Argentina: cibersegurança, setembro de 2026

Ameaças e campanhas ativas na Argentina

Ransomware e extorsão na Argentina

A campanha dominante do mês foi ransomware e extorsão, com 33 fatos em 66. O material disponível permite distinguir três planos, mas, na maior parte dos casos, não vai além da denúncia e da verificação forense. Houve três episódios com exfiltração sem criptografia, quatro visíveis apenas como menção em leak site e 26 casos que não puderam ser tipificados melhor com as fontes disponíveis.

Na prática, isso significa que o mês foi mais marcado pela pressão pública dos grupos do que por confirmações técnicas de criptografia ou de queda prolongada de sistemas. A maior parte das entradas se concentra em monitores de leak sites, agregadores de brechas e relatórios de terceiros, com baixo grau de confirmação direta para padrões de auditoria.

Fraude e phishing na Argentina

Não foram documentados casos de fraude ou phishing como incidente formal nos indicadores do período, embora tenham abundado alertas, mudanças de comportamento e análises sobre fraude bancária com IA. O BCRA alertou sobre campanhas de investimento falso, enquanto a mídia local detalhou modalidades de golpe com clonagem de voz, falsos assessores e manipulação audiovisual.

O ponto de inflexão do mês não foi o surgimento de um grande caso de phishing documentado, mas a consolidação de um ecossistema de fraude mais industrializado. As coberturas mostram técnicas recorrentes de suplantação de identidade, uso de deepfakes e mensagens com urgência operacional, mas isso não se traduziu em uma casuística contábil dentro do indicador de incidentes formais.

APT, espionagem e hacktivismo na Argentina

O sinal de APT e espionagem apareceu em duas frentes. De um lado, ESET e outras análises reportaram atividade de FamousSparrow com um novo backdoor contra entidades governamentais argentinas. De outro, o caso SparroWocky reforçou a ideia de que órgãos públicos da região, inclusive a Argentina, seguem expostos a campanhas com persistência e abuso de serviços legítimos.

Não foi observada no material uma onda de hacktivismo comparável, em volume, ao ransomware. A pressão aqui foi mais técnica do que narrativa, com foco em backdoors, persistência e exploração de infraestrutura de borda ou sistemas de administração.

Vulnerabilidades críticas com impacto na Argentina

As vulnerabilidades críticas mencionadas no mês combinaram exploração ativa, zero-days e falhas já incorporadas ao catálogo KEV da CISA. Nem todas se vinculam a incidentes locais confirmados, mas aparecem no material como parte da superfície de risco que pode afetar organizações argentinas.

A tabela mistura vulnerabilidades com diferentes graus de vínculo com a Argentina porque o material as apresenta assim. Algumas estão confirmadas por fontes técnicas locais, como MUG Argentina e Gustavo Sied, e outras aparecem em análises de campanhas que atingiram organizações do país ou da região. Em setembro, o sinal mais claro foi que a borda, as consoles de administração e os produtos expostos à internet continuam sendo um ponto sensível para grupos de extorsão.

Regulação e compliance na Argentina

Argentina fechou setembro com uma movimentação regulatória intensa, sobretudo em fraude financeira, cibercrime e proteção de infraestruturas críticas. A Resolução 483/2026 criou o PRONACIB, programa nacional para investigar cibercrimes e evidência digital, e o Poder Executivo enviou ao Congresso um projeto de segurança nacional que inclui funções de cibersegurança e infraestrutura crítica pública e privada.

O BCRA seguiu como o ator mais ativo na regulação antifraude. Por meio da Comunicação A 8473, consolidou um score de risco de fraude que alimenta cadastros, monitoramento e revisão de transferências imediatas. Além disso, o próprio Banco Central alertou para campanhas de investimento falso e reforçou a ideia de que informações públicas podem ajudar a traçar perfis de risco por pessoa.

Em paralelo, o PRONACIB marcou uma mudança na política criminal, com foco em evidência digital, ativos virtuais e inteligência artificial aplicada à investigação. A combinação dessas medidas indica um Estado que não busca apenas endurecer controles, mas também formalizar capacidades para responder a incidentes e sustentar investigações com melhor suporte técnico.

Setores mais afetados na Argentina

Os setores mais expostos em setembro foram governo e defesa, educação, saúde, serviços, tecnologia e comércio, com presença também de indústria e finanças. O dado setorial não é exclusivo, porque um mesmo caso pode atingir mais de um setor, mas a distribuição mostra onde a pressão se concentrou no mês.

Governo e educação ficaram no centro da cena por causa do Ministério da Educação da Argentina e do Poder Judiciário de Jujuy. Saúde apareceu pelo Grupo Hospifar e pelo histórico regional que continua atraindo grupos de extorsão. Serviços e tecnologia também estiveram presentes em vários listados de leak sites, o que reforça um padrão de ataque amplo e oportunista.

Finanças não liderou a casuística de incidentes, mas foi o setor com maior densidade de regulação e alertas. O BCRA, as carteiras digitais e os bancos concentraram boa parte das medidas antifraude e das recomendações operacionais divulgadas durante o mês. Comércio e varejo, com nomes como Diarco e Librería Santa Fe, completaram um mapa setorial que não deixou praticamente nenhuma vertical com dados ou operação digital relevante de fora.

Tendências e sinais para monitorar na Argentina

O mês fechou com menos fatos verificados do que o anterior, mas com persistência clara de ransomware e uma forte redução na quantidade de movimentos regulatórios e de fraude documentada. Em relação a agosto, os fatos verificados caíram de 84 para 66, os incidentes sem tipificação passaram de 16 para 10, os casos de ransomware ou extorsão recuaram apenas de 34 para 33, e os fatos de fraude ou phishing ficaram em zero, contra dois no mês anterior.

A queda no volume não significa alívio estrutural. Em termos de gravidade, setembro seguiu mostrando pressão sobre setores sensíveis e, além disso, trouxe uma frente normativa mais definida do que a de agosto. Os sete movimentos regulatórios do mês ainda são bem menos que os quinze do período anterior, mas apontam para uma maior concretização institucional. A leitura mais útil é que o ecossistema criminoso permaneceu ativo enquanto o Estado refinava ferramentas de controle e de investigação.

Também vale observar a qualidade da confirmação. Apenas 39% dos fatos tiveram confirmação direta da fonte, o que obriga a tratar parte do cenário de ransomware mais como sinal de exposição pública do que como brecha comprovada. No próximo mês, a rastreabilidade dos casos, a publicação de evidências técnicas e a resposta oficial das organizações afetadas serão a diferença entre uma lista de relatos e um mapa real de intrusão.

Recomendações para equipes de segurança na Argentina

A prioridade para outubro deve ser ajustar os controles onde setembro mostrou mais pressão: transferências imediatas, exposição de serviços de borda, consoles administrativas e fluxos de evidência digital. O mês deixou material suficiente para sustentar que o risco não está concentrado em uma única vertical, mas distribuído entre governo, educação, saúde, serviços e finanças.

Primeiro, reforçar o monitoramento de acesso inicial e o endurecimento de ativos expostos à internet. As campanhas com CVE críticas, somadas às reivindicações de ransomware em sites de vazamento, sugerem revisar VPNs, appliances de e-mail, painéis de administração e qualquer portal com autenticação fraca ou sem patch recente. A revisão deve incluir contas privilegiadas, MFA resistente a phishing e alertas sobre mudanças de configuração.

Segundo, separar o procedimento de incidente do procedimento de extorsão. Se a organização aparecer nomeada em um leak site, não basta olhar o post. É preciso preservar logs, identificar acessos remotos, congelar contas administrativas, verificar exfiltração, avaliar credenciais expostas e coordenar a resposta legal e técnica ao mesmo tempo. Se o caso envolver dados pessoais, também é necessário acionar a rota de conformidade correspondente.

Terceiro, revisar a postura diante de fraude com IA. O material do mês mostrou clonagem de voz, deepfakes e falsificação de identidade de assessores como técnicas ativas. Convém incorporar verificação fora de banda, frase de segurança para processos sensíveis, restrições a mudanças de conta de destino e treinamento interno sobre sinais de manipulação audiovisual.

Quarto, mapear a dependência de terceiros em serviços críticos. As discussões sobre infraestrutura crítica, sistemas nacionais de segurança e continuidade digital apontam que a cadeia de suprimentos, o hosting, os provedores cloud e os operadores tecnológicos passam a fazer parte do risco central. As equipes devem ter inventário atualizado, RTO e RPO por processo, e um plano de continuidade que não dependa apenas do fornecedor.

Perguntas frequentes

O que mudou na Argentina entre fraude bancária e ransomware neste mês?

Em setembro, houve muito mais pressão por ransomware e extorsão do que por fraude ou phishing formalmente documentados. A fraude apareceu sobretudo como alertas do BCRA e coberturas sobre IA, enquanto as reclamações de leak site e extorsão dominaram o volume mensal. Veja também as seções Ameaças e campanhas ativas na Argentina e Regulação e compliance na Argentina.

Quais setores argentinos ficaram mais expostos ao ransomware e à nova regulação?

Governo, educação, saúde, serviços, tecnologia, comércio, indústria e finanças tiveram ao menos um fato documentado. A pressão criminal ficou mais visível em governo, educação e saúde, enquanto a regulação mais intensa se concentrou em finanças e cibercrime. Veja também Setores mais afetados na Argentina e Indicadores do período na Argentina.

Quais vulnerabilidades críticas precisam ser relacionadas aos casos locais do mês?

As mais relevantes foram CVE-2026-76461, CVE-2026-85706, CVE-2026-75650 e CVE-2026-59310. Algumas aparecem em fontes técnicas locais, e outras em análises de campanhas que atingiram organizações argentinas ou regionais. A leitura correta é cruzá-las com o tipo de exposição, sem assumir impacto local automático. Veja Vulnerabilidades críticas com impacto na Argentina.

Quais medidas regulatórias argentinas tiveram maior peso operacional?

As duas mais importantes foram a Resolução 483/2026, que criou o PRONACIB, e a Comunicação A 8473 do BCRA, que estabeleceu o score de risco de fraude para transferências imediatas. A isso se soma o projeto de segurança nacional com funções sobre cibersegurança e infraestruturas críticas. Veja Regulação e compliance na Argentina.

O que um time de segurança deve priorizar se aparecer em um leak site?

Preservar logs, revisar acessos remotos e contas privilegiadas, confirmar se houve exfiltração, cortar credenciais comprometidas e coordenar a resposta técnica, jurídica e de compliance. Se o caso envolver ransomware, não convém negociar sem verificação forense mínima. Veja Recomendações para equipes de segurança na Argentina e Incidentes relevantes na Argentina.

Limitações do material

O relatório foi construído exclusivamente com o material fornecido para a Argentina em setembro de 2026. Não houve acesso à internet nem verificação externa adicional, e ficaram de fora os fatos sem data confirmada, que não foram incluídos nos indicadores, embora pudessem ser usados apenas como contexto qualitativo, se necessário.

Um valor em zero, especialmente em CVEs, significa que não apareceu no material analisado do período, não que não exista atividade semelhante na região nem que não tenham ocorrido vulnerabilidades exploradas fora deste corpus. Do mesmo modo, o indicador de fraude ou phishing em zero não nega que tenha havido tentativas ou incidentes no país, apenas que não ficaram documentados nas fontes deste mês com a tipificação exigida.

A janela temporal dos indicadores é a já declarada acima, 66 fatos com data em setembro de 2026, com 2 fatos sem data confirmada excluídos dos totais. Também ficaram fora do cálculo as cifras de telemetria agregada, tentativas bloqueadas ou médias de vendors, porque não constituem incidentes e não devem ser misturadas ao registro do período.

O material também excluiu fontes de redes sociais de consumo e publicações promocionais como evidência principal. Quando apareceram notas de terceiros, monitores de leak sites ou análises de mercado, elas foram usadas apenas como sinal contextual ou atribuído, nunca como confirmação suficiente se o próprio material não a trazia. Isso explica por que vários casos de ransomware ficam na categoria de alegação ou tipificação não determinável.