em abril de 2026 e com picos visíveis entre 1º e 3 de setembro de 2026.

¿Qué se sabe de la técnica y la infraestructura de KRYBIT?

A KRYBIT opera com um modelo de dupla extorsão, um site próprio de vazamento no Tor e canais como o Tox para se comunicar com vítimas e afiliados, segundo análise técnica da Picus Security. O mesmo trabalho posiciona o grupo em serviços empresariais, serviços ao consumidor, manufatura, educação e tecnologia, com foco geográfico em Alemanha, México, Tailândia, Espanha e Áustria.

A cadeia de TTP atribuída ao grupo inclui exploração de edge devices, preparação de ferramentas de acesso remoto, movimento lateral com PsExec e WMI, preparação de dados, exclusão de shadow copies e criptografia. O relatório não menciona vítimas na América Latina para esse lote, mas mostra um esquema técnico consistente e foco claro em infraestrutura exposta.

Na revisão de setembro, a CyberRakshak Labs também ajustou a narrativa sobre brechas confirmadas. Embora várias organizações apareçam listadas em leak sites, em muitos casos não há evidência pública suficiente dos dados roubados nem da natureza exata dos conjuntos exfiltrados. Por isso, o informe recomenda descrever o fenômeno como um cluster de alegações de extorsão.

¿Dónde golpeó THEGENTLEMEN?

A THEGENTLEMEN publicou 16 vítimas em 24 horas, e cerca de 31% dessas publicações corresponderam à América Latina, com casos no México, no Brasil, em Porto Rico e na Argentina, segundo a Security Arsenal. A mesma análise colocou vítimas em transporte, saúde, energia e utilities, agricultura e produção de alimentos, além de varejo e e-commerce.

Entre os casos listados está a Northwest Trophy, uma vítima de varejo nos Estados Unidos que também foi registrada por agregadores de incidentes e trackers de vazamentos como um caso ainda não confirmado pela empresa nem por reguladores. Portais especializados apontaram datas técnicas de descoberta e de ataque estimado, mas mantiveram o incidente no status de claim, sem validação corporativa.

¿Qué aporta INCRANSOM a este mapa?

A INCRANSOM somou cinco novas vítimas em 72 horas, e o conjunto inclui casos no México, nos Estados Unidos e na África do Sul, com vítimas americanas em energia e utilities, serviços profissionais e tecnologia, de acordo com a Security Arsenal. Na LATAM, o monitoramento de vítimas atribuiu à INCRANSOM o ataque contra a empresa mexicana Wittmann, classificada como manufatura.

Esse cruzamento de fontes amplia o retrato regional do ator, que aparece ativo em manufatura e energia, com presença documentada no México. Ao mesmo tempo, sua última leva de publicações reforça que o grupo operou em mais de uma geografia ao mesmo tempo, dentro de uma curta janela de exposição pública em leak sites.