México: panorama de cibersegurança, setembro 2026

Ameaças e campanhas ativas no México

Ransomware e extorsão: pressão sustentada, tipificação parcial

O México concentrou 19 casos com ransomware ou extorsão como eixo principal dentro dos 61 fatos do período, mas só parte dessa cifra pôde ser classificada com precisão. Em um caso, o material remete apenas ao aparecimento da vítima em um leak site, enquanto em 18 a fonte não permite determinar se houve criptografia, exfiltração ou simples alegação pública de extorsão.

Essa distinção importa. O sinal do mês não é só se houve mais ou menos ransomware, mas o fato de que as fontes indexam de forma desigual a atividade dos grupos. Por isso, para leitura operacional, convém tratar os 19 casos como pressão extorsiva ativa, sem presumir por padrão a mesma modalidade técnica em todos eles.

Qilin e Grupo Juste

Qilin foi um dos nomes mais recorrentes no material mexicano do mês. Diferentes plataformas de monitoramento registraram Grupo Juste como vítima, mas o material disponível não permitiu confirmar de forma independente o alcance real nem os dados comprometidos.

A fonte descreve uma reivindicação em leak site e não necessariamente uma criptografia validada pela organização. Isso enquadra o episódio na categoria de menção ou tipificação incompleta, e não na de impacto operacional confirmado.

KRYBIT, Tender e outras reivindicações no México

KRYBIT apareceu vinculado a várias entradas mexicanas, entre elas Tender, Grupo Juste e outros casos listados em plataformas de monitoramento. Em alguns registros, o incidente figura como reivindicação ou publicação da vítima, mas o material não confirma de forma independente nem a intrusão nem a exfiltração.

No plano tático, o que fica claro é a persistência da pressão de extorsão sobre empresas mexicanas de serviços, comércio e manufatura. O problema para a análise é que boa parte das fontes desse tipo descreve o site de vazamentos, não o incidente técnico de fundo.

Fraude e phishing: ausência de um caso único, mas muita sinalização operacional

Não houve casos de fraude ou phishing documentados como incidentes encerrados dentro do recorte do período, mas sobram campanhas, alertas e respostas setoriais. O frente mais visível foi a banca digital, onde Condusef e ABM insistiram em malware móvel, falsificação de instituições, roubo de códigos e uso de apps falsas.

Isso não representa um vazio de risco. É, antes, um mês em que a fraude se manifestou sobretudo como padrão de campanha e como estatística acumulada, não como um único evento singular. A leitura correta está no conjunto de avisos, reivindicações e recomendações operacionais.

APT, intrusão com ferramentas de IA e atividade sobre infraestrutura crítica

A campanha atribuída a CL-CRI-1131 se destaca como o caso mais claro de intrusão sofisticada fora do eixo financeiro. Unit 42 e fontes que retomam sua análise descrevem uma operação contra uma organização de transporte, ministérios federais e utilities de água municipais no México e no Equador, com uso de living-off-the-land, scripts em lote e hospedagem de ferramentas na infraestrutura dos atacantes.

O material também menciona o uso de IA para gerar código e explorar redes no caso do fornecedor de água de Monterrey, embora até meados de setembro não tivesse sido confirmada uma interrupção de serviço atribuível a essa atividade. O dado técnico relevante é que a tentativa de pivotar para OT foi bloqueada.

Vulnerabilidades críticas com impacto no México

Em termos técnicos, setembro trouxe uma combinação de falhas em appliances de borda, sistemas Windows e roteadores amplamente usados em pequenas redes. O padrão comum foi a urgência de aplicar patches. Mas houve um agravante: várias dessas vulnerabilidades já estavam sendo exploradas no momento da cobertura, o que reduziu muito a janela real de resposta.

A presença de Citrix, Microsoft e MikroTik no mesmo mês exige olhar para superfícies diferentes. Nem todo o risco esteve ligado a ransomware ou fraude. Parte da exposição do México em setembro veio de infraestrutura exposta e de equipamentos de borda que, se permanecerem sem correção, podem abrir caminho para intrusão, movimentação lateral e persistência.

Regulação e compliance no México

Setembro foi intenso em regulação. Banxico e a CNBV mexeram em regras sobre transferências, autenticação e experiência do usuário; o Congresso avançou projetos sobre identidade digital, IA, proteção de dados e cibersegurança; e a autoridade de proteção de dados continuou atuando em casos de exposição e sanções.

A novidade não está só no volume de iniciativas, mas na convergência de temas. Identidade digital, biometria, segurança de pagamentos, infraestrutura crítica e responsabilidade de plataformas passaram a aparecer no mesmo pacote político e regulatório.

Banxico, CNBV e a reconfiguração de pagamentos e autenticação

O Banxico publicou a Circular 9/2026 com prazo de cumprimento até 14 de dezembro de 2026 para ajustes em aplicativos móveis e regras de transferência. Em paralelo, o material mostra consultas e mudanças sobre autenticação por SMS, tarifas de intercâmbio e padronização da experiência do usuário.

Para os times de compliance, o sinal é duplo. Há mais detalhe regulatório sobre como os canais digitais devem operar, mas também mais risco de implementar mudanças parciais ou apressadas. O impacto não é abstrato, ele afeta onboarding, autenticação, suporte ao usuário e monitoramento antifraude.

Identidade digital, biometria e proteção de dados

A deputada Karina Margarita del Río Zenteno apresentou uma iniciativa para elevar a status constitucional o direito a uma identidade digital segura, interoperável e gratuita. Ao mesmo tempo, outras propostas miram uma Lei Geral de Identidade e Cidadania Digital e a harmonização de normas sobre proteção de dados, cibersegurança e assinatura eletrônica.

No setor financeiro, a regulação já incorpora impressão digital e biometria facial como parte da identificação de clientes. Isso torna ainda mais importante a governança de dados biométricos, porque a superfície regulatória já não se limita a credenciais e senhas.

Cibersegurança como marco legislativo em curso

O Senado recebeu uma iniciativa para instituir uma Lei de Cibersegurança que propõe uma Agência Nacional de Cibersegurança, CSIRT e um sistema nacional. A iniciativa ainda está em tramitação, então não deve ser tratada como lei vigente, mas sim como sinal de agenda política.

Em paralelo, o Congresso avançou em outras peças normativas sobre IA, conteúdos digitais e responsabilidade de plataformas. O resultado é um mês em que a regulação mexicana se moveu rápido, embora ainda sem fechar um marco unificado.

Setores mais afetados no México

O setor financeiro voltou a ser o mais exposto em volume de sinais, embora nem sempre pela mesma classe de incidente. Nesse grupo, se concentraram alertas de fraude, recomendações da Condusef e da ABM, relatos de reclamações, mudanças de autenticação e referências a biometria, tudo no mesmo mês. O quadro não aponta para um ataque único, mas para uma superfície de risco persistente.

Serviços, governo, transporte e saúde também apareceram com força, sobretudo por incidentes de ransomware, vazamentos ou interrupções, além de campanhas de intrusão com alcance multissetorial. No caso do setor público, o material volta a mostrar um problema clássico, a confirmação tardia do alcance, o que dificulta distinguir entre exposição, comprometimento e mera alegação criminosa.

A indústria e a manufatura seguem sob pressão, especialmente em contextos de ransomware e de atividade de atores de língua russa. O caso da BlackCat e a referência a mais de uma dezena de empresas industriais e de manufatura mexicanas afetadas reforçam essa leitura, embora nem todas as menções tragam a mesma densidade de evidências.

Em utilities e serviços essenciais, o principal sinal veio da infraestrutura de água e energia. O caso de Monterrey e a operação sobre água municipal, somados aos fatos do sudeste elétrico e aos relatos sobre o C5i de Hidalgo, mostram que o interesse sobre serviços críticos não desaparece, ainda que a confirmação final do impacto operacional seja desigual.

Tendências e sinais a monitorar no México

A principal tendência do mês foi a queda no número de incidentes não tipificados e de casos de ransomware em relação ao mês anterior, mas com uma contrapartida: subiram os CVEs críticos mencionados e o volume regulatório permaneceu estável. Isso sugere menos ruído em algumas frentes e mais pressão técnica em outras, não uma melhora estrutural do risco.

A comparação com o mês anterior também mostra que as ocorrências documentadas de fraude e phishing caíram de 5 para 0 no material de setembro. Não convém ler isso como um alívio real do risco, porque o próprio mês veio repleto de alertas sobre fraude bancária, apps falsos e clonagem de marcas financeiras. O que caiu foi a contagem de incidentes fechados na amostra, não a exposição subjacente.

Em ransomware, a queda de 22 para 19 casos com eixo primário não apaga a continuidade do fenômeno. A discussão de setembro se deslocou mais para a tipificação do dano, as menções em leak sites e a pressão extorsiva distribuída do que para grandes episódios com criptografia confirmada.

O outro sinal a acompanhar é a aceleração regulatória. O mês anterior já vinha com movimentos em pagamentos e autenticação, mas setembro acrescentou identidade digital, IA, cibersegurança legislativa e proteção de dados. Para compliance, isso significa mais pontos de contato entre áreas jurídicas, tecnológicas e de risco.

Recomendações para equipes de segurança no México

1. Revisar imediatamente a exposição no perímetro e nos canais móveis, especialmente em ambientes com Citrix NetScaler, Windows e equipamentos MikroTik. As vulnerabilidades ativamente exploradas do mês não deixam margem para ciclos longos de correção.

2. Priorizar a detecção de roubo de credenciais e de tomada de conta na banca digital. O material do mês mostra campanhas por e-mail, SMS e apps falsas, além de overlays no celular e captura de códigos de verificação.

3. Ajustar o monitoramento para vazamento de dados e publicação em leak sites, porque parte do ransomware do período aparece apenas como menção ou reivindicação não confirmada. Convém separar com rigor criptografia, exfiltração e simples pressão extorsiva.

4. Revisar a governança de dados pessoais e biométricos. Entre Aeroméxico, as iniciativas de identidade digital e as regras de captura facial e digital, o foco regulatório já não está só em senhas, mas também em informações sensíveis de identidade.

5. Validar planos de resposta com o negócio e com fornecedores. O caso Aeroméxico voltou a mostrar que terceiros e plataformas externas podem aparecer no centro do incidente, mesmo que a atribuição técnica final siga em aberto.

6. Preparar um mapa atualizado de conformidade para Banxico, CNBV e Congresso. As obrigações sobre transferências, experiência do usuário, identidade e proteção de dados se acumularam em setembro e não convém tratá-las como peças isoladas.

Perguntas frequentes

O que mudou no México entre a fraude bancária e o ransomware de setembro?

Em setembro, a fraude bancária deixou de aparecer como incidente encerrado na amostra, mas continuou dominando a conversa operacional com alertas de Condusef, ABM e Banxico. O ransomware seguiu como a ameaça predominante em volume, com 19 de 61 fatos, e ainda se apoiou em leak sites e tipificação incompleta.

Qual é a relação entre Aeroméxico, identidade digital e proteção de dados?

Aeroméxico ficou no centro de uma investigação por uma base oferecida no Telegram, enquanto o Congresso e a administração federal impulsionaram iniciativas sobre identidade digital, proteção de dados e cibersegurança. As três linhas convergem no mesmo ponto, dados pessoais mais sensíveis e mais pressão regulatória sobre seu tratamento.

O que indicam juntos os CVEs de Citrix, Windows e MikroTik?

Juntos, eles mostram três superfícies distintas, appliances de borda, sistema operacional e roteadores de uso amplo, com exploração ativa no mesmo mês. Isso obriga a priorizar correção e segmentação, porque o risco não ficou concentrado em um único fabricante nem em uma só classe de infraestrutura.

Como a campanha de e-mail malicioso se conecta ao banco digital mexicano?

A campanha da Proofpoint buscou credenciais e acesso inicial por meio de iscas cotidianas, enquanto o banco digital mostrou alertas por malware móvel, clones de instituições e roubo de códigos. São frentes diferentes, mas que se tocam na mesma cadeia, engenharia social, captura de acesso e fraude posterior.

Quais setores devem ficar mais atentos depois de setembro?

Finanças, serviços, governo, indústria e utilidades são os mais expostos pelo que a amostra deixou. Finanças por fraude e regulação, governo por incidentes sem tipificação e pressão extorsiva, e infraestrutura crítica por campanhas multissetoriais e vulnerabilidades exploradas em sistemas expostos.

Limitações do material

O relatório cobre exclusivamente fatos datados de setembro de 2026 dentro do material fornecido. Um fato sem data confirmada foi excluído dos indicadores, e um fato posterior ao período também foi excluído do cálculo. Quando números aparecem em prosa, eles correspondem à base de 61 fatos verificados do período.

Um indicador em zero, especialmente os casos de fraude ou phishing documentados, significa que eles não apareceram no material analisado para este recorte, não que não tenham existido no México ou na região. O mesmo vale para a ressalva sobre CVEs: 6 vulnerabilidades críticas mencionadas não esgotam o universo real de falhas exploradas, apenas o observado nas fontes do mês.

A janela temporal dos indicadores foi de 62 fatos com data em setembro de 2026, mais 1 sem data confirmada excluído e 1 posterior ao período excluído. Os fatos de meses anteriores só foram usados como comparação quando o material permitiu, nunca como parte do volume do mês.

Foram excluídos da base as tentativas, bloqueios ou varreduras agregadas que o material tratou como telemetria, porque não equivalem a incidentes com impacto confirmado. Também se evitou usar conteúdo patrocinado, comunicados comerciais ou notas sem respaldo suficiente para converter em tendência.