Peru: cibersegurança em setembro de 2026

Ameaças e campanhas ativas no Peru

O mês reuniu ransomware, extorsão e ciberespionagem, com muitos casos em que a evidência disponível não bastou para definir o impacto técnico exato. A leitura correta não é que houve mais criptografia, e sim mais visibilidade de reclamações, vazamentos e listagens em sites de extorsão.

Ransomware e extorsão, com tipificação parcial

A Italtel Peru foi listada pela Everest como vítima, a AGROFRUTO SAC apareceu associada à ArcusMedia, a Honda (Peru) figurou em reclamações atribuídas à Panzer e o gob.pe foi listado pela SafePay. Em vários desses casos, a fonte não especificou se houve criptografia, exfiltração ou apenas menção em um leak site.

A parte mais clara do mês foi a de extorsão simples, com quatro casos em que a fonte indica roubo de dados e pressão para negociação. Também houve duas menções em leak site sem mais detalhes e sete casos em que o material não permitiu tipificar o impacto. Esse recorte importa porque evita superestimar o efeito operacional.

Fraude e phishing

O caso do MEF foi o sinal mais visível de fraude ou phishing do mês, com publicações enganosas a partir de uma conta institucional comprometida. Fora desse episódio, o material traz mais contexto do que casos novos, especialmente sobre o volume de fraudes digitais no país e a persistência de tentativas de suplantação e golpes voltados a induzir a vítima a autorizar operações.

O dado da Experian citado por vários veículos ajuda a dimensionar o cenário, 73,5% dos peruanos disseram ter enfrentado ao menos uma tentativa de fraude digital no último ano, e 49% de quem recebeu tentativas acabou caindo no golpe. Isso não é um incidente do mês, mas é a base que explica por que contas comprometidas continuam funcionando tão bem como vetores de fraude.

Ciberespionagem e campanhas APT

FamousSparrow foi a campanha APT mais relevante do mês pela presença regional e porque incluiu órgãos governamentais peruanos no conjunto de alvos. O material não reporta exploração de CVEs críticas no Peru nem confirma qual instituição foi atingida, então o sinal deve ser lido como exposição geopolítica, não como incidente com impacto classificado confirmado.

Também apareceram referências à Casbaneiro, um trojan bancário que mirou usuários da região e foi observado pela FortiGuard Labs em agosto, com países como Argentina, Peru, Colômbia e México dentro do raio da campanha. Em termos de leitura por país, isso reforça que o eixo financeiro segue sendo o mais vulnerável a malware voltado ao roubo de credenciais.

Vulnerabilidades críticas com impacto no Peru

Não foram registrados CVEs críticos mencionados no material analisado para setembro de 2026. Isso não significa ausência de vulnerabilidades exploradas na região, apenas que nenhuma apareceu documentada de forma verificável nas fontes fornecidas para o Peru durante este mês.

Regulação e compliance no Peru

O front regulatório ficou particularmente ativo e deixou sinais mais claros do que os incidentes técnicos. A SBS avançou sobre reporte de incidentes operacionais, canais digitais para contribuições previdenciárias, gestão de riscos e obrigações de proteção de dados, enquanto o Congresso e outras entidades empurraram normas sobre bots, extorsão, IA e privacidade.

SBS e reporte único de incidentes operacionais

A SBS autorizou a consulta pública de um projeto que substitui relatórios separados de interrupções significativas e cibersegurança significativa por um esquema único de incidentes operacionais. A proposta inclui relatórios iniciais, intermediários e finais, prazos diferenciados e categorias que abrangem interrupção do negócio, falha de sistema, violação de dados e fraude financeira.

A mudança é relevante porque unifica a linguagem de reporte e obriga as entidades supervisionadas a tratar incidentes tecnológicos, operacionais e de continuidade sob a mesma lógica de gestão. Para equipes de compliance e segurança, isso exige ajustes em manuais internos, classificação de eventos e fluxos de escalonamento.

Contribuições previdenciárias por carteiras digitais e apps

A SBS aprovou a Resolução SBS N.° 02326-2026 para permitir o pagamento de contribuições previdenciárias por meio de carteiras digitais, aplicativos móveis, agentes bancários e outros mecanismos. A norma exige gestão de riscos operacionais, tecnológicos, de segurança da informação, cibersegurança, continuidade operacional e terceiros, além de mecanismos de conciliação e rastreabilidade.

Esse movimento amplia a superfície de exposição do sistema previdenciário, mas faz isso com controles explícitos. Também introduz obrigações sobre uso de dados pessoais e sobre o envio de relatórios de risco à SBS, o que torna mais exigente a implementação contratual e técnica dos novos canais.

Proteção de dados pessoais e inteligência artificial

O mês consolidou a aplicação prática do marco de dados pessoais e do Regulamento da Lei de Inteligência Artificial. O material menciona a obrigação de notificar a autoridade em até 48 horas após tomar conhecimento de determinados incidentes que gerem exposição relevante de dados pessoais, e remete às sanções da LPDP com multas que podem variar entre 0.5 e 100 UIT, ou entre 5 e 100 UIT para dados sensíveis.

Além disso, no campo de IA, foi indicado que as empresas devem reforçar governança, transparência e participação do Oficial de Dados Pessoais. Essa combinação sugere que privacidade e cibersegurança estão deixando de ser trilhas separadas na supervisão local.

Legislação sobre bots, extorsão e mensagens digitais

Houve iniciativas legislativas para punir redes de bots e trolls usadas para alterar informações com relevância eleitoral, assim como para penalizar mensagens extorsivas desde atos preparatórios. Embora ainda sejam projetos, eles marcam uma linha de endurecimento diante da criminalidade digital de baixo custo e alto volume.

Também continuaram em discussão normas sobre numeração para mensagens comerciais e medidas vinculadas à lavagem de dinheiro em plataformas tecnológicas de jogos e apostas a distância. O sinal é claro, o Estado peruano está ampliando o perímetro regulatório em torno de serviços digitais, comunicações e fraude.

Setores mais afetados no Peru

Os setores mais expostos no mês foram finanças, governo, agroindústria, tecnologia e, em menor medida, manufatura. Essa distribuição reflete não só incidentes confirmados, mas também denúncias de extorsão e campanhas de ciberespionagem que atingiram o país por diferentes frentes.

O setor financeiro concentrou o maior peso qualitativo pela condenação por fraude bancária, pelo debate sobre autenticação reforçada e pelo volume de fraudes digitais reportadas pelo Ministério Público. Nesse segmento, o risco dominante continua sendo o abuso de acesso, a fraude autorizada pela vítima e a engenharia social, e não necessariamente o comprometimento perimetral clássico.

O setor público foi afetado em dois planos distintos. Um deles foi o comprometimento da conta do MEF, com impacto reputacional imediato. O outro foi a exposição a ciberespionagem por meio de FamousSparrow e o sinal de SafePay sobre gob.pe, ambos casos úteis para medir o interesse de atores criminosos e APT por infraestrutura estatal e serviços públicos.

Agroindústria e manufatura apareceram sobretudo em denúncias de ransomware, com AGROFRUTO SAC, Honda (Peru) e Cerámicas Kantu no radar de grupos diferentes. Em tecnologia, Italtel Peru aparece como menção inicial de extorsão em leak site. Nenhum desses casos deve ser somado como se fossem equivalentes, porque o material não lhes atribui o mesmo nível de verificação.

Tendências e sinais a monitorar no Peru

A principal tendência do mês foi a migração de um ransomware claramente dominante em agosto para uma combinação mais dispersa de fraude, extorsão, incidentes de conta comprometida e regulação. A comparação com o mês anterior mostra queda no volume de fatos verificados, de 64 para 48, e também recuo em ransomware, fraude e regulação, mas sem redução proporcional do risco operacional.

No ransomware ou extorsão, a mudança mais visível foi quantitativa. No mês anterior, haviam sido documentados 25 casos com esse eixo primário, enquanto setembro fechou com 13. Essa queda não deve ser lida como alívio estrutural, porque grande parte do material de setembro se concentrou em poucos casos, mas com maior notoriedade institucional, especialmente o MEF e gob.pe.

A ameaça predominante também mudou. Em agosto, havia sido ransomware, com 25 de 64 fatos. Em setembro, passou a não classificado, com 20 de 48 fatos. Essa virada reflete uma perda de nitidez analítica, não necessariamente uma melhora do ambiente, e se explica pelo peso de sinais regulatórios, notícias de contexto e campanhas cujo impacto não pôde ser determinado por completo.

A frente fraudulenta segue central. Embora os casos documentados de fraude ou phishing tenham caído de 8 para 1 na comparação mensal, o dado duro do Ministério Público e os estudos da Experian mostram uma exposição massiva e persistente. A distância entre tentativa e concretização, além disso, continua alta, e a conta do MEF confirmou que uma única conta institucional comprometida basta para acionar uma cadeia de enganos.

No campo regulatório, o sinal a acompanhar é como a SBS coloca em prática o procedimento único de incidentes operacionais e como as entidades adaptam seus processos internos. O avanço para canais digitais de aportes previdenciários e o endurecimento das obrigações de dados pessoais e IA deixam menos espaço para controles ad hoc. Setembro marcou a passagem do debate normativo para a exigência de execução.

Recomendações para equipes de segurança no Peru

Os times de segurança no Peru devem priorizar o controle de contas, a rastreabilidade das operações e a resposta a incidentes operacionais, em vez de olhar apenas para malware. O material de setembro mostra que o maior dano visível veio de falsificação, extorsão e abuso de confiança, não de uma exploração técnica massiva e única.

Primeiro, é preciso reforçar a proteção de contas institucionais e de alta visibilidade. O caso do MEF mostra que uma conta comprometida pode virar canal de fraude em minutos. Isso exige MFA resistente a phishing, revisão de permissões, monitoramento de publicações anômalas e playbooks para revogar sessões e comunicar o incidente por canais alternativos.

Segundo, vale revisar os controles internos e a segregação de funções em ambientes financeiros e de atendimento ao cliente. O caso da ex-caixa bancária mostra que acessos legítimos continuam sendo uma via altamente eficaz para fraude. As equipes devem auditar privilégios, registrar mudanças sensíveis e revisar alertas sobre operações incomuns a partir de perfis internos.

Terceiro, é preciso preparar a conformidade para o novo esquema de incidentes operacionais da SBS. Os fluxos de classificação, escalonamento, reporte inicial, acompanhamento e encerramento devem estar escritos antes que a norma entre plenamente em regime. Também convém alinhar a resposta a incidentes com privacidade e continuidade operacional, porque o regulador já trata isso como um único problema prático.

Quarto, revisar a exposição a leak sites e a fornecedoras de inteligência sobre ransomware sem confundir denúncia com intrusão confirmada. Em setembro, houve vários casos em que a evidência era incompleta. Isso obriga a validar com contexto próprio, telemetria interna e logs, não apenas com listas externas.

Quinto, manter campanhas de conscientização voltadas para fraude autorizada pelo usuário, deepfakes e falsificação de identidade. O material do mês mostra que o usuário segue sendo o ponto de decisão mais frágil. A educação precisa ser operacional, não genérica, com exemplos de mensagens, reclamações urgentes e links fraudulentos.

Perguntas frequentes

Qual é a diferença entre os casos de ransomware e os de simples extorsão no Peru neste mês?

Em setembro, o material distingue entre exfiltração sem criptografia, mera menção em leak site e casos em que a tipificação não pôde ser definida. Isso afeta AGROFRUTO SAC, gob.pe, Honda (Peru) e Italtel Peru, entre outros. A diferença está desenvolvida em Ameaças e campanhas ativas no Peru.

O que mudou na regulação peruana sobre o reporte de incidentes?

A SBS promoveu um procedimento único para incidentes operacionais, com reportes iniciais, intermediários e finais, e deixou para trás a separação entre interrupções significativas e incidentes de cibersegurança. Essa mudança se conecta aos movimentos sobre aportes previdenciários digitais e proteção de dados, tratados em Regulação e conformidade no Peru.

O caso do MEF foi uma brecha de dados ou um comprometimento de conta?

O material o apresenta como violação da conta oficial no X e uso fraudulento do perfil para divulgar uma suposta criptomoeda. Não há confirmação de exfiltração a partir de sistemas internos do ministério. O detalhe do incidente e seu alcance aparecem em Incidentes relevantes no Peru e no resumo executivo.

Houve CVEs críticos explorados no Peru durante setembro?

Não foram registrados CVEs críticos no material analisado para este mês. Isso não significa ausência de vulnerabilidades na região, apenas que nenhuma apareceu documentada de forma verificável nas fontes fornecidas. A tabela correspondente está em Vulnerabilidades críticas com impacto no Peru.

Qual setor mostrou o sinal mais forte para um CISO local?

Finanças foi o setor mais sensível pela combinação de fraude, abuso de acesso, regulação e autenticação reforçada. O governo também ficou exposto pelo MEF e pela campanha de ciberespionagem FamousSparrow. A leitura setorial está desenvolvida em Setores mais afetados no Peru.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o Peru em setembro de 2026. A janela de indicadores considera 50 fatos datados no mês, com um fato posterior excluído. Os fatos sem data confirmada ficaram fora dos contagens e só poderiam ser mencionados se seu caráter sem data fosse esclarecido, o que aqui não foi necessário.

A ausência de CVEs críticos no indicador não significa que não tenham existido vulnerabilidades exploradas na região. Significa apenas que elas não apareceram no material analisado deste mês. O mesmo vale para outros zeros da tabela, que descrevem ausência de registro nas fontes, não ausência factual no país ou na América Latina.

A telemetria agregada de bloqueios ou tentativas, como a Operação Lumen, não foi contada como incidente com impacto confirmado. Se for mencionada, deve ser entendida como bloqueio automatizado ou ação de contenção, não como intrusão verificada. Os números de 132 sites bloqueados no Peru e 317 na operação regional foram usados apenas como contexto, com sua fonte e janela temporal explícitas.

Foram excluídas como evidência as redes sociais de consumo e o conteúdo patrocinado, assim como as fontes não incluídas na lista permitida. Também se evitou usar afirmações com respaldo insuficiente ou material promocional para construir tendências. Quando uma alegação de ransomware não pôde ser verificada, ela foi tratada como tal, sem ser elevada a incidente confirmado.