Brasil: cibersegurança em setembro de 2026

Ameaças e campanhas ativas no Brasil

Ransomware e extorsão no Brasil

A atividade de ransomware e extorsão no Brasil seguiu alta, mas o material do mês mostra uma mistura de cifragem confirmada, leaks e alegações não verificáveis. O único caso com cifragem de ativos confirmada no material do período foi o de incidentes judiciais e de serviços, enquanto a maioria dos demais eventos ficou como reivindicação de grupo ou listagem em sites de vazamento sem prova independente completa.

Entre os casos citados apenas em leak site aparecem K3G Solutions Brazil, Camorim Serviços Marítimos e a Receita Federal, todos com diferentes graus de verificação e com a ressalva de que a fonte nem sempre deixa claro se houve cifragem. No caso da K3G Solutions, por exemplo, o material fala em ameaça de publicação e em exfiltração estimada, mas não em cifragem confirmada pela vítima.

Também houve registros de extorsão contra organizações de manufatura, tecnologia, transporte e educação, mas em vários casos a evidência pública ficou limitada a trackers ou agregadores. Para este relatório, isso se traduz em um quadro claro de pressão extorsiva, mas não em uma soma homogênea de impactos técnicos.

Fraude, phishing e identidade sintética no Brasil

A frente de fraude foi uma das mais intensas do mês, sobretudo no sistema financeiro. O Pix concentrou múltiplos sinais, da adulteração de QR e do código copia e cola em lojas virtuais às novas regras do Banco Central para marcar CPFs e CNPJs suspeitos, rejeitar operações associadas e notificar o usuário. Em paralelo, a Justiça e a polícia seguiram documentando esquemas com uso de credenciais, sites falsos e falsificação de identidade.

A novidade mais clara foi a consolidação de deepfakes e clonagem de voz como ferramentas de fraude. O material fala em roubo de R$ 80 mil por meio de reconhecimento facial enganado por IA, em campanhas que já representam 1 de cada 15 fraudes detectadas no Brasil em 2026 e em perdas estimadas em R$ 1,8 mil bilhões entre julho de 2025 e abril de 2026. Tudo isso coloca a identidade sintética como um risco operacional e financeiro de primeira linha.

Também houve campanhas de phishing mais clássicas, mas mais articuladas. O caso do exame falso para a polícia, que usou a marca Cebraspe para executar pagamentos fraudulentos via Pix, ilustra uma combinação de engenharia social, falsificação institucional e abuso da confiança em APIs ou validações automáticas.

APT, intrusão assistida por IA e hacktivismo no Brasil

Não houve um grande caso de APT estatal clássico no material de setembro, mas houve várias campanhas com traços de intrusão persistente, uso de ferramentas automatizadas e impacto sobre infraestrutura pública. A mais visível foi a operação de SEO poisoning contra domínios .gov.br, atribuída a um ator de língua chinesa, que comprometeu servidores públicos e usou sua autoridade de buscador para redirecionar tráfego a apostas e phishing.

Em paralelo, Unit 42, Cloud Security Alliance e outras fontes descreveram campanhas na América Latina com apoio de IA, tunneling, RATs personalizados e proxies SOCKS5, com foco financeiro no Brasil. O caso CL-CRI-1163, em particular, envolveu phishing com anexo de currículo, RATs e SockTz para criar um proxy SOCKS5 reverso. O material não o apresenta como APT estatal, mas sim como uma intrusão organizada e contínua.

Também houve sinais de hacktivismo ou de abuso de infraestrutura pública em sentido amplo. A campanha Gambling Goblin contra sites .gov.br não buscou espionagem nem cifragem, mas manipulação de reputação e monetização por apostas, com impacto direto na superfície pública brasileira.

Vulnerabilidades críticas com impacto no Brasil

O padrão técnico de setembro foi claro: quase tudo o que era crítico chegou com exploração ativa ou com inclusão em KEV. Isso faz com que a prioridade de correção no Brasil não dependa só da severidade teórica, mas da exposição real e da presença de infraestrutura com borda exposta, identidade na nuvem, acesso remoto ou software de colaboração e comércio.

Regulação e compliance no Brasil

Em setembro, o Brasil teve uma agenda regulatória intensa, com dois focos principais: ativos virtuais e fiscalização de plataformas digitais. O Banco Central publicou as Resoluções BCB 587, 588 e 589, que endureceram o regime do Pix, o reporte ao Coaf e a relação com prestadores não autorizados de ativos virtuais. A implementação também foi escalonada, com partes entrando em vigor em outubro de 2026 e outras previstas para 2027.

O efeito regulatório mais visível recaiu sobre fraude e rastreabilidade. As novas regras permitem marcar CPFs ou CNPJs suspeitos, rejeitar operações associadas e exigir que os participantes preservem os fundamentos e notifiquem o usuário. Em paralelo, avançou a comunicação automática sobre transferências com carteiras autocustodiadas, além de restrições a instituições que operem com contrapartes não autorizadas.

A ANPD também movimentou sua agenda. A autarquia abriu consulta pública sobre o regulamento de fiscalização e o processo administrativo sancionador, convocou audiência pública e seguiu aplicando medidas sobre plataformas como o Discord. O marco do ECA Digital aparece como pano de fundo, porque a autoridade de dados já atua sobre serviços e plataformas com impactos prováveis em menores e na proteção de dados.

A leitura de compliance é que o Brasil está pressionando seus regulados por mais rastreabilidade, documentação das decisões e resposta mais rápida a incidentes. Isso vale para bancos, fintechs, exchanges, plataformas digitais e, cada vez mais, para órgãos públicos com serviços expostos.

Setores mais afetados no Brasil

O setor público foi o mais impactado no mês em termos de interrupção e exposição. Justiça, agências federais, plataformas de dados e órgãos com infraestrutura compartilhada concentraram os casos mais sensíveis. Não se trata apenas do número de eventos, mas da capacidade de suspender prazos, bloquear audiências, tirar sistemas do ar ou expor credenciais e dados pessoais.

O setor financeiro continuou como alvo estrutural, tanto por fraude quanto por exploração técnica. Pix, bancos, fintechs, BRB, BRBJUS e os casos de deepfake mostram que o dinheiro segue sendo o principal incentivo e o canal de extração mais rápido. Além disso, a carga regulatória recaiu justamente sobre esse ecossistema, sinal de que o regulador enxerga uma tensão contínua entre inovação, disponibilidade e controle de fraudes.

Em transporte e logística houve menos casos, mas não menos relevância. A Águia Branca mostrou que um incidente no canal de vendas já basta para acionar notificação, contenção e revisão de acessos. Na saúde, o cenário foi mais de continuidade operacional e extorsão do que de exposição em massa, embora o histórico do Brasil no setor e a menção a incidentes em clínicas e hospitais indiquem uma superfície persistente.

Tendências e sinais a monitorar no Brasil

A comparação com agosto mostra uma alta forte em incidentes sem tipificação, uma queda em fraudes ou phishing documentados e uma redução nos movimentos regulatórios, mas com mais CVEs críticos mencionados. Essa combinação sugere que setembro não foi um mês de menor risco, e sim de maior materialização operacional e técnica em algumas verticais específicas.

A ameaça predominante mudou de "sem classificação" em agosto para "incidentes" em setembro. Essa virada importa porque indica que o mês deixou mais fatos com impacto verificável e menos ruído de reclamações sem tipificação. Em outras palavras, o material de setembro permite ver melhor onde o risco dói, embora isso não signifique necessariamente que o ecossistema esteja menos hostil.

Também vale acompanhar dois sinais. O primeiro é a convergência entre fraude financeira e identidade sintética, que já não aparece como tendência de laboratório, mas como comportamento consolidado em campanhas reais. O segundo é a relação entre exploração de CVEs críticos e exposição de serviços de borda, identidade e colaboração, um padrão que pode continuar afetando governo, telecom e o setor financeiro.

No plano regional, o Brasil segue aparecendo como o principal polo de pressão de ameaças na América Latina. Isso não significa que tudo aconteça no Brasil, mas que uma parcela desproporcional da atividade, sobretudo financeira e de extorsão, continua concentrada ali.

Recomendações para equipes de segurança no Brasil

1. Priorizar a contenção de identidade e acesso em sistemas judiciais, financeiros e de governo. Se houve acesso a credenciais ou indisponibilidade de serviços, o foco imediato deve estar em redefinição de senhas, revogação, rastreabilidade e monitoramento de sessão.

2. Revisar as regras de fraude nos canais de pagamento, especialmente Pix, QR e transferências com autenticação reforçada. O material do mês mostra abuso de marcas de suspeita, contas falsas, clonagem de voz e manipulação de recibos e comprovantes.

3. Acelerar a correção das CVEs críticas listadas pelo CTIR Gov e das vulnerabilidades com exploração ativa confirmada pelo KEV. As superfícies mais expostas são e-mail, firewall, acesso remoto, colaboração e software self-managed.

4. Revisar a exposição de terceiros e a governança de plataformas externas. Os casos BRBJUS e Águia Branca mostram que a dependência de fornecedores ou ambientes de terceiros pode transformar uma indisponibilidade técnica em um incidente operacional e de reputação.

5. Reforçar a detecção de fraude com sinais não biométricos. O mês deixou claro que a biometria facial sozinha não basta diante de deepfakes, face swap e clonagem de voz.

6. Manter prontos os procedimentos de notificação e preservação de evidências para a ANPD, o Banco Central e autoridades setoriais. O custo da demora já não é só reputacional, também pode se transformar em descumprimento regulatório.

7. Validar controles de SEO poisoning, hardening web e monitoramento de integridade em sites públicos ou de alta reputação. A campanha contra .gov.br mostrou que um site comprometido pode ser usado como infraestrutura de distribuição e monetização.

Perguntas frequentes

Que cruzamento de setembro envolveu justiça, fraude e continuidade operacional no Brasil?

O mês conectou dois planos que costumam ser analisados separadamente: interrupção de serviços e fraude econômica. O TJMT perdeu disponibilidade e credenciais, enquanto o BRBJUS sofreu indisponibilidade com desvio de fundos. Os dois casos mostram que uma brecha técnica no Brasil pode afetar processos judiciais e dinheiro ao mesmo tempo.

Como as novas regras do Banco Central se relacionam com os fraudes por Pix e deepfakes?

As novas resoluções do Banco Central miram marcas de suspeita, rastreabilidade de CPFs e CNPJs e mais controle sobre transferências com autocustódia. Isso responde a um fraude que já usa deepfakes, clonagem de voz, QR alterados e credenciais roubadas, então regulação e técnica passaram a atuar no mesmo frente.

Que vínculo existe entre as CVEs críticas e os setores mais afetados do mês?

As vulnerabilidades críticas atingiram justamente as superfícies que mais aparecem nos incidentes brasileiros: e-mail, acesso remoto, identidade, colaboração e serviços públicos expostos. O caso mais claro foi o GitLab, com exploração ativa, enquanto o CTIR Gov priorizou falhas da Cisco e da Microsoft que podem impactar governo, finanças e operação crítica.

Por que o relatório separa ransomware, extorsão e simples menção em leak site?

Porque não significam a mesma coisa. Em setembro houve um caso com impacto operacional confirmado, vários relatos de extorsão e várias menções em sites de vazamento sem confirmação pública. Misturar tudo apagaria diferenças importantes para um CISO, principalmente quando a fonte não informa se houve criptografia ou apenas a publicação da exigência.

Quais setores devem acompanhar mais de perto a agenda de conformidade?

Finanças, setor público e plataformas digitais devem acompanhar de perto. O Banco Central endureceu o Pix e o controle sobre ativos virtuais, enquanto a ANPD ampliou a fiscalização sobre plataformas e aplicou medidas sobre serviços com impacto em menores. Isso obriga bancos, fintechs, exchanges e órgãos com dados sensíveis a coordenar jurídico, segurança e operações.

Limitações do material

Este informe foi construído exclusivamente com o material fornecido para setembro de 2026 e com os fatos datados dentro dessa janela. Os fatos de meses anteriores foram usados apenas como referência comparativa quando o material permitiu, e os fatos sem data confirmada ficaram excluídos dos indicadores do período, embora possam ter sido citados como contexto qualitativo.

Um valor zero ou uma ausência na tabela não significa que o fato não tenha existido no Brasil ou na região, mas que ele não apareceu no material analisado para este mês ou não pôde ser confirmado com a evidência disponível. Isso é especialmente importante para CVEs, porque a contagem reflete apenas o que foi registrado no corpus, não a totalidade das vulnerabilidades exploradas no país.

A telemetria agregada de tentativas, bloqueios ou médias semanais de vendors foi excluída do volume de incidentes e só pode ser mencionada como ruído de fundo da internet, não como impacto confirmado. Também ficaram fora como base de contagem os números de material promocional, publieditoriais e alguns comunicados comerciais, embora possam ter servido como contexto se estavam corroborados por fontes mais sólidas.

Por fim, a seção regulatória incorpora decisões, consultas e resoluções que estavam na janela temporal, mas não parte do pressuposto de que toda afirmação secundária da imprensa seja equivalente a uma norma já publicada. Quando o material não permitiu determinar se houve criptografia, exfiltração ou apenas reivindicação em leak site, essa limitação foi indicada explicitamente em vez de forçar uma tipificação.