Colômbia: situação da cibersegurança, julho de 2026

Incidentes relevantes na Colômbia

Ecopetrol, exfiltração e extorsão atribuída a The Gentlemen

O caso mais visível do mês foi o da Ecopetrol. Em 17 de julho, a companhia informou um acesso não autorizado a recursos digitais que afetou ambientes de armazenamento em nuvem de cerca de 15 empresas do grupo e permitiu o download de dados associados a aproximadamente 3.300 contas de usuário. A própria empresa indicou que a tentativa de ransomware foi bloqueada por controles internos e que, ao menos naquele momento, não havia identificado interrupções críticas nem impacto financeiro direto.

A cobertura posterior levou o caso da exfiltração para a extorsão. Diferentes fontes relataram exigências financeiras, ameaças de divulgação e o surgimento de arquivos vazados em sites ligados ao The Gentlemen. A Ecopetrol ativou protocolos de retirada de informações da internet e coordenou ações com a Fiscalía e o MinTIC. A Fiscalía, ao fim do mês, já havia aberto investigação. O ponto operacional mais relevante não foi a criptografia, que não avançou, mas o ciclo completo de extração, pressão extorsiva e exposição pública.

Secretaria de Mobilidade de Bogotá, vazamento de dados e risco de phishing

O incidente da Secretaria de Mobilidade de Bogotá continuou relevante em julho por seus efeitos secundários. O material jornalístico descreve um vazamento a partir de um banco de dados histórico administrado por um fornecedor externo, com preservação de evidências, revisão de rastreabilidade e acompanhamento técnico do vetor de intrusão. A entidade afirmou que não havia um consolidado definitivo dos dados afetados e rejeitou alegações sobre manipulação de multas ou fotodetecção.

A consequência prática mais recorrente na cobertura é o aumento do risco de phishing e de golpes direcionados a motoristas, apoiados em dados exfiltrados. Não se tratou apenas de um vazamento em abstrato, mas de um vazamento com valor operacional para campanhas personalizadas sobre carteiras de habilitação, multas, veículos e cobranças. Esse tipo de reutilização de dados é o que transforma uma brecha administrativa em uma plataforma de fraude posterior.

DIAN, incidente em agendamento e denúncia penal

A DIAN informou que, em seu incidente de 2026, houve acesso não autorizado ao sistema virtual de agendamento de consultas operado por um fornecedor externo, com exposição de dados pessoais de usuários, mas sem comprometimento de informações tributárias ou aduaneiras, senhas ou credenciais. A entidade desativou o serviço afetado, ativou protocolos de gestão de incidentes e reforçou a proteção dos sistemas envolvidos.

O valor deste caso em julho não esteve no volume, mas na resposta institucional. A entidade confirmou que denunciou o caso à Fiscalía por fatos que poderiam configurar extorsão e outras condutas penais, e que também reportaria o ocorrido à SIC como autoridade de proteção de dados. É um sinal útil para leitura de risco: incidentes em ambientes de atendimento ao cidadão já não são tratados apenas como falhas técnicas, mas como eventos com uma rota jurídica e regulatória associada.

Governo e contratação pública de cibersegurança

Também houve atrito em torno da contratação pública de serviços de cibersegurança. A Procuraduría pediu explicações por supostas inconsistências em um contrato da Colombia Compra Eficiente para implementar ferramentas de cibersegurança em entidades públicas. Depois, a própria agência suspendeu por 30 dias o processo de seleção de fornecedores, atendendo às observações da Procuraduría e a milhares de comentários de interessados.

Não é um incidente técnico, mas é um fato de alto valor para o mês porque afeta a forma como o Estado compra capacidades de defesa. Em um período dominado por exfiltração, extorsão e fraude, uma suspensão de contratação não altera o risco por si só, embora impacte os prazos de implantação e a percepção de governança sobre o gasto em cibersegurança.

Ameaças e campanhas ativas na Colômbia

Ransomware e extorsão com criptografia confirmada

A campanha mais clara do mês com criptografia confirmada foi a atribuída à XEntry Team na análise da Kaspersky e em coberturas derivadas. O material descreve o uso de BitLocker, impressoras corporativas para deixar notas de resgate e acesso inicial por meio de serviços remotos expostos. Na Colômbia, foi apontado ao menos um caso com criptografia de sistemas e uso de mecanismos legítimos da rede para ampliar o impacto. A campanha não dependeu de um malware de criptografia tradicional, mas do abuso de funções nativas e de configurações fracas.

O outro caso de criptografia confirmada no período foi o incidente da Ecopetrol, embora ali a criptografia não tenha chegado a se concretizar por causa da contenção precoce. Por isso, o caso entra de forma mais direta em exfiltração com extorsão do que em criptografia bem-sucedida. Ainda assim, a técnica de dupla pressão, a extração prévia e a ameaça de publicação ficaram bem documentadas e dominaram a conversa pública.

Ransomware e extorsão com exfiltração sem criptografia

A Ecopetrol volta a aparecer aqui porque o material verificável do mês mostra um ataque que extraiu dados, tentou criptografar e foi bloqueado. A exfiltração de cerca de 3.300 contas e o vazamento posterior de informações de 15 empresas do grupo colocam o caso do lado da extorsão por dados, não do sequestro de sistemas. Essa diferença é essencial para as equipes de resposta, porque a prioridade não termina quando a criptografia é interrompida, já que a segunda fase do incidente pode continuar ativa em fóruns, leak sites e publicações coordenadas.

Ransomware e extorsão, tipificação não determinável

No material do mês também aparecem casos em que a fonte não especifica se houve criptografia, exfiltração ou apenas reivindicação em leak site. Foi o que ocorreu com várias menções a grupos como Deadlock ou The Gentlemen em sites de acompanhamento e compilação de incidentes. São sinais úteis para inteligência, mas não bastam, por si só, para tratá-los como incidentes com impacto confirmado. No corpo do relatório, eles são tratados como indícios de pressão extorsiva, não como equivalentes a uma intrusão comprovada.

Fraude e phishing

O único caso claramente documentado em julho dentro deste eixo foi o aumento do risco de phishing contra motoristas de Bogotá a partir do vazamento de dados de mobilidade. Não se trata de uma campanha isolada de phishing em massa, mas de uma derivação concreta de um incidente anterior. O padrão é clássico, mas eficaz, dados pessoais e operacionais roubados, segmentação das vítimas e mensagens críveis sobre procedimentos ou sanções.

A cobertura financeira também mostrou forte pressão por fraude de identidade, embora o material do período se concentre mais em prevenção e resposta do que em um caso único. Bancos e fintechs aparecem obrigados a ajustar motores de detecção, apoiar-se em sinais contextuais e responder a um aumento de tentativas de falsificação de identidade e tomada de controle de contas. Isso não se traduz em uma campanha única, mas em uma classe de ameaça persistente.

APT e redes de retransmissão operativa

Na frente de ameaças avançadas, o sinal mais sólido veio da ColCERT, com o alerta sobre a rede de retransmissão operativa CHARLIE/ORB3. O material atribui seu uso à APT5 e APT15, com infraestrutura que funciona como canal encoberto para operações táticas e com recomendações concretas de segmentação, MFA resistente a phishing e controles de acesso. Trata-se de um achado relevante para telecomunicações, mais próximo de uma infraestrutura de suporte para espionagem ou persistência do que de um incidente com impacto massivo imediato.

Vulnerabilidades críticas com impacto na Colômbia

A única CVE crítica mencionada no material analisado foi CVE-2024-55591. O fato de o indicador mensal marcar 1 não significa que não haja outras vulnerabilidades críticas na região, mas sim que, no material de julho, só apareceu essa referência concreta e verificável.

Regulação e compliance na Colômbia

Decreto 0769 de 2026, proteção de menores e obrigações técnicas

O decreto assinado em julho pelo Governo nacional é, pelo volume de menções e pela densidade normativa, a peça regulatória mais importante do mês. Ele regulamenta a Lei 2489 de 2025 e estabelece obrigações de privacidade por padrão, verificação de idade proporcional ao risco, relatórios semestrais ao MinTIC, controles parentais, canais de denúncia e coordenação interinstitucional. Também proíbe expressamente medidas que impliquem censura prévia, monitoramento massivo de comunicações privadas ou enfraquecimento da criptografia de ponta a ponta.

A leitura para compliance não é trivial. O decreto não se limita a fixar princípios gerais, mas pressiona plataformas, escolas e famílias a adotar controles específicos. Além disso, exige reporte a cada seis meses e a integração de mecanismos para encaminhar casos graves à Fiscalía e ao ICBF. Na prática, isso obriga a documentar processos, atualizar Termos e Condições, revisar fluxos de idade e ajustar o tratamento de dados de menores.

SIC, Worldcoin e tratamento de dados sensíveis

A SIC manteve em definitivo o encerramento da operação de tratamento de dados sensíveis da World Foundation e da Tools for Humanity na Colômbia, e ordenou a exclusão de todos os dados coletados no país, inclusive códigos de íris. A decisão sustenta uma linha rígida de enforcement sobre biometria e tratamento de dados sensíveis. Para qualquer organização que trabalhe com verificação de identidade, biometria ou perfis de alto risco, a mensagem é clara: o uso de dados sensíveis sem suporte suficiente de legalidade, proporcionalidade e controle pode terminar com o encerramento total da operação.

Suplantação de identidade e carga dinâmica da prova

A Lei 2573 de 2026 e sua cobertura associada também marcam uma mudança de enfoque. Quando uma pessoa alega suplantação em créditos ou outras obrigações, a entidade deve suspender cobranças, entregar os documentos de suporte e demonstrar quais mecanismos usou para verificar a identidade. Na prática, isso redistribui o ônus da prova e obriga bancos, varejistas e operadores a sustentar melhor suas decisões de cadastro e autenticação.

Contratação pública de cibersegurança

A revisão do processo da Colombia Compra Eficiente expôs a sensibilidade política e técnica da contratação de cibersegurança para entidades do Estado. A Procuradoria interveio, a agência suspendeu o processo e surgiram dúvidas sobre a sequência, os editais e a governança do acordo-quadro. Mais do que a disputa contratual, o episódio mostra que a compra de defesa digital já é um tema de escrutínio público comparável ao de uma grande obra ou de uma compra estratégica.

Setores mais afetados na Colômbia

O setor empresarial foi o mais pressionado em volume e em valor dos casos. A Ecopetrol concentrou a atenção, mas não foi um episódio isolado. Vazamento de dados, extorsão e filtragens também apareceram em infraestrutura tecnológica, prestadores de serviços e empresas com alto grau de digitalização. O padrão se repete: onde há armazenamento em nuvem, serviços remotos ou fornecedores externos com amplos privilégios, a superfície de ataque aumenta.

O setor público também teve um mês movimentado. A DIAN, a Secretaria de Mobilidade de Bogotá e a Colombia Compra Eficiente trouxeram sinais distintos, mas todos mostram a mesma tensão entre atendimento ao cidadão, exposição de dados e capacidade de resposta. Em alguns casos houve exfiltração, em outros surgiram dúvidas sobre contratação, e em outros ficou visível a necessidade de coordenação com autoridades penais ou de proteção de dados.

No setor financeiro, a pressão foi mais difusa, mas muito presente. O foco recaiu sobre fraude, suplantação, contas laranja e técnicas de acesso mais sofisticadas apoiadas em IA. Esse cenário obriga as instituições a aprimorar a detecção contextual, revisar processos de onboarding e manter capacidade de reação rápida diante de reclamações de identidade falsa ou suplantação.

Também houve um componente regulatório que atingiu o setor de telecomunicações e as plataformas digitais, sobretudo pelas obrigações derivadas do Decreto 0769. Embora não tenha sido um dos setores mais expostos por incidentes em julho, é um dos que mais terá de investir em conformidade no segundo semestre.

Tendências e sinais a monitorar na Colômbia

A comparação com o mês anterior mostra uma mudança clara na natureza do sinal. No relatório anterior, predominavam os incidentes, com 45 fatos desse tipo. Em julho, o foco passou a ser ransomware, com 30 de 76 fatos. Não se trata apenas de uma troca de rótulo, mas de dinâmica de ameaça. A atenção saiu de eventos mais amplos de intrusão ou vazamento e foi para campanhas com pressão extorsiva e publicação de dados.

Também caiu o número de casos de fraude ou phishing documentados, de 18 no mês anterior para 1 em julho. Isso não significa que a fraude tenha recuado no país, e sim que o material do mês a documentou menos como casos concretos e mais como contexto estrutural. Em paralelo, os movimentos regulatórios caíram de 26 para 18, mas a qualidade dessas mudanças foi diferente: julho gerou normas e decisões com mais peso operacional, como o Decreto 0769 e a decisão da SIC sobre a Worldcoin.

A redução de CVEs críticos mencionados, de 9 para 1, também não deve ser lida como alívio técnico geral. Simplesmente, no material analisado de julho apareceu apenas uma vulnerabilidade crítica explícita e verificável. Isso exige cautela: ausência de menção não equivale a ausência de exploração no país nem na região.

Outro sinal forte é a consolidação de campanhas de extorsão que combinam roubo de dados, pressão pública e canais de vazamento. A Ecopetrol é o caso emblemático, mas não o único contexto que empurra nessa direção. O material sobre The Gentlemen, XEntry Team e Deadlock mostra que os atacantes continuam encontrando retorno em modelos de dupla extorsão, às vezes sem precisar acionar malware de criptografia tradicional.

Recomendações para equipes de segurança na Colômbia

As organizações que operam na Colômbia deveriam partir de uma hipótese simples: conter o criptografamento já não basta se a exfiltração e a exposição pública posterior também não forem controladas. Isso exige reforçar o monitoramento de armazenamento em nuvem, revisar permissões de terceiros, auditar acessos administrativos e preparar procedimentos rápidos para remover informações vazadas. Em incidentes como o da Ecopetrol, o valor do dado roubado persiste mesmo quando o criptografamento não se completa.

Vale reforçar a superfície de acesso remoto. As evidências do mês voltam a mostrar RDP, serviços expostos, ferramentas RMM e credenciais fracas como peças centrais da cadeia de ataque. A prioridade é reduzir a exposição direta à internet, exigir MFA resistente a phishing e revisar quais serviços de administração seguem acessíveis sem segmentação real.

Em ambientes com BitLocker ou mecanismos nativos de criptografamento, as chaves de recuperação precisam ficar centralizadas, com alertas quando surgirem ativações anômalas. A campanha atribuída à XEntry Team deixa uma lição bem objetiva: se o atacante está dentro da rede, o hardening da administração é tão importante quanto o antimalware.

Para as equipes de fraude, o mês reforça o valor de sinais contextuais. Dispositivo, geolocalização, horário de uso, histórico transacional e comportamento de sessão entregam mais do que uma autenticação isolada quando o atacante já tem credenciais ou usa deepfakes e falsificação de identidade. No setor financeiro, a defesa passa por correlacionar contexto, não apenas por impor mais atrito ao usuário.

As áreas jurídicas e de compliance também precisam de velocidade. O Decreto 0769, a sanção sobre a Worldcoin e a Lei 2573 apontam para a mesma direção: maior escrutínio sobre tratamento de dados, menores, biometria e suplantação. Não é só uma questão de privacidade, mas de desenho operacional. As equipes deveriam revisar políticas de retenção, fluxos de consentimento, procedimentos de denúncia e prazos de resposta diante de incidentes com dados pessoais.

Por fim, os setores público e empresarial com alta exposição externa deveriam ensaiar cenários de publicação de dados. A preparação não se limita a restaurar sistemas. É preciso saber como verificar vazamentos, coordenar com autoridades, responder à imprensa, proteger terceiros e reduzir o potencial de reutilização fraudulenta das informações exfiltradas.

Limitações do material

Este relatório cobre exclusivamente os fatos datados de julho de 2026 e usa o arquivo fornecido como única base de referência. O bloco de marco comparativo contém fatos de meses anteriores e foi usado apenas para contrastar a evolução, nunca como volume do período. O fato sem data confirmada ficou excluído dos indicadores e só pôde ser usado como contexto qualitativo quando mencionado.

Um indicador em zero, especialmente no caso de CVEs críticos, significa que não apareceu no material analisado do mês, não que não haja vulnerabilidades críticas exploradas na Colômbia ou na região. O mesmo se aplica a fraude, incidentes sem tipificação ou setores: o valor reflete o que o arquivo documentou, não uma ausência absoluta de atividade.

A janela temporal declarada para os indicadores inclui 82 fatos com data em julho de 2026, 5 fatos de meses anteriores usados como marco comparativo e 1 fato sem data confirmada excluído dos cálculos. Os indicadores reproduzidos neste relatório correspondem somente aos fatos verificados do período, com a base que já foi calculada no material entregue.

Ficaram excluídos como evidência de tendência os conteúdos patrocinados, os publieditoriais, as publicações em redes sociais e as referências ao LinkedIn. Também se evitou usar telemetria agregada como se fossem incidentes com impacto confirmado. As cifras de tentativas, bloqueios e escaneamentos só são consideradas quando o material as apresenta explicitamente como volume de atividade, não como intrusão verificada.