Energia, eletricidade e utilities (infraestrutura crítica)

Ameaças e campanhas ativas

O mês registrou três famílias de ameaça com perfis muito distintos, ligadas por um traço comum, a busca de impacto econômico e operacional em infraestrutura essencial. A extorsão reaparece com força, o phishing se industrializa e os atores voltados a OT seguem explorando software e configurações com exposição internacional.

Ransomware e extorsão

Em outubro, houve 9 casos com ransomware ou extorsão como eixo principal, ante 1 no mês anterior. Desse total, o material permite distinguir com clareza apenas um caso de exfiltração sem criptografia, enquanto em 8 a tipificação não pôde ser determinada com o que havia disponível. Essa distinção importa porque uma menção em um leak site, um vazamento de dados e uma criptografia que interrompe ativos têm consequências distintas para a continuidade do negócio e para a resposta legal.

O caso da Petrosul, no Brasil, ilustra a zona cinzenta. A Securelyn Intel e a DeXpose registraram uma reivindicação da DragonForce contra a empresa, classificada como do setor de combustíveis, e falaram em ameaça de publicação de dados. No entanto, as fontes não verificam intrusão, acesso a dados nem impacto operacional. Em termos estritos, a fonte não permite afirmar que houve criptografia, e por isso o fato deve permanecer na categoria de reivindicação atribuída, mas não confirmada em seu impacto.

Ainda mais relevante foi o quadro agregado da Entel Digital citado pelo Diario Financiero. Ali foi informado que, entre janeiro de 2025 e setembro de 2026, foram contabilizadas 1.080 vítimas de ransomware na América Latina, das quais 338 correspondiam a infraestrutura crítica. Para o subconjunto de 2026, a região teve alta de 28% frente ao mesmo período de 2025, de 125 para 160 casos. O dado não é específico de outubro, mas ajuda a contextualizar por que o mês trouxe mais cobertura de extorsão sobre setores essenciais.

Fraude e phishing

O fraude digital teve um perfil claro na Colômbia e esteve muito ligado a serviços públicos. Uma reportagem sobre a Empresa de Acueducto y Alcantarillado de Bogotá explicou o Search Engine Phishing como uma modalidade que usa resultados ou anúncios de buscadores para levar a sites fraudulentos que imitam páginas oficiais. Outra nota afirmou que a entidade havia recebido mais de 8.200 relatos durante 2026 sobre links fraudulentos para pagamento de contas encontrados em mecanismos de busca.

A campanha Shadow Parasite reforça a mesma linha. O objetivo não é necessariamente invadir um sistema, mas capturar o usuário no momento de pagamento ou consulta. Isso é relevante para utilities porque a relação comercial com o cliente faz parte do negócio e também da superfície de ataque. Se o usuário não distingue a URL falsa, o impacto recai sobre suporte, recuperação de conta, reembolsos e perda de confiança.

Também houve telemetria de volume, e não incidentes, que convém colocar em seu devido lugar. A Infobip informou que bloqueou 56% mais mensagens maliciosas na América Latina do que no ano anterior e que o phishing respondeu por metade desses bloqueios regionais. Isso descreve tentativas e bloqueios automatizados, não intrusões confirmadas. O dado ajuda a contextualizar a pressão sobre canais de mensagens, mas não deve ser contado como evento operacional do mês.

APT, hacktivismo e OT

Não apareceram no material atores APT ou hacktivistas com atribuição sólida sobre o vertical, mas houve sinais de exposição técnica que interessam a operadores de OT. Os avisos da CISA sobre Hitachi Energy e Siemens mostraram vulnerabilidades em produtos usados no setor energético, com risco de execução de comandos, leitura de arquivos, bypass de autenticação, escalada de privilégios e negação de serviço. Em paralelo, o caso Huatacondo mostrou como uma interrupção pode manter efeitos por semanas quando a recuperação não é resolvida de imediato.

A leitura de outubro é que o risco OT não depende apenas do surgimento de um ator sofisticado. Ele também se alimenta de software exposto, firmware fora de suporte e produtos com presença global em ambientes críticos. A superfície está ali, e o material do mês confirma isso com vários advisories ao mesmo tempo. O desafio para a região não é apenas detectar um ator avançado, mas administrar o inventário, o ciclo de vida e a exposição de plataformas industriais que ainda sustentam a operação real.

Vulnerabilidades críticas

O mês registrou 11 CVEs críticas citadas em material verificável, uma alta forte em relação ao período anterior. Isso não significa que todas tenham sido exploradas na região, nem que todas correspondam a incidentes observados. Ainda assim, o quadro mostra que o ecossistema OT do vertical ficou exposto a um conjunto mais amplo de fragilidades conhecidas, várias delas ligadas a fabricantes presentes em energia e utilities.

O padrão de vulnerabilidades pesa tanto quanto a lista. A Hitachi Energy aparece em dois advisories distintos, um sobre o Asset Suite e outro sobre o TRO600, o que reforça a necessidade de revisar inventário, versões e exposição de componentes de operação e suporte. A Siemens, por sua vez, concentra um pacote amplo de falhas no RUGGEDCOM CROSSBOW e outro aviso sobre o Station Access Controller. Isso significa que o risco não se limita a um único produto, mas a famílias inteiras que operam em ambientes de energia e transporte.

Regulamentação e conformidade

O front regulatório não foi tão volumoso quanto o técnico, mas deixou dois sinais úteis para compliance e governança. Um vem do Peru e o outro do debate setorial latino-americano sobre reconhecimento normativo e tarifário da cibersegurança elétrica.

No Peru, o Centro Nacional de Segurança Digital publicou o Alerta integrado de segurança digital N.° 213-2026-CNSD, com informe e análise técnica sobre ataques a entidades públicas e empresas privadas durante 30 de outubro. O material disponível não descreve em detalhe um novo regime sancionatório para energia, mas confirma atividade oficial de análise e resposta. Em paralelo, um estudo divulgado pela pv magazine Latinoamérica, com base em informações da ADELAT e de 25 distribuidoras de dez países, apontou que o Peru tem disposições técnicas parciais e obrigações de notificação de incidentes, mas não um marco integral de cibersegurança elétrica.

Esse contraste é relevante. Ter capacidade de alerta não equivale a contar com um marco robusto para o setor. O material sugere que a região ainda combina obrigações dispersas, marcos parciais e níveis diferentes de maturidade entre os países. Também mostra que a cibersegurança elétrica já entrou em discussões normativas concretas, e não apenas em incidentes. Isso obriga as equipes jurídicas, de compliance e de tecnologia a trabalharem juntas, especialmente onde houver exigências de notificação ou consulta pública.

Países e subsegmentos mais afetados

Os países mais visíveis do mês foram Chile, Brasil e Colômbia. Não porque sejam os únicos com fatos documentados, mas porque ali apareceu o material mais denso, mais concreto ou mais sensível para o vertical. Também houve sinais relevantes no Peru e referências comparativas que ajudam a situar a região como um todo.

Chile

O Chile concentrou a maior gravidade operacional do período. Huatacondo continuou desconectado dois meses após o ciberataque atribuído pelo Coordinador Eléctrico Nacional, e as coberturas também o associaram à perda de supervisão, telecontrole e desconexão de ativos complementares. A isso se somou o relatório da Entel Digital sobre vítimas de ransomware em infraestrutura crítica chilena durante 2026, que situou energia, combustíveis, água e saneamento com uma fatia significativa dentro do universo de serviços essenciais.

O subsegmento mais exposto foi o de geração renovável com armazenamento. Isso não significa que seja o único vulnerável, mas indica que o caso visível do mês pertence a esse ecossistema. A continuidade do incidente, mais do que seu ponto de origem, é o que marca o risco para o Chile: dois meses fora de serviço, registros oficiais e ausência de uma data pública de reconexão no material analisado.

Brasil

O Brasil apareceu em dois planos distintos. De um lado, a Conab relatou ataques cibernéticos a sistemas e serviços digitais. De outro, o país sediou o exercício Guardião Cibernético, com cenários voltados para infraestrutura crítica em energia, água, transporte e comunicações. Além disso, o registro atribuído por fontes não confirmadas à Petrosul, uma empresa do setor de combustíveis, mostra que o ecossistema brasileiro também está na mira de grupos de extorsão.

O subsegmento energético que se destaca aqui é o de combustíveis e logística associada, mais do que o de rede elétrica em si. A combinação de ataque, simulado e possível reivindicação de ransomware oferece uma imagem útil para as equipes locais: há pressão sobre ativos digitais, mas também existe capacidade institucional de treinamento que deveria se traduzir em resposta mais rápida e coordenação entre atores públicos e privados.

Colômbia

A Colômbia foi o país mais visível em fraude digital. Shadow Parasite, os portais de pagamento falsos e as campanhas de busca e falsificação colocaram serviços públicos no centro do engano. O dano aqui não é um apagão nem uma interrupção de OT, mas a erosão do canal de relação com o usuário, a absorção do suporte e a exposição de dados pessoais e financeiros.

O subsegmento afetado é o de serviços públicos de faturamento e trâmites. O sinal de outubro é que a fraude sobre utilities já funciona como uma indústria com domínios, IPs, marcas falsificadas e gateways de pagamento associados. Para a Colômbia, isso implica uma agenda de vigilância de marca, derrubada de domínios e coordenação com usuários finais, além da proteção técnica de sistemas internos.

Peru

O Peru não trouxe um incidente de grande impacto comparável ao do Chile, mas apresentou um conjunto de sinais de conformidade e resposta institucional. O alerta do CNSD confirma atividade de análise sobre ataques a entidades públicas e privadas, enquanto o estudo da ADELAT citado no material aponta carências estruturais no marco de cibersegurança elétrica, com supervisão limitada e proteção insuficiente em muitos casos.

Nos subsegmentos, a mensagem é mais de governança do que de crise operacional. A discussão sobre reconhecimento tarifário e obrigações setoriais indica que a cibersegurança elétrica está entrando em um terreno regulatório mais específico. Isso importa porque, quando a norma não reconhece o custo nem a obrigação, o investimento costuma ficar fragmentado e dependente de iniciativas isoladas.

Tendências e sinais a monitorar

A principal tendência de outubro é uma bifurcação entre menor volume agregado e maior intensidade técnica. O mês registrou 55 fatos verificados, ante 66 no anterior, mas o risco não caiu na mesma proporção. Pelo contrário, aumentou a presença de ransomware ou extorsão como eixo principal, cresceram os CVEs críticos mencionados e se consolidaram duas narrativas bem definidas, uma de impacto operacional prolongado e outra de fraude digital mais industrializada.

A comparação com o mês anterior também traz um sinal útil sobre classificação. Em setembro, predominava o que não estava classificado, com 33 de 66 fatos. Em outubro, a categoria líder passou a ser incidentes, com 19 de 55 fatos. Isso sugere uma melhora na nitidez do material e, talvez, uma cobertura mais próxima do impacto verificável. Não deve ser lido como melhora de segurança, e sim como melhora na rastreabilidade dos eventos que vieram à tona.

Outro sinal a monitorar é o aumento da pressão sobre produtos OT. Hitachi Energy e Siemens apareceram repetidamente em advisories da CISA e em avisos de fabricantes. Quando isso acontece, o risco não se limita à vulnerabilidade individual. Ele se amplifica pelo inventário instalado, pela dependência de versões antigas e pela dificuldade de aplicar patches em janelas operacionais reduzidas. Em utilities, cada semana de atraso pode ter custo operacional.

Também vale acompanhar a evolução da fraude sobre serviços públicos, porque ela tem mais chance de crescer antes do ransomware visível. As campanhas de impersonação não exigem comprometer um PLC nem alterar uma subestação. Basta copiar uma interface, comprar tráfego, se posicionar em mecanismos de busca e esperar os cliques. É uma ameaça de alto retorno e baixo custo, que desgasta empresas e usuários.

Recomendações para equipes de segurança

A primeira prioridade é revisar a exposição dos ativos OT e os produtos citados nos advisories de outubro. Se uma organização usa Hitachi Energy ou Siemens nas operações, não basta arquivar o aviso. É preciso verificar versões, dependências, controles compensatórios e exposição remota. O objetivo não é apenas aplicar patches, mas saber quais ativos ainda estão atingidos, quais podem ser isolados e quais exigem mitigação temporária.

A segunda prioridade é reforçar a continuidade operacional diante de desconexões prolongadas. O caso Huatacondo mostra que um evento pode continuar afetando por semanas se não houver rastreabilidade clara de reconexão, validação de telecontrole e recuperação coordenada com o operador da rede. As equipes devem ter procedimentos específicos para perda de supervisão, perda de telecontrole e retorno seguro ao serviço.

A terceira prioridade é fechar a lacuna entre segurança técnica e canal do cliente. Em utilities, fraude de busca e falsificação de portais não são um problema periférico. Isso exige monitoramento de domínios semelhantes, campanhas de comunicação, validação de links oficiais e mecanismos de denúncia ou takedown. Se o usuário chega primeiro ao site falso, o dano já começou.

A quarta prioridade é refinar a classificação interna de incidentes. Outubro mostrou que extorsão, vazamento e menção em leak site não são equivalentes. Um time que agrupa tudo sob ransomware perde capacidade de resposta e de reporte. Vale separar criptografia confirmada, exfiltração sem criptografia e apenas menção atribuída, porque cada cenário ativa decisões distintas de negócio, jurídico e operações.

A quinta prioridade é integrar compliance e cibersegurança. Onde existam consultas públicas, alertas integrados ou marcos parciais, como no Peru, a área técnica precisa conversar cedo com jurídico e assuntos regulatórios. A regulação não resolve o incidente, mas pode impor prazos, evidências e responsabilidades que afetam a resposta.

Perguntas frequentes

O que explica outubro ter tido menos fatos totais, mas mais pressão de risco técnico?

Outubro fechou com 55 fatos verificados, menos do que em setembro, mas a densidade de sinais técnicos subiu: 9 casos com ransomware ou extorsão como eixo primário e 11 CVEs críticos mencionados. O risco ficou concentrado em menos frentes, porém com maior severidade e mais perto da continuidade operacional.

Qual caso deixou o sinal operacional mais grave para o vertical?

O mais grave foi Huatacondo, no Chile, porque o parque solar e seu BESS seguiram fora de serviço com disponibilidade zero durante outubro. A cobertura também citou a desconexão forçada do transformador TR1 de Santa Rita e a perda de supervisão e telecontrole, o que amplia o impacto para além de um único ativo.

Como deve ser interpretado o salto de ransomware em relação ao mês anterior?

Deve ser lido como alta de visibilidade e relevância, não como uma soma mecânica de todos os tipos de extorsão. O indicador passou de 1 para 9 casos, mas o material distingue entre exfiltração sem criptografia, tipificação não determinável e apenas reivindicação atribuída. Essa distinção muda a leitura operacional e jurídica.

Quais países trouxeram o sinal mais útil para equipes de energia e utilities?

O Chile trouxe o impacto operacional mais claro, o Brasil combinou incidente digital e exercício de preparação, e a Colômbia concentrou fraude e phishing contra serviços públicos. O Peru acrescentou contexto regulatório e de compliance. Juntos, mostram que o risco do vertical não é homogêneo e que cada país puxa um ângulo diferente.

O que convém fazer com os CVEs mencionados em outubro?

Convém tratá-los como uma lista de exposição prioritária, e não como um total abstrato. Os avisos da CISA e da Siemens apontam para Hitachi Energy e Siemens RUGGEDCOM, produtos ligados a ambientes de energia. A ação imediata é inventariar versões, revisar a exposição e definir mitigações caso não seja possível aplicar patch de imediato.

A telemetria de bloqueios de phishing conta como incidente do mês?

Não. O número da Infobip descreve tentativas ou bloqueios automatizados, não intrusões confirmadas. Serve para contextualizar a pressão sobre canais digitais, mas não deve ser somado ao total de incidentes nem usado como prova de impacto operacional em energia ou utilities.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para outubro de 2026 e com dois fatos de meses anteriores usados apenas como marco comparativo explícito, não como volume do período. Também houve um fato sem data confirmada, excluído dos indicadores. O recorte geográfico e setorial é América Latina, com foco em energia, eletricidade e utilities de infraestrutura crítica.

Um indicador em zero ou sem detalhamento, em particular os CVEs ou a tipificação de ransomware, significa que não foi registrado no material analisado, não que não exista na região. O mesmo vale para a ausência de confirmação de ator, vetor ou vazamento em vários incidentes. A ausência de dado não equivale à ausência de fato.

A janela temporal declarada para os indicadores inclui 56 fatos com data em outubro de 2026, 2 fatos de meses anteriores como marco comparativo e 1 sem data confirmada excluído do cálculo. Os indicadores deste relatório se baseiam apenas nos fatos datados dentro do período e em sua tipificação verificável.

Foram excluídos do volume os números de telemetria agregada, como tentativas ou bloqueios automatizados de phishing, porque não são incidentes com impacto confirmado. Também foram excluídas fontes não permitidas pelas regras editoriais, e não foram usadas redes sociais nem publicações não incluídas na lista de fontes disponíveis para citar.