Energia, eletricidade e utilities críticas, Set/2026

Ameaças e campanhas ativas

Ransomware, extorsão e menção em leak site

O mês registrou apenas um caso com ransomware ou extorsão como eixo principal, mas a fonte não permite determinar se o impacto foi criptografia de ativos, exfiltração sem criptografia ou apenas a menção da vítima em um site de vazamento. Essa precisão importa porque muda completamente a leitura operacional. Um leak site sem impacto verificado não equivale à indisponibilidade de sistemas, e uma exfiltração não implica necessariamente criptografia.

O material relacionado à Ecopetrol cai justamente nessa zona de ambiguidade. VECERTRadar, Kalir, Tornews e Ransomware.live refletem diferentes formas de atribuição ou exposição, mas todas permanecem no terreno da alegação ou do registro de terceiros, não de uma confirmação forense pública por parte da empresa. A BNamericas confirmou em julho de 2026 que a Ecopetrol ativou seu protocolo de cibersegurança após detectar que um agente externo havia subtraído informação corporativa, mas esse fato pertence ao marco comparativo de meses anteriores e não ao volume de setembro.

Essa diferença temporal também importa. Em setembro, o sinal de ransomware em utilities latino-americanas foi muito mais fraco do que em julho, o que não significa que o risco tenha desaparecido. Significa que o mês foi marcado mais por atividade preventiva, casos de interrupção e alegações de vazamento do que por campanhas de criptografia confirmadas dentro do período.

Fraude e phishing

A modalidade de fraude mais clara do mês foi a suplantação de funcionários da UTE para capturar códigos de WhatsApp. É uma técnica clássica de engenharia social, mas adaptada ao contexto de uma utility, com um roteiro crível para a vítima e um objetivo secundário que vai além da empresa, tomar o canal de mensagens para pedir dinheiro aos contatos. Em termos de impacto, isso combina reputação, engenharia social e sequestro de conta, embora não comprometa diretamente a operação elétrica.

O valor dessa campanha para o setor está em mostrar como uma marca de confiança pública pode ser usada para abrir uma brecha humana sem necessidade de explorar vulnerabilidades técnicas. A resposta, portanto, não é apenas tecnológica. Ela exige comunicação com o cliente, procedimentos de verificação, treinamento da equipe de atendimento e coordenação com as forças de segurança. O material também traz uma recomendação operacional concreta, usar o sistema oficial "Verificá", que convém reforçar em campanhas públicas de prevenção.

APT e hacktivismo

Não houve no material um caso firme de APT ou hacktivismo atribuído ao vertical de energia, eletricidade e utilities em setembro. Houve, porém, uma discussão pública sobre sabotagem, vandalismo e danos intencionais em torno do apagão do sudeste mexicano, mas as informações disponíveis não permitiram confirmar um componente cibernético nem uma campanha persistente. Em Cuba e na Venezuela também não houve atribuição a atores específicos, e os fatos permaneceram no terreno de crise de rede e estabilidade do fornecimento.

A ausência de uma atribuição fechada não deve ser lida como ausência de ameaça. Ela mostra, antes, que no mês a evidência pública disponível foi insuficiente para catalogar campanhas persistentes ou hacktivistas neste vertical. Por isso, a leitura operacional deve se concentrar em disponibilidade, coordenação interinstitucional e prevenção de fraude, antes que na busca forçada de um rótulo de ator onde o material não sustenta isso.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado com detalhamento técnico suficiente para este relatório, embora o indicador do período mencione 2 CVEs críticos. Esse número indica que houve referências a vulnerabilidades críticas na cobertura, mas o material disponível não permite desenvolver aqui sua exploração, alcance ou relação com um incidente concreto do vertical. Isso não significa ausência de vulnerabilidades críticas exploradas na região.

Regulação e conformidade

A agenda regulatória do mês foi mais ativa no Brasil, mas com efeitos que podem se estender a outros mercados da região. A consulta pública da ANSN sobre requisitos de segurança cibernética para instalações nucleares e radiativas deixou um sinal claro: o setor já não discute apenas perímetros técnicos, mas princípios, obrigações e mecanismos de resposta alinhados à gestão de risco crítico. A data de início, 10 de setembro, e a publicação do edital no Diário Oficial da União mostram que o processo tem respaldo formal e não é apenas uma declaração programática.

A inclusão da ANEEL no Sisbin traz outro aspecto. Não se trata de uma exigência de conformidade para operadores privados, mas de uma decisão institucional que reforça a troca de dados e a cooperação com a inteligência. Para o setor elétrico, isso pode se traduzir em maior capacidade de antecipação, mas também em exigências mais altas de governança sobre as informações compartilhadas, os canais de coordenação e a rastreabilidade de decisões sensíveis.

O exercício Guardião Cibernético 8.0 segue essa mesma lógica de conformidade prática. A ANSN informou que testou prevenção, resposta e atuação coordenada diante de incidentes cibernéticos, e a CNEN afirmou que o objetivo foi fortalecer a recuperação frente a incidentes que possam afetar infraestruturas críticas. Esse tipo de simulação deixa uma lição direta para utilities e operadores de infraestrutura crítica. A preparação já não se valida apenas com planos no papel, mas com exercícios multiação, em que a falha de coordenação pesa quase tanto quanto a falha técnica.

No Uruguai, a dimensão regulatória aparece mais pelo lado da prevenção ao cidadão e da resposta policial ao fraude. O caso UTE veio acompanhado de recomendações concretas de verificação de identidade e de uma ferramenta oficial do Ministério do Interior para validar comunicações. Embora não seja uma regulação setorial de cibersegurança em sentido estrito, mostra uma resposta institucional voltada a reduzir a superfície de engenharia social em torno de uma utility.

Países e subsegmentos mais afetados

México

O México foi o país com o incidente de maior impacto visível para os usuários no período. A interrupção que atingiu o sudeste concentrou atenção pelo número de clientes, pela abrangência geográfica e pela discussão pública sobre vandalismo ou sabotagem. O material disponível não permite levar esse caso para o campo da cibersegurança confirmada, mas o situa como uma crise operacional de alto impacto para o setor elétrico.

Para o leitor de utilities, o dado-chave não é só a dimensão do corte. Também importa a forma como a causa ficou em disputa pública. Quando uma interrupção afeta quatro estados, a narrativa sobre origem e responsabilidades pesa quase tanto quanto a retomada do serviço, porque define que tipo de controles, monitoramento e comunicação entram em ação depois.

Brasil

O Brasil foi o país com maior densidade de fatos preventivos e regulatórios. O Guardião Cibernético 8.0 reuniu órgãos de energia, água, telecomunicações e defesa, e o setor nuclear apareceu explicitamente como ator central do treinamento. A ANEEL passou a integrar o Sisbin e a ANSN abriu uma consulta pública sobre cibersegurança nuclear. Essa combinação de exercício, coordenação e inteligência sugere uma maturidade institucional superior à de outros mercados latino-americanos nesse vertical.

O subsegmento nuclear merece leitura própria. Não só pela participação da ANSN e da CNEN, mas também porque o exercício incluiu cenários com planta terrestre, hospital, laboratório e embarcação com material nuclear. Isso coloca a cibersegurança em um plano híbrido, junto com segurança física, logística e continuidade de serviços. Para qualquer operador de infraestrutura crítica, o recado é que o planejamento já precisa considerar dependências cruzadas, e não apenas ativos isolados.

Cuba

Cuba concentrou o evento mais grave para a continuidade do serviço, com o colapso total da rede elétrica nacional. A recuperação foi parcial e lenta, com prioridade para hospitais e instalações essenciais, além da persistência de apagões por déficit de geração. O material não atribui o fato a um ciberataque, mas o apresenta como uma falha de transmissão com impacto nacional.

Na perspectiva do vertical, Cuba representa o extremo em que a fronteira entre crise energética e resiliência de infraestrutura crítica fica difusa. Um sistema elétrico que colapsa total ou parcialmente obriga a reavaliar dependências de comunicação, monitoramento e resposta. Mesmo sem atribuição digital, a leitura de risco para a região continua alta porque expõe a fragilidade operacional da rede.

Argentina

A Argentina trouxe um caso urbano de grande volume, com a interrupção em Buenos Aires e cerca de 600.000 clientes afetados. A fonte citada apontou uma falha em um sistema externo à distribuidora, o que desloca a análise para a dependência de infraestrutura compartilhada e para a necessidade de continuidade coordenada entre os atores. Não há evidência no material de intrusão ou de componente cibernético.

Para o subsegmento de distribuição, o fato mostra que sistemas externos e interconexão operacional podem ampliar impactos mesmo sem uma causa maliciosa. Isso recoloca no centro os exercícios de failover, os planos de contingência e a observabilidade sobre fornecedores e componentes que nem sempre ficam visíveis para a equipe de segurança corporativa.

Venezuela

A Venezuela registrou uma oscilação severa do Sistema Elétrico Nacional, com quedas de tensão em Caracas e em vários estados. O material não traz uma atribuição técnica fechada, mas mostra um padrão de instabilidade que afeta a continuidade e complica qualquer análise de causalidade. Nesse tipo de contexto, segurança e operação ficam fortemente entrelaçadas.

A leitura mais prudente é tratar o caso como indicador de fragilidade do sistema e de exposição contínua, não como incidente cibernético. Ainda assim, da perspectiva de um CISO ou de um diretor de infraestrutura, a lição é clara: em ambientes de fornecimento volátil, manter visibilidade, redundância e priorização de cargas críticas faz parte do risco de segurança.

Uruguai

O Uruguai mostrou o padrão mais claro de fraude direcionada a uma utility. A falsificação da UTE para capturar códigos de WhatsApp afetou mais o subsegmento de relacionamento com clientes e atendimento ao público do que a rede elétrica. Ainda assim, pela forma como explora a identidade corporativa, a empresa entra no centro do problema, mesmo quando o ataque é social e não técnico.

O país também trouxe uma discussão mais madura sobre cibercrime em geral, com aumento nas denúncias e com o V Simposio CIER de Redes y Ciudades Inteligentes incluindo cibersegurança em redes elétricas digitais e proteção de infraestrutura crítica. Isso sugere que o ecossistema local está tentando conectar a fraude cotidiana à agenda mais ampla de resiliência setorial.

Tendências e sinais para monitorar

A mudança mais visível em relação ao mês anterior foi a queda abrupta do ransomware como eixo dominante, de 21 de 52 fatos no mês anterior para apenas 1 de 66 em setembro. Não convém superestimar essa variação como melhora estrutural. Ela sugere, antes, uma mudança de foco do material disponível, com mais peso para a continuidade operacional, a coordenação institucional e os eventos de interrupção do que para campanhas de criptografia confirmadas.

Ao mesmo tempo, subiu a quantidade de incidentes sem tipificação, de 15 para 23. Essa alta não é menor. Ela indica que há mais fatos afetando o setor, mas sem chegar a uma classificação forense fechada, seja porque a fonte não traz evidência suficiente, seja porque o evento não se encaixa com clareza nas categorias usuais. Para a inteligência setorial, isso exige mais cautela e evita confundir visibilidade com ausência de risco.

Também aumentaram os casos documentados de fraude ou phishing, de 1 para 2. Embora o número absoluto siga baixo, esse tipo de caso é especialmente sensível porque explora marcas de utilities e canais de mensagens muito usados por clientes. Esse vetor merece atenção porque pode escalar rápido sem exigir exploração técnica complexa. Se uma falsificação ganha credibilidade, a dimensão reputacional pode crescer antes de qualquer alerta interno.

Os movimentos regulatórios caíram levemente, de 3 para 2, mas o conteúdo deles foi mais substancial do que mera formalidade. A consulta pública da ANSN e a incorporação da ANEEL ao Sisbin apontam para um modelo de governança mais integrado. Em outras palavras, há menos anúncios, mas mais profundidade institucional, especialmente no Brasil.

Outro sinal a vigiar é a persistência de eventos de continuidade elétrica em grande escala. México, Cuba, Argentina e Venezuela mostram que o vertical segue exposto a interrupções que podem ter causas diferentes, mas impactos parecidos sobre serviços essenciais. Para as equipes de segurança, isso significa que a conversa já não pode se limitar ao perímetro digital.

Recomendações para equipes de segurança

Primeiro, separar nos playbooks três tipos de eventos: interrupções de serviço, exfiltração confirmada e menção em leak site ou atribuição de terceiros. O material de setembro mostrou várias zonas cinzentas, sobretudo na Ecopetrol e nos cortes do sudeste mexicano. Se a equipe não classifica bem desde o início, corre o risco de reagir demais a ruído ou de subestimar uma intrusão real.

Segundo, reforçar a coordenação entre segurança, operação e comunicação quando uma interrupção puder ser confundida com sabotagem ou com um incidente cibernético. No México, a discussão pública sobre vandalismo e sabotagem cresceu quase no mesmo ritmo que o apagão. Isso exige mensagens consistentes, protocolos de porta-voz e rastreabilidade da hipótese técnica para evitar que uma causa provisória vire narrativa oficial sem respaldo.

Terceiro, revisar os mecanismos de verificação de identidade no atendimento ao cliente e nos canais de suporte. A fraude que usou a marca UTE mostra que uma utility pode ser explorada como ponto de confiança mesmo sem comprometimento técnico de seus sistemas. Vale treinar a equipe para não pedir nem validar códigos por canais não autorizados e publicar procedimentos simples de verificação para os usuários.

Quarto, tratar os exercícios interinstitucionais como insumo operacional real, e não como cerimônia. O Guardião Cibernético 8.0 deixou sinais muito úteis sobre coordenação entre energia, água, telecomunicações, defesa e reguladores. Os times da região podem usar essa referência para testar dependências cruzadas, escalonamento, recuperação e comunicação em cenários que misturem TI, OT e continuidade de negócio.

Quinto, manter monitoramento de vulnerabilidades OT e avisos ICS mesmo que o mês não tenha trazido uma cadeia extensa de exploração pública. O material menciona CVEs e um aviso sobre mySCADA myPRO Manager, e, em infraestrutura crítica, ambientes com autenticação fraca ou funções privilegiadas mal protegidas merecem revisão rápida. A prioridade é avaliar a exposição local, não esperar a vulnerabilidade aparecer associada a um incidente na imprensa.

Sexto, incorporar cenários de fornecimento instável no planejamento de segurança. Cuba e Venezuela mostram que uma queda de rede ou uma oscilação severa pode afetar monitoramento, backups, comunicações e recuperação. Para utilities e operadores críticos, isso significa verificar autonomia energética, rotas de contingência, backup de telecomunicações e priorização de ativos essenciais.

Perguntas frequentes

O que mudou entre setembro e o mês anterior na sinalização de risco do vertical?

Mudou בעיקרmente o tipo de fato visível. Em setembro, o peso do ransomware como eixo primário caiu de forma acentuada, enquanto subiram os incidentes sem tipificação. Também cresceram os eventos de continuidade operacional e os exercícios de resiliência, especialmente no Brasil. O contraste com o mês anterior é desenvolvido na seção Tendências e sinais a monitorar.

Houve um ataque cibernético confirmado por trás dos maiores apagões do mês?

Não no material analisado. O corte no sudeste mexicano foi associado a vandalismo ou danos intencionais, mas sem confirmação cibernética, e o colapso cubano foi atribuído a uma falha de transmissão. O detalhe por país está em Incidentes relevantes e a leitura comparada em Países e subsegmentos mais afetados.

Qual foi o sinal mais sólido de fraude para utilities?

A falsificação de funcionários da UTE no Uruguai. A polícia e a imprensa local descreveram um esquema para capturar códigos de WhatsApp e, depois, pedir dinheiro aos contatos da vítima. Esse caso cruza a seção de Ameaças e campanhas ativas com Países e subsegmentos mais afetados e com Recomendações para equipes de segurança.

O que o Brasil trouxe que outros países do mês não trouxeram?

Trouxe o maior nível de coordenação institucional. ANSN, CNEN, ANEEL, ANA e Defesa convergiram no Guardião Cibernético 8.0, enquanto a ANEEL entrou no Sisbin e a ANSN abriu uma consulta pública sobre cibersegurança nuclear. A combinação de exercícios, regulação e inteligência é analisada em Regulamentação e conformidade e em Incidentes relevantes.

A menção a dois CVEs críticos significa que houve uma onda de exploração na região?

Não necessariamente. O indicador mostra que apareceram dois CVEs críticos mencionados no material, mas isso não basta para afirmar uma onda regional de exploração nem para vinculá-los a um incidente concreto. Além disso, o material disponível não permite desenvolver os dois casos com detalhe técnico. Isso é explicado em Vulnerabilidades críticas e em Limitações do material.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para setembro de 2026 e com os dois fatos de meses anteriores que chegaram ao arquivo apenas como referência comparativa. A janela temporal dos indicadores se limita a 66 fatos com data em setembro de 2026, mais 2 fatos de meses anteriores usados somente para contraste mês a mês. Não foi incorporada nenhuma fonte externa.

Um indicador em zero, ou a ausência de detalhe técnico, não significa que o fato não exista na região. Em particular, se um indicador de CVEs fosse zero, isso indicaria apenas que não houve registro no material analisado, e não que não existam vulnerabilidades críticas exploradas na América Latina. Neste mês, o indicador de CVEs críticos foi diferente de zero, mas o material não permitiu desenvolver o detalhe completo da exploração.

A cobertura excluiu telemetria agregada como sinal de fundo, e não foram usados tentativas, bloqueios ou varreduras automatizadas como se fossem incidentes confirmados. Também ficaram de fora as redes sociais de consumo e o conteúdo patrocinado ou comercial que não figure entre as fontes disponíveis para citação. Quando houve alegações de leak site, venda de dados ou atribuições de terceiros sem confirmação corporativa ou forense, elas foram tratadas como tais e não como violações confirmadas.

Por fim, várias notas do período misturam continuidade operacional, crise energética, sabotagem alegada, fraude e cibersegurança sem oferecer uma linha causal única. Nesses casos, o relatório priorizou a categoria que o material de fato permitia sustentar. Se a fonte não confirmava um componente cibernético, o fato não foi elevado artificialmente a incidente de cibersegurança.