Chile: panorama de cibersegurança, setembro de 2026

Ameaças e campanhas ativas no Chile

Ransomware e extorsão no Chile

Setembro registrou 17 casos com ransomware ou extorsão como eixo principal, com predominância de ocorrências em que a fonte não permite distinguir com precisão se houve criptografia, exfiltração ou apenas menção em um leak site. Na prática, o cenário foi dominado pela visibilidade pública de sites de vazamento e por alguns incidentes com impacto operacional real.

Na categoria de criptografia confirmada, destaca-se Fosko. Na categoria de mera menção em leak site aparecem Forus, Tanner, Vigatec, S.A. Chile e outros casos vinculados por terceiros ou repositórios de acompanhamento. Na categoria de tipificação indeterminável, ficam vários fatos em que o material não esclarece se houve criptografia, exfiltração ou ambas as coisas.

O caso do Hospital Clínico de la Universidad de Chile merece menção separada, embora não se encaixe de forma perfeita no restante da taxonomia, porque a fonte fala em ciberataque com vazamento de dados médicos e, no ecossistema de monitoramento, ele foi associado a ransomware. Para a análise de risco, o ponto central é que a área da saúde continuou sendo um alvo de alto valor para atores de extorsão.

Fraude e phishing no Chile

Os 6 casos documentados de fraude ou phishing confirmam que setembro foi um mês mais ativo nessa frente do que agosto. O Banco Central alertou sobre um vídeo deepfake que se passa por sua presidente, a ANCI avisou sobre abuso de OAuth Device Code Flow, a T13 descreveu a modalidade de SIM swapping, e o CSIRT Nacional detectou campanhas ativas de falsificação de marcas.

A isso se soma a persistência da fraude bancária que usa o RUT para bloquear contas e, depois, pedir códigos de verificação, além da discussão pública sobre bots e desinformação. A combinação é relevante porque une engenharia social clássica, abuso de identidade e automação, sem depender de malware sofisticado.

APT e hacktivismo no Chile

Não houve no material um caso claro que permitisse tipificar APT de forma sólida em setembro. Houve, sim, campanhas de manipulação digital, bots, desinformação e operações coordenadas em redes, mas o corpus do período aponta mais para fraude, extorsão e roubo de dados do que para uma campanha APT clássica contra alvos chilenos.

O contexto regulatório e político sobre fazendas de bots, deepfakes e manipulação da opinião pública é forte. Mas, com as evidências disponíveis, convém tratar isso como uma frente de desinformação e automação abusiva, e não como uma atribuição APT consolidada.

Vulnerabilidades críticas com impacto no Chile

Não foram registrados CVEs críticos mencionados no material chileno do período, mas houve alertas relevantes na região e em produtos usados por organizações locais, sobretudo GitLab, Cisco, Ivanti, Fortinet e MikroTik.

Regulação e conformidade no Chile

O Chile fechou setembro com uma agenda regulatória densa em proteção de dados, cibersegurança, meios de pagamento e ambientes digitais. O principal destaque foi o Decreto N.° 662, publicado em 9 de setembro, que aprova o regulamento sobre modelos de prevenção de infrações em proteção de dados pessoais previstos pela Lei 21.719.

Esse regulamento define requisitos, modalidades e procedimentos para implementação, certificação, registro e supervisão desses modelos. Em paralelo, o governo levou ao Senado o projeto que adia por um ano a entrada em vigor da Lei 21.719, enquanto o debate público seguiu ressaltando que o adiamento ainda não havia sido aprovado no fechamento do mês.

Na frente setorial, a Lei Marco de Cibersegurança 21.663 continuou detalhando obrigações para operadores de importância vital e prestadores de serviços essenciais. O material do mês destacou prazos de 3 horas para alerta precoce, 72 horas para a primeira avaliação e 15 dias para o relatório final, além da obrigação de reportar incidentes ao CSIRT Nacional.

A regulação de pagamentos também seguiu avançando. A CMF reforçou requisitos de autenticação e a discussão sobre a reforma MK4 reorganizou responsabilidades diante de fraudes. Ao mesmo tempo, a reserva de dados de veículos usados em operações policiais encobertas e os projetos sobre manipulação digital, bots e deepfakes mostram uma expansão do perímetro regulatório sobre dados e conteúdos.

Tabela de marcos regulatórios do mês

Implicações para a conformidade

A sinalização regulatória do mês leva as organizações a revisar inventários de dados, bases de legitimidade, controles de acesso, rastreabilidade, retenção e resposta a incidentes. O material mostra que já não basta cumprir um único marco, porque um mesmo evento pode acionar obrigações em dados pessoais, cibersegurança e fraude financeira.

Em bancos e serviços de pagamento, a convergência entre autenticação reforçada, presunção de culpa do usuário em certos casos e canais de fraude assistida por IA obriga a alinhar jurídico, fraude, tecnologia e segurança. Em saúde e no setor público, a pressão vem da continuidade operacional, da proteção de dados sensíveis e da capacidade de notificação tempestiva.

Setores mais afetados no Chile

Saúde, finanças, setor público e varejo concentraram o sinal mais sensível do mês, embora a distribuição não tenha ficado restrita a esses segmentos e vários casos tenham atingido mais de um setor ao mesmo tempo. Saúde ganhou destaque pelo caso do Hospital Clínico da Universidad de Chile e pela discussão sobre ransomware com alcance catastrófico. Finanças ficou sob pressão por fraude, autenticação e campanhas de phishing.

No setor público, a Operação Rutify mostrou uma extração massiva de informações de múltiplos órgãos. No varejo, a Forus trouxe o caso de um incidente contido com impacto nos canais de venda. Na manufatura, a Fosko mostrou que o ransomware também continua atingindo a continuidade produtiva, e não apenas sistemas administrativos.

Também houve sinal em telecomunicações e plataformas digitais pelo debate sobre interceptação, bloqueadores de sinal, bots e deepfakes. Esse cruzamento importa porque amplia o universo de exposição para além dos setores tradicionalmente mais sensíveis e desloca o foco para reputação, identidade e conteúdo.

A leitura setorial de risco é que saúde e finanças seguem como os ambientes sob maior pressão combinada de confidencialidade, continuidade e regulação. Mas o mês deixou claro que governo digital, varejo e manufatura também não estão fora do alcance de campanhas oportunistas ou de atores com objetivos de extorsão.

Tendências e sinais a monitorar no Chile

Comparado a agosto, setembro teve menos fatos verificados no total, menos incidentes sem tipificação e menos casos com ransomware ou extorsão como eixo principal. Ainda assim, subiram os casos documentados de fraude ou phishing, de 2 para 6, e o tom do mês ficou mais voltado para identidade, falsificação e campanhas ativas de engano.

A tendência regulatória também mudou de forma. Em agosto já havia pressão por dados e cibersegurança, mas em setembro essa pressão se materializou em regulamentos, projetos em tramitação, alertas técnicos e novas discussões sobre responsabilidade. A Lei 21.719, a Lei Marco de Cibersegurança e a norma de autenticação reforçada seguiram pautando a agenda.

Em ransomware, o panorama mensal mostra uma queda em relação a agosto, embora o problema não tenha desaparecido. Pelo contrário, continuou aparecendo em múltiplos formatos, de casos com criptografia confirmada a simples menções em leak sites. Para o acompanhamento operacional, isso exige não reagir de forma exagerada a cada alegação, mas também não subestimar o padrão geral.

O principal sinal a monitorar em outubro é a convergência entre fraude, identidade e automação. O caso do Banco Central, os alertas do CSIRT Nacional, SIM swapping e o abuso de OAuth mostram que o atacante não precisa necessariamente explorar um CVE para comprometer uma conta, esvaziar um canal ou deteriorar a confiança.

Recomendações para equipes de segurança no Chile

Revisar os processos de resposta a incidentes para que um mesmo evento possa acionar notificações técnicas, legais e regulatórias, sem duplicidades nem lacunas. A combinação da Lei Marco de Cibersegurança, da futura autoridade de dados e das obrigações setoriais exige playbooks coordenados e prazos claros.

Priorizar controles de identidade. O material do mês mostra abuso de OAuth, SIM swapping, falsificação de marcas e deepfakes financeiros. MFA resistente a phishing, validação de mudanças sensíveis por canais separados e monitoramento de anomalias de autenticação devem estar no topo da lista.

Endurecer a superfície exposta em plataformas colaborativas e de desenvolvimento, especialmente o GitLab, e manter um ciclo curto de correção para software com exploração ativa ou falhas críticas corrigidas recentemente. Embora não tenham surgido CVEs críticos chilenos no mês, houve exposição indireta relevante por fornecedores e ferramentas usadas localmente.

Separar operacionalmente os planos para criptografia, extorsão sem criptografia e leak sites. O material de setembro deixou claro que nem todo caso atribuído a ransomware equivale a uma intrusão confirmada com impacto operacional. Essa distinção melhora a priorização e evita decisões apressadas.

Fortalecer inventário, classificação e retenção de dados pessoais, especialmente em saúde, finanças, varejo e setor público. A Operação Rutify e o caso do Hospital Clínico da Universidade do Chile mostram que o valor dos dados segue no centro do risco.

Qual é a diferença entre os casos de ransomware de setembro e as fraudes ativas?

Em setembro houve 17 casos com ransomware ou extorsão como eixo principal e 6 casos de fraude ou phishing documentados. Os primeiros incluíram desde criptografia confirmada, como Fosko, até simples menções em leak site, enquanto os segundos se concentraram em falsificação, SIM swapping, deepfakes e abuso de autenticação.

Quais setores devem priorizar ações imediatas depois deste mês?

Saúde, finanças, setor público e varejo foram os mais pressionados pelos fatos do período, embora vários incidentes tenham tocado mais de um setor. Saúde por vazamento médico, finanças por fraude e autenticação, setor público por Rutify e varejo pelo caso Forus são as prioridades mais claras.

Como a agenda regulatória se cruza com os incidentes operacionais?

O cruzamento é direto: a Lei 21.719 pressiona controles sobre dados pessoais, a Lei Marco de Cibersegurança exige reporte e gestão de incidentes, e a CMF aprofunda autenticação e responsabilidades em fraudes. Um mesmo evento pode acionar obrigações distintas conforme o tipo de dado, sistema e setor envolvido.

Por que o informe insiste em distinguir leak site, exfiltração e criptografia?

Porque não têm o mesmo impacto operacional nem o mesmo peso legal. Uma menção em leak site pode ser apenas uma reivindicação, a exfiltração sem criptografia aponta para extorsão simples e a criptografia confirmada implica interrupção ou degradação de serviços. Misturá-los distorce a leitura do risco.

O que uma equipe deve olhar nesta semana se opera no Chile?

Deve revisar MFA resistente a phishing, procedimentos de notificação cruzada, exposição de software crítico como GitLab e planos de resposta a fraude com identidade comprometida. Também convém validar inventários de dados pessoais, porque setembro mostrou que a pressão regulatória e a pressão técnica já estão sobrepostas.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o Chile em setembro de 2026. A janela temporal dos indicadores é a declarada no início, 62 fatos com data em setembro de 2026, mais 1 fato sem data confirmada que ficou excluído dos indicadores. Não foi usada internet nem informação externa.

Um indicador em 0, especialmente CVEs críticos mencionados, significa que ele não apareceu no material analisado do período. Isso não implica ausência de vulnerabilidades críticas ou de exploração ativa na região. O corpus, de fato, inclui avisos relevantes fora do Chile que servem de contexto, mas não alteram o valor do indicador nacional.

Os fatos sem data confirmada podem ser usados apenas como contexto qualitativo. Neste caso, o material sem data não foi contado nos indicadores. Também não foram incluídas telemetrias agregadas nem tentativas ou bloqueios automatizados como se fossem incidentes.

Ficaram fora da contagem as fontes de consumo e os conteúdos excluídos por critério editorial quando não estavam na lista permitida, além de publicações do LinkedIn e de outras redes sociais não habilitadas como evidência. Quando uma fonte apresentou atribuição incerta, o relatório a tratou como tal e evitou elevá-la a confirmação.

Perguntas frequentes

O que mudou entre agosto e setembro em ransomware, fraude e regulação no Chile?

Setembro teve menos ocorrências totais do que agosto, caiu o volume de ransomware ou extorsão e diminuíram os incidentes sem tipificação, mas aumentaram os casos de fraude ou phishing. Ao mesmo tempo, a regulação ganhou peso com o regulamento do Decreto 662, o projeto de prorrogação da Lei 21.719 e novos projetos sobre bots e deepfakes.

Qual é a relação entre o caso Rutify e o Hospital Clínico da Universidade do Chile?

Ambos mostram o valor dos dados como alvo central, mas respondem a vetores distintos. Rutify foi uma operação de extração e comercialização em massa de dados de múltiplos órgãos, enquanto o hospital confirmou um ciberataque com vazamento de informações médicas confidenciais. Juntos, explicam por que saúde e setor público ficaram tão expostos.

O que bancos e fintechs devem priorizar diante do que foi visto neste mês?

Devem reforçar autenticação resistente a phishing, revisar processos de troca de credenciais, monitorar SIM swapping e alinhar a resposta jurídica e técnica diante de fraude. O mês combinou deepfakes, campanhas de impersonação, abuso de OAuth e ajustes regulatórios da CMF, então identidade e rastreabilidade passam ao primeiro plano.

Por que o relatório não trata todas as menções em leak sites como incidentes confirmados?

Porque muitas são apenas alegações de grupos de ransomware ou de trackers de terceiros. Sem confirmação da vítima, sem dados técnicos e sem evidência de impacto operacional, o material deve ser tratado como menção em leak site. Essa distinção evita inflar artificialmente a gravidade do mês.

Que sinal regulatório vale acompanhar de perto em outubro?

A entrada em vigor efetiva da Lei 21.719 e a evolução do projeto de prorrogação, junto com a implementação do regulamento do Decreto 662. Em paralelo, vale acompanhar os desdobramentos sobre fraude em meios de pagamento, reserva de dados policiais e projetos ligados a bots e conteúdos gerados por IA.

O zero em CVEs críticos quer dizer que não houve vulnerabilidades sérias na região?

Não. Quer dizer que não surgiram CVEs críticos no material analisado para o Chile em setembro. O corpus inclui avisos críticos e exploração ativa em outros países e produtos, mas eles não foram registrados como sinal chileno do período dentro da amostra usada neste relatório.

Limitações do material

O escopo deste relatório se restringe ao material fornecido para o Chile e ao período de setembro de 2026. Os indicadores são calculados apenas com os 62 fatos datados dentro do período, enquanto 1 fato sem data confirmada foi excluído de toda métrica. Não houve telemetria agregada disponível para converter tentativas ou bloqueios em incidentes.

Um valor de 0 em um indicador, especialmente nos CVEs críticos mencionados, significa que ele não apareceu no material analisado do mês. Isso não significa ausência de vulnerabilidades ou de exploração ativa na região. O corpus contém, sim, referências comparativas fora do Chile, mas elas não entram na contagem nacional.

As fontes excluídas por regra editorial não foram usadas como evidência, e as menções em redes não habilitadas também não entraram no corpo analítico. Quando uma fonte apresentou atribuição incerta ou metodologia opaca, ela foi tratada como tal e não foi elevada a confirmação direta.

O resultado final, portanto, reflete o que efetivamente ficou verificado no conjunto documental fornecido, não o universo completo de incidentes que podem ter ocorrido no Chile ou na região durante setembro.