Estados Unidos: situação da cibersegurança, julho de 2026

Indicadores do período nos EUA

Incidentes relevantes nos EUA

Ataque coordenado a sistemas de água de Minnesota

Minnesota IT Services confirmou que entre 26 e 27 de julho mais de 30 sistemas comunitários de água foram afetados por um ataque coordenado contra tecnologia operacional. O material disponível descreve interrupções em Braham, Plymouth, South St. Paul e outras localidades, com impacto sobre torres de água, estações de bombeamento e estações de tratamento. Em Braham, a planta de água ficou fora de serviço por várias horas. As fontes coincidem em um ponto importante, não houve indícios de contaminação nem mudanças duradouras na qualidade da água.

A atribuição permaneceu em aberto. O advisory conjunto de CISA, FBI, NSA e do Departamento de Energia já havia alertado sobre atores ligados ao Irã que exploram PLC expostos em água, energia e serviços municipais. Várias coberturas posteriores sugeriram que o padrão se encaixava com CyberAv3ngers, mas o material do período não registra uma atribuição oficial fechada. Para um relatório mensal, isso exige separar o impacto operacional confirmado da hipótese de atribuição.

Fairlife, produção interrompida após ransomware

A Coca-Cola comunicou que a Fairlife pausou temporariamente a produção nos Estados Unidos após um ataque de ransomware que comprometeu parte dos sistemas usados para manufatura. O caso foi confirmado pela própria empresa, e a cobertura posterior sustentou que o acesso não autorizado atingiu sistemas de produção. Na data do material, ainda não estava resolvido se o incidente também atingia um patamar de materialidade financeira para o grupo.

A pressão pública aumentou quando o grupo Anubis apareceu em sites de vazamento afirmando responsabilidade e ameaçando publicar dados. Ainda assim, a base documental do mês permite classificar este caso como ransomware com criptografia ou interrupção operacional confirmada, porque houve suspensão de produção. Não se deve misturar com os casos de leak site que não mostram impacto verificado.

DHS e a rede de troca HSIN

O DHS confirmou que investigava um incidente em um ambiente legado de troca de informações não classificadas. Reuters e outras coberturas associaram o caso ao HSIN, a plataforma usada para compartilhar informações sensíveis entre agências federais, estaduais e locais. O material disponível não permitiu determinar tipo de exfiltração nem autoria pública, então o caso fica como incidente sem tipificação, com risco institucional alto por envolver um sistema de coordenação governamental.

AssuranceAmerica e a exposição de dados de milhões de pessoas

A TechCrunch reportou, e a Check Point retomou depois, que a AssuranceAmerica notificou uma violação com exposição de dados pessoais e números de carteira de motorista de cerca de 7 milhões de pessoas. No corpus não há detalhe técnico completo sobre vetor de intrusão nem sobre uso de ransomware. Em termos de risco, o fato segue como um dos maiores eventos de privacidade do mês pelo volume afetado.

RingCentral e a alegação de ShinyHunters

A RingCentral apareceu no site de vazamentos do ShinyHunters com alegações de dados de funcionários, usuários e credenciais. No material disponível não existe confirmação pública independente da companhia sobre o incidente, por isso o caso só pode ser contado como menção em leak site. Esse detalhe importa, porque uma reivindicação não equivale a uma violação verificada e muito menos à confirmação de exfiltração total.

Condado de Greene, Geórgia, e outros municípios listados

O condado de Greene, Geórgia, aparece em trackers de ransomware como vítima presumida de Incransom. A City of Atlanta, City of Houston, West Chester Township e Town of Vienna também constam em registros do mesmo ecossistema de acompanhamento. Em vários desses casos, a evidência pública disponível é a listagem no leak site ou em rastreadores como ransomware.live, sem comunicado oficial do município nem detalhe do alcance real. O retrato mensal mostra pressão persistente sobre governos locais, mas não permite homologar todos esses registros como incidentes equivalentes.

Ameaças e campanhas ativas nos EUA

Ransomware, criptografia e extorsão simples

O único caso que o material permite classificar com criptografia confirmada é Fairlife, pela interrupção da produção em plantas dos Estados Unidos. O restante dos casos de ransomware ou extorsão se divide entre exfiltração sem criptografia, apenas menção em leak site e tipificação não determinável. Essa dispersão não reduz seu valor operacional, mas impede somar tudo sob o mesmo rótulo sem perder precisão.

Fraude e phishing

Só um caso ficou documentado como fraude ou phishing no período. Isso não deve ser lido como ausência de atividade fraudulenta no país, mas como ausência de fatos com data de julho de 2026 e confirmação suficiente dentro do corpus de trabalho usado para este relatório.

APT, hacktivismo e campanhas contra OT

A campanha associada ao Irã contra dispositivos industriais segue sendo o principal sinal de APT ou hacktivismo operacional do mês nos EUA. CISA, FBI, NSA e o Departamento de Energia informaram que os atores estão explorando PLCs expostos e outros equipamentos de OT em água, energia e serviços municipais. Minnesota se encaixa nesse quadro pelo tipo de impacto e pelo uso de tecnologia operacional como vetor do incidente. O material não fecha atribuição final, mas deixa claro que o foco é infraestrutura crítica com exposição pública.

Vulnerabilidades críticas com impacto nos EUA

O material do mês coloca o SharePoint no centro da agenda defensiva. A CISA não apenas alertou para exploração ativa, como recomendou bloquear a administração central exposta, rotacionar chaves de IIS e buscar técnicas já conhecidas de deserialização e persistência. No caso do AD FS, o problema foi igualmente relevante, porque a exposição afeta identidade, autenticação e acesso remoto, três camadas que muitas organizações ainda tratam separadamente.

Regulação e compliance nos EUA

Julho registrou sete movimentos regulatórios documentados nos Estados Unidos. O ponto mais relevante foi a CIRCIA, cuja norma final a CISA espera concluir em setembro de 2026. A regra vai exigir a notificação de incidentes cibernéticos substanciais em 72 horas e de pagamentos de ransomware em 24 horas. O prazo deixou de ser apenas hipotético. A CISA vem realizando town halls com setores críticos para definir a implementação, e o debate exposto mostra a tensão entre mais reporte e menos atrito operacional.

A Câmara dos Representantes aprovou sua versão da NDAA fiscal 2027 com uma extensão de nove anos da Cybersecurity Information Sharing Act de 2015. Esse ponto importa porque mantém viva a arquitetura de compartilhamento de informações como peça central do modelo americano. Em paralelo, a GAO publicou um relatório que identifica 117 regulações de cibersegurança emitidas por 37 agências, com 80 delas contendo exigências de reporte potencialmente duplicadas. A mensagem é clara: o ecossistema regulatório continua crescendo, mas ainda não está organizado.

A Casa Branca também avançou com o Gold Eagle, uma iniciativa de coordenação de vulnerabilidades descobertas por IA. Ainda não se trata de uma lei nem de um novo órgão regulador, e sim de uma plataforma de coordenação entre agências, empresas e operadores críticos. Ao mesmo tempo, a FINRA e o Tesouro avançaram com marcos de gestão de risco de IA para o setor financeiro, o que confirma que a discussão já não se limita à cibersegurança tradicional, mas também à governança de modelos.

Setores mais afetados nos EUA

O setor público local esteve entre os mais pressionados do mês. Minnesota colocou em evidência concessionárias de água e governos municipais. Greene County, Houston, Atlanta, Vienna e outros nomes que aparecem em trackers de ransomware reforçam a mesma leitura: governos locais seguem como alvos recorrentes, muitas vezes com pouca capacidade de absorver incidentes prolongados e com alta exposição pública por desenho.

A área de saúde voltou a figurar entre as mais castigadas, embora o corpus de julho mostre tanto ataques diretos quanto impactos colaterais em grande escala. A Fairlife não é saúde em sentido estrito, mas é do setor alimentício e de manufatura, e seu caso se soma à persistência de brechas e extorsão contra hospitais, clínicas e fornecedores. O material também reúne menções a hospitais em outros contextos regulatórios e penais, o que confirma que o setor continua sob pressão contínua.

A infraestrutura crítica de água e energia foi o outro bloco de relevância estrutural. Nesse caso, a novidade não foi a existência de uma campanha isolada, mas a repetição de um padrão: PLCs expostos, autenticação fraca, interfaces de operação acessíveis pela Internet e capacidade do atacante de alterar ou interromper operações físicas. Quando a falha é de exposição, a superfície não depende só do fabricante do equipamento, mas da arquitetura completa de administração.

Tendências e sinais para monitorar nos EUA

A comparação com o mês anterior mostra que a regulação caiu de 19 para 7 fatos documentados, enquanto os CVEs críticos mencionados subiram de 4 para 8. Essa mudança não significa que o risco regulatório tenha desaparecido nem que a exploração técnica seja uma novidade absoluta. Ela aponta, sim, para uma priorização do corpus de julho na operação concreta, incidentes, campanhas e vulnerabilidades exploradas ativamente.

A ameaça predominante passou de regulação no mês anterior para incidentes em julho, com 23 de 73 fatos. Esse deslocamento importa. Na prática, a pressão do mês deixou de estar no debate normativo e passou para a resposta a eventos com impacto operacional real, especialmente água, saúde, manufatura e governo local.

O dado de fraude ou phishing não mudou em relação ao mês anterior. Houve um caso em junho e um em julho. Não há base suficiente para dizer que a fraude caiu ou subiu no país com base no corpus disponível, apenas que o material analisado manteve presença marginal em comparação com incidentes e vulnerabilidades.

A seção de vulnerabilidades merece acompanhamento fino. SharePoint continuou aparecendo como vetor de entrada e persistência, AD FS como ponto sensível de identidade e Check Point SmartConsole como exemplo de exploração in the wild. Em outras palavras, o mês deixou uma lista curta, mas muito sensível, de produtos que devem ter prioridade alta em correção e caça a comprometimento.

Recomendações para equipes de segurança nos EUA

Primeiro, revisar a exposição pública de serviços de administração e colaboração. SharePoint on-premises, AD FS, VPNs, roteadores e portais de OT não devem ficar acessíveis à Internet, salvo necessidade estrita e com controles compensatórios. Se uma instância precisar ser exposta, o endurecimento tem de vir antes da publicação, não depois do incidente.

Segundo, rotacionar credenciais e segredos associados a IIS, farms de SharePoint, dispositivos de borda e serviços de acesso remoto. O material de julho repete o mesmo padrão várias vezes: o atacante não precisa de malware exótico se puder roubar chaves de máquina, abusar de contas válidas ou explorar configurações fracas.

Terceiro, segmentar OT de IT com critério operacional, e não apenas documental. O caso Minnesota deixa um sinal claro para água, energia e serviços públicos: a administração remota, os PLCs e a supervisão HMI não podem compartilhar o mesmo plano de confiança dos sistemas corporativos padrão.

Quarto, preparar caça ativa a persistência. Em SharePoint, isso significa buscar deserialização anômala, webshells, mudanças de configuração, novas chaves de máquina e conexões de saída suspeitas. Em OT, significa revisar acessos remotos, mudanças de lógica, alterações em telas e eventos fora do horário.

Quinto, alinhar jurídico, continuidade e resposta técnica antes do incidente. Com a CIRCIA avançando, os prazos de 72 horas e 24 horas para certos reportes vão exigir rastreabilidade, evidências e decisão antecipada. A equipe que espera o fechamento forense para notificar provavelmente vai chegar tarde.

Limitações do material

Este informe foi elaborado exclusivamente com os fatos datados de julho de 2026 incluídos no material fornecido. A janela temporal dos indicadores é de 73 fatos com data em julho de 2026, e não foi incorporada telemetria agregada nem material fora desse recorte. Os fatos de meses anteriores só foram usados, quando cabível, para comparar evolução e sempre com seu mês explícito.

Um indicador em 0, especialmente na seção de CVEs ou em qualquer outra categoria, significaria apenas que não apareceu no material analisado deste período, não que o fato não exista nos EUA ou na região. O mesmo vale para os casos em que a tipificação de ransomware não pôde ser fechada: a ausência de subtipo não equivale à ausência de incidente.

O material excluiu redes sociais de consumo, publicações de LinkedIn e conteúdo patrocinado ou comercial que não estava dentro das fontes habilitadas. Também ficaram de fora, como critério de integridade, as tentativas, bloqueios, varreduras e outras formas de telemetria que não constituem incidentes verificáveis do período. Quando uma atribuição foi apenas sugerida por um tracker ou por uma fonte secundária sem confirmação oficial, ela foi tratada como tal e não como certeza.