Paraguai: cibersegurança, setembro de 2026

Incidentes relevantes no Paraguai

Panzer e Inovapy, o caso mais nítido do mês

O incidente mais claro de setembro foi a reivindicação da Panzer contra a Inovapy, uma empresa de tecnologia paraguaia. A fonte primária descreve uma ameaça de publicação de dados caso a empresa não entrasse em contato com o grupo, e o ecossistema de monitoramento registrou o caso como pendente ou reivindicado, mas sem confirmação pública da vítima.

Breach House, Pulse, GalaxyWarden, RecentBreaches, SecurityArsenal e BreachSense coincidem na atribuição da reivindicação à Panzer e na localização paraguaia da Inovapy. O relevante para a leitura operacional é que o material disponível não comprova cifragem de sistemas, mas confirma uma extorsão apoiada em publicação de dados ou ameaça de leak.

A conectividade paraguaia sofreu uma degradação prolongada

A Telecom Observer registrou uma interrupção significativa da conectividade do Paraguai entre 15 e 25 de setembro, com duração superior a nove dias e severidade de 18.310. O relatório vincula o episódio a anomalias de BGP, queda de tráfego normalizado e redução do backscatter, embora não atribua publicamente a causa.

O dado relevante não é apenas a duração, mas a forma como a falha se estendeu por vários dias. Isso sugere um evento de infraestrutura de rede com efeitos amplos sobre disponibilidade e monitoramento, mais próximo de uma degradação sistêmica do que de uma interrupção pontual.

A Superintendência de Saúde apareceu em uma reivindicação de defacement

A VECERTRadar reportou uma campanha de defacement contra domínios da Superintendência de Saúde do Paraguai, com a assinatura "Hacked By Ghostteam - Zumarius". A fonte disponível não traz confirmação oficial nem evidência independente de extração de dados, por isso o caso fica no campo da atribuição não verificada.

Ainda assim, o episódio importa porque mostra atividade ofensiva contra um órgão do setor de saúde em paralelo a outros sinais de exfiltração atribuídos ao mesmo ator. O material de setembro não permite afirmar um dano maior, mas confirma exposição pública de subdomínios institucionais.

O Ministério da Saúde ficou envolvido em um alerta preventivo não confirmado

A VECERT divulgou um alerta preventivo sobre uma suposta exfiltração de 10,5 GB atribuída ao Ministério da Saúde Pública e Bem-Estar Social. A própria fonte classificou o caso como não confirmado e apontou evidências observáveis em fóruns de cibercrime, sem validar intrusão nem autenticidade do material.

O Diario Judicial retomou depois a mesma linha, também com caráter não confirmado. Para a análise mensal, isso fica como sinal de extorsão ou vazamento alegado, não como brecha comprovada.

O Congresso levou o escrutínio ao sistema bancário

O Senado e a Câmara concentraram boa parte da agenda de setembro em pedidos de informação ao Banco Central sobre Itaú, Ueno e Atlas. As consultas abordaram fraudes cibernéticas, controles de segurança, auditorias, processos disciplinares e medidas corretivas, com um foco que foi muito além do caso isolado e alcançou a supervisão do sistema financeiro.

No Banco Atlas, o foco também avançou para suspeita de lavagem de dinheiro, fideicomissos e atuações administrativas do regulador. No Ueno, o eixo foi solvência, limites prudenciais e partes relacionadas. O risco cibernético se misturou com reputação, governança corporativa e confiança institucional.

Ameaças e campanhas ativas no Paraguai

Ransomware e extorsão: Panzer dominou o mês

O mês registrou 19 casos com ransomware ou extorsão como eixo principal, mas apenas um com criptografia confirmada. Na prática, a maior parte do material descreve reivindicações, ameaças de publicação ou estados pendentes, o que obriga a separar com cuidado a narrativa de impacto real da narrativa de extorsão.

O caso Inovapy se enquadra como exfiltração sem criptografia confirmada, porque a fonte fala em ameaça de vazamento e os agregadores o classificam como reclamação de leak. Outros expedientes, como o suposto incidente em saúde, ficaram sem tipificação determinável. O retrato do mês é de pressão extorsiva contínua, não de destruição confirmada.

Fraude e phishing: a frente bancária e a social

Houve 6 casos documentados de fraude ou phishing, menos que em agosto, mas com concentração clara no setor financeiro e em golpes por mensagem ou chamada urgente. O BCP e outros órgãos reforçaram alertas sobre pedidos de dados, links duvidosos, códigos token ou PIN, e ligações sobre bloqueio de conta.

O padrão do mês foi clássico: suplantação de identidade, engenharia social e falsas promessas de investimento. O problema não foi a sofisticação técnica, mas a persistência de campanhas que exploram urgência, medo e confiança em marcas financeiras ou institucionais.

APT e hacktivismo, com sinais fracos mas presentes

Não apareceu no material uma campanha APT clássica com atribuição sólida. Houve, sim, um sinal de defacement contra a Superintendência de Saúde e um caso de exposição alegada no ecossistema estatal que pode ser lido como hacktivismo ou intrusão oportunista, embora sem atribuição forte nem cadeia técnica completa.

Em termos de resposta, isso exige tratar as reivindicações públicas de atores como indícios, e não como evidência fechada. A combinação de defacement, leak claims e alertas preventivos não confirmados compõe um ruído operacional que pode escalar rápido se se sobrepor a falhas reais de disponibilidade.

Vulnerabilidades críticas com impacto no Paraguai

A evidência de setembro não apontou CVEs críticos diretamente ligados a uma intrusão verificada no Paraguai. Houve, porém, alertas e referências técnicas do CERT-PY e do ecossistema de inteligência que merecem acompanhamento, embora o material analisado não tenha permitido associá-los a uma exploração local confirmada.

O CERT-PY também publicou alertas sobre Ubiquiti, Samba, Joomla!, Synology, WordPress e GitLab, incluindo uma vulnerabilidade de severidade crítica no GitLab. Nenhum desses alertas foi associado, no material, a uma intrusão paraguaia concreta durante setembro.

Regulação e conformidade no Paraguai

A agenda regulatória de setembro foi marcada por dois eixos: proteção de dados pessoais e infraestrutura crítica. Nos dois casos, o país avança para um marco mais exigente, com obrigações de preparação, notificação e controle que afetam diretamente bancos, operadores essenciais e fornecedores digitais.

A Lei N.º 7593/2025 de proteção de dados pessoais foi apresentada como a mudança estrutural mais importante. Segundo o material, ela entra em vigor de forma plena em 27 de novembro de 2027 e estabelece um período de adequação de 24 meses. O alcance é amplo, inclui entidades financeiras e prevê uma agência especializada dentro do MITIC com poderes de supervisão, fiscalização e sanção.

No projeto de infraestrutura crítica, o Senado analisou uma proposta que obriga operadores públicos e privados a contar com planos de segurança e resposta, e prevê notificação de incidentes em até 12 horas. O texto também inclui um Conselho Nacional de Cibersegurança, um registro de infraestruturas críticas e exigências de IDS/IPS e segurança para IoT e tecnologias operacionais.

Esse conjunto normativo atinge o núcleo da operação. Não se limita à conformidade documental. Se aprovado nesses termos, o Paraguai vai exigir dos setores essenciais algo mais próximo de um regime de continuidade operacional e reporte de incidentes do que de uma política geral de privacidade.

Setores mais afetados no Paraguai

O setor financeiro foi o mais exposto pelo volume de menções, embora não pela quantidade de brechas confirmadas. Os pedidos de informação ao BCP, os alertas sobre fraudes digitais e a discussão sobre CDA digitais colocaram bancos e regulador no centro da agenda. Isso não significa que o sistema tenha sofrido mais intrusões do que outros setores, mas que recebeu mais escrutínio público e político.

A tecnologia também ganhou visibilidade pelo caso Inovapy, que foi o incidente de ransomware mais claro do mês. Em paralelo, saúde e administração pública apareceram em sinais menos sólidos, como o alerta preventivo sobre o Ministério da Saúde e o defacement atribuído à Superintendência de Saúde. Nos dois casos, a evidência foi mais fraca do que na frente financeira, mas suficiente para mostrar uma superfície real de ataque.

A conectividade nacional também merece uma menção à parte. Uma degradação prolongada de BGP não é um setor, mas afeta transversalmente todos, bancos, saúde, trâmites e plataformas públicas. Em um mês com impulso à digitalização, essa falha de disponibilidade foi um sinal incômodo de dependência estrutural.

Tendências e sinais a monitorar no Paraguai

Setembro quebrou o padrão do mês anterior em dois pontos. Primeiro, o eixo dominante saiu de "sem classificação" e passou a ser ransomware, com 19 de 63 fatos. Segundo, fraudes e phishing caíram de 11 para 6, enquanto os movimentos regulatórios também recuaram levemente, de 11 para 9. O quadro sugere menos ruído difuso e mais concentração em extorsão e governança.

A comparação com agosto também melhora a leitura setorial. Em setembro, houve 7 setores com fatos documentados, contra 5 no mês anterior, o que indica uma superfície narrativa e operacional mais ampla. Esse aumento não se explica só por mais incidentes, mas pela acumulação de sinais em banca, saúde, tecnologia, infraestrutura crítica e conectividade.

A principal mudança qualitativa foi a entrada do ransomware como ameaça predominante. Em agosto, não havia casos desse tipo na base do relatório anterior; em setembro, sim, e com uma campanha reconhecível contra uma empresa local. Isso marca uma diferença importante na prioridade de monitoramento para outubro.

Em regulação, o tom caiu em volume, mas subiu em densidade. A lei de dados pessoais já deixou de ser uma notícia abstrata e passou a ser um calendário real de adequação. O mesmo ocorre com a infraestrutura crítica. Não são anúncios decorativos, e sim marcos que provavelmente começarão a condicionar contratos, auditorias e relatórios internos.

Recomendações para equipes de segurança no Paraguai

Os times de segurança devem priorizar três frentes ao longo de outubro: reforçar o controle de identidade e fraude nos canais digitais, revisar a exposição de serviços críticos e preparar evidências para cumprir futuras obrigações de reporte. O mês mostrou que o problema paraguaio não é apenas técnico, também envolve rastreabilidade institucional.

Em bancos e serviços financeiros, vale fortalecer a verificação fora de banda em operações sensíveis, os alertas sobre mudança de conta e os controles sobre ligações urgentes ou links suspeitos. Os alertas do BCP mostram que a fraude por engenharia social continua sendo o vetor mais explorável pelo volume e pela facilidade de execução.

Em organizações expostas a dados pessoais, é preciso revisar avisos de privacidade, registros de tratamento, base legal e procedimentos de resposta a incidentes. A lei de dados pessoais exige maturidade documental, mas o impacto real virá da capacidade de demonstrar controle sobre acessos, terceiros e retenção.

Para operadores essenciais e provedores de tecnologia, a prioridade é continuidade operacional. Segmentar acessos, auditar serviços expostos, revisar backup e restauração, e ensaiar procedimentos de resposta a quedas de conectividade ou extorsão. Setembro mostrou que a indisponibilidade também pode vir pela rede, e não apenas por malware.

Perguntas frequentes

O que mudou entre agosto e setembro no Paraguai?

Setembro deixou de ser um mês sem ransomware predominante e passou a ter essa ameaça como principal, com 19 de 63 fatos. Além disso, os fraudes ou phishing caíram de 11 para 6 e os movimentos regulatórios de 11 para 9. O foco se deslocou para extorsão, bancos e infraestrutura crítica.

O caso Panzer contra a Inovapy está confirmado?

Está confirmado o reclame público do grupo Panzer e sua aparição em sites de vazamento, mas não há confirmação pública da vítima sobre intrusão nem evidência conclusiva de criptografia. O material permite falar em extorsão com ameaça de leak, não em uma brecha plenamente validada.

O que significa não haver CVEs críticos no indicador do mês?

Significa que o material analisado em setembro não registrou CVEs críticos como parte dos fatos do período. Isso não quer dizer que não existam vulnerabilidades críticas na região. De fato, o corpo do relatório menciona avisos do CERT-PY e CVEs relevantes, mas eles não ficaram vinculados a uma intrusão paraguaia confirmada.

Quais setores ficaram mais expostos pela combinação de incidentes e regulação?

Finanças, tecnologia, saúde e governo concentraram o sinal mais visível. O setor bancário recebeu pressão por fraudes e supervisão, tecnologia por ransomware, saúde por defacement e alertas preventivos, e governo pela discussão sobre infraestrutura crítica e dados pessoais. A conectividade afetou todos de forma transversal.

O que um CISO local deve olhar primeiro depois deste mês?

Ele deve revisar fraude de identidade, exposição de serviços e capacidade de resposta a incidentes. O mês mostrou que um ataque pode chegar como extorsão, como suplantação ou como degradação de rede. Também convém alinhar a conformidade com a lei de dados pessoais e com futuros requisitos de reporte de infraestrutura crítica.

Limitações do material

Este relatório foi construído exclusivamente com os fatos fornecidos para o Paraguai em setembro de 2026 e com 1 fato de meses anteriores usado apenas como referência comparativa. Não foi incorporado conteúdo externo da internet nem material fora da lista de fontes disponíveis para citação. As redes sociais de consumo e o conteúdo patrocinado ficaram de fora, salvo quando apareceram como evidência secundária dentro do material já consolidado.

A janela temporal dos indicadores é a declarada na solicitação, 63 fatos com data em setembro de 2026 e 1 de meses anteriores como referência comparativa, não o volume do mês. Um indicador em 0, especialmente CVEs críticos mencionados, significa que ele não apareceu no material analisado, não que não exista atividade ou vulnerabilidade na região.

Também é preciso ler com cuidado a taxonomia de ransomware. O material separa criptografia confirmada, exfiltração sem criptografia, simples menção em leak site e casos em que a fonte não permite determinar o impacto. Misturar essas categorias daria uma leitura enganosa do risco operacional real.

Por fim, várias sinalizações de setembro são atribuições não confirmadas, sobretudo em defacement, supostas filtragens e reivindicações de atores como Zumarius. Essas peças foram usadas como contexto, não como confirmação de brechas. Quando a fonte não confirmou o incidente ou o marcou como pendente, o relatório tratou isso dessa forma.