Chile: situação da cibersegurança, julho de 2026

Indicadores do período no Chile

Incidentes relevantes no Chile

Ministério dos Transportes e Telecomunicações, incidente ainda não confirmado

Em 4 de julho, foi relatado um suposto incidente de cibersegurança que teria afetado a infraestrutura do Ministério dos Transportes e Telecomunicações. A cobertura citou a Vecert Analyzer e a VECERT Radar, que classificaram o caso como allegedly, unconfirmed. Também foi mencionada uma base de dados com mais de 100.000 registros e dados pessoais e trabalhistas, mas o material disponível não permite afirmar impacto confirmado nem atribuição validada por uma autoridade chilena.

Campanha de smishing com falsificação de órgãos públicos e empresas

Em 29 de julho, a CronUp descreveu uma campanha massiva de smishing em expansão no Chile. As mensagens SMS levavam a links maliciosos que imitavam órgãos públicos e empresas. O caso chama atenção porque se conecta a dois padrões do mês, o roubo de credenciais e a exploração da confiança em comunicações urgentes ou aparentemente oficiais.

Golpes digitais durante o sistema frontal

Em 21 de julho, a ADN Radio alertou sobre mensagens fraudulentas ligadas a falsos bônus e supostos cortes de serviços durante o sistema frontal. A peça é relevante porque mostra como o contexto climático é usado como isca para fraude. Não houve um único vetor técnico dominante, mas a reutilização da urgência social como mecanismo de captura.

Vishing bancário e resposta coordenada do sistema financeiro

Entre 23 e 28 de julho, vários veículos chilenos noticiaram alertas bancários diante do vishing. A mensagem foi consistente, nenhum banco está autorizado a pedir chaves, senhas ou códigos por telefone. O sinal operacional é claro, os atacantes seguem usando voz, pressão e falsificação para contornar controles humanos, mais do que controles tecnológicos.

Ameaças e campanhas ativas no Chile

Ransomware e extorsão com impacto primário

Em julho, foram documentados 9 casos com ransomware ou extorsão como eixo principal. O material nem sempre permite distinguir se houve criptografia, exfiltração sem criptografia ou apenas presença em um site de vazamentos. Em 1 caso, a fonte descreve exfiltração sem criptografia. Em 8, a tipificação não pode ser determinada com precisão a partir do material fornecido.

Apenas menção em leak site, sem impacto verificado

O ecossistema de ransomware registrou reclamações contra vítimas chilenas, entre elas Grupo Minero Las Cenizas e Hardware Asesorías Software Ltda. No entanto, nos casos citados aqui, o material de julho não permite afirmar um impacto operacional confirmado dentro do Chile. Em um caso, a fonte atribui uma suposta filtragem a um grupo e a classifica como unconfirmed claim. Em outro, a ficha aparece em rastreadores especializados, mas a relação com infraestrutura chilena ou com uma intrusão efetiva não fica comprovada pelas evidências fornecidas.

Fraude e phishing

O mês deixou 7 casos documentados de fraude ou phishing. A maior parte se estruturou em torno da imitação de bancos, órgãos públicos e serviços de interesse cidadão. No Chile, a engenharia social segue funcionando porque mira a decisão rápida, não a fragilidade técnica do perímetro. A campanha de vishing e o smishing de fim de mês pertencem à mesma família de risco, embora mudem o canal e o pretexto.

APT, intrusão oportunista e ciberinteligência

O caso do Ministério de Transportes y Telecomunicaciones não pode ser classificado como intrusão confirmada. Ainda assim, funciona como sinal de ciberinteligência que merece acompanhamento. O material disponível não traz TTPs oficiais nem IoCs reutilizáveis, então não cabe enquadrá-lo como APT. Mesmo assim, o caso aumenta a pressão sobre o setor público e mostra que atores de ameaça continuam observando a infraestrutura estatal chilena como alvo de alto valor.

Vulnerabilidades críticas com impacto no Chile

Regulação e compliance no Chile

A regulação foi o eixo dominante do mês. A Agência Nacional de Cibersegurança publicou a Resolução Exenta N° 187 e encerrou a segunda etapa do primeiro processo de qualificação de Operadores de Importância Vital. Isso colocou 239 novas entidades sob um regime reforçado de segurança, continuidade, reporte e supervisão. A lista não é decorativa, reorganiza obrigações para setores inteiros e leva a cibersegurança para a estrutura de governança corporativa.

A Lei Marco de Cibersegurança ficou mais bem delimitada em termos operacionais. As instituições essenciais e os OIV devem notificar incidentes significativos ao CSIRT Nacional com um alerta inicial em até 3 horas, uma atualização em 72 horas e um relatório final em 15 dias. Quando o fato compromete serviços essenciais de um OIV, a atualização deve chegar em no máximo 24 horas. A norma também prevê sanções graduadas e tetos mais altos para operadores vitais.

A nova Lei 21.719 de Proteção de Dados Pessoais surgiu como uma segunda frente regulatória. Em julho, várias coberturas a trataram como já em vigor ou em plena fase de implementação. O material disponível descreve obrigações de levantamento de tratamentos, análise de lacunas, base legal, ações corretivas e notificação à futura Agência de Proteção de Dados e aos titulares em prazo restrito quando a violação implicar risco. Para bancos, fintechs e varejistas com meios de pagamento, isso significa mais carga documental e menos margem para improviso.

O projeto sobre deepfakes acrescenta outra camada. A discussão não se limita a conteúdos falsos, mas cruza integridade digital, consentimento, rastreabilidade e responsabilidade das plataformas. As obrigações sobre rotulagem visível, canais de denúncia e remoção em 72 horas mostram uma tendência de exigir respostas procedimentais concretas, não apenas princípios gerais.

Setores mais afetados no Chile

A distribuição setorial do mês mostrou governo, finanças, saúde, energia e mineração como os espaços mais visíveis na evidência acumulada. Isso não significa que sejam os únicos afetados, porque um mesmo fato pode atingir mais de um setor, mas indica onde a sinalização se concentrou. A combinação de incidentes governamentais, fraude bancária, alertas sanitários e exposição de infraestrutura crítica sugere um país com riscos distribuídos, embora não homogêneos.

O governo aparece em dobro, como alvo histórico de incidentes e como foco da nova arquitetura regulatória. O suposto vazamento do Ministério de Transportes e Telecomunicações reforça essa exposição, embora sem confirmação oficial. Já as finanças foram atravessadas por três forças distintas: fraude ao cliente, novas exigências de autenticação reforçada e pressão por cumprimento de normas de dados pessoais. É um setor que não apenas enfrenta ataques, mas também uma obrigação crescente de demonstrar controles efetivos.

Saúde e serviços básicos seguem sensíveis pela qualidade dos dados que administram e pelo impacto social de uma interrupção. O marco de OIV amplia essa sensibilidade para água, transporte, combustíveis, telecomunicações e infraestrutura digital. Essa mudança é decisiva, porque transforma setores tradicionalmente vistos como de suporte em alvos centrais para a resiliência nacional.

A leitura prática é que o Chile deixou de pensar a cibersegurança apenas como defesa do perímetro corporativo. O mês mostrou, mais uma vez, que a exposição real nasce da interdependência entre dados, serviços, identidade digital e continuidade operacional. Quando esses quatro componentes se cruzam, o impacto não se limita à TI. Ele se transfere para o negócio, para o usuário final e para o Estado.

Tendências e sinais a monitorar no Chile

Não há base comparativa para quase todos os indicadores do período, então não cabe inventar uma tendência intermensal onde o material não a fornece. Ainda assim, é possível observar uma tendência qualitativa sólida, julho foi mais regulatório do que os meses anteriores no material disponível e mais explícito na imposição de obrigações a setores críticos.

A principal sinalização a acompanhar é a execução real da Lei Marco de Cibersegurança. Julho mostrou a passagem da norma para a administração concreta do regime, com listas finais, resoluções e guias. Isso deve se traduzir em mais auditoria, mais reportes e maior exigência de continuidade. Se os OIV não amadurecerem suas capacidades, o descompasso regulatório vai ficar visível rapidamente.

Outra sinalização é o endurecimento da fraude de identidade. O vishing, o smishing e as fraudes oportunistas ligadas a conjunturas sociais ou climáticas mostram uma economia do engano cada vez mais profissionalizada. Não é preciso uma vulnerabilidade técnica sofisticada para gerar dano. Basta uma cadeia de confiança mal resolvida.

Também será preciso observar o efeito da nova Lei de Dados e do projeto de deepfakes sobre plataformas, fornecedores e empresas que usam IA generativa em atendimento ao cliente, marketing ou validação de identidade. O cruzamento entre automação e conformidade já não é teórico. Começa a condicionar contratos, processos internos e exposição reputacional.

Por fim, convém seguir a relação entre alertas de vulnerabilidades exploradas ativamente e o inventário nacional de ativos críticos. OpenSSH, Ivanti, ColdFusion, Citrix e SharePoint não são casos isolados no relatório. São lembretes de que a aplicação de patches segue sendo uma obrigação operacional de primeira ordem, especialmente onde há exposição à internet e serviços essenciais.

Recomendações para equipes de segurança no Chile

1. Revisar imediatamente se a organização foi incluída como Operador de Importância Vital e, nesse caso, alinhar governança, resposta e continuidade aos prazos de 3 horas, 72 horas e 15 dias.
2. Validar os fluxos de notificação com CSIRT, jurídico, continuidade e relações institucionais. O maior risco em um incidente regulado não costuma ser apenas técnico, mas também de coordenação.
3. Reforçar antifraude e verificação fora de banda para vishing, smishing e falsificação de órgãos públicos. Não confiar no canal que o atacante controla.
4. Priorizar correção de falhas e exposição em serviços publicados na internet. O material do mês traz vários exemplos de exploração ativa ou conhecida em plataformas de uso amplo.
5. Se a organização usa IA generativa ou publica conteúdos sintéticos, preparar rastreabilidade, rotulagem e procedimentos de remoção ou correção antes que a norma os exija de forma mais rígida.
6. Verificar se as equipes de resposta têm critérios para classificar incidentes sem superestimar rumores de vazamento, mas sem desconsiderar sinais iniciais de ciberinteligência.
7. Assegurar inventário atualizado de ativos críticos, especialmente em transportes, combustíveis, saúde, telecomunicações e serviços digitais, porque a mudança regulatória chilena já os trata como superfícies de risco sistêmico.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para julho de 2026 e com a janela temporal declarada pelos indicadores, 70 fatos datados de julho de 2026 e 5 posteriores excluídos do cálculo. Os fatos de outros meses só foram usados quando a comparação estava expressamente permitida e sempre com mês explícito.

Um indicador em 0, especialmente o de CVEs críticos mencionados, significa que não houve registro no material analisado durante julho de 2026. Isso não implica ausência de vulnerabilidades críticas ou exploração ativa na região. De fato, o material traz alertas sobre OpenSSH, Ivanti, Citrix, ColdFusion, SharePoint e SonicWall, mas eles não foram contabilizados como CVEs críticos no indicador mensal pela forma como foram consolidados.

Também ficam fora do volume as cifras de telemetria agregada, como tentativas ou bloqueios automatizados. Neste mês, foram mencionados 8,8 billones de intentos de ciberataque em 2025 segundo SEK e ADN Radio, mas esse dado é telemetria de volume, não incidentes confirmados com impacto. Ele não foi somado aos incidentes do período.

O material disponível excluiu fontes que não estão na lista autorizada para citação, incluindo redes sociais de consumo, publicações no LinkedIn e conteúdo patrocinado ou puramente comercial. Quando alguma peça trouxe dados não confirmados, o relatório os tratou como tais e evitou transformá-los em fatos fechados. Isso é especialmente relevante nos casos de supostos vazamentos e alegações de ransomware, em que a evidência pública nem sempre é suficiente para confirmar intrusão, criptografia ou exfiltração.