Colômbia: cenário de cibersegurança, out. 2026

Ameaças e campanhas ativas na Colômbia

O mês deixou três frentes ativas que merecem acompanhamento separado: ransomware e extorsão, fraude ou phishing, e atividade de intrusão com malware em ambientes de organizações colombianas. A separação importa porque o material não permite misturar, sem perda de precisão, o que teve criptografia confirmada, o que foi extorsão sem cifragem comprovada e o que apareceu apenas como menção em um leak site.

Ransomware e extorsão com impacto verificado

O único caso com cifragem confirmada e efeito operacional claro foi o do Ministério da Justiça da Colômbia, reportado pela BlackFog. A fonte falou em arquivos cifrados, sistemas isolados e recuperação coordenada. Não houve atribuição pública a um grupo nem evidência reportada de exfiltração, então o caso deve ser lido como ransomware com impacto operacional confirmado, e não como simples extorsão.

No segundo nível aparece a exfiltração sem cifragem, ou com cifragem impossível de determinar. O material sobre a Nueva EPS não confirmou acesso não autorizado, mas registrou uma alegação de publicação de dados e uma reclamação em fórum. Como a própria entidade disse não ter visto evidência de acesso aos seus sistemas, não cabe elevar isso a incidente confirmado. Por isso, dentro da contagem de outubro, esse material fica na zona de tipificação indeterminável.

O terceiro nível corresponde apenas à menção em um leak site ou registro de ransomware. Aí aparecem reclamações como as de JHAMF Group e Incomelec em Ransomware.live, mas sem confirmação pública das empresas no material disponível. Esses registros servem para monitoramento, não para contar como impacto confirmado na Colômbia.

Fraude e phishing financeiro

O sinal de fraude e phishing foi o mais abundante do mês. Houve campanhas contra Bre-B, personificação do Banco de Bogotá, mensagens falsas por WhatsApp e ligações, fraude de folha de pagamento, phishing com sites que imitam portais bancários e uma operação de investimento fraudulenta apoiada em anúncios patrocinados e clonagem de voz. O eixo comum foi a captura de credenciais, códigos de verificação ou dados financeiros.

A operação ShadowParasite se encaixa aqui como o caso mais estruturado. Somam-se a isso os deepfakes com fins econômicos, que ampliaram o repertório de engenharia social. Nem todos os fatos têm vítimas colombianas confirmadas, mas há impacto ou foco no país. O padrão é compatível com uma transição do golpe oportunista para campanhas mais industrializadas, automatizadas e multicanal.

O caso de Bre-B merece leitura separada porque o isco não envolvia uma falha do sistema de pagamentos, e sim abuso de confiança sobre o processo de registro ou transferência. Vários veículos coincidiram nesse ponto. O risco não está na arquitetura do trilho de pagamentos em si, mas no uso do nome da marca para induzir a entrega de credenciais e códigos.

APT, intrusão e malware em organizações colombianas

O material de outubro não mostrou uma campanha APT estatal atribuída de forma conclusiva à Colômbia, mas registrou atividade sustentada de intrusão e malware contra organizações locais. A campanha judicial com XWorm se encaixa nesse grupo, porque combinou phishing, persistência, acesso remoto e possível exfiltração.

Também aparecem sinais secundários de atividade sobre servidores Linux, como CL-UNK-1211 reportada pelo CSIRT Financiero de Asobancaria. A fonte a descreveu como uma campanha que usa SysGoRAT, web shells e reverse shells contra organizações governamentais e infraestrutura vinculada ao Estado. Não há atribuição da campanha a um ator específico, então o valor do dado está na técnica e no alvo, não na autoria.

Vulnerabilidades críticas com impacto na Colômbia

A exposição técnica mais relevante do mês foi o PHP2Shell. A tabela a seguir resume as vulnerabilidades mencionadas, o software afetado, o nível de exploração e a fonte que deu suporte ao achado. O quadro inclui apenas o que é verificável com o material fornecido e não amplia por inferência o alcance do ataque na Colômbia.

A leitura local não muda o fato técnico central. O ColCERT informou que 8.699 serviços PHP estavam expostos à internet na Colômbia, mas isso não equivale a comprometimentos confirmados. A combinação de ampla exposição, publicação de patches e validação internacional de exploração ativa eleva a urgência de correção, isolamento temporário e revisão de serviços expostos.

Regulação e compliance na Colômbia

Outubro teve menos movimentação regulatória do que setembro, mas deixou sinais úteis em governança de dados, segurança digital e uso de inteligência artificial. O foco esteve em uma resolução da SIC, uma estratégia distrital em Bogotá, a agenda de IA em saúde no Senado e uma mudança ligada às finanças abertas.

A ordem da SIC sobre ValleCorona é especialmente relevante porque transforma uma preocupação abstrata com dados sensíveis em uma obrigação concreta de segurança e transparência. A estratégia de Bogotá, por sua vez, mostra uma postura mais institucional diante da cibersegurança pública, com papel explícito do CSIRT Distrital e diretrizes obrigatórias.

Na saúde, a discussão do Proyecto de Ley 216 avançou com ênfase em governança de IA, validação clínica, rastreabilidade e supervisão humana. Não é um tema puramente regulatório de segurança, mas é um campo em que cibersegurança, dados sensíveis e responsabilidade institucional aparecem entrelaçados. Para equipes de compliance, isso significa preparar inventários, controles de dados e documentação de riscos antes que a norma seja concluída.

Setores mais afetados na Colômbia

Bancos, fintechs e pagamentos concentraram a maior densidade de sinais no mês, embora não tenham sido o único foco. O volume de fraudes bancárias, a suplantação de Bre-B, a rede ShadowParasite e os alertas sobre credenciais e códigos de verificação explicam por que o setor financeiro ficou em primeiro plano. O risco não se limitou às instituições, ele se estendeu aos usuários como alvo final.

A saúde também apareceu com peso, sobretudo por Nueva EPS e pelo debate regulatório em torno da inteligência artificial no setor. Nesse caso, o sinal não foi homogêneo: houve alegações de vazamento não confirmadas, discussão pública sobre proteção de dados e uma tentativa de estruturar regras para sistemas de IA. A leitura setorial exige separar rumor, investigação em curso e regulação efetiva.

O setor público ficou marcado por dois tipos de fatos. De um lado, o ransomware do Ministério da Justiça, com impacto operacional confirmado. De outro, a exposição de serviços PHP e o esforço de Bogotá para institucionalizar políticas de segurança. Isso sugere uma agenda de defesa que combina continuidade operacional, reforço técnico e governança da informação.

Telecomunicações e infraestrutura digital também entraram no radar por causa do alerta sobre PHP e da estratégia estatal de proteção de redes, cabos submarinos, data centers e estações satelitais. Embora a cifra de serviços expostos não equivalha a comprometimento, ela mostra que a camada de infraestrutura suporta boa parte do risco do país.

Tendências e sinais a monitorar na Colômbia

A principal tendência do mês é a migração de incidentes operacionais para fraude, phishing e exposição técnica crítica. Em relação a setembro, os incidentes sem tipificação caíram de 15 para 4 e os casos com ransomware ou extorsão recuaram de 13 para 5, enquanto a fraude ou o phishing subiu de 3 para 9. A variação não indica alívio, mas uma redistribuição do risco.

Outro sinal forte é a persistência de campanhas de usurpação com infraestrutura. ShadowParasite não foi uma fraude simples, mas uma rede com domínios, IPs e gateways de pagamento associados. Quando um caso de fraude aparece com essa arquitetura, a resposta deixa de ser apenas educativa e passa a exigir derrubada, bloqueio coordenado, análise de infraestrutura e trabalho com registradores e processadores de pagamento.

No plano técnico, PHP2Shell deixou instalada uma alerta de continuidade. A CISA a incluiu em seu catálogo KEV e diferentes fontes confirmaram exploração ativa. Para a Colômbia, isso obriga a monitorar atualizações, revisar a exposição de serviços PHP e priorizar ativos em ambientes públicos, hosting e provedores de internet. A cifra de 8.699 serviços expostos funciona como mapa de superfície, não como contagem de comprometimento.

Também convém acompanhar a evolução dos casos de saúde e de administração pública. A Nueva EPS não confirmou acesso não autorizado, mas o caso mostrou a sensibilidade dos dados de filiação e a facilidade com que uma publicação em um fórum pode disparar um ciclo de rumor, verificação e pressão midiática. Em paralelo, a regulação sobre IA em saúde e sobre segurança digital distrital vai exigir capacidades de documentação, rastreabilidade e resposta que ainda não estão maduras em muitos órgãos.

Recomendações para equipes de segurança na Colômbia

O mais urgente para outubro não é só bloquear um vetor, mas organizar três frentes ao mesmo tempo: exposição técnica, fraude de identidade e resposta a incidentes. Se uma organização colombiana tem serviços PHP, deve revisar imediatamente versões, exposição pública, inventário de ativos e plano de contenção. Se também opera canais de pagamento ou atendimento ao cliente, a prevenção a fraudes precisa ser tratada como um controle de negócio, não como uma tarefa periférica.

Primeiro, corrigir e reduzir a superfície exposta. Os sistemas com PHP devem ser atualizados para as versões corrigidas indicadas pela CISA e pelos avisos técnicos citados no material. Quando não for possível atualizar de imediato, vale isolar, restringir ou tirar da internet os serviços críticos até fechar a brecha.

Segundo, reforçar o controle de identidade e de sessão. As campanhas sobre Bre-B, Banco de Bogotá e outros iscas mostram que o usuário final continua sendo o principal alvo. MFA, detecção de phishing, validação fora de banda, bloqueio de domínios parecidos e monitoramento de marcas devem fazer parte do mesmo programa.

Terceiro, revisar os processos de onboarding e validação documental. Facephi e outras coberturas do mês insistiram no uso de IA para fraude na abertura de contas, selfies manipuladas e câmeras virtuais. Para instituições financeiras e seguradoras, prova de vida e detecção de injeção já não são melhorias opcionais.

Quarto, preparar a resposta a extorsão e vazamento. Os casos da Nueva EPS e as reclamações em leak sites mostram que a reação deve incluir preservação de evidências, critérios de comunicação e verificação técnica antes de desmentir ou confirmar. Um protocolo claro evita que uma alegação vire crise de reputação por falta de coordenação.

Quinto, registrar e classificar melhor. A quantidade de fatos sem tipificação continua alta. Isso não significa menos atividade, e sim menos precisão pública. Se as organizações colombianas documentarem melhor se houve criptografia, exfiltração, extorsão ou simples exposição, o país vai conseguir ler melhor seu próprio risco mês a mês.

Perguntas frequentes

Qual foi a diferença entre o ransomware confirmado e as alegações de extorsão na Colômbia neste mês?

O caso do Ministério da Justiça teve criptografia e impacto operacional confirmados pela BlackFog. Já as alegações sobre JHAMF Group, Incomelec ou TECNA ICE apareceram como avisos de leak site ou declarações de terceiros sem confirmação pública no material. A diferença está no impacto verificado, não na mera ameaça.

O que conecta PHP2Shell, o setor público e a infraestrutura de operadoras na Colômbia?

O alerta do ColCERT sobre CVE-2026-109618 e CVE-2026-109619 mostrou 8.699 serviços PHP expostos na Colômbia, com forte peso em redes de operadoras. Ao mesmo tempo, a exploração ativa foi confirmada internacionalmente. Isso conecta superfície técnica, hospedagem e serviços públicos, embora não prove intrusão bem-sucedida no país.

Como ShadowParasite e as fraudes de Bre-B se relacionam?

ShadowParasite e as mensagens falsas sobre Bre-B compartilham a lógica de se passar por outra entidade, mas ShadowParasite mostrou uma infraestrutura mais ampla, com domínios, IPs e gateways de pagamento vinculados. Bre-B, por sua vez, foi usado como isca de confiança para pedir credenciais ou códigos. Os dois casos se cruzam no fraude digital, mas não são a mesma campanha.

Que prioridade as equipes financeiras deveriam dar ao mês de outubro?

Deveriam priorizar três frentes ao mesmo tempo, prevenção de phishing, controle de marca e verificação de identidade no cadastro de clientes. A combinação de ShadowParasite, os iscas sobre Bre-B e os deepfakes com fins econômicos sugere que a fraude já atua em vários canais. A seção de ameaças e a de recomendações detalham as medidas mais urgentes.

O que significa a ameaça predominante do mês ter sido "sem classificar"?

Significa que, dos 39 fatos verificados de outubro, 18 não puderam ser atribuídos de forma limpa a uma única categoria principal. Não se trata de ausência de risco, e sim de limite do material disponível. O mês teve sinais de fraude, exposição, regulação e incidentes, mas muitas coberturas não permitiram tipificar um único eixo de ameaça.

Limitações do material

Este informe cobre exclusivamente fatos datados de outubro de 2026 e usa, além disso, um único fato de meses anteriores apenas como referência comparativa, sem contá-lo como volume do mês. Não foram incluídos dados agregados de telemetria, porque o material fornecido não os trouxe como dado de incidente. Também não foram incorporadas fontes excluídas pela própria instrução, como redes sociais de consumo ou publicações não listadas entre as fontes disponíveis para citação.

Quando um indicador aparece em zero ou indisponível, isso significa que ele não constou no material analisado para este mês, não que o fenômeno não exista na Colômbia ou na região. Em particular, se um CVE não tivesse aparecido, isso não implicaria ausência de vulnerabilidades críticas exploradas no país, apenas falta de registro no corpus analisado. Neste informe, de todo modo, houve dois CVEs críticos mencionados e confirmados.

As cifras de telemetria, tentativas e bloqueios de vendors não se somam a incidentes nem a confirmações de comprometimento. Da mesma forma, uma reclamação em leak site, um alerta de exposição ou uma nota de imprensa não equivalem, por si sós, a uma intrusão verificada. Nos casos em que o material não permitiu distinguir entre criptografia, exfiltração ou simples menção, essa ambiguidade foi preservada, em vez de forçar uma tipificação.

Por fim, várias notas do mês vêm de coberturas secundárias ou de análises comerciais. Quando uma fonte não primária trouxe dados relevantes, ela só foi usada se o material permitia corroborção suficiente ou se a afirmação permanecia claramente atribuída. Onde isso não foi possível, o informe deixou isso expresso como uma afirmação não plenamente verificável.