México: cibersegurança em agosto de 2026

Incidentes relevantes no México

Prefeitura de San Luis Potosí, invasão com exfiltração e extorsão

O caso mais sensível do mês foi o da Prefeitura de San Luis Potosí, porque passou de uma invasão com roubo de dados a uma sequência posterior de pressão econômica. As fontes concordam que houve subtração de informações, divulgação parcial de arquivos e depois uma cobrança em dinheiro para evitar a publicação ou facilitar a recuperação. Aqui, há um caso claro de exfiltração com extorsão, embora não tenha sido relatado o ciframento de sistemas.

O alcance técnico e jurídico ficou em disputa por vários dias. O município falou em declarações patrimoniais de servidores e em dados públicos consultáveis em plataformas oficiais, mas outras notas mencionaram nomes, CURP, telefones e endereços sem tarja. A cobertura posterior insistiu que o ator tentou negociar após o roubo de dados, e a ransomware.mx descreveu o episódio como exfiltração seguida de extorsão.

Universidade Autônoma de San Luis Potosí, ciberataque com impacto operacional

A UASLP passou por um incidente que teve impacto operacional confirmado, com afetação à Caixa Virtual, inscrições, aulas virtuais e processos administrativos. A universidade informou o caso nos primeiros dias de agosto, denunciou à FGR e estendeu os prazos de pagamento, enquanto a imprensa local detalhava que o impacto alcançou várias áreas internas. Nesse caso, o material confirma a interrupção de serviços, embora não permita tipificar com precisão o vetor inicial.

gob.mx, queda temporária da presença digital federal

A interrupção do gob.mx em 19 de agosto teve leitura pública ambígua, porque a ATDT atribuiu o problema a um corte de conectividade e descartou um ciberataque. Ainda assim, o domínio central do governo federal ficou fora do ar por cerca de duas horas e afetou portais de órgãos-chave, incluindo a Presidência da República. A resposta oficial foi breve e não trouxe um relatório técnico detalhado.

O episódio importou menos pela causa declarada e mais pela dependência estrutural que deixou exposta. A queda generalizada mostrou fragilidade operacional em uma arquitetura concentrada em um único domínio, com telas que também expunham componentes internos como WildFly e Nginx. Em termos de risco, foi um incidente de disponibilidade com valor sistêmico, mesmo sem prova de intrusão.

Telsur, Telcel, Telmex e a fragilidade da continuidade em telecomunicações

Agosto também registrou várias falhas massivas ou intermitências em telecomunicações, com Telmex e Telcel entre os nomes mais citados. Na Telcel, houve problemas em recargas, faturamento e portal de vinculação, e a empresa reconheceu falhas em alguns sistemas IP. A Telmex, por sua vez, registrou vários dias de interrupções em serviços de internet e telefonia.

Esses fatos não se misturam com ciberataques confirmados, mas entram no mapa de continuidade operacional do mês. O padrão importa porque coincidiu com a queda do gob.mx e com relatos de intermitências em outras plataformas, o que alimentou a percepção de uma degradação mais ampla da infraestrutura digital e da conectividade.

C5i de Tlaxcala, tentativa de vandalismo informático

Tlaxcala relatou uma tentativa de violação no portal do C5i que foi contida pela área técnica, sem comprometimento das informações hospedadas. O governo estadual ativou protocolos de segurança e restabeleceu o site. É um caso sem brecha confirmada, mas relevante porque se soma ao grupo de incidentes sem tipificação e mostra resposta institucional precoce.

ICV de Nuevo León, suposta filtragem em investigação

O caso do Instituto de Controle Veicular de Nuevo León ficou em zona cinzenta durante todo o mês. As versões falam em um possível acesso a milhões de registros, incluindo licenças e licenciamento veicular, mas a promotoria disse que não havia denúncia formal no momento da cobertura e o instituto afirmou que ainda analisava a veracidade do suposto ataque. Em termos de evidência, segue sendo um incidente sob investigação.

Ameaças e campanhas ativas no México

Ransomware e extorsão no México

O ransomware foi a ameaça mais visível do mês no México, mas sua distribuição foi desigual entre criptografia confirmada, exfiltração sem criptografia e simples listagens em leak site. Apenas dois casos ficaram com criptografia de ativos confirmada no material, três com exfiltração sem criptografia, um com menção isolada em portal de vazamentos e dezesseis sem tipificação conclusiva. O restante dos fatos se encaixa na mesma pressão de extorsão, embora com detalhes técnicos insuficientes.

Entre os casos mais claros estiveram o da Prefeitura de San Luis Potosí, que resultou em extorsão posterior ao roubo de dados, e o da Federis Abogados, listado pelo Booba Project com a alegação de subtração de 61 GB. Também apareceram SEARS, Price Shoes, Cinépolis, Quaker State Mexico, Integraduanas e Centro Médico Especializado OSI, embora em vários desses casos a fonte só confirme a publicação no leak site ou a reivindicação do ator.

Qilin seguiu como o ator mais recorrente nas coberturas mexicanas. Foram atribuídas a ele vítimas em varejo, logística, energia e manufatura, e a ransomware.mx o descreveu como o grupo mais ativo contra organizações mexicanas, com 23 vítimas registradas no México e 14 publicadas até 10 de agosto de 2026. Essa fonte também aponta que Qilin exfiltra dados antes de criptografar, o que ajuda a explicar a frequência de extorsão simples nos casos reportados.

O caso da SEARS, vinculado à SpaceBears, também teve grande repercussão na cobertura. Apareceu em vários agregadores e veículos técnicos, com referências a suposto vazamento de dados de clientes, incluindo ao menos um campo de senha, mas sem confirmação pública da empresa. Price Shoes foi outro caso com forte documentação técnica em ransomware.live e HookPhish, ambos com datas concretas de descoberta e ataque.

Fraude, phishing e impersonação

A frente de fraude e phishing esteve muito ativa e também mostrou um salto de sofisticação. A Group-IB descreveu uma operação PhaaS, Balonx Sistema, que ataca aplicativos bancários no México com chamadas a partir de infraestrutura SIP controlada por atacantes, retransmissão em tempo real de códigos OTP e falsificação de identidade. Ao mesmo tempo, a Condusef alertou para mensagens falsas, chamadas, códigos de verificação e campanhas por WhatsApp que buscam tomar controle de contas ou induzir transferências.

A vertente mais visível foi a dos deepfakes. A SSPC informou sobre redes que usavam imagens e vídeos manipulados de funcionários para promover falsos investimentos, com congelamento de fundos e detenções, enquanto a Condusef e outros veículos alertaram para impersonação de bancos por caller ID spoofing. A combinação de deepfake, engenharia social e autenticação fraca já não é teórica no México, e o mês deixou vários exemplos concretos.

APT, exploração ativa e atividade de intrusão técnica

Embora o foco mensal tenha sido ransomware e fraude, houve atividade técnica relevante em exploração ativa. A CISA adicionou CVE-2025-62593 ao catálogo KEV por exploração ativa contra Ray, um framework usado em ambientes de IA. O material revisado não mostra um incidente mexicano associado de forma direta, mas serve como sinal de exposição para o ecossistema local de IA e cloud, que já mostrou riscos no incidente OpenAI e Hugging Face publicado durante o período.

Também foi observada atividade de campanhas com possível componente de intrusão mais tradicional, como a exposição de credenciais Fortinet vinculada a órgãos públicos mexicanos e o caso de Grandoreiro, que voltou a aparecer com foco em usuários latino-americanos, com o México como país importante nas detecções. São sinais diferentes de ransomware, mas convergem no mesmo problema de credenciais, acesso inicial e continuidade operacional.

Vulnerabilidades críticas com impacto no México

No material analisado, apareceram apenas dois CVEs críticos mencionados com relevância jornalística ou técnica. Isso não significa ausência de outras vulnerabilidades críticas na região, mas sim que, nesse conjunto documental, não houve mais casos datados de agosto de 2026 com impacto local verificável no México.

Regulação e compliance no México

A agenda regulatória mexicana avançou mais rápido que a lei federal de cibersegurança. Em agosto, foram consolidadas mudanças em transparência, proteção de dados, supervisão financeira e regras antilavagem, mas não houve uma lei federal de cibersegurança publicada no Diário Oficial de la Federación. Essa assimetria foi uma das marcas mais claras do mês.

Banxico e a CNBV colocaram em consulta pública novas regras sobre redes de meios de disposição, com ajustes às tarifas de intercâmbio e obrigações de interoperabilidade. Ao mesmo tempo, a CNBV reforçou sua abordagem baseada em riscos sobre centros cambiais e transmissores de dinheiro. No setor bancário, o calendário do MTU também seguiu movendo o debate sobre limites de transferências e verificação reforçada.

A frente de proteção de dados também continuou se reorganizando. O governo federal falou em fortalecer a plataforma digital de transparência após o desaparecimento do INAI, enquanto a Secretaría Anticorrupción y Buen Gobierno assumiu novas competências de supervisão e sanção sob a LFPDPPP de 2025. No Estado do México, a edição de novas leis de transparência e proteção de dados formalizou ainda a extinção do Infoem e a transição para a Transparencia Mexiquense.

Na Cidade do México, o Pacto Digital adicionou iniciativas sobre direitos digitais de crianças e adolescentes, privacidade, proteção de dados e segurança digital. Além disso, o Congresso capitalino tipificou o phishing e abriu debates sobre violência digital e deepfakes. Esse conjunto mostra uma regulação que avança por camadas, com forte componente local e setorial.

Setores mais afetados no México

O setor mais exposto foi o governo, em nível federal, estadual e municipal. Houve queda de gob.mx, exposição no SIAC/SIDAC da Presidência, incidentes no ICV de Nuevo León, uma tentativa no C5i de Tlaxcala e o caso da Prefeitura de San Luis Potosí. O padrão é claro, embora os tipos de evento sejam diferentes: indisponibilidade, vazamento, extorsão e reordenamento institucional.

Varejo e comércio eletrônico também tiveram um mês movimentado. SEARS, Price Shoes e Cinépolis apareceram em portais de vazamento ou em relatórios técnicos de ransomware, com Qilin e SpaceBears como os atores mais visíveis. A exposição não foi uniforme, mas foi suficiente para sustentar uma leitura de pressão crescente sobre marcas de consumo de massa com alto volume de clientes e dependências operacionais complexas.

Educação continuou sendo um alvo importante. A UASLP ficou no centro pelo impacto sobre aulas virtuais, caixa virtual e inscrições, e o ecossistema público local também mostrou sinais em Tlaxcala e em outros casos de portais acadêmicos ou administrativos. O material da IQSEC também reforça que manufatura, serviços empresariais, saúde e comércio estão entre os setores mais expostos, e que um mesmo incidente pode atingir mais de um setor.

Finanças, pagamentos e telecomunicações completaram o quadro. Houve fraude bancária, caller ID spoofing, biometria, MTU, consulta pública sobre taxas de intercâmbio e falhas na Telcel e na Telmex. No México, o mês mostrou que o risco já não se mede apenas por incidentes de intrusão, mas pela combinação de acesso, identidade, continuidade, conformidade e confiança do usuário.

Tendências e sinais a monitorar no México

A comparação com o mês anterior mostra uma mudança de composição, mais do que uma queda de risco. Os fatos verificados recuaram de 105 para 61, mas o peso relativo do ransomware caiu de 55 para 22, enquanto os movimentos regulatórios subiram de 5 para 8. Isso não indica relaxamento, e sim um platô de atividade com maior dispersão temática e mais peças de conformidade.

Os incidentes sem tipificação subiram de 12 para 14, o que convém interpretar como sinal de ambiguidade documental, não como melhora do ambiente. O número de casos de fraude ou phishing caiu de 7 para 5, mas a qualidade das campanhas reportadas piorou em sofisticação, com deepfakes, caller ID spoofing e PhaaS. Ou seja, menos volume aparente, mas maior capacidade de engano.

A queda dos CVEs críticos mencionados, de 19 para 2, também exige contexto. A redução não significa menos vulnerabilidades críticas em circulação, e sim menos menções datadas no material analisado neste mês. O foco saiu de listas de falhas e passou para incidentes de uso de credenciais, extorsão e falhas de disponibilidade, o que se encaixa em um cenário de exploração mais seletiva.

O setor público e o financeiro seguiram como os mais sensíveis, mas varejo e logística ganharam visibilidade. Se essa tendência continuar, setembro deverá mostrar mais pressão sobre cadeias com dados de clientes, sistemas de pagamento e plataformas híbridas. Também vale acompanhar se os casos de San Luis Potosí e gob.mx vão resultar em revisões técnicas mais duras ou em novos ajustes regulatórios.

Recomendações para equipes de segurança no México

Primeiro, revisar a exposição de credenciais e acessos privilegiados em ambientes públicos e privados. O material do mês mostra vários vetores apoiados em credenciais, de Fortinet a campanhas bancárias e acessos a plataformas de administração. Encerrar sessões ativas, rotacionar credenciais e reforçar MFA segue sendo uma medida imediata, não uma sugestão genérica.

Segundo, separar com clareza a resposta a ransomware da resposta à extorsão por exfiltração. Em agosto, houve casos de criptografia confirmada, casos sem criptografia e casos em que só houve menção em leak site. Essa diferença importa para contenção, preservação de evidências, notificação legal e gestão de reputação.

Terceiro, endurecer os processos de validação de identidade em bancos, fintechs e atendimento ao cliente. As campanhas de caller ID spoofing, OTP relay e deepfakes já estão em operação no México. As equipes devem limitar a confiança em canais telefônicos, proibir validações sensíveis fora de canais autenticados e auditar os fluxos que permitem mudanças de dados ou transferências sem fricção.

Quarto, reforçar a continuidade operacional e os testes de dependência de infraestrutura centralizada. A queda do gob.mx mostrou que uma única falha de conectividade pode deixar vários portais federais sem acesso. O mesmo vale para telecomunicações e serviços universitários. Os planos de contingência devem incluir degradação controlada, mensagens alternativas e testes de recuperação com dependências externas.

Quinto, monitorar a superfície regulatória e adaptar os controles de conformidade a tempo. As regras sobre pagamentos, biometria, PLD/FT e proteção de dados estão mudando rápido. As equipes de segurança, compliance e jurídico precisam de uma mesa comum para que a implementação técnica não chegue tarde nem contradiga a letra regulatória.

Perguntas frequentes

Qual combinação de riscos dominou agosto no México entre ransomware, fraude e regulação?

Predominaram ransomware e extorsão, com 22 ocorrências desse eixo, além de campanhas de fraude bancária e oito movimentos regulatórios. O mês reuniu incidentes operacionais, vazamentos e mudanças normativas em pagamentos, biometria e dados pessoais. Ver seções "Indicadores do período no México" e "Regulação e conformidade no México".

Quais casos tiveram impacto operacional confirmado e quais ficaram apenas como alegação dos atacantes?

Com impacto operacional confirmado estiveram a UASLP e a queda temporária de gob.mx. Já vários casos de ransomware, como SEARS, Price Shoes, Cinépolis ou Quaker State Mexico, apareceram apenas como publicações em leak site ou alegações de grupos, sem confirmação pública de criptografia ou dano por parte das vítimas. Ver "Incidentes relevantes no México" e "Ameaças e campanhas ativas no México".

Quais setores concentram a pressão mais visível e como isso se relaciona com os incidentes do mês?

Governo, varejo, educação, finanças, saúde, logística e telecomunicações tiveram registros documentados. A pressão não foi uniforme, mas foi transversal, com governo local e federal afetado por indisponibilidade e vazamentos, enquanto varejo e meios de pagamento ficaram expostos a ransomware e fraude. Ver "Setores mais afetados no México" e "Incidentes relevantes no México".

Quais CVEs críticos apareceram e o que eles significam para o México?

O material analisado citou apenas dois CVEs críticos, CVE-2023-27997 em FortiGate e CVE-2025-62593 em Ray. Nenhum deles ficou associado a uma intrusão local confirmada no México durante agosto, mas ambos reforçam o risco para ambientes públicos, cloud e IA. Ver "Vulnerabilidades críticas com impacto no México".

O que uma equipe de segurança mexicana deve priorizar depois de ler este informe?

Deve priorizar credenciais, MFA, continuidade e validação de identidade. O mês mostrou campanhas com extorsão, phishing, deepfakes, falhas de conectividade e exposição de acessos em órgãos públicos. A resposta mais urgente é reduzir a superfície de acesso e testar a recuperação de serviços críticos com dependências externas. Ver "Recomendações para equipes de segurança no México".

A cifra de telemetria da NTT DATA conta como incidentes confirmados?

Não. A cifra citada por Polls Politico MX, 459 ataques por minuto para o México na janela medida pela NTT DATA, é telemetria agregada de tentativas ou bloqueios, não incidentes com impacto confirmado. Serve como contexto, mas não entra no volume do mês. Ver "Limitações do material".

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o México e agosto de 2026. Os 61 fatos verificados do período são a base dos indicadores. Os 2 fatos de meses anteriores foram usados apenas como referência comparativa, e o fato sem data confirmada ficou excluído do volume. Nada fora desse corpus foi incorporado.

Um indicador em zero, especialmente em CVEs, não significa que não tenham ocorrido vulnerabilidades críticas ou exploração na região. Significa que elas não foram registradas no material analisado deste mês com a tipificação exigida. Neste relatório, houve dois CVEs críticos mencionados, mas o mesmo princípio se aplica a qualquer eixo que apareça vazio em futuras edições.

A cifra de telemetria agregada da NTT DATA citada por Polls Politico MX, 459 ataques por minuto para o México na janela medida, não é uma contagem de incidentes com impacto confirmado. Trata-se de tentativas ou bloqueios automatizados e, por metodologia, não entra no volume mensal.

Também ficaram fora do cálculo as publicações sem data confirmada e qualquer fonte que não integrasse a lista autorizada. Não foram usadas Facebook, Instagram, TikTok, Threads, Reddit nem publicações do LinkedIn. Quando uma fonte era agregadora, patrocinada ou secundária, ela foi tratada apenas como apoio contextual e não como base única para fixar uma tendência.