Peru: situação da cibersegurança, julho de 2026

Incidentes relevantes no Peru

Ingemmet e a interrupção do Petitorio Online

O caso mais consistente do mês foi o do Instituto Geológico, Minero y Metalúrgico. A PCM informou que um ataque de ransomware afetou seus serviços digitais, obrigou a suspensão do Petitorio Online e fez com que o recebimento de petições de mineração voltasse ao formato presencial. A mesma comunicação afirmou que a informação geológica e minerária do país estava protegida, e acrescentou que a denúncia foi apresentada à Divindat da PNP. Também informou que o Estado descartou pagar resgate.

Esse conjunto de sinais faz deste o incidente com maior clareza operacional do período. Não há ambiguidade sobre o impacto no serviço, nem sobre a resposta institucional inicial. O sistema SIDEMCAT voltou a operar em 19 de julho, mas o serviço central seguia suspenso nessa data. Para equipes de defesa, o caso deixa uma lição simples e dura: quando o ransomware atinge um serviço público de tramitação, o custo não está só na perda de disponibilidade, mas no atrito administrativo que obriga a retornar a processos manuais.

Famesa e a reivindicação pública de Qilin

A Famesa foi reivindicada por Qilin no site de vazamentos e em vários agregadores de monitoramento. O material disponível confirma o aparecimento da empresa no leak site e a associação com o Peru, com data de descoberta em 19 de julho às 09:05 UTC. No entanto, a própria evidência pública não permite fechar a tipificação do impacto. Algumas fontes falam em exfiltração de arquivos internos, outras registram apenas a publicação no leak site, e várias ressaltam que se trata de uma reivindicação não verificada.

Por isso, o caso deve ser lido com cautela. Não há base suficiente para afirmar cifragem confirmada, nem para dar como certa uma exfiltração com alcance determinado. O que fica registrado é a pressão reputacional do ator e a confirmação de que uma empresa peruana voltou a ficar exposta na economia da chantagem digital. Em termos de gestão, esses casos exigem playbooks para responder a reivindicações públicas, revisar o monitoramento de vazamentos e preparar a comunicação jurídica e de crise antes que exista validação completa.

Marpatech e a reivindicação da Nova

A Marpatech apareceu no ecossistema de vazamentos como vítima do grupo Nova. A Ransomware.live a identificou como alvo com data de descoberta em 22 de julho, e a Galaxy Warden apontou que a entrada do leak site indica exfiltração de arquivos internos, embora sem quantificação do volume. A BreachSense, por sua vez, falou em vazamento de dados, mas sem respaldo oficial adicional. A história traz outro exemplo de como o mês esteve cheio de marcas públicas de extorsão digital, com grau de verificação desigual.

Triton Trading e a publicação pela Qilin

O caso da Triton Trading, empresa de serviços financeiros, também ficou registrado por Qilin em seu site de vazamentos e na Ransomware.live. A descoberta foi fixada em 23 de julho e os agregadores a localizaram no Peru. Diferentemente do Ingemmet, não há sinal oficial de impacto operacional. Diferentemente da Famesa, a cobertura do leak é mais consistente, mas ainda não resolve o ponto-chave: que tipo de dano houve de fato e se a evidência pública vai além da mera reivindicação do ator.

Ameaças e campanhas ativas no Peru

Ransomware e extorsão, com impacto confirmado, menção pública e tipificação incerta

O mês foi atravessado por uma campanha ampla de extorsão digital, mas a qualidade das evidências varia bastante. Ingemmet é o único caso com impacto operacional confirmado na fonte oficial disponível. Famesa, Marpatech e Triton Trading aparecem em diferentes níveis de publicação em leak sites e agregadores. Em paralelo, a Ransomware.live também associa o Peru a reclamações da Rhysida e a referências a entidades públicas, embora ali a leitura permaneça no campo da atribuição do ator, e não do impacto.

Famesa, Qilin e a disputa pela verificação

O caso Famesa merece uma leitura à parte porque concentra boa parte da ambiguidade metodológica do mês. Os portais de monitoramento coincidem na reivindicação de Qilin, mas não existe confirmação pública da empresa nem de autoridades peruanas no material disponível. Alguns agregadores mencionam captura de tela do leak site e outros fazem referência a exfiltração, mas nenhum apresenta elementos suficientes para estabelecer se o incidente incluiu criptografia, vazamento ou apenas a publicação da reivindicação.

Essa incerteza não reduz o valor jornalístico do fato. Ao contrário, aponta uma tendência importante: boa parte do dano em ransomware já não depende só da indisponibilidade, mas da pressão gerada pela publicação da suposta vítima. Para as equipes de segurança, isso obriga a olhar não apenas para a intrusão técnica, mas também para a gestão de reputação, o estado dos backups, a rastreabilidade da informação e a coordenação com jurídico e relações institucionais.

Marpatech e a exfiltração como principal narrativa pública

Diferentemente de Famesa, Marpatech aparece no material com uma menção mais explícita à exfiltração de arquivos internos no contexto do grupo Nova. Ainda assim, a fonte pública não permite quantificar o volume nem estabelecer o alcance legal do vazamento. Isso a coloca na categoria de extorsão simples ou exfiltração sem criptografia, sempre com a ressalva de que o grau final de confirmação segue parcial.

Suplantação de identidade e fraude financeira

A SBS alertou em julho sobre um aumento de denúncias por fraude digital ligada à suplantação de identidade. A mecânica descrita foi clássica, embora muito atual: obtenção de dados pessoais e financeiros por meio de phishing e ligações telefônicas, para depois executar operações bancárias sem autorização do cliente. O relatório não traz uma quantificação fechada, mas confirma que a fraude digital seguiu como uma das superfícies mais ativas do mês no setor financeiro.

APT, espionagem e pressão técnica de fundo

O material do mês não traz um caso APT formalmente atribuído para o Peru. Há sinais de pressão técnica e de persistência de ameaças avançadas no contexto regional, mas sem fatos verificáveis adicionais que permitam abrir uma seção própria de APT com incidente nacional concreto. Assim, julho no Peru ficou melhor descrito por extorsão digital, phishing e ajuste normativo do que por uma campanha APT identificada de ponta a ponta.

Vulnerabilidades críticas com impacto no Peru

O material analisado não mencionou novos CVEs críticos dentro do período, por isso a tabela fica com um único registro. Isso não significa que não existam vulnerabilidades exploradas na região, apenas que elas não apareceram nos fatos datados de julho que integram este informe.

Regulação e compliance no Peru

SBS 01741-2026 e o reforço do dever de informar

A Resolução SBS N.° 01741-2026 foi a medida normativa mais visível do mês. Ela alterou o Regulamento de Gestão de Conduta de Mercado e reforçou as obrigações de bancos, caixas e financeiras em transparência, atendimento ao usuário e gestão de incidentes operacionais e de cibersegurança. A mudança prática mais sensível é o prazo de 24 horas para comunicação pública de incidentes, além do envio direto aos clientes afetados em até 10 dias úteis, quando aplicável.

Em paralelo, diversas coberturas destacaram que a maior parte das mudanças só entra em vigor 360 dias após a publicação, abrindo um período de adequação de processos, plataformas e sistemas. Para as equipes de segurança, a mensagem é direta: já não basta responder bem, agora também é preciso documentar e comunicar rápido, com rastreabilidade jurídica e capacidade operacional.

BaaS, pagamentos instantâneos e o novo perímetro de risco

A regulação do modelo Banking as a Service e do Serviço de Pagamentos Instantâneos com Alias ampliou o perímetro regulatório. O BCRP exige que fornecedores de diretório e entidades do sistema de pagamentos apresentem planos de implementação, testes de carga, segurança e continuidade, além de medidas de gestão de incidentes, comunicação e reporte. Também obriga os atores que participem de sistemas ou acordos de pagamento proeminentes a obter autorização, enquanto os que participem de acordos não proeminentes devem se registrar como Entidades de Serviços de Pagamento.

Além da linguagem técnica, o efeito real é relevante. O ecossistema de pagamentos digitais fica mais exposto ao escrutínio sobre arquitetura, APIs, terceiros e continuidade, justamente quando o mês mostra sinais de fraude por suplantação e uma persistência clara de phishing. Para bancos e fintechs, o compliance já não é apenas uma tarefa legal, mas também uma condição operacional para sustentar a confiança.

Governança corporativa e cibersegurança no setor financeiro

As coberturas sobre BaaS e sobre a nova regulação do BCRP destacam exigências de idoneidade para diretores e acionistas relevantes, plano de negócios com projeções financeiras e políticas robustas de risco e continuidade. A Traxxia acrescenta que isso está forçando due diligence mais profundas sobre fintechs receptoras, com foco em segurança da informação, scoring e uso de dados de open finance. Não é um número, mas é um sinal do mês: o controle de terceiros subiu na agenda de compliance.

Setores mais afetados no Peru

O mês registrou atividade em seis setores com pelo menos um fato documentado. O alcance foi amplo, embora desigual. O peso principal ficou com o setor público, o financeiro e o ecossistema de serviços tecnológicos ligados a ambos. Ingemmet, o Governo do Peru e as referências ao MTC aparecem no trecho de ransomware e vazamentos; bancos, caixas, financeiras e carteiras digitais concentram regulação e fraude; e as empresas de serviços ou manufatura ligadas a cadeias regionais completam o quadro.

A distribuição setorial tem um viés claro para atividades que dependem de disponibilidade e confiança transacional. Isso explica por que os incidentes e as regulações mais visíveis atingiram justamente as áreas em que uma interrupção ou um vazamento geram efeitos mais caros: trâmites públicos, pagamentos, crédito, identidade e reputação institucional.

Tendências e sinais a monitorar no Peru

A comparação com o mês anterior traz três mudanças concretas. Primeiro, os fraudes e casos de phishing documentados caíram de 4 no mês anterior para 2 em julho. Isso não significa alívio estrutural, porque o vetor segue muito presente, mas mostra uma menor quantidade de fatos individualmente documentados no material disponível. Segundo, os movimentos regulatórios recuaram de 10 para 1, embora o único do mês tenha sido mais profundo e operacional do que vários dos anteriores: a SBS 01741-2026 e a regulação do BCRP mudam regras de reporte, continuidade e perímetro de compliance. Terceiro, os setores com fatos documentados passaram de 7 para 6, com uma concentração mais marcada em público e financeiro.

A ameaça predominante mudou de incidentes no mês anterior para ransomware em julho. Essa variação é relevante porque não se trata de uma simples diferença de rotulagem. No mês anterior, o retrato estava mais disperso, enquanto em julho o volume se organiza em torno da extorsão digital e de seu correlato operacional. O resultado é uma superfície mais nítida para a análise: menos ruído, mais pressão sobre organizações específicas e mais necessidade de resposta rápida diante de reclamações públicas.

Há também um sinal que convém acompanhar de perto, embora não se traduza em um incidente pontual de alto perfil: a continuidade de vulnerabilidades antigas exploradas desde 2017. O material não traz novas CVEs críticas, mas insiste que quase 10% das detecções no Peru exploram falhas conhecidas há anos. Esse dado, somado à persistência de phishing e à pressão regulatória sobre notificação e continuidade, sugere que o problema principal não é a falta de ferramentas, e sim a lacuna entre exposição e maturidade operacional.

Recomendações para equipes de segurança no Peru

1. Revisar os procedimentos de resposta a ransomware com foco em continuidade de serviço, comunicação pública e coordenação jurídica. Os casos de julho mostram que a primeira decisão crítica nem sempre é técnica, também é operacional e reputacional.
2. Ajustar playbooks de vazamento e leak sites. Quando o impacto não está claro, como em Famesa ou Triton Trading, a organização precisa de capacidade de verificação, preservação de evidências e resposta à pressão pública antes de ter o quadro completo.
3. Priorizar autenticação robusta e monitoramento de usurpação de identidade no setor financeiro. O alerta da SBS deixa claro que phishing e chamadas seguem sendo vetores eficazes para operações não autorizadas.
4. Preparar as equipes para o novo regime de comunicação de incidentes. A janela de 24 horas exige canais, porta-vozes, modelos e critérios de classificação prontos antes do evento.
5. Revisar terceiros, APIs e dependências técnicas em modelos BaaS, pagamentos instantâneos e diretórios de alias. O cumprimento regulatório vai exigir evidências de segurança da informação, continuidade e testes.
6. Manter patching e hardening em sistemas expostos à exploração de falhas antigas. O caso de CVE-2017-0199 mostra que exploits antigos continuam ativos e seguem tendo mercado.
7. Fazer exercícios de mesa que cruzem cibersegurança, operações, jurídico e atendimento ao cliente. Julho deixou muito claro que os incidentes não terminam em TI.

Limitações do material

Este informe foi redigido exclusivamente com o material fornecido para julho de 2026 e considera apenas fatos datados dentro dessa janela temporal. Os fatos de meses anteriores foram usados somente na comparação explícita solicitada, sem serem somados ao volume do período. As cifras de telemetria agregada ficaram fora da contagem de incidentes porque são detecções, tentativas ou bloqueios automatizados, não intrusões com impacto confirmado.

O indicador de CVEs críticos é 0 no material analisado do período. Isso significa que não surgiram novos CVEs críticos dentro dos fatos de julho incluídos aqui, não que não existam vulnerabilidades críticas exploradas no Peru ou na região. O mesmo critério se aplica a outros zeros ou ausências de contagem: refletem ausência de registro no corpus deste mês, não ausência real do fenômeno.

Também ficaram excluídas as fontes não permitidas pela diretriz, como redes sociais de consumo, publicações no LinkedIn e conteúdo patrocinado quando funcionava como publicidade ou press release. As referências tomadas de portais de monitoramento de ransomware, meios jornalísticos, organismos oficiais e documentos normativos foram usadas apenas dentro dos limites de verificação presentes no material. Quando uma alegação de ransomware não estava confirmada por uma fonte oficial, ela foi tratada como tal e não como incidente plenamente validado.

CHART placeholders

Limitações técnicas do corpus

O material não traz IoCs suficientes, hashes, domínios ou IPs publicados de forma consistente para montar um anexo técnico sólido sem forçar a interpretação. Também não há um conjunto homogêneo de TTPs atribuídas com precisão a um único ator para o país durante o período. Por isso, o anexo técnico de indicadores de comprometimento e TTPs foi omitido.

Encerramento operacional para o Peru

Julho deixou o Peru com uma combinação incômoda, mas clara: mais pressão por ransomware, mais exigência de conformidade e um ecossistema financeiro que entra em um período de maior formalização de controles. O desafio não está apenas em detectar mais, e sim em responder melhor, documentar mais rápido e reduzir a distância entre o incidente, a decisão e a comunicação.

Gráficos