Brasil: situação da cibersegurança, julho de 2026

Incidentes relevantes no Brasil

Isac Tecnologia em Saúde e a exposição de 500 mil pacientes

A ANPD abriu um processo administrativo sancionador contra Isac Tecnologia em Saúde por um incidente de ransomware que atingiu cerca de 500 mil pacientes de unidades públicas. O ponto mais relevante do caso não é só o volume, mas a sequência de exposição, porque o material confirma uma criptografia de arquivos que deixou sistemas administrativos indisponíveis, embora a própria instituição tenha sustentado que não havia evidência técnica de exfiltração ou divulgação de dados pessoais.

Esse detalhe não é menor. Para fins operacionais e regulatórios, a diferença entre criptografia e exfiltração muda a resposta, o tipo de notificação e a exposição legal. Aqui houve um ataque com impacto funcional e, além disso, uma investigação formal da autoridade de dados. Em julho, esse caso ficou como um dos poucos episódios em que a fonte permitiu distinguir a forma do dano.

SPDM no leak site da Global Secret Group

A SPDM apareceu listada publicamente pela Global Secret Group com 847 GB de dados reivindicados e um volume de 871.912 arquivos em 76.047 pastas. O material confirma a publicação no site de vazamento e a dimensão da alegação, mas não permite afirmar, a partir da fonte primária, se a criptografia ficou visível ou se o caso se limitou a extorsão com exfiltração. Ainda assim, o simples fato de um grande prestador hospitalar ficar exposto dessa forma agrava o risco setorial.

Sinop Energia e a pressão sobre a infraestrutura elétrica

A Sinop Energia, operadora da usina hidroelétrica de Sinop, em Mato Grosso, foi listada pela Global Secret Group como vítima de ransomware com 300 GB de dados exfiltrados. O caso acrescenta uma peça diferente ao mapa de julho, porque desloca a atenção da saúde para a infraestrutura energética, com potencial impacto mais amplo por sua relação com serviços essenciais. A evidência pública disponível respalda a alegação e o volume filtrado, mas não uma confirmação pública detalhada sobre impacto operacional maior.

msgas.com.br e o caso Blackwater

A empresa brasileira de gás msgas.com.br foi documentada como vítima de Blackwater, com exposição de dados pessoais de clientes, contratos e dados internos segundo análise técnica independente. Diferentemente de outros casos que aparecem apenas em trackers, aqui há uma descrição mais concreta do conteúdo roubado. A ficha pública da brecha também detalha uma linha do tempo mais útil, com publicação em 25 de julho e divulgação anterior em junho.

Reni Farmácias Associadas e Doommageddon

A Reni Farmácias Associadas aparece nos registros públicos de ransomware como vítima de Doommageddon, com incidente descoberto em 19 de julho. O material disponível confirma a inclusão da organização no ecossistema de vítimas e sua localização em saúde, mas não permite precisar se houve criptografia, exfiltração ou ambas. É um bom exemplo de por que o relatório separa referência em leak site de impacto verificado.

Francisco Imóveis e redeplastrs.com.br nos registros de julho

No mapa de ransomware.live, Francisco Imóveis e redeplastrs.com.br ficaram registrados como vítimas de Doommageddon e Blackfield, respectivamente, com ataques estimados em 1 de julho e descobertas nos primeiros dias do mês. Essas menções ampliam a presença do ransomware no Brasil para além dos setores que costumam concentrar a atenção, mas o material não traz detalhes técnicos suficientes para tipificá-los além da inclusão pública como vítimas.

Ameaças e campanhas ativas no Brasil

Ransomware e extorsão, com três níveis de evidência

O material de julho permite distinguir três planos. Primeiro, casos com criptografia confirmada, como Isac Tecnología en Saúde. Segundo, casos com exfiltração ou roubo de dados confirmado, como SPDM e Sinop Energia. Terceiro, menções em leak sites em que a fonte não informa o impacto real, como Reni Farmácias Associadas, Francisco Imóveis ou redeplastrs.com.br. Essa separação é central, porque o número global de 25 casos com ransomware ou extorsão como eixo primário mistura fenômenos relacionados, mas não idênticos.

Nesse conjunto, a extorsão mostrou maturidade operacional clara. Vários ataques contra o Brasil se apoiaram em publicação de dados, pressão reputacional e impacto em cadeias de suprimento, mais do que em criptografia massiva visível ao público. Essa lógica aparece especialmente em saúde e energia. A leitura para as equipes de defesa é direta, os controles de backup já não bastam sozinhos se a organização não proteger também credenciais, superfícies expostas e rotas de exfiltração.

Fraude e phishing, sem casos documentados no período

Não houve casos de fraude ou phishing documentados como incidentes do período dentro do material verificado de julho. Isso não significa ausência de risco, porque o mês trouxe sinais regulatórios e de contexto sobre fraude financeira, falsificação de identidade e abuso de plataformas, mas esses fatos não entram na contagem de incidentes porque não foram apresentados como casos operacionais individuais com impacto confirmado.

APT, hacktivismo e abuso de infraestrutura legítima

O Brasil também apareceu em campanhas que não se enquadram em ransomware puro. PhantomEnigma, por exemplo, abusou de mais de 20 sites governamentais brasileiros para distribuir malware e mirou bancos e órgãos públicos usando domínios confiáveis e e-mail legítimo. Esse padrão não confirma patrocínio estatal nem uma atribuição APT fechada, mas mostra uma tática de engenharia de confiança que eleva o risco de entrega inicial.

Na mesma linha, foi relatada uma suposta intrusão no ecossistema de pagamentos do PagBank por meio de um manifesto de um grupo que se identifica como 1877 Team. O material disponível não traz confirmação independente por autoridades ou pelo próprio fornecedor, então o caso deve ser lido como alegação, não como incidente verificado. Ainda assim, o episódio é útil para monitorar o apetite dos atores por infraestrutura financeira brasileira.

Vulnerabilidades críticas com impacto no Brasil

A concentração de vulnerabilidades em componentes web e plataformas expostas à internet não foi casual. Em julho, o material também associou a exploração ativa de VPNs corporativas a comprometimentos reais em organizações brasileiras, sobretudo por meio da CVE-2024-24919. O resultado prático é uma superfície de ataque bastante clara, acesso perimetral, CMS, componentes de formulários e colaboração empresarial.

Regulação e conformidade no Brasil

A agenda regulatória concentrou boa parte do mês. A ANPD encerrou a primeira fase de monitoramento sobre 56 agentes de tratamento, com 27 cumprimentos integrais, 8 casos com pendências e 21 sem resposta. Esse retrato já mostra um regulador disposto a sair do discurso e partir para a sanção, não só no campo abstrato da LGPD, mas também em controles básicos, canais de atendimento e definição de responsáveis.

A isso se somou o novo marco operacional para plataformas digitais. Os Decretos 12.975/2026 e 12.976/2026 entraram em vigor em 20 de julho e ampliaram deveres sobre moderação de conteúdo, publicidade ilegal, transparência, mecanismos de recurso e responsabilidade por falhas sistêmicas. A ANPD passou a ser a autoridade central para fiscalizar uma parte substantiva do regime. O movimento é claro, mais obrigações e mais rastreabilidade, com menos espaço para a inércia das plataformas.

O caso das mulheres na internet marcou uma frente sensível. O Decreto 12.976 impôs prazos para tornar indisponível conteúdo íntimo não consentido, inclusive quando manipulado com inteligência artificial, e deu à ANPD competência para regular, fiscalizar e apurar infrações. Em paralelo, a autoridade atualizou seus canais de denúncia e começou a monitorar a geração e a modificação de conteúdo íntimo por IA. Essa combinação de norma e capacidade de enforcement já produz efeitos concretos.

O Banco Central seguiu uma lógica diferente, mas convergente. Sua discussão sobre o Pix parte de uma visão prudencial do risco cibernético e o coloca no centro da supervisão financeira. A possibilidade de limitar horários, valores, registro de chaves e até suspender o acesso ao sistema não foi apresentada como uma sanção isolada, mas como resposta preventiva a instituições com controles frágeis. Para bancos e fintechs, isso transforma a cibersegurança em condição operacional do negócio.

Houve ainda anúncios da Susep, consultas da ANPD com o PNUD e vários projetos legislativos em curso, entre eles o PL 4.752/2025 sobre Marco Legal de Cibersegurança. O padrão é consistente, o Brasil não apenas reage a incidentes, como também está reescrevendo o perímetro regulatório que define quem pode operar, sob quais obrigações e com quais controles mínimos.

Setores mais afetados no Brasil

Saúde foi o setor mais sensível do mês pela combinação de volume, exposição de dados e custo social. Isac Tecnología em Saúde, SPDM e Reni Farmácias Associadas mostram uma continuidade que dispensa muita interpretação. Há pressão sobre clínicas, hospitais, prestadores e fornecedores tecnológicos do ecossistema sanitário. Além disso, o material de contexto reforça que a saúde é um dos campos em que o Brasil concentra uma proporção muito alta da atividade regional de ransomware.

Serviços corporativos também seguiram sob pressão. A análise de Lucas Alcaraz colocou esse segmento como o principal foco de ataque de ransomware no Brasil em 2026 dentro do material disponível, e várias vítimas publicadas em julho se encaixam nesse padrão. A razão é conhecida, os grupos criminosos seguem mirando onde há continuidade operacional, pagamentos possíveis e cadeias amplas de terceiros.

Energia e utilities apareceram com peso próprio por meio de Sinop Energia e msgas.com.br. Embora o número de casos seja menor do que em saúde, o risco sistêmico é maior. Um incidente nesse tipo de ambiente pode trazer consequências para a continuidade do serviço, para a regulação setorial e, potencialmente, para a infraestrutura crítica.

Tecnologia, consumo e imobiliário completaram o mapa. Não são setores que dominam a conversa pública todos os meses, mas julho mostrou que o ransomware e a extorsão não ficaram restritos aos verticais habituais. Essa dispersão obriga a não ler o mês apenas como uma história de hospitais, e sim como uma pressão transversal sobre organizações com exposição digital e capacidade de pagamento.

Tendências e sinais a monitorar no Brasil

A comparação com o mês anterior mostra uma mudança clara de eixo. Em junho, a ameaça predominante do informe havia sido a categoria de incidentes, com 25 de 67 fatos. Em julho, o lugar passou a ser ransomware, com 25 de 64 fatos. Não se trata de uma simples mudança estatística, é um sinal de que a extorsão voltou a organizar a agenda local com mais força que as brechas ou interrupções genéricas.

Também mudou o perfil dos fatos sem tipificação. Eles caíram de 25 para 10 em relação ao mês anterior. Isso sugere melhor qualidade de tipificação na cobertura, mas também mais casos em que o material permitiu identificar o componente de ransomware com maior precisão. Ao mesmo tempo, os casos de fraude ou phishing documentados passaram de 5 para 0, o que não elimina o problema, mas indica que julho foi dominado por outras frentes.

A regulação avançou com força. Os movimentos regulatórios cresceram de 6 para 13, e isso não é um detalhe. O Estado reagiu a incidentes e a riscos estruturais com mais monitoramento, mais decretos e mais consultas públicas. Para as equipes de segurança, isso significa que o risco já não se mede só em infecções ou vazamentos, mas também na capacidade de cumprir exigências de supervisão, prova documental e resposta rápida.

Em vulnerabilidades críticas, o salto de 2 para 5 CVEs mencionados é um sinal de superfície exposta mais ampla. Isso não significa que tenha havido mais exploração do que em outros meses, mas mostra que julho trouxe mais referências a falhas ativamente exploradas ou claramente priorizadas pelos órgãos de resposta. O foco deve continuar em VPNs, CMS, SharePoint e componentes expostos à internet.

Em comparação com o restante da América Latina, o Brasil seguiu como um outlier em volume e na concentração de vítimas reivindicadas. A região mostrou campanhas transversais sobre saúde, serviços e governo, mas o Brasil manteve uma densidade particular em ransomware e um ecossistema regulatório mais ativo. Essa combinação o transforma em um caso de referência regional, e não apenas em mais um país dentro do mapa.

Recomendações para equipes de segurança no Brasil

Primeiro, reforçar o acesso remoto e a exposição perimetral. O material de julho voltou a colocar VPNs, gateways e soluções de acesso no centro das intrusões. Patches, MFA obrigatória, revisão de credenciais privilegiadas e segmentação de acessos não devem continuar sendo tratados como tarefas de ciclo, e sim como controles permanentes e auditáveis.

Segundo, revisar a capacidade de conter a exfiltração além do criptografamento. No Brasil, vários casos do mês mostraram que o dano mais provável já não é só a indisponibilidade, mas a publicação de dados e a extorsão secundária. Isso exige monitoramento de saída, detecção de transferências anômalas, hardening de backups e um plano de resposta que inclua comunicações legais e regulatórias.

Terceiro, preparar evidências para o regulador antes de precisar delas. A ANPD mostrou uma agenda mais agressiva, o Banco Central também, e vários setores ficaram sob vigilância específica. As equipes de segurança e compliance devem manter listas atualizadas de ativos, responsáveis, provas de remediação, canais de atendimento e rastreabilidade de incidentes. Se não estiver documentado, em julho ficou claro que pode contar como descumprimento.

Quarto, priorizar as plataformas web de negócio e colaboração. O mês combinou CVEs em CMS, formulários, SharePoint e soluções muito usadas em ambientes corporativos. Isso obriga a acelerar o inventário de exposição, os ciclos de patching, a validação de componentes de terceiros e a busca por configurações antigas que já não resistem à pressão atual.

Quinto, para setores críticos como saúde, energia e serviços financeiros, alinhar a cibersegurança com a continuidade operacional. Os casos de julho mostram que os atores adversários miram onde o tempo de parada custa mais. A resposta deve incluir recuperação testada, isolamento de sistemas vitais, proteção de identidade e simulações que não se limitem à mesa de crise.

Limitações do material

Este relatório foi elaborado exclusivamente com os fatos fornecidos para o Brasil, em julho de 2026, e com o marco comparativo explicitamente identificado como pertencente a meses anteriores. A janela temporal dos indicadores é a declarada no início, 66 fatos com data em julho de 2026 e 1 fato de meses anteriores usado apenas como comparação, não como volume do mês.

Um valor em 0, em particular nos casos de fraude ou phishing documentados, significa que não apareceram fatos desse tipo no material analisado de julho. Isso não implica ausência real de fraude ou phishing no Brasil durante o mês, apenas ausência de registro verificável dentro deste corpus. O mesmo vale para CVEs e para qualquer categoria não observada no período, ausência de registro não é ausência na região.

A separação entre ransomware com criptografia confirmada, extorsão com exfiltração e simples menção em leak site foi respeitada quando o material permitiu. Em vários casos, a fonte não especificou se houve criptografia e, nesses casos, não foi forçada uma tipificação adicional. Também não foram somados números de telemetria agregada, porque correspondem a tentativas ou bloqueios automatizados e não a intrusões com impacto confirmado.

Foram excluídas do corpo todas as fontes não aptas para citação sob as regras deste relatório, incluindo publicações em redes sociais de consumo e publicações no LinkedIn, além de qualquer material promocional ou patrocinado que não funcionasse como fonte primária verificável. Quando foram mencionadas tendências ou leituras de risco, priorizaram-se órgãos oficiais, CERT/CSIRT, avisos de fabricantes e registros de vítimas, não notas comerciais nem conteúdos de marketing.