México: situação da cibersegurança, julho de 2026

Ameaças e campanhas ativas no México

Ransomware e extorsão com criptografia confirmada

Em julho, houve pelo menos quatro casos com criptografia de ativos confirmada dentro do material analisado. Entre eles, o caso de Contacto Garantido é o mais claro. Também entram outros incidentes em que o ransomware foi descrito com mais ou menos detalhe técnico, embora em vários deles o material não tenha permitido certificar a dimensão do dano nem o alcance da interrupção.

O padrão que se repete é o abuso de serviços expostos, credenciais vazadas, configurações incorretas e acesso pela superfície pública. No material, não aparece um predomínio de exploração de CVEs para ransomware contra o México durante o mês, mas sim falhas de hardening e má gestão de perímetros.

Ransomware e extorsão, apenas menção em leak site

Dois casos ficaram na categoria de apenas menção em leak site. São relevantes para monitoramento, mas não devem ser confundidos com intrusão confirmada nem com criptografia comprovada. A diferença importa porque os grupos de extorsão costumam usar leak sites como instrumento de pressão mesmo quando a evidência pública do comprometimento é incompleta.

No relatório de julho, essa situação aparece especialmente em reivindicações de grupos como Qilin e Krybit, em que o dado mais sólido é a publicação ou referência no portal do ator. Sem telemetria interna nem laudo forense, o material não permite afirmar mais do que isso.

Fraude e phishing no México

O phishing ganhou peso normativo e operacional. A Cidade do México tipificou o phishing como crime autônomo e, ao mesmo tempo, várias notas descreveram seu uso massivo em fraudes bancárias. O material de imprensa explicou o mecanismo mais comum, mensagens por SMS, WhatsApp ou e-mail que imitam uma instituição financeira para levar a vítima para fora do aplicativo oficial e roubar credenciais, NIP ou outros acessos.

A parte técnica e a parte legal se alinharam no mesmo mês. Isso não significa que o fenômeno tenha sido resolvido, mas mostra que o ecossistema institucional reconhece melhor o dano específico desses golpes. Também houve cobertura sobre a suplantação de 11 instituições financeiras reportada pela CONDUSEF durante junho, um dado útil como contexto, embora não seja contabilizado como incidente de julho.

APT, intrusão assistida por IA e hacktivismo oportunista

Embora o mês tenha sido dominado por ransomware, surgiu uma linha técnica diferente ligada ao uso de IA em intrusões contra organizações governamentais mexicanas e uma utility de água em Monterrey. Dragos e Gambit Security, citados por Cryptonomist, descreveram o uso de Claude e GPT para acelerar reconhecimento, desenvolvimento de ferramentas e exploração, com tentativas automatizadas de password spraying contra um gateway industrial. Não há evidência pública de que o ambiente OT tenha sido violado, mas o caso mostrou uma forma nova de assistência ofensiva.

Em paralelo, a Proceso atribuiu a Hackers$ Crew uma série de ataques contra portais de Sinaloa, e ransomware.mx relatou várias entradas associadas ao coletivo ou a aliases vinculados. No material disponível, a atribuição segue mais declarativa do que forense, mas a visibilidade desses nomes em múltiplas fontes sugere pressão persistente sobre portais públicos e bases expostas.

Vulnerabilidades críticas com impacto no México

Regulação e compliance no México

A regulação foi um dos frontes mais ativos do mês. A Cidade do México tipificou o phishing como crime autônomo, com penas de três a seis anos de prisão e multas de 200 a 600 UMA, além de agravantes quando a vítima é menor, idosa ou pessoa com deficiência. O movimento indica endurecimento penal contra fraudes digitais e pode ter efeito prático nas denúncias e na forma como as estafas online aparecem na narrativa judicial.

Também houve avanços e debates sobre identidade digital e dados pessoais. A Secretaria Anticorrupção e Buen Gobierno anunciou uma multa contra a Federação Mexicana de Futebol pelo tratamento de dados pessoais via Fan ID, e depois ficou conhecido que o órgão fixou critérios públicos iniciais em proteção de dados a partir desse caso. Em paralelo, continuaram as discussões sobre multibiometria bancária, testes de vida, verificação por reconhecimento facial e uso de bases oficiais para validar identidade em operações de maior risco.

O setor bancário ficou mais exposto ao escrutínio regulatório. Houve cobertura sobre a CNBV, a ABM e a migração para e.firma em trâmites patronais perante o IMSS, além da substituição do certificado NPIE. Também se falou em exigências documentais maiores e em risco cibernético sob marcos como Basileia IV. Para julho, a mensagem de fundo é que a gestão do risco cibernético deixou de ser apenas uma questão técnica e passou a integrar de forma explícita o compliance operacional.

Em matéria de IA, o México seguiu com um modelo fragmentado. Houve debates federais, iniciativas setoriais, uma revogação em San Luis Potosí e múltiplas opiniões sobre a ausência de uma lei geral. O que ficou verificável no mês é que o país continuou regulando por partes, enquanto cresce a pressão política por uma norma mais abrangente.

Setores mais afetados no México

O setor público foi o mais visível pelo impacto reputacional e operacional, embora não necessariamente pelo volume absoluto. León, Sinaloa e a Presidência concentraram a atenção pública, com uma combinação de interrupções, exposição de informações e debate sobre atribuição. Quando um vazamento inclui cadastros, folhas de pagamento, prontuários médicos ou denúncias de cidadãos, o dano potencial vai além do sistema afetado e alcança o processo administrativo, a confiança pública e a segurança das pessoas.

O setor financeiro também teve forte presença, mas em uma mistura de fraude, biometria, falsificação de identidade e regulação. Nem tudo foi intrusão. Várias das notas do mês mostraram pressão para endurecer o KYC, validar a identidade com biometria e reforçar o tratamento de dados. A questão da fraude continua crítica, embora a categoria de incidente nem sempre esteja formalizada como vazamento.

Manufatura, serviços empresariais e tecnologia da informação seguiram entre os setores com mais sinais de ransomware nos monitores abertos. Isso coincide com o padrão do mês anterior, embora em julho a pressão publicitária e o volume de publicações tenham sido maiores. A saúde também voltou a aparecer, tanto em casos confirmados quanto em materiais de sinalização precoce, e isso obriga a não tratar os incidentes sanitários como isolados.

A leitura setorial, portanto, não é de uma única frente, mas de três camadas. Governo e serviços públicos por vazamentos e quedas, finanças por fraude e conformidade, e indústria e serviços por extorsão e exposição de infraestrutura. Os sete setores com fatos documentados mostram uma cobertura transversal, não um problema restrito a uma vertical.

Tendências e sinais a monitorar no México

A comparação com o mês anterior mostra uma aceleração forte em quase todas as frentes que importam. Os fatos verificados passaram de 56 para 105. Os casos de ransomware ou extorsão subiram de 15 para 55. O fraude e phishing documentado passou de 2 para 7. Os CVEs críticos mencionados saltaram de 4 para 19. Só a quantidade de setores com fatos documentados se manteve estável em 7.

Isso sugere uma agenda de risco mais densa e não necessariamente mais ordenada. O mês anterior já trazia sinais de extorsão, mas em julho as publicações se multiplicaram e surgiram mais casos com detalhe técnico. Ao mesmo tempo, cresceu a pressão regulatória sobre bancos, biometria e fraude digital. Para as equipes de segurança e compliance, a interseção entre incidente, regulação e reputação ficou mais estreita.

Há três sinais que valem acompanhamento de perto. O primeiro é saber se os casos públicos de ransomware seguem migrando da mera atribuição em leak sites para criptografia confirmada ou vazamentos com impacto comprovado. O segundo é saber se os portais públicos e sistemas de atendimento ao cidadão continuam expondo falhas lógicas, como o IDOR do SIDAC, além da infraestrutura tradicional. O terceiro é saber se a exploração ativa de CVEs críticos se traduz em incidentes locais, sobretudo em software de colaboração, identidade, gateways remotos e plataformas expostas.

A comparação regional também não afrouxa. As fontes do mês insistem que o México segue entre os países mais atacados da América Latina, embora isso conviva com o lembrete metodológico de que muitas cifras divulgadas por fornecedores são telemetria ou tentativas, não incidentes confirmados. O sinal útil não é só a contagem, mas a persistência dos mesmos vetores, serviços expostos, phishing, abuso de identidade e falhas de configuração.

Recomendações para equipes de segurança no México

Primeiro, priorizar a exposição da superfície. Vários incidentes do mês mostram que o acesso inicial não veio de uma cadeia sofisticada, mas de MSSQL mal configurado, credenciais expostas, serviços de borda sem correção e acessos lógicos fracos. Isso exige revisar inventário, exposição externa e postura de configuração antes de pensar em controles mais sofisticados.

Segundo, endurecer os controles de identidade e acesso. O mês deixou claro que a identidade é o vetor central, de phishing bancário e suplantação até biometria bancária, e.firma, acesso a sistemas cidadãos e vazamentos de dados sensíveis. MFA robusta, monitoramento de anomalias, revisão de privilégios e validação de fluxos de acesso devem ser prioridade, sobretudo em portais de serviço e back offices com informação sensível.

Terceiro, segmentar melhor os ambientes críticos. Os casos ligados a saúde, atendimento ao cidadão e tecnologia operacional mostram que uma brecha em TI pode escalar para OT, ou que um vazamento em um portal pode gerar impactos ampliados. Separar redes, limitar a confiança entre domínios e revisar filas de impressão, repositórios e gateways industriais ajuda a reduzir o raio de explosão.

Quarto, preparar a resposta legal e reputacional. Em julho houve incidentes em que não estava claro se havia criptografia, mas existia exposição pública, disseminação de informação e pressão de leak site. Quando isso acontece, a equipe de segurança deve trabalhar com jurídico, privacidade e comunicação desde a primeira hora. A diferença entre um vazamento e uma atribuição pode ser difusa para o público, não para o regulador.

Quinto, tratar a exploração ativa de CVEs como uma lista de ação e não como um anexo. Com 19 vulnerabilidades críticas mencionadas, várias já exploradas no mundo real, o calendário de correção não pode depender do ciclo normal de manutenção. Os produtos com exposição à internet, autenticação federada, colaboração e gateways remotos precisam de prioridade explícita.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o México em julho de 2026. A janela temporal indicada pelos indicadores inclui 108 fatos datados de julho de 2026, mais 1 fato de meses anteriores usado apenas como parâmetro comparativo, e exclui 2 fatos posteriores ao período. Não foi usada informação externa nem internet.

Um indicador em 0 ou a ausência de detalhes não significam que o fato não exista na região ou no país. Em particular, se um CVE ou uma categoria não aparece como volume do mês, isso apenas quer dizer que não ficou registrado no material analisado sob esta janela e estes critérios. Não deve ser interpretado como ausência de vulnerabilidades, ataques ou exploração no mundo real.

A taxonomia de ransomware e extorsão também tem limites metodológicos. Em vários casos o material apenas menciona uma vítima em um leak site ou uma reivindicação do agente, sem permitir determinar se houve criptografia, exfiltração ou ambos. Quando a fonte não esclareceu isso, a classificação foi mantida como não determinável.

Ficaram fora do cálculo as cifras de telemetria agregada, tentativas, bloqueios e médias semanais de vendors. Também foram excluídos fatos sem data confirmada e qualquer referência que não estivesse dentro das fontes disponíveis para citação. As redes sociais de consumo, conteúdos patrocinados e material promocional não foram usados como evidência para tendências, salvo quando a fonte aberta ofereceu um dado verificável e atribuível de forma independente.

Os módulos comparativos e as cifras mensais devem ser lidos como uma foto do período, não como série completa do risco mexicano. Onde uma nota trouxe contexto regional ou setorial, ela foi usada para interpretação e não para inventar incidentes adicionais. Se uma fonte falou de tentativas, bloqueios ou varreduras, isso foi considerado telemetria e não incidente com impacto confirmado.