Ransomware atinge vítimas na América Latina

THEGENTLEMEN adicionou 25 novas publicações de vítimas em seu leak site, com pico de 14 casos em um período de 24 horas em 2026-08-06, enquanto Gunra e INC Ransom também ampliaram sua atividade e seus alertas na América Latina. Security Arsenal, Dragos, CISA, BleepingComputer, Bitdefender, PlainSec e Check Point Research apontaram pressão sobre VPN, firewalls e setores industriais.

¿Qué sectores y vectores quedaron más expuestos?

Manufatura e serviços profissionais foram os setores com mais vítimas de THEGENTLEMEN, segundo a Security Arsenal, que também incluiu tecnologia e SaaS, agricultura e alimentos, governo e defesa, varejo e e-commerce, saúde e casos não classificados.

A empresa também apontou, como vetor primário mais provável, o abuso de dispositivos de borda, como VPN gateways, firewalls e ferramentas de acesso remoto. Além disso, mencionou como vetor provável um CVE em Check Point Security Gateway, embora esse ponto tenha sido apresentado como não confirmado oficialmente.

Em outro front, a Check Point Research colocou The Gentlemen com 125 reivindicações no trimestre, o maior ganho entre os grupos já estabelecidos no período, e afirmou que um leak interno de maio expôs a estrutura e o tooling da operação. Depois, a HIPAA Journal informou que a AnMed estava investigando a violação de dados atribuída ao The Gentlemen, embora não tenha nomeado o grupo em sua própria comunicação; a cobertura também citou que o hospital chegou a fechar quase 80 instalações enquanto enfrentava o ataque cibernético.

¿Qué mostró la actividad regional de ransomware?

O panorama regional mostrou atividade mais ampla, e a Dragos informou que, no segundo trimestre de 2026, a atividade de ransomware industrial na América do Sul somou 64 incidentes e que Brasil e Argentina concentraram metade desse total.

Segundo essa análise, os setores mais atingidos foram manufatura, transporte e engenharia.

¿Qué se informó sobre INC Ransom en la región?

A cobertura sobre o INC Ransom indicou que o grupo havia listado vítimas na Colômbia em seu leak site desde o início de agosto e também mencionou vítimas nos Estados Unidos, Austrália, Emirados Árabes Unidos, Colômbia e Suíça.

A mesma cobertura atribuiu ao INC Ransom a exploração ativa de duas vulnerabilidades recentes do SonicWall SMA1000, CVE-2026-15409 e CVE-2026-15410, para permitir acesso não autenticado e escalada de privilégios.

A BleepingComputer acrescentou que a CISA e a SonicWall já haviam alertado sobre essa exploração ativa, com patches publicados em meados de julho e sem workaround disponível.

A Bitdefender, por sua vez, disse que várias investigações atribuem ao INC Ransom o encadeamento das duas falhas desde junho de 2026 para elevar privilégios, acessar credenciais e arquivos de configuração e executar malware em fases posteriores.

¿Qué advirtió la respuesta oficial sobre Gunra?

A CISA e parceiros publicaram um advisory conjunto com orientações de detecção e mitigação, e o aviso foi emitido pelo FBI, CISA, NSA, DC3, U.S. Secret Service e pela National Police Agency da Coreia do Sul.

O advisory identifica que o acesso inicial tem sido obtido pela exploração de duas vulnerabilidades da Fortinet, CVE-2024-55591 e CVE-2025-24472, ambas em FortiOS e FortiProxy.

A cobertura independente acrescentou que o Gunra foi observado atacando firewalls Fortinet para obter acesso inicial por meio de duas vulnerabilidades críticas de autenticação em FortiOS e FortiProxy, e que tem como alvo setores que incluem saúde, saúde pública, serviços financeiros e serviços governamentais.

A CISA também recomendou priorizar a correção de vulnerabilidades conhecidas em sistemas expostos à internet, como VPN gateways e RDP, além de segmentação de rede e backups offline e imutáveis.

A cobertura do The Hacker News indicou que a operação é descrita como dupla extorsão, enquanto a PlainSec acrescentou que o Gunra também tem usado uma vulnerabilidade do Schneider Electric PowerLogic P5, ampliando sua cadeia de acesso inicial para além de FortiOS e FortiProxy.