Paraguai: situação da cibersegurança, julho de 2026

Indicadores do período no Paraguai

Incidentes relevantes no Paraguai

Operações cibernéticas contra plataformas estatais paraguaias

Em 10 de julho, o MITIC e a Embaixada dos Estados Unidos divulgaram uma declaração conjunta alertando sobre operações cibernéticas maliciosas direcionadas às plataformas digitais do Estado paraguaio. A cobertura posterior detalhou que uma revisão de cibersegurança nas redes governamentais identificou múltiplos atores de ameaça vinculados ao Governo da República Popular da China. O material também menciona acessos não autorizados, interrupção de serviços digitais e subtração e divulgação de dados sensíveis. A fonte não traz IOCs nem uma cadeia de exploração fechada, mas deixa registrado que o caso saiu da mera suspeita e passou para uma denúncia pública e uma ação penal.

Ação penal por ciberataques ao Estado paraguaio

A Fiscalía do Paraguai abriu uma ação penal para investigar infiltrações em sistemas informáticos do governo atribuídas a atores vinculados à China, e a investigação ficou sob responsabilidade da promotora especializada Irma Llano. O ponto relevante não é apenas a abertura do caso, mas o fato de ele já constar formalizado no Ministério Público com descrição de fatos que incluem intrusão, interrupção e exposição de informação sensível. Isso dá ao episódio uma dimensão jurídica que, em outros países, costuma demorar mais para chegar.

Alerta por ciberataque a sanatórios paraguaios

Diario Paraguayo publicou em 3 de julho uma nota de resposta a um ataque que afetou sanatórios privados. O texto recomenda isolar equipamentos, declarar emergência institucional, formar um comitê de crise e preservar evidências. Não identifica instituições nem família de malware, mas confirma que a discussão local já tratava de um incidente com impacto operacional real na saúde privada, junto com fragilidades prévias de correção de falhas, sistemas obsoletos e higiene cibernética deficiente.

Ataque com extorsão contra Solventa & Riskmétrica S.A.

Dexpose noticiou em 1 de julho uma nota de extorsão do grupo Doommageddon contra Solventa & Riskmétrica S.A., agência classificadora de risco paraguaia. A publicação fala em ameaça de divulgação de dados sensíveis caso não houvesse negociação. Neste caso, a fonte define o eixo como extorsão, mas não publica elementos suficientes para afirmar criptografia de ativos.

Ameaças e campanhas ativas no Paraguai

Ransomware e extorsão, com impacto diferenciado

Criptografia de ativos confirmada

Ransomware.live registrou a Automovil Supply S.A. como vítima do grupo TheGentlemen, com descoberta do caso em 7 de julho e data estimada do ataque em 6 de julho. Esse registro é o que permite sustentar criptografia confirmada dentro do mês, junto com a cobertura de resposta ao caso dos sanatórios, em que o material jornalístico sugere impacto operacional, mas não identifica de forma completa a família nem o alcance técnico. A nota de julho sobre a empresa automotiva está melhor tipificada pela plataforma de inteligência.

Apenas menção em site de vazamento

O caso da Solventa & Riskmétrica S.A. entra na categoria de extorsão com publicação em site de vazamentos, porque a Dexpose reporta uma nota do Doommageddon com ameaça de publicação de dados, mas o material fornecido não permite afirmar que a criptografia tenha sido verificada.

Tipificação não determinável com o material

No caso dos sanatórios, o corpo documental fala de um ciberataque que obrigou a preparar resposta institucional e, em uma fonte secundária que não pode ser usada como evidência principal, sugere-se que houve migração para o papel. Com o material apto para citação, não basta para decidir se se tratou de criptografia, de exfiltração ou de uma mistura de ambas. Por isso, o enquadramento deve ficar como tipificação não determinável.

Ciberespionagem atribuída a atores ligados à China

O outro eixo ativo do mês foi estatal e geopolítico. As coberturas de ABC Color, Infobae, La Política Online, Swissinfo e outros veículos convergem ao relatar uma denúncia conjunta de Paraguai e Estados Unidos por infiltração em redes governamentais, uma resposta da China negando as acusações e uma ampliação do caso na esfera fiscal. O material jornalístico vincula a campanha ao Flax Typhoon nos antecedentes de 2024 e a novos atores detectados em 2026, embora essa atribuição técnica apareça apoiada em revisões conjuntas e declarações de autoridades, e não em uma publicação forense aberta.

Fraude e phishing

Não houve casos de fraude ou phishing documentados no material do período.

Vulnerabilidades críticas com impacto no Paraguai

Regulação e conformidade no Paraguai

Em julho, o Paraguai avançou com uma agenda regulatória com impacto direto sobre privacidade e controle operacional. A nova Lei de Proteção de Dados Pessoais incorpora os direitos de acesso, retificação, eliminação, oposição, portabilidade e revisão de decisões automatizadas. Também estabelece o princípio da minimização de dados, prevê um procedimento gratuito para o cidadão e determina notificação de incidentes de segurança em 72 horas quando aplicável. A aplicação e a fiscalização ficarão a cargo da Agência Nacional de Proteção de Dados Pessoais, sob a alçada do MITIC.

A cobertura de ABC Color acrescentou o regime escalonado de sanções, com multas de 20 a 2.500 jornales para infrações gerais, até 5.000 quando houver dados sensíveis e até 10.000 se estiverem envolvidos crianças e adolescentes. A imprensa também informou que a lei passará a vigorar integralmente em 2027, o que deixa uma janela de preparação razoável, mas curta, para inventários, revisão contratual, atualização de políticas de privacidade, reforço de controles e capacitação de equipes.

Em paralelo, o Congresso recebeu um projeto para regulamentar drones com registro obrigatório na DINAC, na Força Aérea ou na Digemabel, conforme o uso, além de identificação eletrônica remota. Embora não seja uma norma de cibersegurança em sentido estrito, a proposta se conecta com rastreabilidade, controle técnico e possível interoperabilidade de sistemas. A isso se somou o trabalho do BCP sobre tarifas do SIPAP, as novas comissões máximas para cartões e as regras de transparência em serviços de pagamento, um pacote que continua impulsionando a digitalização do sistema financeiro sob maior supervisão.

Setores mais afetados no Paraguai

O mês registrou ocorrências em seis setores, ainda que nem todos com a mesma intensidade ou com o mesmo nível de evidência. O setor público concentrou a maior carga estratégica pelo caso de ciberespionagem e pela menção a redes governamentais comprometidas. No privado, o peso maior apareceu em extorsão e ransomware, especialmente em automotivo, classificação de risco e sanatórios.

Bancos e serviços financeiros também apareceram, mas mais por regulação, risco tecnológico e debate sobre cibersegurança do que por um incidente específico. A Convenção Bancária Paraguai 2026 incluiu IA, cibersegurança e vulnerabilidade digital como eixos, enquanto o BCP continuou ajustando tarifas, pagamentos e supervisão baseada em risco. Isso indica que o setor não enfrentou uma crise pontual, mas segue sob pressão para fortalecer controles e governança.

Saúde foi o outro setor sensível do mês. As referências a sanatórios, sistemas obsoletos, vulnerabilidades sem correção e necessidade de resposta a crises mostram que o problema não é só malware, mas também preparação. O material disponível também sugere que as organizações afetadas já vinham acumulando fragilidades, algo que costuma agravar a recuperação e prolongar a interrupção.

Tendências e sinais a monitorar no Paraguai

A comparação com junho mostra menos volume total de fatos verificados, mas mais incidentes sem tipificação e uma forte queda nos movimentos regulatórios. Isso não aponta para uma redução do risco, e sim para um mês mais concentrado em incidentes de alto interesse e em sinal político, com menos cobertura de compliance do que no mês anterior. A redução de ransomware ou extorsão de 18 para 11 não elimina a pressão, porque dentro desses 11 continuam coexistindo criptografia confirmada, leak site e casos não determináveis.

O principal sinal a acompanhar é a consolidação da camada estatal. Quando uma intrusão sai da denúncia diplomática e chega à esfera penal, o caso deixa de ser apenas técnico. O Paraguai também ficou exposto a uma discussão sobre atribuição, soberania digital e segurança das redes governamentais que provavelmente seguirá aberta em agosto, especialmente se surgirem novos detalhes sobre o alcance ou a infraestrutura afetada.

Também vale observar se julho foi um pico isolado ou o início de uma fase de maior extorsão sobre setores privados. Automotivo, saúde e classificação de risco não formam o mesmo vertical, mas compartilham uma lógica de ampla exposição e capacidade de pressão reputacional. Se a tendência continuar, o padrão mais provável não é um grupo dominante único, e sim campanhas oportunistas contra alvos com baixa tolerância à interrupção.

Em relação a junho, a mudança mais clara é qualitativa, não numérica, menos iniciativas regulatórias, mais pressão de incidentes ambíguos e uma discussão pública muito mais madura sobre dados pessoais. Não há baseline de CVEs para comparar, porque em julho não foram registrados no material analisado. Isso deve ser lido como ausência de menção, não como ausência de exploração na região.

Recomendações para equipes de segurança no Paraguai

1. Revisar acessos remotos e exigir autenticação multifator em VPNs e consoles administrativos, especialmente em ambientes estatais e de fornecedores críticos.
2. Priorizar inventário de dados, revisão de contratos, atualização de políticas de privacidade e registro de tratamentos, em linha com a nova Lei de Dados Pessoais.
3. Preparar playbooks específicos para extorsão, com preservação de evidências, segmentação de ativos, validação de backups e definição de limites para decisão sobre continuidade operacional.
4. Em saúde e serviços com alta dependência de disponibilidade, verificar se os planos de resposta contemplam sistemas obsoletos, patches pendentes e operação degradada.
5. Para entidades públicas, reforçar o monitoramento de identidade, a correlação de acessos e a rastreabilidade de mudanças, já que o material do mês sugere intrusão persistente, e não ruído oportunista.
6. No setor financeiro, acelerar o alinhamento entre compliance, cibersegurança e gestão de terceiros, porque a agenda regulatória e os serviços de pagamento continuaram avançando ao mesmo tempo.
7. Não tratar extorsão como sinônimo de ransomware. Separar criptografia, exfiltração e simples menção em leak site melhora a priorização e evita respostas superdimensionadas ou, ao contrário, subestimadas.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o Paraguai em julho de 2026. Os fatos do bloco principal são os únicos que valem para os indicadores do período. Os fatos de meses anteriores foram usados apenas como marco comparativo e devem ser lidos sempre como antecedentes, nunca como volume de julho. Os fatos sem data confirmada foram excluídos dos indicadores, embora possam ter sido usados como contexto qualitativo quando a fonte permitia.

Um indicador em 0, especialmente os CVEs críticos, significa que não houve registro no material analisado durante este mês. Isso não quer dizer que não tenham existido vulnerabilidades críticas exploradas na região ou no país, apenas que elas não apareceram no corpus disponível para julho. O mesmo se aplica a fraude e phishing: sua ausência nos indicadores diz respeito ao material, não ao universo total de ameaças.

A janela temporal declarada para os indicadores foi de 51 fatos com data em julho de 2026, 3 fatos de meses anteriores como marco comparativo, e 11 fatos sem data confirmada excluídos das contagens. A telemetria agregada, como tentativas ou bloqueios automatizados, não foi usada para contabilizar incidentes nem para inferir gravidade.

Também ficaram fora do corpo quantitativo as redes sociais de consumo, o conteúdo patrocinado e os publieditoriais. As referências ao LinkedIn, YouTube ou outros espaços não incluídos na lista de fontes disponíveis não foram usadas como evidência principal. Quando uma afirmação dependeu de atribuições jornalísticas não fechadas, isso foi registrado dessa forma e não elevado a certeza técnica.