Bolívia: situação da cibersegurança, julho de 2026

Incidentes relevantes na Bolívia

SEPREC e o caso Krybit

O episódio mais consistente do mês foi o do SEPREC, o Servicio Plurinacional de Registro de Comercio. Ransomware.live, Galaxy Warden, HookPhish e Darkfield coincidiram ao apontar o órgão como vítima de Krybit em 7 de julho. DExpose e outras análises adicionaram o elemento de ameaça no leak site, enquanto a Galaxy Warden detalhou que houve exfiltração de arquivos internos com registros de empresas, identidades de proprietários, endereços e documentação societária. O material não confirma o ciframento de sistemas, mas deixa bastante claro que houve vazamento e pressão extorsiva.

A relevância do caso não está apenas na entidade atingida. O SEPREC concentra dados de valor jurídico e econômico, por isso uma exfiltração pode afetar tanto o órgão quanto pessoas físicas e jurídicas que tramitaram atos de comércio. Essa exposição torna o incidente especialmente sensível para o setor público e para o ecossistema de registros e conformidade empresarial.

Campanha de fraudes digitais contra usuários de celular

A ATT informou que entre 1º de janeiro e 17 de julho de 2026 a plataforma Bloquea la Estafa recebeu 16.821 denúncias por supostas fraudes digitais, com 13.516 IMEI bloqueados e 10.846 linhas cortadas. Esse dado não deve ser lido como telemetria de ataque, e sim como volume de denúncias e medidas administrativas. Ao mesmo tempo, a FELCC e vários veículos descreveram um padrão consistente de aplicativos falsos, links patrocinados e trojans que acabam acessando bancos móveis e credenciais.

O material também traz dois sinais operacionais. Primeiro, a campanha conseguiu boa tração no Facebook por meio de publicidade enganosa. Segundo, a fraude não ficou restrita a apps, porque em Cochabamba surgiu uma modalidade via WhatsApp com falsas multas de Trânsito. A combinação sugere uma operação adaptável, com baixa barreira de entrada e capacidade de seguir monetizando por múltiplos canais.

BGP e a breve disrupção no controle de rotas

A Telecom Observer registrou em 16 de julho uma interrupção breve do plano de controle de BGP na Bolívia, com degradação da visibilidade de rotas entre 17:45 e 18:25 UTC. Não foi identificada causa pública nem operador específico. O episódio não é classificado como intrusão, mas como um sinal de instabilidade de infraestrutura que convém acompanhar de perto pelo potencial impacto em disponibilidade e observabilidade de rede.

Defacement contra um site estatal boliviano

A Kalir.io reportou em 13 de julho a detecção de um defacement em um site estatal boliviano atribuído ao TurkHackTeam. O material disponível não permite avançar muito mais, porque não detalha vetor, persistência nem alcance interno. Ainda assim, soma à foto de superfície pública exposta e de atividade oportunista contra portais do Estado.

Ameaças e campanhas ativas na Bolívia

Ransomware e extorsão, com nuances de impacto

Em ransomware e extorsão, julho não foi homogêneo. O caso SEPREC se encaixa em exfiltração com pressão extorsiva e publicação em leak site. O material sobre Krybit também descreve o grupo como ransomware-as-a-service com dupla extorsão, uso de Tor para negociação e vazamento, e suporte a múltiplas plataformas. No caso boliviano específico, porém, não há evidência no material de criptografia de ativos confirmada, então convém tratá-lo como exfiltração com ameaça extorsiva, e não como criptografia comprovada.

Outro grupo de fatos ficou apenas na categoria de menção em leak site. Aí entram as referências a vítimas listadas, mas sem detalhe suficiente para confirmar dano operacional. Há ainda um bloco adicional em que a fonte não especifica se houve criptografia, o que obriga a deixar a tipificação em aberto. Essa distinção importa, porque nem toda alegação de ransomware tem o mesmo efeito sobre continuidade, recuperação ou exposição jurídica.

SEPREC, Krybit e exfiltração confirmada

O perfil técnico do Krybit publicado por OT Security Wire e Malware News ajuda a entender o risco do caso boliviano. O grupo usa AES-256, RSA-4096, apaga cópias de sombra com vssadmin e deixa notas de resgate com extensão .KRYBIT. Também opera via Tor e mantém um modelo de dupla extorsão. No SEPREC, o ponto mais relevante do material é a exfiltração de arquivos internos com dados comerciais e administrativos, além da ameaça explícita de publicação.

Fraude, phishing e suplantação de identidade

A campanha de fraude digital foi provavelmente o sinal mais visível para usuários comuns. Urgente.bo falou de aplicativos gratuitos com vírus informáticos, Vision360 detalhou sete casos recentes, La Patria descreveu trojans disseminados por publicidade enganosa e Red Uno somou o uso de falsas multas por WhatsApp. O padrão é claro, porque combina engenharia social, abuso de distribuição patrocinada e roubo de credenciais, com foco em banco móvel.

O relatório televisivo sobre o roubo de 8.000 bolivianos por meio de manipulação informática se encaixa nesse mesmo vetor. Nesse caso, o atacante instalou um trojan que permitiu acesso remoto ao app bancário. Não se trata de um caso isolado, mas de um exemplo concreto de como a fraude digital termina em fraude financeira direta.

APT ou hacktivismo

Com o material disponível, não aparece uma campanha APT sustentada atribuível a um ator estatal ou paraestatal na Bolívia durante julho. Houve, sim, um defacement atribuído ao TurkHackTeam, que se encaixa melhor na categoria de hacktivismo oportunista do que na de intrusão persistente. Também apareceram leituras sobre desinformação e conteúdos falsos, mas isso não basta para catalogá-lo como operação APT.

Vulnerabilidades críticas com impacto na Bolívia

O material de julho mostra um quadro muito claro sobre Redis. Há PoC em circulação, o CGII boliviano publicou um aviso formal e fontes técnicas externas apontam que algumas correções iniciais não fecharam por completo a superfície de ataque. Isso não significa que tenha havido exploração confirmada e disseminada na Bolívia, mas indica que a exposição de serviços Redis sem endurecimento segue sendo um risco plausível.

Regulação e compliance na Bolívia

A regulação foi um dos eixos mais ativos do mês. O governo avaliou a possível integração de USDT ao sistema de pagamentos, em um contexto de déficit de dólares e de estratégia para incorporar ativos digitais ao sistema bancário formal. Ainda não há regras de implementação, nem data de lançamento, nem seleção de fornecedores, nem declaração de curso legal. Trata-se de uma etapa de avaliação técnica, não de uma política fechada.

O regime cambial flexível seguiu se consolidando, com impacto direto sobre operações financeiras e tributárias. A Resolução 88/2026 do Banco Central e a Resolução Ministerial 245/2026 abriram o novo esquema, e depois o SIN ajustou a faturação para registrar o tipo de câmbio oficial em operações em moeda estrangeira. Em paralelo, o marco regulatório de descontos em folha no setor público foi reorganizado por meio do Decreto Supremo 5654, com regras mais restritas e autorização expressa para aportes voluntários.

No acesso à informação pública também houve movimento. O Senado aprovou em grande um projeto de lei, embora organizações de jornalistas tenham alertado para riscos pela falta de participação cidadã ampla. Esse ponto importa para a cibersegurança porque mais transparência estatal costuma vir acompanhada de novas obrigações de gestão documental, rastreabilidade e tratamento de dados.

Outra frente regulatória foi a prioridade nacional contra a lavagem de dinheiro para cumprir com o GAFI e sair da lista cinza. O material também lembra a promulgação da Lei 1741 para habilitar agentes encobertos e entregas vigiadas em investigações de legitimação de ganhos ilícitos e financiamento do terrorismo. Esse contexto ajuda a explicar por que a discussão sobre USDT, pagamentos e rastreabilidade financeira apareceu com tanta força em julho.

Setores mais afetados na Bolívia

O setor público voltou ao centro do sinal mensal. A SEPREC concentra o caso mais claro de extorsão com exfiltração e, além disso, surgiram referências a um site estatal desfigurado, a discussões regulatórias e a órgãos que tiveram de responder publicamente a alertas de segurança. Isso não significa que o Estado tenha sido o único setor afetado, mas foi o mais visível nos fatos de maior impacto editorial.

O segundo bloco mais exposto foi o de telecomunicações e conectividade, não por ataques em massa, mas pela breve disrupção de BGP e pelo papel da rede móvel nas fraudes digitais. A ATT, a FELCC e os próprios incidentes de mensageria mostram que a camada de comunicações é crítica tanto para a operação quanto para a monetização do golpe.

Saúde pública apareceu pelo suposto vazamento do sistema SSSRO do Ministério da Saúde e Esportes. Esse caso não teve verificação independente, então deve ser lido com cautela. Ainda assim, ele coloca sobre a mesa um tipo de exposição que na Bolívia já não se limita a dados comerciais ou financeiros, mas também atinge informação pessoal sensível ligada a serviços e formação em saúde.

Finanças e comércio, por fim, cruzaram vários fatos distintos. Houve fraude com banco móvel, discussão sobre USDT, mudanças cambiais e o incidente da SEPREC. O sinal combinado sugere pressão sobre a digitalização financeira e sobre os registros que sustentam a formalidade econômica.

Tendências e sinais para monitorar na Bolívia

A comparação com o mês anterior mostra mudanças claras. A mais visível foi a alta dos casos documentados de fraude ou phishing, de 1 ocorrência no mês anterior para 15 em julho, um aumento de 14. Isso não prova, por si só, uma piora estrutural, mas indica mais visibilidade pública, mais denúncias e uma capacidade melhor de identificar campanhas de suplantação e trojans móveis.

Também avançaram os movimentos regulatórios, de 9 para 13, com quatro fatos adicionais. Na Bolívia, essa mudança não é trivial, porque a pauta de pagamentos, tipo de câmbio, acesso à informação e controle financeiro se cruzou com a cibersegurança prática. A discussão sobre USDT e o câmbio oficial ampliou o perímetro de interesse para bancos, fintechs, varejistas e equipes de compliance.

No plano técnico, os CVEs críticos mencionados passaram de 0 para 1. Isso não significa que antes não houvesse vulnerabilidades críticas na região, mas que, no material analisado de julho, apareceu uma família específica com aviso oficial boliviano. A presença do CGII nesse aviso é um dado útil, porque mostra que a resposta institucional está observando PoC e publicando recomendações de mitigação.

A ameaça predominante mudou de ransomware para não classificada. Isso provavelmente reflete mais diversidade temática do que uma melhora. Em junho, segundo a comparação disponível, ransomware concentrou 13 fatos. Em julho, o material se fragmentou entre extorsão, fraude, regulação, desinformação, infraestrutura e notas de contexto, o que diluiu o eixo dominante sem reduzir a gravidade dos casos mais claros.

Recomendações para equipes de segurança na Bolívia

Primeiro, endurecer qualquer implantação de Redis exposta, sobretudo se usar módulos como RedisTimeSeries ou RedisBloom. O alerta do CGII da Bolívia deixa claro que a exposição pública e o uso de RESTORE ampliam o risco. Vale revisar versões, limitar o acesso por rede, restringir contas autenticadas com privilégios de restauração e verificar se há replicação com configurações que reduzam a proteção de somente leitura.

Segundo, tratar a fraude móvel como ameaça operacional, não apenas como problema de usuário final. As campanhas do mês combinam apps falsos, links patrocinados, mensagens por WhatsApp e roubo de credenciais. As equipes de segurança em bancos, telecom e atendimento ao cliente devem alinhar mensagens de bloqueio, verificação e revogação de sessões com playbooks simples, porque a velocidade de resposta importa mais do que a análise retrospectiva.

Terceiro, revisar a exposição de portais e serviços públicos, especialmente os que reúnem registros de comércio, saúde ou trâmites cidadãos. A SEPREC mostrou que a extorsão pode combinar vazamento, pressão pública e risco reputacional. Nesse tipo de caso, a prioridade não é só conter, mas também preservar evidências, definir mensagens e validar se houve acesso a dados sensíveis.

Quarto, reforçar o monitoramento de BGP e da saúde da conectividade. Não houve atribuição pública do evento de julho, mas a visibilidade das rotas caiu durante um intervalo curto e isso justifica regras de observação e escalonamento. A continuidade do negócio não depende apenas de o serviço seguir no ar, mas de ele continuar sendo roteável, observável e recuperável.

Quinto, manter coordenação entre segurança, jurídico e compliance em tudo o que envolve pagamentos digitais e ativos virtuais. A avaliação sobre USDT, o novo esquema cambial e as exigências de faturamento podem gerar desencontros de processo se não forem traduzidos rapidamente em controles, contratos, atendimento de reclamações e rastreabilidade das operações.

Limitações do material

Este informe cobre exclusivamente fatos datados de julho de 2026 dentro do material fornecido. Os quatro fatos de meses anteriores incluídos como quadro comparativo são usados apenas para evolução mês a mês e não fazem parte do volume do período. Não se utilizou internet nem se incorporou nenhuma fonte fora da lista autorizada.

Um indicador em zero, em especial o de CVEs críticos, não significa que não tenham existido vulnerabilidades graves ou exploração na região. Significa apenas que elas não ficaram registradas no material analisado deste mês. O mesmo se aplica a qualquer categoria não observada nos indicadores: ausência no conjunto documental não equivale a ausência real na Bolívia.

A cifra de 67 por cento de confirmação direta descreve a qualidade de respaldo dos fatos verificados, não a totalidade do risco real. Também há denúncias, relatos de fóruns e notas de dark web que aparecem como não verificadas ou atribuíveis com cautela. Quando uma fonte não pôde corroborar um dado de forma independente, o texto o trata como tal.

Ficaram excluídas da base deste informe as redes sociais de consumo e as publicações patrocinadas ou de consumo comercial que não figuravam entre as fontes permitidas. Tampouco foram usados telemetrias agregadas como incidentes, nem tentativas bloqueadas, nem varreduras como se fossem intrusões. Os sinais de infraestrutura e os fatos regulatórios são interpretados como contexto operacional, não como prova de ataques adicionais.

Anexo técnico: indicadores de comprometimento e TTPs

O grupo Krybit, segundo OT Security Wire, Malware News e Cyware, opera com uma cadeia técnica associada à dupla extorsão, uso de Tor para comando e controle, transferência de dados e negociação, eliminação de cópias de sombra com vssadmin.exe delete shadows /all /quiet, e impacto em ambientes Windows, Linux, VMware ESXi e NAS. Em seus painéis de afiliados, são citados volumes típicos de exfiltração de 10 a 250 GB por vítima.

As fontes técnicas também associam a Krybit às técnicas MITRE ATT&CK T1490, T1071, T1105, T1041, T1078 e T1059. No caso boliviano, essas TTPs ajudam a contextualizar a ameaça contra a SEPREC, embora não substituam evidência forense local sobre intrusão, persistência ou exfiltração exata.