México: situação da cibersegurança, junho de 2026

Incidentes relevantes no México

Acesso não autorizado a dados de La Escuela es Nuestra

O fato mais concreto do começo do mês foi o acesso não autorizado a informações de alguns comitês escolares do programa federal La Escuela es Nuestra. A Agência de Transformação Digital e Telecomunicações explicou que a entrada ocorreu com credenciais de usuário e senha comprometidas e que não houve um ataque direto à plataforma. A distinção importa porque desloca o foco de uma falha do sistema para o uso indevido de identidade roubada, um padrão que costuma ter consequências menos visíveis, mas igualmente graves, para a proteção de dados.

A fonte não descreve interrupção de serviço, mas confirma a exposição de informações de caráter público e administrativo. Para uma entidade governamental, esse tipo de incidente deixa uma lição simples, o controle de acesso e a higiene de credenciais são tão críticos quanto a camada de aplicação.

Ataques financeiros confirmados pelo Banxico

Ao longo de junho, consolidou-se a imagem de um sistema financeiro atingido por incidentes sucessivos. O Banxico informou, por meio de seu Relatório de Estabilidade Financeira citado por vários veículos, que até maio de 2026 haviam sido registrados oito incidentes cibernéticos em instituições financeiras mexicanas, contra quatro em todo 2025. A cobertura também detalhou que o primeiro incidente do ano foi um ataque de ransomware do tipo Lockbit contra um banco em janeiro, com impacto temporário nas transferências eletrônicas.

O que torna esse bloco relevante não é apenas a cifra agregada, mas a variedade institucional. Os casos reportados atingiram bancos, Sofipos, uma Socap e uma instituição de fundos de pagamento eletrônico. Isso sugere que o risco não se limita à banca tradicional e que o perímetro de exposição alcança atores não bancários do ecossistema financeiro, onde as capacidades de resposta podem ser mais desiguais.

Exposição de dependências federais e estaduais

O mês manteve viva a cobertura sobre campanhas que, segundo múltiplas fontes, afetaram dependências do governo mexicano. O caso mais bem documentado em termos técnicos é o da Gambit Security, que reconstruiu uma operação de um único atacante com uso combinado de Claude Code e GPT-4.1 para comprometer nove organizações governamentais mexicanas e exfiltrar cerca de 150 GB de dados, com exposição massiva de identidades. O material foi além do título e mostrou uma cadeia de exploração automatizada, análise de dados roubados e produção de relatórios prontos para uso operacional.

Na mesma linha, outras coberturas mencionaram supostas intrusões atribuídas à EsqueleSquad contra nove dependências federais e a uma campanha mais ampla que alcançou órgãos públicos, embora nem todos os casos pudessem ser tipificados com precisão. Para efeito do relatório, o ponto relevante é que o setor público continuou aparecendo como alvo prioritário de exfiltração, com dados de contribuintes, cadastros e credenciais em jogo.

Ransomware na Copamex, Idefeey Yucatán, Ford de México e outros casos

Junho trouxe múltiplas referências a ransomware ou extorsão com diferentes níveis de confirmação. A Copamex aparece com um incidente divulgado pela própria cobertura da RecentBreaches como ransomware atribuído à DragonForce, com exposição de arquivos corporativos e documentos confidenciais. No domínio idefeey.yucatan.gob.mx, ligado à infraestrutura educacional no Yucatán, foi confirmado um caso de LockBit5 com roubo de dados e criptografia, situado em 17 de junho e descoberto publicamente em 20.

Também houve menções à Ford de México e a tentativas de extorsão contra outras empresas, mas nesses casos a tipificação exata ficou menos clara ou dependia apenas da aparição em sites de vazamento. Por isso, o mês deve ser lido com cuidado, houve vários nomes circulando, mas só uma parte permitiu distinguir entre criptografia, exfiltração sem criptografia ou mera reivindicação em leak site. Essa diferença não é semântica, ela muda por completo a leitura do dano operacional.

Ameaças ativas no México

Ransomware e extorsão no México, com níveis distintos de confirmação

Criptografia de ativos confirmada

Dois fatos do mês permitem afirmar criptografia confirmada. O primeiro é o caso de idefeey.yucatan.gob.mx, em que a Hookphish classificou o evento como ransomware com roubo de dados, e a RecentBreaches informou sobre arquivos internos exfiltrados. O segundo é o ataque à Copamex, cujo próprio resumo da cobertura indica exposição de arquivos corporativos e documentos confidenciais sob atribuição à DragonForce. Em ambos os casos, o material disponível sustenta que houve impacto além da simples ameaça pública.

Exfiltração sem criptografia, ou extorsão simples

O material também trouxe casos em que o foco foi a pressão pela publicação de dados, sem evidência suficiente de criptografia. Em junho, foram mencionados ao menos dois casos desse tipo no arquivo consolidado, mas a informação pública nem sempre permitiu identificar o alcance técnico exato. Para a leitura mensal, isso importa porque a extorsão simples costuma deixar mais vestígios de exposição de dados do que de indisponibilidade operacional, e exige defesas diferentes das do ransomware clássico.

Apenas menção em leak site

Também houve vítimas nomeadas em sites de vazamento, como ford.mx, onde o grupo Krybit afirmou ter obtido arquivos internos e ameaçou publicar mais dados se não houvesse negociação. O problema é que, nesse nível, a reivindicação não equivale, por si só, a uma intrusão verificada nem esclarece se houve criptografia, exfiltração ou ambas. Por isso, a fonte deve ser lida como sinal de ameaça, não como prova completa do impacto.

Fraude e phishing no México

A fraude em massa ligada à Copa de 2026 foi um dos poucos sinais nítidos fora do ransomware. O Financiero reportou que o México lidera os ciberfraudes vinculados ao evento pela proliferação de sites falsos de venda de ingressos e páginas apócrifas associadas à FIFA. A Infobae, por sua vez, acrescentou que a campanha se estende a 18 estados e que o fenômeno combina engano comercial, suplantação de identidade e uso de domínios fraudulentos.

Também surgiram referências a um vazamento de 45,804 usuários de telefonia, atribuído à Mago Peak, e ao aumento de denúncias por crimes digitais recebidas pela Polícia Cibernética da Cidade do México. Nos dois casos, o padrão é semelhante: a superfície de fraude se apoia em dados pessoais reutilizáveis e canais de contato muito específicos, como mensageria ou portais de cadastro.

APT, intrusão direcionada e hacktivismo no México

Operation Escaneo merece um espaço próprio porque não se encaixa no modelo de ransomware oportunista nem no de fraude comercial. A CloudSEK a descreveu como uma campanha ativa de reconhecimento e exploração contra o México, com uso de ferramentas como Neo-reGeorg, Chisel e roteadores Cisco comprometidos para manter acesso persistente. A Infosecurity Magazine a situou sobre governo, setor fiscal, utilities, transporte, telecomunicações e bancos. O principal sinal aqui é a intenção de permanência e mapeamento de redes, não a extorsão pública.

O caso dos ataques com IA a órgãos mexicanos também aponta para uma intrusão mais sofisticada que a média. A documentação da Gambit Security mostra um fluxo de trabalho automatizado em que a IA não é enfeite, mas parte do processo de reconhecimento, exploração e exploração das informações obtidas. Não há evidência de um único grupo responsável em todos os casos públicos do mês, mas há convergência entre automação ofensiva e alvos de alto valor.

Vulnerabilidades críticas com impacto no México

O foco técnico do mês esteve em software exposto e componentes amplamente usados. Não houve um único produto dominante, e sim um conjunto de falhas críticas em ferramentas que costumam ficar em perímetros, serviços de suporte remoto ou gerenciadores de conteúdo. Essa combinação é particularmente sensível para o México porque a superfície exposta abrange tanto instituições públicas quanto empresas privadas e provedores de serviços.

Também apareceram referências a vulnerabilidades exploradas em campanhas da Fortinet e da Ivanti dentro da Operation Escaneo, embora o material reunido nem sempre separe com clareza quais ambientes mexicanos foram de fato afetados e quais permaneceram como alvos potenciais. Nesses casos, convém ler a tabela como uma lista de exposição verificável, não como um inventário completo de todos os produtos em risco no país.

Regulação e compliance no México

Junho registrou quatro movimentos regulatórios documentados, com foco em privacidade, identidade digital e cibersegurança financeira. O mais concreto foi a nova circular da CNBV para fintechs e SOFOM que concedem crédito por meios digitais. A norma, segundo CreditoLab, fixa padrões mínimos de cibersegurança, exige MFA, reduz os prazos de notificação de incidentes e obriga a avisar os afetados quando houver comprometimento de informações financeiras sensíveis de mais de 5,000 usuários. A fonte de referência é uma cobertura secundária, mas o fato regulatório em si está bem delimitado.

Em paralelo, a Suprema Corte declarou inconstitucionais disposições locais que obrigavam a incluir certos dados pessoais nas cópias certificadas de certidões de nascimento. Também foi informada uma suspensão provisória para que uma operadora não exija dados biométricos durante o cadastro de uma linha, e o Semanario Judicial publicou novos critérios sobre privacidade no contexto da CURP biométrica. São decisões distintas, mas convergem na mesma direção: mais cautela com a expansão de identificadores sensíveis.

O debate legislativo também avançou. Em 29 de junho, deputadas federais apresentaram uma iniciativa para criar uma Lei Geral para a Regulamentação e Uso Ético da Inteligência Artificial no México. A proposta busca organizar o desenvolvimento, a aplicação e a supervisão de sistemas automatizados, com atenção à discriminação algorítmica e à invasão de privacidade. Em termos de política pública, o mês deixou uma mensagem clara: a discussão regulatória já não está na fase de diagnóstico, e sim na definição de obrigações.

Setores mais afetados no México

O padrão setorial de junho foi mais amplo do que sugere a simples etiqueta de ransomware. Finanças liderou o volume de sinais, com oito incidentes citados por Banxico e alta densidade de cobertura sobre transferências, perdas e riscos sistêmicos. Governo apareceu no segundo grande bloco, com acessos não autorizados, exfiltração de dados e campanhas direcionadas contra órgãos federais e estaduais. O setor privado não ficou de fora, mas sua exposição surgiu de forma mais fragmentada, em empresas como Copamex, Ford de México e entidades do ecossistema de alimentos, papel, embalagens e manufatura.

A manufatura merece atenção à parte. Embora nem todos os casos individuais do mês a mencionem de forma direta, o material de contexto a posiciona como um dos setores mais atacados no México, e isso se alinha à presença de Copamex, Ford e outras referências a infraestrutura industrial. Não se trata apenas de disponibilidade de sistemas, mas de continuidade operacional, confidencialidade de projetos e pressão comercial por vazamento de dados.

Um traço relevante é que vários fatos atingem mais de um setor ao mesmo tempo. O caso de idefeey.yucatan.gob.mx é público, educacional e de infraestrutura estadual. Operation Escaneo alcança governo, finanças, telecomunicações e utilities. Por isso, qualquer leitura setorial precisa ser cautelosa e não presumir exclusividade onde ela não existe. O sinal real do mês é transversal, mas com maior intensidade em finanças, administração pública e ambientes em que a exposição perimetral segue elevada.

Tendências e sinais a monitorar no México

Não há baseline comparativo do mês anterior, porque este é o primeiro período arquivado com esse formato de indicadores para o México. Essa ausência obriga a evitar comparações numéricas inventadas. O que se pode afirmar é que junho consolidou um padrão: ransomware e extorsão dominaram a conversa, enquanto as vulnerabilidades críticas e as campanhas de intrusão direcionada ganharam visibilidade.

O sinal a acompanhar em julho é duplo. Primeiro, a materialização das ameaças de leak site e extorsão simples, especialmente em empresas do setor industrial e do ecossistema financeiro não bancário. Segundo, a resposta às falhas críticas que já estão em KEV ou foram marcadas como exploradas, porque o risco não depende apenas da existência do CVE, mas do tempo real de remediação nas organizações mexicanas. Se esse descompasso se mantiver, o mês seguinte provavelmente seguirá mostrando incidentes de entrada conhecida, não de inovação técnica.

Também convém monitorar a frente regulatória. A CNBV já elevou a régua para fintech e SOFOM, e o debate sobre CURP biométrica, privacidade e identificação digital pode acelerar novas obrigações. Em paralelo, a campanha de fraude ligada à Copa do Mundo e o uso de IA para automatizar reconhecimento e exploração mostram que a fronteira entre o cibercrime clássico e a operação assistida por IA está ficando menos nítida.

Recomendações para equipes de segurança no México

1. Revisar a exposição externa de appliances, gerenciadores de conteúdo e software de suporte remoto, com prioridade em Fortinet, Ivanti, Cisco, Splunk, Joomla e SimpleHelp.
2. Reforçar o controle de credenciais, sobretudo em programas públicos, fintechs e serviços com acesso delegado, porque o caso de La Escuela es Nuestra mostrou que uma credencial comprometida pode bastar.
3. Acelerar patches e mitigações em ativos marcados como explorados ou com uso ativo no mês, e registrar a data interna de remediação para auditoria.
4. Separar a resposta a ransomware, exfiltração e extorsão simples, porque o conteúdo da negociação, o isolamento de sistemas e a notificação legal não são equivalentes.
5. Revisar processos de detecção de phishing e fraude de marca, em especial campanhas ligadas a eventos de massa, venda de ingressos e páginas de spoofing.
6. Em instituições financeiras, reforçar a rastreabilidade sobre transferências eletrônicas, o inventário de terceiros e a segregação de privilégios entre canais digitais.
7. Em governo e educação, priorizar o inventário de contas de serviço, a rotação de segredos, a validação de sessões e o monitoramento de acessos anômalos a partir de credenciais válidas.
8. Para organizações com presença industrial, verificar a continuidade operacional e cópias offline, porque a pressão sobre a manufatura se combina com extorsão e vazamento de dados técnicos.

Limitações do material

Este informe foi elaborado exclusivamente com o material fornecido para o México em junho de 2026. A janela de indicadores inclui 70 fatos com data em junho de 2026, 4 fatos de meses anteriores usados apenas como marco comparativo, 1 fato sem data confirmada que ficou excluído dos indicadores e 2 fatos posteriores ao período, também excluídos. Os indicadores do período refletem apenas os fatos datados dentro de junho e não uma telemetria agregada de tentativas ou bloqueios.

Um indicador em zero não significa que algo não tenha ocorrido no México ou na região, mas sim que não apareceu no material analisado com a qualidade exigida para este informe. Isso vale de forma especial para CVEs, embora neste mês tenham sido mencionadas quatro vulnerabilidades críticas. Se em outro período alguma categoria chegasse a figurar em zero, o sentido continuaria o mesmo: ausência de registro no corpus, não ausência de fenômeno real.

A distinção entre incidentes, telemetria e campanhas atribuídas foi mantida de forma estrita. As cifras de tentativas ou bloqueios, como as mencionadas por vendors ou coberturas que falam de volumes massivos de ataques, não foram contabilizadas como incidentes com impacto confirmado. Também não foram usadas como base para inferir tendência por si só.

Foram excluídas como evidência as redes sociais de consumo e as publicações patrocinadas ou do tipo press release que não estavam admitidas na lista de fontes. Quando alguma cobertura citou material de terceiros, priorizou-se a fonte que descrevia o fato com maior precisão e, se o material não permitia confirmar um impacto, ele foi consignado como atribuído ou indeterminado, conforme correspondesse.