Em alta:
Brasil endurece regras do BC para Pix
CiberLATAMbywhalemate
Alternar para modo escuro/claro
Selecionar idioma
Notícias
Investigações
Relatórios
RadarEm tempo real
EntrarCadastre-se grátis
Relatório de inteligência11 de ago. de 202625 min de leitura

Energia e utilities críticas, Julho de 2026

Ransomware e vazamentos marcaram julho em utilities latino-americanas, com Ecopetrol, Oldelval e Sinop Energia no foco.

Energia e utilities críticas, Julho de 2026whalemateA plataforma para gerenciar o risco humano em cibersegurança.

Principais conclusões

Módulos mensais de referência

Esses módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um informa sua base e seu critério de contagem, para que os números sejam conciliados entre módulos. Esta é a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 83 fatos datados em julho de 2026 · 1 sem data confirmada (excluído dos indicadores). Os fatos de meses anteriores são usados apenas como referência comparativa na análise, nunca como volume deste período.

CIBERLATAM / WHALEMATE Painel mensal de sinal verificado julho de 2026 · América Latina Ameaça predominante: ransomware (24 de 81 fatos). Cobertura: 83 fatos com data em julho de 2026 · 1 sem data confir… FATOS VERIFICADOS 81 base do período: toda contagem abaixo é medido sobre este total RANSOMWARE / EXTORSÃO 24 4 ativos criptografados confirmado · 1 exfiltração sem criptografia (extorsão simples) INCIDENTES SEM TIPIFICAÇÃO 21 brechas ou interrupções sem tipo de ameaça declarado FRAUDE / PHISHING 1 campanhas de fraude documentadas REGULAMENTAÇÃO 0 normas, resoluções ou sanções CVEs ÚNICOS 9 CVE-2026-15409 / CVE-2026-15410
Painel mensal de sinal verificado — Base: 81 fatos verificados com data no período para a América Latina.
MÓDULO FIXO MENSAL Distribuição por eixo de ameaça julho de 2026 · América Latina Cada ocorrência conta em apenas um eixo, por isso a soma é exatamente 81. "Incidentes sem tipificação" é o resíduo. Ransomware 24 Incidentes 21 Vulnerabilidades 18 Não classificado 17 Fraude 1
Distribuição por eixo de ameaça — Cada ocorrência é atribuída a um único eixo conforme sua tipificação; a soma fecha com as 81 ocorrências do período.
MÓDULO FIXO MENSAL Distribuição setorial da sinalização julho de 2026 · América Latina Base: 81 fatos do período · soma 85 porque 4 fatos se classificam em mais de um setor. Outros / sem setor ident… 38 Tecnologia 22 Setor público / OIV 16 Energia 5 Finanças 2 Telecom 2
Distribuição setorial da sinalização — Classificação heurística por setor da vítima. Um fato pode atingir mais de um setor, então a soma pode superar a base.
MÓDULO FIXO MENSAL Distribuição geográfica do sinal julho de 2026 · América Latina Cada fato é atribuído a um único país ou à cobertura regional, por isso a soma é exatamente 81 de 81 fatos de… Regional 46 Colômbia 9 México 9 Argentina 7 Brasil 5 Paraguai 5
Distribuição geográfica do sinal — Fatos verificados do período agrupados por país ou cobertura regional; cada fato conta uma única vez.

Resumo executivo do mês

Julho terminou com um padrão claro para energia, eletricidade e utilities na América Latina, com três casos que concentraram a atenção regional: Oldelval, na Argentina, Sinop Energia, no Brasil, e Ecopetrol, na Colômbia. Os três aparecem no material como episódios de segurança com diferentes graus de verificação e impacto. A Oldelval notificou um incidente que afetou sistemas administrativos, mas não interrompeu o transporte de petróleo. A Sinop Energia foi listada em sites de vazamento e em trackers de ransomware como vítima do Global Secret Group. A Ecopetrol, por sua vez, ficou no centro do fato mais sensível do mês pelo volume de informação, pelo alcance corporativo e pela combinação de roubo de dados, pressão extorsiva e relatos regulatórios à SEC.

O sinal predominante do mês foi ransomware, com 24 de 81 fatos verificados no período e com maioria de casos em que o material não permite determinar se houve criptografia, exfiltração ou apenas reivindicação em um leak site. Essa ambiguidade não é menor. Em um setor em que a continuidade operacional pesa tanto quanto a confidencialidade, a diferença entre uma menção pública e uma intrusão com impacto real define o risco material. Em julho, apenas uma parcela limitada dos casos permite afirmar com precisão o que aconteceu: a Ecopetrol relatou roubo de dados e controles que evitaram a criptografia, a Oldelval falou em impacto administrativo sem efeito operacional, e a Sinop Energia ficou exposta principalmente pela publicação de terceiros que a associaram a uma extorsão com vazamento de dados.

O mês também foi marcado por uma camada técnica relevante para OT e infraestrutura crítica. O INCIBE alertou sobre duas vulnerabilidades altas em produtos da Hitachi Energy, usados no setor energético, e os alertas também foram refletidos pela WaterISAC, CISA, CSIRTS e ISS Source. No PROMOD V, foi descrito um problema de comunicação HTTP insegura com possibilidade de roubo de credenciais, sequestro de sessão e acesso não autorizado. No e-mesh EMS, foi reportada uma falha de estouro de buffer com potencial de queda de aplicações e execução de código. Para operadores de energia e utilities, esse bloco importa tanto quanto os incidentes: um ambiente com exposição administrativa, integrações remotas e plataformas de gestão de energia não tolera patching lento nem segmentação fraca.

Tipologia de ransomware e extorsãoCriptografia4Exfiltração1Leak site1Sem tipificação18Total do eixo24
Tipologia de ransomware no mês — Distribuição dos casos com eixo ransomware ou extorsão segundo o material analisado.

A leitura regional não é homogênea, mas é consistente no eixo da criticidade. A Colômbia concentrou o caso mais sensível por causa da Ecopetrol, além de um contexto de pressão geral por ciberataques e ransomware. O Brasil trouxe outro foco de atenção com a Sinop Energia e com dados regionais que colocam o país entre os mais afetados por ransomware. A Argentina apareceu com o incidente da Oldelval, de menor impacto operacional confirmado, mas com valor estratégico por se tratar do maior oleoduto do país. O Paraguai não registrou um incidente de utilities com impacto confirmado, embora tenha mostrado um quadro de atividade estatal comprometida e de reação institucional que serve como lembrete do ambiente regional de ameaça. O resultado é uma foto em que a superfície crítica segue aberta a campanhas que misturam extorsão, vazamento e exposição de sistemas de suporte.

Com a evidência disponível, o risco do mês para esse vertical fica em nível alto. Não porque tenham ocorrido múltiplas interrupções massivas de serviço, o que não aparece no material, mas pela combinação de três fatores: a presença de ransomware em vários casos, a exposição de dados sensíveis em companhias com peso sistêmico e o surgimento de vulnerabilidades OT/IT em plataformas de controle e administração energética. A severidade cresce menos pelo ruído e mais pela qualidade dos alvos.

Panorama regional do mês

A região mostrou em julho uma pressão contínua sobre organizações com funções críticas, mas o sinal mais claro não foi uma onda de indisponibilidade e sim a combinação de extorsão, vazamento de dados e vulnerabilidades exploráveis em software usado pelo setor de energia. Isso obriga a ler o mês com uma lógica de continuidade de negócio, não apenas de proteção de dados. Em utilities, um incidente que não derruba uma planta ainda assim pode comprometer faturamento, engenharia, contratos, manutenção, comunicações internas e acesso a ambientes de suporte. Os fatos verificados mostram justamente essa zona cinzenta: impacto administrativo sem corte do serviço, publicação de dados sem interrupção crítica, menção em leak site sem confirmação independente de impacto.

A intensidade do fenômeno varia por país, mas o denominador comum é a pressão sobre empresas com grandes volumes de informação e dependências tecnológicas complexas. A Ecopetrol é o caso mais visível pelo volume mencionado e pela quantidade de subsidiárias afetadas. A Oldelval ilustra um incidente que permaneceu fora da operação física do oleoduto, embora isso não o torne menos relevante. A Sinop Energia aparece como um caso em que divulgações de terceiros e plataformas de acompanhamento de ransomware constroem uma narrativa de exfiltração e extorsão, mas a fonte não oferece a mesma densidade de confirmação que no caso da Ecopetrol. Essa diferença metodológica importa para não superdimensionar o dano e, ao mesmo tempo, não subestimar a exposição.

A camada de vulnerabilidades também teve peso próprio. Em energia e utilities, as plataformas de gestão e controle fazem parte do negócio, não são um adendo periférico. Por isso, os alertas sobre a Hitachi Energy são especialmente relevantes. O conjunto de comunicações inseguras, possibilidade de negação de serviço e execução remota de código não descreve uma curiosidade de laboratório, mas um vetor que, em ambientes mal segmentados, pode facilitar desde roubo de credenciais até movimentos laterais para sistemas com maior privilégio. A presença de advisories da CISA e da WaterISAC reforça a leitura de prioridade operacional, embora o material não documente exploração específica na América Latina durante julho.

Em termos de risco, a região se moveu em uma faixa alta. Não por uma única intrusão catastrófica, mas pela densidade de fatos em organizações que sustentam infraestrutura ou serviços essenciais, pela centralidade do ransomware como tática dominante e pela recorrência de casos em que a confidencialidade é quebrada antes da operação física. Para um CISO do setor, isso significa olhar além do status de uptime. A pergunta não é só se a planta continua produzindo, mas qual parte do ecossistema de suporte ficou exposta, quais credenciais circularam, quais backups foram afetados e quais caminhos de recuperação existem se o próximo evento realmente atingir OT.

Indicadores do período

Indicador Valor
Fatos verificados do período 81
Janela temporal dos indicadores 83 fatos com data em julho 2026 · 1 sem data confirmada (excluídos dos indicadores)
Incidentes sem tipificação (brechas ou interrupções) 21
Casos com ransomware ou extorsão como eixo primário 24
Criptografia de ativos confirmada 4
Exfiltração sem criptografia (extorsão simples) 1
Apenas menção em leak site 1
Tipificação não determinável com o material 18
Casos de fraude ou phishing documentados 1
Movimentos regulatórios documentados 0
CVEs críticos mencionados 9
Setores com ao menos um fato documentado 5
Ameaça predominante do mês Ransomware (24 de 81 fatos)
Fatos com confirmação direta da fonte 94%
Cifras de telemetria agregada excluídas do volume 2 (tentativas ou bloqueios agregados: não são incidentes com impacto confirmado)
Base de cálculo 81 fatos do período

Incidentes relevantes

Ecopetrol e o ataque com exfiltração de dados

O caso da Ecopetrol foi o mais relevante do mês para o vertical pela combinação de alcance, sensibilidade da informação e respostas formais da empresa. A Reuters informou que a companhia comunicou um incidente cibernético à SEC com acesso não autorizado a dados associados a cerca de 3.300 contas de usuário e uma tentativa de ransomware bloqueada por controles internos. A mesma cobertura detalhou que, no momento do reporte, não havia sido detectada interrupção crítica nas operações, na produção nem impacto financeiro direto. Esse ponto é central: em uma infraestrutura crítica, o fato de a operação continuar não reduz automaticamente a gravidade do incidente, porque a perda de dados e a exposição de recursos digitais podem levar a extorsão, pressão reputacional e risco secundário sobre fornecedores e subsidiárias.

O eixo deste caso foi o vazamento. A Ecopetrol confirmou a publicação ilegal de informação copiada de 15 empresas do Grupo Ecopetrol e disse que avançava com a Fiscalía General de la Nación e o MinTIC para remover o conteúdo e limitar sua difusão. O País acrescentou que o grupo The Gentlemen reivindicou o ataque e afirmou ter até um terabyte de informação, com mais de 327.000 arquivos e dados de subsidiárias como Hocol, Cenit, Eust e Econova. A Infobae, por sua vez, indicou que a Fiscalía abriu uma investigação pelo vazamento de informação sensível e que o caso seguia em fase de apuração. A convergência entre empresa, imprensa e autoridade mostra um fato já consolidado como incidente material, embora a cifra exata da informação subtraída não esteja plenamente unificada nas fontes.

Há um segundo elemento que torna a Ecopetrol especialmente relevante para um relatório de utilities e energia: a companhia não se limitou a uma comunicação interna ou local, mas apresentou um Formulário 6-K à SEC em 28 de julho, segundo O País, e também divulgou uma versão distribuída pela PR Newswire, republicada pela Yahoo Finance, na qual informou ter ativado seus protocolos de resposta, revogado acessos não autorizados e apresentado denúncia criminal. Em termos de governança corporativa, isso coloca o caso no nível de um incidente material com implicações de disclosure e potencial repercussão transfronteiriça. Para a América Latina, é uma referência de maturidade forçada, porque obriga a pensar a resposta cibernética não apenas em termos técnicos, mas também regulatórios e de reporte a mercados.

A leitura operacional é dura. Quando uma empresa desse porte comunica que o invasor chegou a dados de múltiplas subsidiárias, o problema não termina na primeira contenção. Permanecem perguntas sobre credenciais, identidades privilegiadas, repositórios em nuvem, exposição de documentação de negócios e rastreabilidade de que informação saiu dos ambientes afetados. A Reuters e a própria companhia indicaram que não foram observadas quedas críticas na produção. Esse ponto, no entanto, não reduz o valor do caso como referência de risco: em utilities e energia, os atacantes costumam buscar justamente os repositórios administrativos e de suporte que permitem pressionar sem tocar ainda os sistemas que mantêm o serviço.

Oldelval e o incidente que não interrompeu o oleoduto

A Oldelval, operadora do maior oleoduto da Argentina, comunicou à Comissão Nacional de Valores um incidente de segurança da informação que afetou determinados sistemas administrativos, sem impacto na operação de transporte de petróleo nem interrupção do fluxo de cru. Ámbito acrescentou que a empresa ativou seus protocolos de resposta, restabeleceu as plataformas envolvidas e avaliava uma eventual denúncia judicial. Este é um caso de alta relevância setorial, embora com impacto limitado na dimensão operacional física. Para um oleoduto, o dado de continuidade é tranquilizador, mas não deve ser lido como ausência de dano. A afetação administrativa pode incluir e-mail, documentação, suprimentos, ordens de serviço, informação contratual ou ferramentas de suporte que, se escalarem, comprometam os tempos de reação.

Dexpose situou a primeira reivindicação pública do caso por TheGentlemen em 23 de julho, antes da cobertura jornalística do fim do mês. Ali, afirmou-se que dados sensíveis seriam liberados se não houvesse negociação. A Ransomware.live vinculou o caso ao grupo, mas sua ficha foi apresentada como não constituindo validação independente de brecha confirmada pela empresa. A GalaxyWarden também o colocou como menção de terceiros em um leak site e ressaltou que, naquele momento, não existia aviso oficial de brecha. Essa sequência é importante metodologicamente: o material permite confirmar um incidente administrativo e uma reivindicação de extorsão, mas não autoriza afirmar, com o mesmo grau de certeza de Ecopetrol, uma exfiltração verificada ou uma criptografia com impacto material.

A diferença entre uma reivindicação pública e uma intrusão validada importa muito em um operador de transporte de hidrocarbonetos. Os grupos criminosos usam o leak site para pressionar e muitas vezes amplificam o caso antes que a empresa consiga avaliar o alcance. A Oldelval parece se encaixar nesse padrão: a operação seguiu, os sistemas administrativos foram atingidos e a notícia circulou em paralelo à reivindicação de um ator extorsivo. Para o setor, a lição é dupla. Primeiro, a resiliência do plano industrial não deve gerar confiança excessiva no plano administrativo. Segundo, a comunicação precoce e precisa a reguladores e mercados reduz o espaço para que o leak site imponha a narrativa do incidente.

Sinop Energia e a exposição em sites de vazamento

A Sinop Energia, empresa elétrica brasileira, foi listada pelo Global Secret Group em um site de vazamento e aparecia associada a uma suposta exfiltração de cerca de 300 GB. A Breachsense a registrou como vítima de ransomware em julho de 2026 e atribuiu o caso ao mesmo grupo. A Ransomware.live a acompanhou como atividade de leak, embora advertisse para tratar a atribuição com cautela até a verificação independente. A DarkField Orizon também a catalogou como vítima de dados vazados, repetindo a cifra aproximada. A combinação de fontes permite sustentar que o caso foi considerado por trackers e agregadores como um incidente de extorsão com fuga de dados, mas o material disponível não traz uma confirmação corporativa equivalente à da Ecopetrol.

Isso não o torna irrelevante. Pelo contrário, a Sinop Energia funciona como um sinal de pressão sobre utilities brasileiras em um contexto em que o país aparece repetidamente entre os mais atingidos por ransomware na região. A diferença entre publicação de terceiros e confirmação da vítima precisa ser preservada no relatório porque afeta a leitura do risco. Uma lista em um leak site não equivale automaticamente a uma intrusão validada, mas marca exposição e potencial impacto reputacional. Em ambientes de energia, além disso, a simples publicação pode disparar exigências contratuais, auditorias de clientes ou questionamentos de reguladores e contrapartes financeiras.

O dado de 300 GB chama atenção, mas aqui cabe uma cautela estrita. As fontes citadas repetem a cifra, embora não a acompanhem de evidência técnica verificável no material fornecido. Por isso, o caso deve ser lido como uma reivindicação de exfiltração com ecos em trackers especializados, não como um volume confirmado de forma independente pela empresa. Esse cuidado é central para manter a integridade metodológica e não confundir volume reivindicado com volume comprovado.

Ameaças e campanhas ativas

Ransomware e extorsão

O mês foi marcado pelo peso dominante do ransomware, mas com uma distribuição interna que exige separar as tipologias. Apenas quatro casos do período permitem falar em criptografia confirmada de ativos. Há um caso de exfiltração sem criptografia, um de simples menção em leak site e dezoito situações em que a fonte não permite determinar com precisão se houve criptografia, roubo de dados ou apenas reivindicação pública. Essa mistura é típica do ecossistema atual de extorsão, em que o valor para o atacante está tanto na pressão quanto na ambiguidade. Em utilities, essa ambiguidade é perigosa porque pode atrasar decisões de contenção, notificação e negociação com terceiros.

Ecopetrol se encaixa na categoria de exfiltração com controles que impediram a criptografia. A Reuters falou em uma tentativa de ransomware bloqueada pelos controles da empresa e em acesso não autorizado a dados. A ITWareLatam reforçou a leitura de continuidade operacional e indicou que não houve criptografia de sistemas. Esse é o tipo de caso que hoje domina muitas campanhas contra setores críticos: os atacantes obtêm dados, extraem valor extorsivo e mantêm intacta a camada operacional para maximizar a pressão. O dano, portanto, não se mede apenas em sistemas fora do ar, mas em contas comprometidas, documentação copiada e riscos derivados para empresas do grupo.

Oldelval representa outra forma de exposição. A reivindicação do TheGentlemen, o tom extorsivo no leak site e a resposta da empresa sugerem um incidente alinhado a táticas de dupla pressão, mas o material não permite classificar o caso com precisão dentro da taxonomia operacional. Não há confirmação de criptografia nem de exfiltração validada pela companhia. Essa falta de precisão não é um defeito do relatório, faz parte da realidade do mês: muitos incidentes chegam ao olho público antes que se conheça sua arquitetura técnica real. Para uma equipe de segurança, isso significa que a primeira hora de resposta deve assumir o pior cenário razoável sem tomar como certo que a menção pública já esgotou o caso.

Sinop Energia fica em uma zona parecida, embora com mais peso da narrativa de vazamento. Os trackers a acompanharam como vítima e repetiram a cifra de 300 GB, mas o material não inclui um comunicado próprio que permita separar de forma taxativa extorsão simples, leak site ou criptografia. Na linguagem de ameaças, isso continua importante porque o modelo de negócio criminoso se alimenta da rápida publicação de vítimas e da especulação sobre o alcance do vazamento. Em operações de energia, uma atribuição apressada pode afetar contratos, seguros e relações de confiança com clientes e investidores.

Fraude e phishing

O material do mês documenta apenas um caso de fraude ou phishing, e ele não aparece concentrado no vertical de energia como uma campanha dominante. Isso não significa que o vetor não exista, mas que ele não foi o centro dos fatos verificados para julho. Ainda assim, o dado é útil porque lembra que, em empresas de energia e utilities, o ponto de entrada muitas vezes é o e-mail, a identidade ou a interação com terceiros. Quando o mês é dominado por ransomware e vazamentos, o phishing atua mais como mecanismo de acesso e persistência do que como uma ameaça independente com narrativa própria.

APT e hacktivismo

O Paraguai trouxe o caso mais visível de atividade atribuída a atores ligados ao governo chinês contra sistemas estatais. Embora não se trate de um incidente do vertical de energia e utilities, ele oferece contexto sobre o ambiente regional de intrusão e sobre a atenção institucional às ciberoperações sustentadas. O MITIC informou ao Senado que foi detectada a violação de informações em 120 instituições do Estado, e depois foi mencionada uma investigação penal aberta pela Promotoria. Para o setor energético, a leitura não é que exista uma campanha direcionada especificamente às utilities paraguaias, mas que a região convive com atores persistentes, capazes de se mover entre alvos estatais, corporativos e de infraestrutura.

Vulnerabilidades críticas

CVE Software Exploração Fonte
CVE-2026-42945 Hitachi Energy e-mesh EMS Heap-based buffer overflow. Pode causar falhas no aplicativo e possível execução de código arbitrário. ISS Source
CVE não informado no material Hitachi Energy PROMOD V Comunicação HTTP insegura em vez de HTTPS, com risco de roubo de credenciais, sequestro de sessão e acesso não autorizado. CSIRTS
CVE não informado no material Hitachi Energy PROMOD V Duas vulnerabilidades de alta severidade, com possibilidade de negação de serviço e execução remota de código. Moncloa.com
CVE não informado no material Hitachi Energy e-mesh EMS Uma das duas vulnerabilidades altas alertadas pelo INCIBE, sem detalhe de CVE no material fornecido, com possível DoS e RCE. Moncloa.com
CVE não informado no material CISA ICS advisories para Hitachi Energy PROMOD V Aviso publicado pela CISA, com foco em exposição energética. WaterISAC
CVE não informado no material CISA ICS advisories para Hitachi Energy e-mesh EMS Aviso publicado pela CISA, com foco em exposição energética. WaterISAC
CVE não informado no material Hitachi Energy PROMOD V Produto usado em ambientes de infraestrutura crítica de energia, com versões afetadas 1.0.10 e anteriores. CSIRTS
CVE não informado no material Hitachi Energy e-mesh EMS Versões afetadas 4.1.6, 4.4.2 e 4.7.0, com a falha presente no NGINX v1.30.0 e anteriores. ISS Source
CVE-2026-58644 Microsoft SharePoint Server 2016 / Enterprise Server 2016 Desserialização de dados não confiáveis e capacidade de execução remota de código, com exigência de privilégios de Site Owner segundo a Microsoft. F5 Labs

As alertas da Hitachi Energy são as únicas vulnerabilidades do mês com impacto claro sobre o eixo energético. O material não registra um grande volume de exploração confirmada na América Latina para esses CVEs, mas deixa claro que as equipes de segurança do setor devem tratá-los como prioridade. A cadeia de risco é direta: acesso inseguro, credenciais, sessão, exposição de painéis e possível avanço para componentes mais sensíveis se a segmentação for fraca. Em ambientes OT, o problema raramente começa no PLC. Geralmente começa na camada que administra, supervisiona ou conecta.

Regulação e conformidade

Julho não registrou novos movimentos regulatórios documentados no material do período, pelo menos no sentido de uma norma, resolução ou mudança formal de compliance específica para energia e utilities na América Latina. Esse zero não deve ser lido como ausência de pressão regulatória, mas como ausência de um movimento normativo capturado pelo corpus analisado. Houve, porém, sinais de compliance reativo e de reporte corporativo que são relevantes para o segmento. A Ecopetrol comunicou o incidente à SEC por meio de um Formulário 6-K e também informou medidas à Fiscalía e ao MinTIC. Na prática, isso estabelece um patamar alto de formalização do evento.

A relação entre ciberincidente e disclosure regulatório ficou mais visível na região. Quando uma empresa de energia com operações relevantes e subsidiárias afetadas precisa reportar ao mercado الأميركي, o incidente deixa de ser apenas técnico. Entram em cena materialidade, governança corporativa e cronologia de notificação. Para outras utilities da região, o caso da Ecopetrol serve como referência concreta de que a condução jurídica e a comunicação precisam estar integradas desde a primeira fase da resposta. Em um evento de exfiltração, a janela entre detecção, validação, classificação e reporte pode ser tão sensível quanto a de contenção técnica.

Países e subsegmentos mais afetados

Colômbia

A Colômbia concentrou o caso mais pesado do mês por causa da centralidade da Ecopetrol. A empresa confirmou a publicação ilegal de informações de 15 empresas do grupo, informou sobre o acesso a cerca de 3.300 contas e atuou em paralelo por canais corporativos, judiciais e regulatórios. A Fiscalía abriu investigação e a imprensa local acompanhou o caso em detalhe. Soma-se a isso o contexto de maior pressão regional sobre empresas colombianas, embora esses números agregados não façam parte do volume do mês neste relatório. O subsegmento mais exposto aqui não é só energia no sentido clássico, mas o ecossistema de holding, subsidiárias, nuvem e fornecedores que sustenta a operação.

Brasil

O Brasil teve presença por causa da Sinop Energia e do contexto regional de ransomware. O caso da empresa elétrica ficou associado ao Global Secret Group e a uma suposta exfiltração de 300 GB. Embora o material não traga confirmação corporativa independente, ele mostra que o país segue como alvo prioritário no ecossistema de extorsão latino-americano. Para utilities brasileiras, a leitura é direta: a combinação de reputação de marca, ampla superfície digital e dependência de fornecedores faz com que uma publicação em site de vazamento possa escalar rapidamente para crise de comunicação.

Argentina

A Argentina apareceu por Oldelval, com uma diferença fundamental em relação a outros casos do mês, a operação de transporte de petróleo não foi interrompida. O incidente atingiu sistemas administrativos e foi contido, segundo a empresa. Para o subsegmento de oleodutos e midstream, isso deixa uma leitura útil. A continuidade física não dispensa revisar a exposição de sistemas de suporte, o acesso a plataformas administrativas, os privilégios de usuário e os processos de recuperação. Um incidente que hoje não move o petróleo pode abrir a porta para o próximo.

Paraguai

O Paraguai não trouxe um incidente confirmado do setor de energia durante o mês, mas apresentou um ambiente de alerta sobre compromissos em sistemas estatais. A Copaco desativou preventivamente seu site após detectar um incidente de segurança, sem afetação confirmada a sistemas críticos, e o MITIC reportou vulneração de informação em 120 instituições públicas atribuída a grupos relacionados à China. Para utilities e energia, isso funciona como contexto de ciber-higiene regional e de exposição de infraestrutura digital, especialmente em organizações que compartilham dependências ou fornecedores com o setor público.

Subsegmentos sob maior pressão

No vertical, o subsegmento mais sensível foi o de energia integrada com forte dependência administrativa e de gestão de dados, como ocorre em holdings e grandes operadores. Em seguida vem a camada de transporte e logística de hidrocarbonetos, exemplificada por Oldelval. Por fim, a geração e a distribuição elétrica ficaram expostas pela visibilidade da Sinop Energia e pela necessidade de tratar com seriedade os alertas de software industrial da Hitachi Energy. Em todos os casos, a superfície mais delicada não foi o ativo físico isolado, mas o ecossistema digital ao redor dele.

Tendências e sinais para monitorar

Não há baseline comparativo com o mês anterior, porque este é o primeiro período arquivado com este formato de indicadores para a América Latina. Ainda assim, o material permite identificar sinais que devem permanecer sob observação nos próximos meses. O primeiro é a consolidação do ransomware como mecanismo misto de extorsão, com casos em que a exfiltração pesa mais do que a criptografia. O segundo é o peso crescente das comunicações formais a reguladores e mercados, algo visível na Ecopetrol. O terceiro é a exposição de software industrial e plataformas energéticas a vulnerabilidades altas que podem ser usadas como ponte para acesso remoto ou negação de serviço.

A zona mais sensível está na combinação entre leak sites e continuidade operacional. Se um ator criminoso publica dados, mas não derruba a operação, muitas organizações tendem a subestimar o evento. Em utilities isso é um erro. A operação pode continuar, mas o dano reputacional, contratual e legal já está em curso. Esse padrão aparece na Ecopetrol e, de forma menos conclusiva, na Oldelval e na Sinop Energia. O foco para agosto deve ser se essas campanhas seguem privilegiando o vazamento de dados em vez da interrupção física, porque essa modalidade costuma ser mais difícil de detectar a tempo e mais lenta de erradicar.

O outro sinal é a relevância dos alertas sobre Hitachi Energy. Não se trata apenas de um vendor, mas de uma classe de sistemas usados para supervisão e operação energética. Quando CISA, WaterISAC, INCIBE e outros órgãos coincidem em alertar sobre produtos desse tipo, a mensagem para a região é que o risco não é teórico nem periférico. A prioridade não deveria ser apenas aplicar patches, mas verificar exposição externa, segmentação, contas de acesso, logging e capacidade de resposta diante de exploração remota.

Recomendações para equipes de segurança

Primeiro, separar a resposta a ransomware em três trilhas operacionais: criptografia confirmada, exfiltração com operação intacta e menção em leak site sem validação independente. Tratar tudo como se fosse a mesma coisa gera erros de contenção e de comunicação. Em energia e utilities, a diferença entre perda de disponibilidade e perda de confidencialidade muda a cadeia de decisão. A equipe técnica, jurídica e de comunicação deve trabalhar com a mesma taxonomia desde o primeiro minuto.

Segundo, reforçar a higiene de identidades e acessos privilegiados em ambientes administrativos, nuvem e suporte. Ecopetrol mostrou que uma intrusão pode afetar milhares de contas e várias subsidiárias sem atingir o núcleo operacional. Isso obriga a revisar MFA, segregação de contas, revisões de privilégios, expiração de sessões, registro de atividade e rotação de credenciais em toda a cadeia corporativa, e não apenas no bastião OT.

Terceiro, auditar os ambientes com software da Hitachi Energy e qualquer plataforma análoga de gestão industrial ou energética. Verificar versões, exposição remota, segmentação, listas de acesso, aplicação de patches e contingências para queda de aplicações. As vulnerabilidades reportadas em julho não são apenas um tema de TI: podem virar uma via de pivô para ativos sensíveis se houver integração frouxa entre gestão, telemetria e operação.

Quarto, revisar a capacidade de restauração e a qualidade dos backups com foco em cenários de exfiltração. Um backup íntegro não resolve a filtragem nem a exposição de segredos, mas ajuda a limitar a pressão operacional se o atacante escalar para criptografia. Em um operador crítico, a capacidade de restauração deve ser testada a frio e a quente, com tempos medidos e com uma separação real entre cópias administrativas e operacionais.

Quinto, endurecer a gestão de terceiros. O material da Ecopetrol menciona dados de múltiplas subsidiárias e a hipótese de acesso por recursos corporativos distribuídos. Esse padrão exige inventário de fornecedores, revisão de acessos temporários, controles sobre contas de administrador, monitoramento de credenciais de serviço e testes de revogação de acessos quando a relação contratual termina.

Sexto, preparar roteiros de comunicação regulatória e pública antes do incidente. O caso Ecopetrol mostra que o reporte à SEC, à Fiscalía, ao MinTIC e à imprensa pode ocorrer quase ao mesmo tempo. Se a organização não tiver definidos os limiares de materialidade, os responsáveis pelo reporte e as mensagens por tipo de evento, o atacante ganha velocidade narrativa. A coordenação entre segurança, jurídico, relações institucionais e negócio deve ser treinada com exercícios que incluam vazamento de dados e site de filtragem.

Sétimo, monitorar leak sites e trackers, mas sem tomar suas afirmações como verdade final. Sinop Energia e Oldelval aparecem em plataformas de terceiros com detalhes sobre volume e grupo atribuído, mas o relatório de julho deixa claro que esses elementos devem ser tratados como indícios, e não como validação. A vigilância dessas fontes serve para detecção precoce, não para encerrar a análise.

Limitações do material

Este relatório cobre exclusivamente os fatos do bloco de julho de 2026 fornecido como material de research. Os fatos de meses anteriores, embora possam aparecer no corpus como contexto comparativo, não foram contados nos indicadores do período. A janela temporal declarada pelos indicadores é a seguinte: 83 fatos com data em julho de 2026, 1 sem data confirmada excluído dos indicadores. Os valores reproduzidos na tabela correspondem exatamente a essa base.

Um ponto importante para a leitura executiva é que um indicador em 0 não significa ausência real na região, mas ausência de registro no material analisado. Isso vale em particular para os movimentos regulatórios documentados, que aparecem em 0. O dado não implica que não tenha havido atividade normativa ou de conformidade na América Latina, apenas que ela não apareceu no corpus usado para este relatório. O mesmo vale para qualquer outra categoria em que o material não tenha mostrado fatos verificáveis.

Também convém ressaltar que os 9 CVEs críticos mencionados não descrevem a totalidade das vulnerabilidades relevantes do mês, mas apenas as que ficaram refletidas nas fontes disponíveis para este relatório. Em consequência, o fato de um indicador ser baixo ou nulo não autoriza concluir que não existiram outras vulnerabilidades exploradas na região. Aqui se resume apenas o que o material confirmou ou documentou com rastreabilidade suficiente.

Em matéria de fontes, esta análise excluiu redes sociais de consumo, publicações patrocinadas, press releases e conteúdos comerciais que não cumprem o padrão editorial exigido para sustentar tendências. Por isso, alguns fatos aparecem com um grau de certeza diferente conforme a fonte, especialmente os que vêm de trackers, sites de vazamento ou agregadores de incidentes. Quando o material não permite determinar se houve criptografia, exfiltração ou apenas menção em site de leak, o relatório explicita isso e evita forçar uma tipificação artificial.

Fontes