Bolivia: cibersegurança em setembro de 2026

Ameaças e campanhas ativas na Bolívia

Ransomware e extorsão

O mês não trouxe um quadro claro de ransomware com impacto verificado na Bolívia. Houve três casos ou menções dentro da categoria geral de ransomware ou extorsão, mas o material disponível não permitiu determinar se o impacto foi criptografia, exfiltração sem criptografia ou simples presença em um leak site. Por isso, a tipificação segue indeterminada.

No recorte regional, a RedTigerIT colocou a América Latina como a região mais atacada por ransomware e afirmou que a Bolívia entra no radar dos operadores. Essa leitura ajuda no contexto, mas não substitui incidentes locais confirmados. No caso boliviano, o mês ficou mais marcado por fraude, abuso de marca e falhas de controle do que por extorsão com criptografia verificável.

Fraude e phishing

O eixo com maior tração operacional foi a fraude. Houve campanhas e casos ligados ao uso do nome do Banco Unión, a páginas falsas de banco, a assinaturas apócrifas de ChatGPT e a golpes por códigos QR. Em vários desses episódios, o atacante buscou roubar credenciais, induzir transferências ou capturar dados de cartão.

A cobertura de El Diario sobre fraudes criadas com inteligência artificial também mostrou o salto qualitativo do engano: vozes clonadas, mensagens urgentes, links suspeitos e uso de imagem institucional para ganhar confiança. A ASFI divulgou recomendações para que os usuários verifiquem canais oficiais e interrompam a ação antes de fornecer dados. O padrão dominante foi social, não técnico.

APT, bots e manipulação coordenada

Não houve no material atribuição sólida de APT estatal ou grupo persistente com nome próprio. O que apareceu foi manipulação coordenada da conversa pública, com referências a bots, contas falsas e amplificação automatizada em torno de meios ou páginas bolivianas. É um sinal de desinformação e pressão digital, mais próximo do hacktivismo informal ou da manipulação de plataforma do que de uma intrusão avançada clássica.

A evidência disponível nesse ponto é mais sólida como fenômeno de ambiente do que como incidente de segurança tradicional. Ainda assim, isso importa porque afeta reputação, continuidade informativa e capacidade de resposta de organizações que dependem das redes sociais para se comunicar.

Vulnerabilidades críticas com impacto na Bolívia

O indicador de CVEs críticos ficou em zero. Isso não significa ausência de vulnerabilidades exploradas na região, nem ausência de falhas graves na Bolívia. O caso ANH e B-SISA mostrou fragilidades técnicas e lógicas relevantes, mas elas não foram reportadas sob uma identificação CVE no material revisado.

Regulação e compliance na Bolívia

Setembro foi um mês intenso em regulação, com 14 movimentos documentados. O pacote mais visível girou em torno do acordo com o FMI e do papel que a ASFI teria na supervisão financeira, nos testes de estresse, na avaliação de ativos e no reforço prudencial. A leitura dominante aponta para maior escrutínio sobre o sistema financeiro, não para relaxamento normativo.

Também houve decretos e registros com impacto setorial. O Decreto Supremo 5693 buscou fortalecer a solvência de entidades financeiras e atribuir à ASFI funções de registro, supervisão e controle de determinados certificados. Além disso, foi criada a Renapsi para serviços imobiliários, com foco em transparência, legalidade e proteção do usuário. Nos dois casos, a lógica foi ampliar rastreabilidade e formalidade.

A agenda cripto seguiu por outro caminho, ainda em estado de compromisso e não de norma definitiva. Diferentes reportagens indicaram que a Bolívia se comprometeu perante o FMI a desenvolver um marco robusto para regular e supervisionar ativos virtuais, com foco em lavagem de dinheiro, saídas indevidas de capital e supervisão de operadores. O material foi consistente em um ponto: ainda não há lei ou regulamento em vigor que feche esse desenho.

Também persistiu um vazio estrutural. A Bolívia segue sem lei geral de proteção de dados pessoais, sem autoridade administrativa especializada e sem regime unificado de sanções. O Tribunal Constitucional lembrou que a ação de proteção à privacidade existe como via judicial individual, mas isso não substitui uma arquitetura de compliance. Para setores que lidam com dados financeiros, a ausência de um marco segue sendo um risco relevante.

Setores mais afetados na Bolívia

A banca foi o setor com maior densidade de sinais, tanto pelo volume de tentativas de ataque quanto pelo número de fraudes e referências regulatórias. Não houve colapso operacional, mas sim um ambiente de pressão persistente, com campanhas de phishing, uso de IA para engano, falsificação de marcas e reforço de defesas por parte de várias instituições. A banca tradicional respondeu com tecnologia e conscientização.

O setor público também ficou exposto, embora com perfis distintos. A ANH mostrou uma fragilidade estrutural em um sistema crítico de combustíveis, enquanto o SERECI apareceu em um alerta de vazamento não confirmado. Nos dois casos, o problema de fundo é o mesmo, sistemas com alto valor operacional e falhas em controle, rastreabilidade ou proteção de credenciais.

A indústria e as entidades empresariais tiveram incidentes de menor escala, mas úteis para ler a superfície de ataque. O caso da Cámara Nacional de Industrias mostrou comprometimento de conta e a necessidade de protocolo de crise digital. O fenômeno se repete em organizações que não são necessariamente parte do núcleo financeiro, mas que administram reputação, informação e canais de comunicação que podem ser tomados ou degradados.

Em telecomunicações, a Tigo trouxe um sinal de disponibilidade. Não houve evidência de intrusão confirmada, mas houve reclamações por interrupções em vários pontos do país. Em paralelo, o material mostrou que a Bolívia segue sendo um ambiente em que a fraude digital cruza setores, da banca e do consumo aos serviços de identidade e canais de mensagens.

Tendências e sinais a monitorar na Bolívia

Em setembro, houve mais fatos verificados, mais fraude e mais regulação, mas menos ransomware confirmado do que no mês anterior. Os casos de ransomware ou extorsão como eixo primário caíram de 11 para 3, enquanto as fraudes e o phishing subiram de 2 para 10. Essa migração sugere que a pressão imediata sobre usuários e marcas pesou mais do que a criptografia como mecanismo principal.

Também aumentou a pegada regulatória, de 6 para 14 movimentos documentados. Isso não é um dado cosmético: indica que autoridades e órgãos ligados ao sistema financeiro estão respondendo com mais regras, mais supervisão e mais obrigações de registro. O mês anterior já trazia sinais de ajuste, mas setembro os consolidou, sobretudo na ASFI, UIF, FMI e em registros setoriais.

Em volume setorial, a alta de 4 para 8 setores com fatos documentados sugere maior dispersão temática, não necessariamente maior gravidade homogênea. Houve banca, indústria, hidrocarbonetos, telecomunicações, mídia, cripto, proteção de dados e serviços imobiliários. Essa amplitude obriga a pensar o risco em termos de ecossistema, não apenas de um setor de destaque.

A ausência de CVEs críticos no material do mês não deve ser lida como tranquilidade técnica. O caso B-SISA mostra que uma operação crítica pode falhar por lógica de negócio, autenticação fraca, controles manuais inseguros ou exposição de credenciais, sem necessidade de uma vulnerabilidade publicada como CVE.

Recomendações para equipes de segurança na Bolívia

Primeiro, bancos e fintechs precisam endurecer os fluxos de validação de identidade e de encerramento de sessão, porque a maior parte dos danos de setembro veio de phishing, suplantação e uso indevido de marca. MFA, biometria, limites antifraude, monitoramento de anomalias e verificação fora de banda devem estar ligados a campanhas de educação do cliente que não dependam só de peças estáticas.

Segundo, organizações que administram contas em redes sociais ou canais públicos precisam de planos mais rígidos de recuperação de acesso e rotação de credenciais. O caso da Câmara Nacional de Indústrias mostra que uma conta institucional comprometida pode virar vetor de desinformação ou perda reputacional em poucas horas.

Terceiro, o setor público e as operadoras de infraestrutura crítica precisam revisar sua lógica de controle, não apenas seu perímetro. O episódio ANH e B-SISA deixou lições sobre backdoors, senhas expostas, validações fracas e controles manuais inseguros. Isso exige auditoria de negócio, segregação de funções e revisão de privilégios.

Quarto, equipes jurídicas e de compliance devem preparar o terreno para o novo ciclo regulatório. Com ASFI, UIF, FMI, Renapsi e o futuro marco de ativos virtuais avançando em ritmos diferentes, as instituições vão enfrentar mais exigências de rastreabilidade, reporte e documentação. A ausência de lei de dados não reduz a pressão, ela a desloca para litígio, reputação e autorregulação.

Quinto, toda entidade que processa pagamentos, dados de clientes ou identidades precisa assumir que a fraude com IA já faz parte do repertório local. Não basta dizer ao usuário para "verificar o remetente". É preciso reforçar filtros de comunicação, proteger domínios e alertar sobre páginas falsas, clones de voz e mensagens com urgência artificial.

Perguntas frequentes

O que mudou mais entre setembro e o mês anterior na Bolívia, a fraude ou o ransomware?

Em setembro, fraude e phishing subiram mais do que ransomware. Os casos de fraude ou phishing passaram de 2 para 10, enquanto os de ransomware ou extorsão caíram de 11 para 3. A comparação aparece na tabela de indicadores e na seção Ameaças e campanhas ativas na Bolívia.

Qual incidente deixou o maior risco operacional para a infraestrutura crítica boliviana?

A intervenção na ANH e a descoberta de nove vulnerabilidades em B-SISA foi o caso mais grave para a infraestrutura crítica. O episódio afetou o controle de combustíveis, a integridade do sistema e a rastreabilidade operacional. O detalhamento técnico está em Incidentes relevantes na Bolívia e Vulnerabilidades críticas com impacto na Bolívia.

Houve evidência de um vazamento massivo de dados confirmado em setembro?

O material mostra sinais e denúncias, mas não uma confirmação operacional sólida de um vazamento massivo verificado por fonte primária. Há menções ao SERECI e a rumores em canais de cibercrime, além da ausência de uma lei de dados que dificulta a supervisão. Veja Limitações do material e Regulamentação e conformidade na Bolívia.

Qual foi o papel da ASFI no mês e por que isso importa para a cibersegurança?

A ASFI apareceu como supervisora reforçada do sistema financeiro no âmbito do acordo com o FMI e de novas medidas para entidades financeiras. Isso importa porque os bancos enfrentam mais fraude digital, mais obrigações de controle e mais pressão de conformidade. O detalhamento está em Regulamentação e conformidade na Bolívia e Setores mais afetados na Bolívia.

Houve CVEs críticos explorados na Bolívia durante setembro?

Não. O indicador de CVEs críticos ficou em zero no material analisado. Isso não significa que não existam vulnerabilidades na região, mas sim que não apareceram CVEs críticos neste corpus. O caso da ANH mostra que pode haver impacto severo sem um CVE publicado no relatório.

Limitações do material

O relatório foi construído exclusivamente com o material fornecido para setembro de 2026 e com a janela temporal indicada de 84 fatos datados nesse mês. Os indicadores reproduzem a base declarada pelo insumo e não incorporam telemetria agregada como se fossem incidentes, porque esses 5 registros correspondem a tentativas ou bloqueios automatizados, não a impactos confirmados.

Um valor em zero, especialmente o de CVEs críticos, significa que não houve menções verificáveis no material analisado deste mês. Isso não implica ausência de vulnerabilidades críticas na Bolívia ou na região. Da mesma forma, vários fatos de ransomware ficaram como tipificação não determinável porque o material não especificou se houve criptografia, exfiltração ou apenas menção em leak site.

Também ficaram fora da contagem as peças sem data confirmada. As fontes excluídas da análise de fundo foram redes sociais de consumo, publicações patrocinadas, conteúdo promocional e material que não estava na lista de fontes habilitadas. Quando uma afirmação veio de uma fonte com atribuição incerta, ela foi tratada como sinal contextual e não como fato plenamente corroborado.