Peru: cibersegurança, outubro de 2026

Ameaças e campanhas ativas no Peru

Ransomware e extorsão, um sinal mais disperso que em setembro

Outubro registrou cinco casos com ransomware ou extorsão como eixo principal, mas o material não permitiu transformar todos em um mesmo padrão operacional. Só um dos casos permitiu confirmar criptografia de ativos, um ficou como simples menção em leak site e três não trouxeram tipificação suficiente para separar exfiltração, pressão extorsiva ou mera reivindicação.

Na Interseguro houve a combinação mais completa de elementos verificáveis: acesso não autorizado, resposta corporativa e posterior aparição em um portal de vazamentos. Em outros casos, como Belcorp, Segres Systec, Confipetrol, Grifos Espinoza, Transportes Jiménez e Reyes Jim Rey S.A., Asisken Asistencia Médica S.A. ou o Hospital Hermilio Valdizán, o material oscilou entre reclamação, menção e falta de detalhes confirmatórios.

Isso faz com que a categoria fique numericamente menor que no mês anterior, mas não necessariamente menos preocupante. O que os dados sugerem é que a extorsão seguiu ativa, embora o material revisado tenha deixado mais ruído do que verificação consistente.

Fraude e phishing, mais visíveis que no mês anterior

O mês fechou com quatro casos de fraude ou phishing documentados, acima do período anterior. O sinal mais forte veio da frente de suplantação e engenharia social, com alertas da Reniec sobre o risco de fotografar ou entregar o DNI e com relatos sobre golpes baseados em mensagens falsas, códigos de verificação ou identidades sintéticas.

A Polícia Nacional também interveio em um caso de fraude informática internacional que terminou com a detenção de dois supostos integrantes de Los Cyber Fake del Oriente. Segundo a PNP, o caso começou com o roubo de USD 10.096 de uma cidadã moldava e depois mostrou outras 111 operações reportadas como fraude internacional por USD 34.952, vinculadas a vítimas de sete países.

Na mesma linha, o estudo da Experian citado pelo Diario Correo indicou que 74% dos consumidores peruanos entrevistados disse ter recebido ao menos uma tentativa de fraude nos 12 meses anteriores, e que 92% temia golpes com inteligência artificial. Esse dado é de percepção e experiência de usuários, não de incidentes corporativos, mas ajuda a explicar a pressão do mês sobre bancos, identidade e canais de atendimento.

APT, espionagem e campanhas de influência

Não houve uma campanha APT confirmada localmente com o peso dos casos de violação e fraude, mas surgiram sinais de abuso de infraestrutura e engano informativo. OpenAI e NBC News documentaram uma operação russa que usou e-mails falsos para enganar escolas do Peru e do Equador, incluindo referências políticas e educacionais locais.

Em paralelo, se reforçou a leitura de que o Peru segue sendo um alvo recorrente em campanhas regionais com componente de influência ou espionagem. A ESET e outras coberturas situaram o país dentro de um mapa latino-americano mais amplo de atividade ofensiva, embora sem transformar essas menções em incidentes locais específicos verificáveis para este mês.

Vulnerabilidades críticas com impacto no Peru

O destaque do mês em vulnerabilidades ficou concentrado em PHP2Shell, com duas CVE críticas citadas e uma resposta coordenada de correção em escala internacional. No material revisado, não apareceram outras CVE críticas com a mesma clareza ou com impacto local melhor documentado.

As duas falhas afetavam amplas ramificações do PHP e exigiam prioridade em serviços expostos à internet. O valor operacional do alerta não esteve apenas no CVSS alto, mas no tipo de implantação afetado, especialmente instalações que processam solicitações web de forma direta.

Regulação e conformidade no Peru

O Peru fechou outubro com quatro movimentos regulatórios documentados, menos que em setembro, mas com maior peso estratégico em algumas frentes. O mês girou em torno de pagamentos digitais, finanças abertas, inteligência artificial e poderes legislativos para reforçar a resposta à cibercriminalidade e a outros delitos.

O Congresso aprovou a Lei N.° 32743, que delega poderes ao Poder Executivo por 90 dias e autoriza atualizar a Lei de Delitos Informáticos, além de ajustar regras sobre fraude informática, acesso ilícito e falsificação de identidade. Também autorizou estabelecer requisitos técnicos de interoperabilidade e segurança em plataformas públicas, e regras de segurança e gestão de incidentes proporcionais ao risco no setor privado.

No campo financeiro, a SBS divulgou a consulta pública do projeto de Regulamento Geral do Sistema de Finanças Abertas. A norma propõe troca de dados com consentimento do usuário, exigências sobre integridade da informação, governança, qualidade dos dados e mecanismos para suspender habilitações se surgirem riscos de segurança.

O BCRP, por sua vez, aprovou o Regulamento do Serviço de Aceitação de Pagamentos para comércios e provedores de serviços de pagamento. A regulação inclui obrigações de segurança da informação, gestão de riscos e fraude, atendimento de reclamações e conservação de transações sob medidas de segurança. Na mesma agenda, a PCM aprovou uma diretriz sobre o perfil e as responsabilidades do Oficial de Inteligência Artificial em entidades públicas, com disposições sobre segurança e proteção de dados.

Setores mais afetados no Peru

Os sete setores com pelo menos um fato documentado mostraram um mês mais disperso do que concentrado, mas com alguns polos claros de pressão. Finanças, saúde, setor público, telecomunicações, energia, varejo e transporte aparecem afetados por diferentes tipos de sinal, de brechas a regulação e infraestrutura resiliente.

O setor financeiro foi o mais visível por Interseguro, pelo debate sobre fraudes e pela expansão do open finance. Não houve apenas uma brecha concreta, como também se reforçou a discussão sobre consentimento, rastreabilidade e controle de riscos. Esse cruzamento entre incidente e norma explica por que o setor concentrou tanta atenção.

A saúde também ficou exposta, embora com evidências de qualidade diferente. Interseguro não pertence à saúde, mas o mês incluiu menções ao EsSalud, ao Hospital Hermilio Valdizán e à Asisken Asistencia Médica S.A., com material que, em vários casos, não foi suficiente para confirmar alcance ou intrusão. O setor público teve peso próprio pelas alertas do CNSD, da ONP e pelo trabalho legislativo sobre cibersegurança estatal.

Em telecomunicações e energia, o foco esteve mais em resiliência e infraestrutura do que em intrusão consumada. A Entel reforçou rotas de backup de dados, enquanto a ACCIONA inaugurou um centro de controle para supervisionar projetos elétricos com IA. São sinais diferentes de uma brecha, mas relevantes porque mostram uma resposta de continuidade operacional em setores sensíveis.

Tendências e sinais a monitorar no Peru

A comparação com setembro mostra uma mudança importante na estrutura do mês. Os casos de ransomware ou extorsão como eixo principal caíram de 13 para 5, mas os incidentes sem tipificação subiram com força, de 7 para 20, e fraude e phishing também cresceram, de 1 para 4. O saldo é menos centrado em extorsão visível e mais concentrado em exposição, investigação e registro incompleto.

O outro movimento forte foi regulatório. Em setembro, o volume normativo tinha sido maior, mas em outubro as decisões ficaram mais conectadas à arquitetura de segurança, e não apenas ao trâmite legal. A Lei N.° 32743, o open finance da SBS, o regulamento de pagamentos do BCRP e a diretriz de IA da PCM apontam para um país que tenta organizar sua superfície digital enquanto brechas e abusos continuam aparecendo.

Também mudou a leitura por setor. Outubro ampliou a quantidade de setores impactados de cinco para sete, o que sugere maior dispersão geográfica e funcional dos fatos, embora não necessariamente mais gravidade em cada caso. A ausência de uma campanha dominante obriga a olhar com mais atenção para a acumulação de eventos médios, e não só para os casos de maior destaque.

Em vulnerabilidades, o fato de terem sido mencionadas apenas duas CVE críticas não significa que o risco técnico tenha sido baixo. Significa que, no material analisado, só essas duas alcançaram consenso suficiente de impacto, exploração potencial e resposta institucional. O alerta de PHP2Shell deve permanecer no radar ao longo de novembro, sobretudo em serviços expostos e sistemas públicos sem maturidade de aplicação de patches.

Recomendações para equipes de segurança no Peru

Primeiro, priorizar a correção e a busca por exposição em PHP onde houver serviços web públicos. As CVE-2026-109618 e CVE-2026-109619 exigem revisão de versões, isolamento temporário se não for possível atualizar e verificação de logs em Apache, PHP-FPM, php-cgi e ambientes equivalentes.

Segundo, revisar os procedimentos de resposta para incidentes com vazamento parcial de dados. O caso Interseguro mostrou que uma organização pode conter acessos, renovar credenciais, ativar monitoramento e ainda assim permanecer sob pressão de site de vazamento e supervisão regulatória. Vale ensaiar essa sequência antes que aconteça, não durante.

Terceiro, reforçar os controles de identidade e antifraude nos canais de atendimento e autenticação. O mês deixou sinais claros de engenharia social, falsificação de identidade e roubo de contas por códigos de verificação. Isso exige MFA bem implementado, validações de alto risco, monitoramento de contas novas e alertas de comportamento anômalo.

Quarto, alinhar conformidade e segurança em setores regulados. Open finance, pagamentos digitais e novas atribuições sobre cibercrime vão aumentar a exigência documental e técnica. Não basta cumprir no papel, é preciso conseguir demonstrar rastreabilidade, consentimento, segregação de fundos, retenção segura e reporte oportuno.

Quinto, fortalecer a classificação interna de incidentes. Outubro mostrou casos demais sem tipificação precisa. Essa ambiguidade dificulta a priorização, o reporte às autoridades e a comunicação aos usuários. Um inventário mínimo de critérios para violação, extorsão, fraude e disponibilidade ajudaria a organizar a resposta.

Perguntas frequentes

Qual foi a relação entre Interseguro, a extorsão e a resposta regulatória no Peru?

Interseguro concentrou três camadas no mês, um acesso não autorizado confirmado, uma reclamação da Direwolf em leak site e acompanhamento da SBS. A seguradora afirmou que suas operações seguiram normais, enquanto o regulador supervisionou o caso. Para mais detalhes, veja as seções de Incidentes relevantes e Ameaças e campanhas ativas.

As duas vulnerabilidades críticas do PHP tiveram exploração confirmada em sistemas peruanos?

Não. O material do mês confirmou alertas do CNSD e relatos de tentativas ou varreduras, mas não uma exploração bem-sucedida atribuída a uma entidade peruana específica. O risco foi técnico e operacional, não um incidente local já verificado. O detalhe está em Vulnerabilidades críticas com impacto no Peru e em Limitações do material.

O que mudou na frente de fraude em relação ao mês anterior?

O número de casos de fraude ou phishing documentados subiu de 1 para 4. O foco ficou em suplantação, golpes com códigos de verificação e fraude informática internacional, com intervenção policial incluída. A comparação completa está em Tendências e sinais a monitorar no Peru e em Incidentes relevantes no Peru.

Quais setores aparecem mais expostos em outubro de 2026?

Finanças, saúde, setor público, telecomunicações, energia, varejo e transporte registraram ao menos um fato. Finanças e setor público concentraram o sinal mais claro, pela brecha da Interseguro e pelos alertas e normas emitidos pela PCM, pela SBS e pelo Congresso. A análise setorial está em Setores mais afetados no Peru.

A queda do ransomware significa que a ameaça diminuiu no Peru?

Não necessariamente. Caiu o número de casos com ransomware ou extorsão como eixo primário, de 13 para 5, mas aumentaram os incidentes sem tipificação e os sinais de fraude. Isso pode refletir uma mudança na forma de publicação ou verificação, não uma queda real do risco. Veja a seção Tendências e sinais a monitorar no Peru.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para outubro de 2026 e seu marco comparativo, sem acesso à internet nem verificação externa adicional. Os fatos sem data confirmada ficaram fora dos indicadores e não foram usados para o volume do mês. As fontes excluídas por regra, como redes sociais de consumo e conteúdos patrocinados, não foram citadas como evidência primária.

A janela temporal declarada para os indicadores foi de 55 fatos com data em outubro de 2026 e 2 fatos de meses anteriores usados apenas como marco comparativo. Os indicadores numéricos do corpo do relatório reproduzem exatamente essa base. Quando um mês anterior é mencionado, isso fica explícito no texto para não misturar comparativo com volume do período.

Se um indicador aparece em 0, isso significa que ele não ficou registrado no material analisado para este mês, e não que ele não exista na região. Esse cuidado vale especialmente para CVEs e para qualquer métrica em que o corpus não permitiu confirmação suficiente. No caso de CVEs, o material registrou duas críticas, mas, se em outro mês o indicador fosse 0, isso não implicaria ausência real de vulnerabilidades no Peru ou na região.

Também é preciso ler com atenção a diferença entre telemetria e incidentes. As duas cifras agregadas de tentativas ou bloqueios são ruído técnico de fornecedores, não intrusões com impacto confirmado. Por isso, não entram no volume do mês nem são usadas para inferir danos. O relatório distingue entre brecha verificada, reclamação em leak site, extorsão e simples observação técnica.