Argentina: cibersegurança em outubro de 2026

Incidentes relevantes na Argentina

Ataque à Program Consultores e queda de serviços municipais

O ataque contra a Program Consultores S.A. foi o incidente de maior alcance do mês na Argentina: cifrou arquivos, tirou servidores do ar e afetou trâmites, cobranças e portais de municípios de várias províncias. O impacto operacional foi nacional, embora o vetor inicial e o tamanho da exfiltração, caso tenha havido, não tenham sido estabelecidos de forma conclusiva.

A sequência começou na infraestrutura da fornecedora e se espalhou para municípios clientes. A cobertura de diferentes veículos confirmou interrupções em Punilla, Santa Cruz, Río Negro, Santa Fe e outras jurisdições, com uma afetação que superou 250 municípios e comunas. A empresa afirmou que não houve roubo de bases de dados nem vazamento de informações confidenciais, mas esse ponto ficou sujeito à leitura de cada autoridade local.

O caso combina impacto operacional confirmado com uma tipificação nítida de ransomware. Também deixa um sinal estrutural: quando um fornecedor centralizado cai, a superfície de interrupção se multiplica.

Ataque cibernético ao Governo de Formosa

O Governo de Formosa informou um ataque cibernético que afetou seus sistemas digitais e levou à suspensão preventiva de serviços. O comunicado não especificou o tipo de ataque, o ator nem se houve roubo de dados, então o fato permanece como um incidente confirmado, mas não tipificado.

A mesma jurisdição registrou um segundo episódio relevante, desta vez no Poder Judiciário, que interrompeu temporariamente serviços como o site oficial, o e-Justiça e o webmail por vulnerabilidades críticas de segurança. No conjunto, Formosa evidenciou um padrão de contenção preventiva diante de problemas de cibersegurança com impacto no atendimento ao público.

Deepfakes sexuais em uma escola de Lomas de Zamora

A divulgação de imagens sexuais falsas criadas com IA em uma escola de Lomas de Zamora foi um dos fatos mais sensíveis do mês pelo impacto sobre menores de idade. A Justiça analisou celulares dos acusados, a causa ficou na esfera juvenil e diferentes coberturas indicaram que houve dezenas de alunas afetadas.

O valor do caso não está apenas na tecnologia usada, mas na forma de distribuição. O material foi associado à venda, à circulação em grupos de mensagens e à exposição escolar, o que transforma o episódio em uma forma de violência digital com desdobramentos penais, educacionais e de proteção de dados pessoais.

Ameaças e campanhas ativas na Argentina

Ransomware e extorsão

O mês registrou 10 casos com ransomware ou extorsão como eixo principal. Em dois deles há confirmação de criptografia de ativos, um corresponde a exfiltração sem criptografia e, em sete, a documentação disponível não permite determinar se houve criptografia, exfiltração ou apenas reivindicação pública da vítima.

O exemplo mais sólido é o da Program Consultores, em que a empresa reconheceu que um vírus criptografou arquivos e tornou servidores inoperantes. O caso de Villa Carlos Paz ficou ligado a essa mesma infraestrutura, e a prefeitura esclareceu que o ataque não atingiu diretamente sua rede local. Em outras denúncias, como as listadas por grupos criminosos ou fontes de inteligência, a evidência pública não basta para diferenciar uma menção em leak site de uma intrusão comprovada.

Fraude, phishing e golpes digitais

Os 8 fatos de fraude ou phishing documentados mostram a continuidade de um ataque centrado na vítima, e não na infraestrutura. Houve condenações e decisões contra bancos por falhas no dever de segurança, um golpe telefônico que resultou em empréstimos não autorizados e uma investigação sobre um esquema de investimento fraudulento que usava anúncios no Gmail, meios falsos e figuras públicas.

Também apareceu o golpe digital como serviço, com a Argentina entre os países rastreados pela Group-IB no Classiscam, um esquema que usa bots do Telegram para exibir páginas fraudulentas. Soma-se a isso a consolidação de fraudes com suplantação de identidade e WhatsApp, algo que a promotoria de Córdoba descreveu como um ambiente dominado por engenharia social e tomada de contas.

APT, influência e uso ofensivo de IA

A OpenAI informou a suspensão de contas originadas na Rússia, usadas em operações de influência encobertas com foco na Argentina e na Bolívia. Essa linha de atividade não equivale a espionagem clássica, mas confirma o uso ofensivo de IA para produzir conteúdo, perfis falsos e inserção em debates políticos.

No mesmo mês, o material indicou que agentes usaram IA para comprometer organizações de saúde argentinas e que uma das campanhas relatadas alcançou pelo menos 15 entidades. Embora não tenham sido identificadas instituições nem volumes de dados de forma completa, o ponto é relevante porque mostra um uso mais industrializado de IA para reconhecimento, seleção de alvos e execução de tarefas.

Vulnerabilidades críticas com impacto na Argentina

O sinal mais relevante não é apenas a existência das duas CVEs, mas o efeito operacional que elas provocaram. O BA-CSIRT emitiu um alerta com gravidade 9,2 sobre 10, e o CERT argentino fez um levantamento de sites estatais para estimar a exposição tecnológica. O material não comprova exploração na Argentina, mas aponta para um universo amplo de ativos potencialmente afetados por software vulnerável.

Regulação e conformidade na Argentina

A principal novidade regulatória do mês foi a Resolución General 1172/2026 da CNV para os Proveedores de Servicios de Activos Virtuales. A norma exige políticas, procedimentos e controles de cibersegurança com abordagem baseada em riscos, e obriga a reportar interrupções relevantes, ciberataques, fraudes e incidentes de segurança que comprometam fundos ou dados de clientes.

O alcance não é pequeno. A CNV integrou governança, identificação, proteção, detecção, resposta e recuperação ao regime aplicável a PSAV. Também deixou claro que a informação periódica passará a valer a partir de 1 de novembro de 2026, embora a resolução tenha entrado em vigor no dia seguinte à sua publicação.

Em paralelo, o mês foi marcado por casos de conformidade e responsabilidade na banca tradicional. Decisões em La Plata, Santa Rosa e outras jurisdições reforçaram o entendimento de que a instituição financeira não pode se eximir quando há operações atípicas, acessos a partir de locais incomuns ou sinais claros de fraude. Esse ponto recoloca em evidência a detecção precoce, a verificação de identidade e a rastreabilidade dos movimentos.

Setores mais afetados na Argentina

O setor público foi o mais atingido em volume e efeito dominó. Prefeituras, governos provinciais e órgãos judiciais enfrentaram queda de sistemas, suspensão de serviços e problemas de autenticação ou de continuidade operacional. A dependência de fornecedores externos, como no caso da Program Consultores, ampliou o impacto para além de uma única instituição.

O segundo grande foco foi o financeiro, embora com uma combinação diferente de ocorrências. Ali predominaram fraude contra usuários, phishing, falsificação de identidade e a discussão judicial sobre o dever de segurança dos bancos. O risco não veio tanto de um ataque massivo à infraestrutura bancária, mas de manobras que exploram elos frágeis na relação com o cliente.

Educação e saúde também apareceram no levantamento. Na educação, os deepfakes sexuais em escolas geraram uma resposta judicial e midiática de grande impacto. Na saúde, o material mostra campanhas de agentes de IA reportadas pela CrowdStrike contra organizações argentinas, embora o detalhamento público seja insuficiente para mapear o impacto exato caso a caso.

Tendências e sinais a monitorar na Argentina

A comparação com o mês anterior mostra uma mudança clara. Em setembro, o eixo dominante era o ransomware, com 33 de 66 fatos. Em outubro, essa liderança passou para os incidentes, com 17 de 57 fatos, enquanto o ransomware caiu para 10 e a fraude ou phishing saltou de 0 para 8. A mudança sugere maior dispersão de vetores e menor concentração em uma única família de ataques.

Também caiu o peso dos movimentos regulatórios, de 7 para 5, e das CVEs críticas mencionadas, de 8 para 2. Isso não significa menor exposição técnica, mas indica que, no material do mês, houve menos cobertura sobre vulnerabilidades e mais sobre consequências operacionais, fraude e casos judiciais.

A continuidade que segue merecendo monitoramento é a da engenharia social. Os casos de phishing bancário, fraude telefônica e golpes de investimento com IA apontam para a mesma superfície, a manipulação do usuário ou do funcionário para obter acesso, autorização ou transferência. Se isso se combina com fornecedores centralizados ou com ambientes mal segmentados, o dano escala rápido.

Recomendações para equipes de segurança na Argentina

Vale tratar fornecedores de software crítico como parte do próprio perímetro. O caso PGM mostrou que um incidente em um terceiro pode tirar do ar sistemas de centenas de municípios. Contratos, testes de continuidade, prazos de notificação e planos de contingência precisam ser revisados como se o fornecedor fosse uma extensão direta do ambiente local.

No front de identidade e fraude, a prioridade é reforçar validações fora de banda para operações sensíveis. Os casos de phishing e fraude telefônica mostram que usuário, token e ligação ainda bastam para executar transferências ou contratar empréstimos se a instituição não cruzar sinais de risco, geolocalização, comportamento e troca de dispositivo.

Para entidades que administram dados sensíveis ou de menores, a recomendação é elevar o critério de revisão antes de publicar ou difundir conteúdo e formalizar os fluxos de resposta com jurídico, compliance e atendimento às vítimas. Outubro deixou claro que o dano reputacional, legal e humano de um vazamento ou de um deepfake pode ser tão alto quanto o dano técnico.

No plano técnico, as organizações com PHP exposto devem revisar com urgência as duas CVEs do mês, verificar versões, desativar funções de risco quando aplicável e validar se a mitigação não depende só de mudanças temporárias em runtime. Onde houver infraestrutura compartilhada, o inventário de ativos e a correção coordenada pesam tanto quanto a detecção.

Perguntas frequentes

O que mudou entre o perfil de risco de setembro e o de outubro na Argentina?

Outubro saiu de um mês dominado por ransomware para outro marcado por incidentes operacionais e fraude. Segundo os indicadores, ransomware ou extorsão caiu de 33 para 10 casos, enquanto os incidentes sem tipificação subiram de 10 para 17 e o fraude ou phishing passou de 0 para 8. Isso reorganiza as prioridades de resposta.

Que setores conectam o ataque a PGM com os casos bancários do mês?

O ataque a PGM atingiu o setor público, sobretudo municípios e administração local, enquanto os casos bancários se concentraram em fraude, phishing e dever de segurança em relação aos clientes. A conexão está no modelo de dependência, não na técnica: ambos mostram falhas em continuidade, autenticação e validação de operações.

Por que os deepfakes sexuais aparecem como um tema de cibersegurança e não só penal?

Porque combinam criação digital, distribuição por plataformas, exposição de menores e possível tratamento indevido de dados pessoais. O caso de Lomas de Zamora cruzou justiça juvenil, escola, mensageria e conteúdo manipulado com IA. O material do mês mostra que o risco não é só tecnológico, mas também institucional e jurídico.

Qual é a relação entre as vulnerabilidades de PHP e o levantamento de sites estatais?

As duas CVEs críticas de PHP geraram um alerta direto do BA-CSIRT e levaram o CERT argentino a revisar sites gob.ar. O levantamento não comprova exploração na Argentina, mas mostra que havia uma base ampla de sites com sinais de PHP, o que transforma a gestão de patches em prioridade operacional.

O que a nova norma da CNV para PSAV obriga a reportar?

A Resolução Geral 1172/2026 exige comunicar interrupções substanciais de sistemas, ciberataques, fraudes e incidentes que comprometam fundos ou dados de clientes. Também impõe políticas e controles de cibersegurança com foco baseado em riscos. Para o setor cripto local, isso eleva o padrão de governança e resposta.

Os 17 incidentes sem tipificação significam que houve mais ataques que não puderam ser confirmados?

Não necessariamente. Significa que, no material analisado, houve 17 fatos com impacto operacional ou de segurança, mas sem tipificação técnica suficiente para classificação precisa. Eles podem ser brechas, interrupções ou ataques em diferentes estados de confirmação. A seção de Limitações explica esse detalhe.

Anexo técnico: indicadores de comprometimento e TTPs

TTPs publicados para o ataque à Program Consultores

O caso da Program Consultores mostrou um padrão de ransomware com criptografia de arquivos e queda de servidores hospedados em infraestrutura compartilhada. A fonte também mencionou pedidos de resgate e impacto sobre sistemas de gestão, cobranças e trâmites. Não foram publicados hashes nem domínios, mas a tática de interrupção operacional por criptografia foi confirmada.

TTPs e ferramentas observadas nas campanhas de fraude e APT

O material sobre Classiscam, CallFlow e as operações de influência da OpenAI aponta para o uso combinado de bots, voz sintética, modelos de linguagem e automação para fraude e influência. Na campanha de investimento fraudulento, a tática predominante foi a falsificação de mídia, figuras públicas e corretoras reais para induzir depósitos.

IoCs e sinais técnicos públicos vinculados ao PHP2Shell

Black Kite, Censys, AWS, CERT/CC e Unit 42 publicaram sinais técnicos sobre as vulnerabilidades de PHP. Entre os IPs observados em tentativas de exploração estavam 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64 e 103.114.163.188. O material não os vincula a um ator específico nem a um caso argentino específico.

Limitações do material

Este informe foi elaborado exclusivamente com o material fornecido para outubro de 2026 e só conta como volume do mês os fatos datados dentro dessa janela temporal. Os fatos de meses anteriores foram usados apenas para comparar a evolução quando cabia, nunca para somar atividade ao período.

Um indicador em zero não significa ausência regional do fenômeno, mas sim que ele não apareceu no material analisado no mês. Isso vale especialmente para CVEs, em que a cifra reflete o que foi registrado nas fontes do período e não a inexistência de vulnerabilidades críticas na Argentina ou na região.

A cobertura disponível combinou meios de comunicação, fontes oficiais, avisos técnicos e algumas notas de contexto. Não foram usadas publicações de redes sociais como evidência, nem material de telemetria agregada como se fosse incidente. Também ficaram fora da contagem os fatos sem data confirmada e as afirmações que não puderam ser corroboradas com fontes primárias ou com confirmação suficiente.