Paraguai: cenário de cibersegurança, agosto de 2026

Ameaças e campanhas ativas no Paraguai

Fraude e phishing bancário

O frente mais ativo do mês foi a fraude bancária baseada em phishing, páginas clonadas e roubo de credenciais. Houve casos concretos com perdas altas, vários relatos coincidentes sobre home banking falso e alertas oficiais sobre como reagir a links, e-mails e formulários suspeitos. A densidade desse eixo explica boa parte do aumento dos fatos documentados em relação a julho.

O ponto operacional não é que o phishing seja novo, mas que neste mês ele teve melhor documentação e impacto econômico mais visível. O caso Vallejo funcionou como gatilho midiático, mas não foi isolado. Os relatos apontam para uma campanha de suplantação de confiança com foco bancário e também estatal.

Hacktivismo e DDoS contra sites do Estado paraguaio

Em agosto circularam relatos de ataques DDoS contra o Ministério das Relações Exteriores e a Secretaria Nacional de Cultura, atribuídos nas redes ao grupo The Garuda Eye e, em um alerta preventivo, tratados como não confirmados pela própria fonte de monitoramento. Não houve evidência pública suficiente para transformar essas atribuições em incidentes operacionais fechados, mas elas permaneceram como sinais de pressão sobre portais governamentais.

Esse bloco se move em um terreno diferente do fraude financeira. Não mostra roubo de dinheiro nem exfiltração confirmada, mas uma campanha de visibilidade política e pressão reputacional. Em termos de leitura de risco, isso obriga a separar o ruído de atribuição nas redes da confirmação técnica de indisponibilidade ou comprometimento.

Ransomware e extorsão

Não foram registrados casos de ransomware tipificáveis no período. Também não houve fatos confirmados de extorsão com criptografia como eixo principal, nem de exfiltração com extorsão simples que pudesse ser sustentada com o material fornecido. O único dado próximo foi uma referência contextual a cooperativas que saíam de um ataque de ransomware, mas a fonte não trouxe detalhes suficientes para incorporá-lo como incidente do mês.

Vulnerabilidades críticas com impacto no Paraguai

Em agosto, o material citou três CVEs críticos, todos em produtos de uso amplo fora do país, mas relevantes para ambientes paraguaios pela exposição técnica e institucional. Não houve exploração confirmada no Paraguai a partir desses alertas, embora existam referências oficiais e técnicas que justificam monitoramento pelo possível impacto em redes corporativas e governamentais.

O sinal mais forte veio da Ubiquiti, que publicou o Advisory Bulletin 067 com 22 vulnerabilidades na família UniFi, incluindo três falhas de severidade máxima. Também houve avisos sobre Samba e Joomla, mas o material do mês não permitiu associá-los a incidentes paraguaios confirmados. Ainda assim, para equipes locais, são correções que não devem ficar fora do ciclo de remediação.

Regulação e conformidade no Paraguai

O mês foi marcado por uma expansão regulatória em três frentes, dados pessoais, criptoativos e cibersegurança. A Lei N.º 7.593/2025 apareceu repetidamente em análises jurídicas e de compliance, enquanto a DNIT colocou em vigor a Resolução Geral N.º 47/2026 sobre operações com criptoativos e o Congresso manteve ativo o projeto de Lei de Cibersegurança. O sinal de fundo é mais regulação, mas também mais atrito sobre alcance, proporcionalidade e prazos de aplicação.

A Lei N.º 7.593/2025 foi descrita como inspirada em padrões do tipo GDPR e com multas que, segundo a análise citada, vão de 20 a 2.500 jornales mínimos, com faixas maiores para dados sensíveis e menores de idade. O dado central de agosto é que a norma ainda não estava plenamente em vigor, o que mantinha aberto o vazio operacional enquanto seus efeitos práticos eram discutidos.

A DNIT, por sua vez, avançou com uma obrigação anual de declaração informativa para criptoativos, com primeira entrega em março de 2027 e limite de USD 5.000 para definir quem deve informar. O debate jurídico foi intenso: questionou-se a necessidade e a proporcionalidade dos dados exigidos, e as exchanges pediram uma mesa técnica antes do prazo final. Isso transforma a regulação em tema de cibersegurança e privacidade, não apenas tributário.

Em paralelo, o projeto de Lei de Cibersegurança seguiu em revisão técnica e institucional, com críticas a definições amplas, sobreposição de conceitos e dúvidas sobre infraestrutura crítica. A audiência pública terminou em uma nova mesa de trabalho, sinal de que o texto ainda não tinha consenso suficiente.

Setores mais afetados no Paraguai

O setor financeiro voltou a ser o mais exposto do mês, mas não por um único tipo de incidente. Houve acúmulo de esvaziamento de contas, phishing, alertas de internet banking, fraude com criptomoedas e pressão regulatória sobre intermediários. A banca tradicional, as cooperativas e os serviços de pagamento apareceram atravessados pelo mesmo padrão, abuso de credenciais e falsificação de interfaces.

O segundo bloco de maior impacto foi o setor público. Ali conviveram ataques de phishing contra portais estatais, DDoS reivindicados contra sites governamentais, discussões sobre proteção de dados e a implementação de controles tributários sobre criptoativos. Em outras palavras, a superfície de ataque não se limitou aos bancos, mas alcançou o aparato estatal como marca de confiança e como infraestrutura de serviço.

Um terceiro frente, de menor volume mas alto valor estratégico, foi o de telecomunicações e sistemas corporativos, com o caso Copaco como referência. Não houve fatos suficientes para falar em uma crise sistêmica nesse setor, mas houve uma intervenção fiscal em sistemas internos que merece acompanhamento.

A distribuição setorial do mês sugere uma concentração em confiança digital mais do que em infraestrutura crítica pura. Os fatos mais danosos para usuários e organizações se apoiaram em engano, clonagem de sites e captura de credenciais, não em malware destrutivo nem na exploração massiva de vulnerabilidades locais.

Tendências e sinais para monitorar no Paraguai

A comparação com julho mostra três mudanças fortes: menos incidentes sem classificação, desaparecimento do eixo ransomware/extorsão e uma alta nos fraudes e phishing documentados. Esse deslocamento não significa que o país esteja "melhor", mas que o dano visível migrou para a engenharia social, o fraude bancário e a regulação, com uma agenda de resposta mais distribuída e menos centrada em um único incidente grande.

Também cresceu com força a atividade regulatória. Ela passou de 1 movimento documentado em julho para 11 em agosto, com foco em dados pessoais, criptoativos, cibersegurança e comércio eletrônico. Isso sugere que o Estado tenta fechar lacunas, mas a discussão aberta sobre proporcionalidade, competência e vacatio legis mostra que o marco ainda não está estabilizado.

A ameaça predominante continuou sendo "sem classificar", embora com um caso a mais que em julho. Isso não indica vazio analítico, e sim diversidade real de eventos que não cabem em uma única taxonomia. Em agosto houve fraude demais, regulação demais e atribuição incerta demais para condensar o mês em uma só família técnica.

Em termos de monitoramento, vale acompanhar três sinais: se voltarem a surgir casos de ransomware em cooperativas ou entidades críticas, se a DNIT ajustar a resolução sobre criptoativos por pressão operacional e se o projeto de Lei de Cibersegurança incorporar definições mais precisas sobre infraestrutura crítica e competência institucional. O mês deixou claro que o custo da desorganização normativa chega rápido ao usuário final e ao setor financeiro.

Recomendações para equipes de segurança no Paraguai

Revisar controles de autenticação e antiphishing em bancos web e portais de atendimento, com foco na detecção de sites clonados, validação de domínios e reforço de segundas telas ou fluxos de token. Os casos do mês mostram que o vetor dominante foi a falsificação de interfaces, não a força bruta.

Endurecer a resposta a fraudes com procedimentos simples e públicos: bloqueio imediato de acessos, canal único de denúncia, preservação de evidências e coordenação com a Polícia, a Promotoria e o CERT-PY. Em paralelo, treinar usuários e operadores para reconhecer e-mails, SMS e formulários que imitam o Estado ou uma instituição financeira.

Priorizar patches em ambientes com Ubiquiti, Samba e Joomla, especialmente quando houver exposição de administração remota ou uso em redes corporativas e governamentais. Embora o material não tenha confirmado exploração no Paraguai, os alertas publicados em agosto tiveram severidade suficiente para entrar sem demora no ciclo de manutenção.

Revisar o tratamento dos dados coletados em obrigações tributárias e regulatórias, sobretudo em criptoativos. A discussão sobre necessidade e proporcionalidade não é abstrata, afeta operadores, exchanges e equipes jurídicas, e pode acabar impactando arquitetura, retenção e rastreabilidade de dados.

Perguntas frequentes

O que mudou no Paraguai entre agosto e julho de 2026?

Agosto teve menos incidentes sem tipificação, caiu de 15 para 11, e eliminou o sinal de ransomware primário que havia aparecido em julho. Ao mesmo tempo, fraudes e phishing subiram de 0 para 11, e a atividade regulatória, de 1 para 11. A transição é comentada nas seções de Indicadores e Tendências.

O mês mostrou ransomware confirmado no Paraguai?

Não. O material de agosto não permitiu tipificar nenhum caso de ransomware ou extorsão como eixo primário. Houve uma menção contextual a cooperativas saindo de um ataque de ransomware, mas isso não foi suficiente para incorporá-lo como incidente verificável do período. Esse ponto é desenvolvido em Ameaças e campanhas ativas e em Limitações do material.

Que risco ficou mais visível para bancos e usuários paraguaios?

O fraude por phishing e a falsificação de bancos web. O caso Vallejo, a empreendedora que perdeu 43 milhões, e os alertas sobre sites clonados mostram um padrão de roubo de credenciais e esvaziamento de contas. A leitura operacional está desenvolvida em Incidentes relevantes, Ameaças ativas e Setores mais afetados.

Qual é a relação entre a lei de dados pessoais e a resolução de criptoativos?

A Lei N.º 7.593/2025 estabelece um marco de proteção de dados que ainda não está plenamente em vigor, enquanto a DNIT exige desde agosto de 2026 uma declaração informativa de operações com criptoativos. As duas peças pressionam uma revisão de proporcionalidade, minimização e rastreabilidade dos dados. Isso é tratado em Regulação e conformidade.

Quais vulnerabilidades as equipes paraguaias deveriam monitorar, mesmo sem exploração local confirmada?

As três CVEs críticas ligadas à Ubiquiti, CVE-2026-77537, CVE-2026-77550 e CVE-2026-77554, pela capacidade de execução remota sem autenticação ou por bypass de autenticação. Também vale acompanhar os alertas sobre Samba e Joomla. A tabela técnica está na seção de Vulnerabilidades críticas com impacto no Paraguai.

Quais setores ficaram mais expostos em agosto?

Principalmente o financeiro, pela concentração de fraudes, phishing e esvaziamentos de contas, e o setor público, pelos alertas de falsificação de portais, DDoS reivindicados e novas regulações. Um terceiro foco foi telecomunicações e sistemas corporativos, com o caso Copaco. A análise está em Setores mais afetados no Paraguai.

Limitações do material

Este relatório foi construído exclusivamente com os fatos datados de agosto de 2026 incluídos no material fornecido. Os indicadores reproduzem essa janela temporal e não incorporam telemetria agregada, tentativas bloqueadas nem sinais externos não documentados no corpus.

Um valor zero, em particular em CVEs ou ransomware, significa que não apareceu um caso tipificável no material analisado para este período, e não que não tenha havido atividade no Paraguai ou na região. Essa distinção é fundamental para ler corretamente os indicadores e evitar extrapolações indevidas.

Foram excluídas como evidência as publicações em redes sociais não corroboradas por fontes utilizáveis, os conteúdos patrocinados e qualquer material que não estivesse na lista de fontes permitidas. Também se evitou tratar como fato firme aquilo que as próprias fontes apresentaram como hipótese, atribuição não confirmada ou alerta preventivo.