EUA: situação de cibersegurança, setembro de 2026

Ameaças e campanhas ativas nos EUA

Ransomware e extorsão, com taxonomia separada

Em setembro, foram registrados cinco casos com ransomware ou extorsão como eixo principal nos Estados Unidos, mas o material não permite tratá-los como uma massa homogênea. Houve um caso de exfiltração sem criptografia, quatro publicações cuja tipificação exata não pode ser determinada com base no material e várias menções de vítima em leak sites que, por si só, não comprovam impacto operacional.

Exfiltração sem criptografia: Fort Smith

Fort Smith se encaixa melhor em extorsão simples, com alegação de extração em massa. A cidade reconheceu a intrusão e o trabalho forense, e as fontes de monitoramento falam em roubo de dados e publicação em site de vazamento, mas não em criptografia verificada no material consolidado. O caso se situa no campo da pressão pela divulgação, não no de indisponibilidade confirmada.

Tipificação não determinável: Eudora, Sutton e outros casos locais

Eudora teve criptografia confirmada pelo ex-administrador de TI, mas em outros episódios do mês a tipificação não pode ser fechada com a mesma certeza. Sutton, Fort Smith e alguns avisos de hospitais e fornecedores aparecem como incidentes em andamento, publicações de grupos ou investigações abertas, sem prova suficiente para classificar todos como criptografia, exfiltração ou simples reivindicação de vítima.

Só menção em leak site: OnTrac, Electrolux e outras publicações

O monitoramento de ransomware.live e outras plataformas acrescentou vítimas como OnTrac e Electrolux, além de outras organizações, mas em vários desses casos a fonte documenta apenas a publicação do grupo. Isso não equivale a impacto operacional confirmado. A diferença é relevante porque a presença em um leak site pode ser real, duvidosa ou inflada, e o material nem sempre permite fechar essa lacuna.

Fraude e phishing, com um caso documentado

O único caso claramente documentado de fraude ou phishing nos Estados Unidos no período foi o processo judicial contra dois ex-integrantes da Força Aérea, ligados a campanhas de spam e phishing dirigidas a empresas americanas para roubar credenciais e usá-las em fraude BEC. A sentença foi de 111 meses e 78 meses de prisão, além de ordens de restituição.

Isso confirma que o phishing segue sendo uma porta de entrada útil para fraude financeira e roubo de contas, embora o mês tenha sido muito mais dominado pela exploração de vulnerabilidades do que por campanhas de e-mail em massa. O sinal é menor em volume, mas não em sensibilidade jurídica.

APT, espionagem e atividade avançada de intrusão

A atividade avançada do mês se concentrou nos casos do FBI, do DMDC, nos movimentos em torno da ShinyHunters e no episódio da OpenAI sobre sites federais. Nem tudo isso é APT em sentido estrito, mas expressa um ambiente de intrusão mais próximo de reconhecimento, acesso não autorizado, roubo de credenciais e exfiltração seletiva do que de ransomware puro.

A cobertura sobre NetScaler também mostrou uso de malware personalizado e exploração precoce antes do anúncio público da Citrix, o que sugere campanhas com planejamento e preparação. Em paralelo, o front OT e ICS teve um perfil diferente, não tanto de exfiltração, mas de pré-posicionamento, busca por SCADA e preparação de arquivos compactados com esquemas e configurações de rede.

Vulnerabilidades críticas com impacto nos EUA

A agenda técnica de setembro foi marcada por exploração ativa, inclusão no KEV e prazos de remediação agressivos. A CISA atuou sobre appliances de borda, Windows, Linux, produtos de colaboração, plataformas de comércio e ferramentas de administração que ficaram sob pressão real, não apenas teórica.

Regulação e compliance nos EUA

Setembro terminou com um quadro regulatório mais ativo do que agosto, sobretudo em bancos, telecomunicações, saúde, privacidade e governança de IA. Foram sete movimentos regulatórios documentados, com intensidade notável na construção de marcos para terceiros, incidentes e obrigações de notificação.

A SEC deixou para trás o período de graça da Reg S-P e lembrou que as firmas reguladas precisam ter programas escritos de resposta a incidentes, notificar clientes em até 30 dias e exigir que fornecedores relatem brechas em 72 horas. Em paralelo, a OCC atualizou seu Cybersecurity Supervision Work Program para alinhá-lo ao NIST CSF 2.0, sem criar novas expectativas regulatórias, mas deixando claro o foco de exame sobre bancos nacionais e associações federais de poupança.

O Fed continuou empurrando o debate sobre risco de fornecedores e exposição à IA. Michelle Bowman falou da necessidade de proteger os bancos, especialmente os menores, contra riscos derivados de serviços externos e de IA. A isso se somou o debate interagências sobre third-party risk management, com maior escrutínio sobre core providers e fornecedores críticos.

Em telecomunicações, senadores avançaram um projeto de certificação voluntária para fornecedores e supridores, em resposta ao debate após o Salt Typhoon. Na saúde, Warner e Wyden reapresentaram a Health Infrastructure Security and Accountability Act, com padrões mínimos obrigatórios, auditorias, planos de continuidade e uma alocação de 1.300 milhões de dólares para fortalecer a cibersegurança hospitalar.

A CISA e o FBI também pautaram a agenda normativa com a ficha sobre integradores ICS de terceiros. A orientação pede reduzir a exposição pública, registrar acessos remotos, manter inventários de hardware e software, incluir requisitos de segurança em contratos e sustentar capacidade operacional independente. É uma intervenção regulatória nascida de uma prática real de ataque e que busca reduzir o risco sistêmico da cadeia industrial.

Setores mais afetados nos EUA

O setor mais pressionado foi saúde, embora a pressão não tenha vindo só como ransomware. Houve incidentes em hospitais, provedores de saúde, um grande player de tecnologia em saúde e casos com dados médicos ou sensíveis, além do pano de fundo regulatório ligado à HIPAA, segurança hospitalar e continuidade operacional. O sinal é claro: a saúde segue como alvo de alto valor para roubo de informação, extorsão e disrupção.

Governo e setor público também tiveram um mês duro. O FBI, o DMDC, governos locais como Fort Smith e Sutton, e o episódio da OpenAI sobre portais federais mostraram um padrão de risco ligado a identidade, acesso e dados administrativos. Nesse terreno, o problema não foi um único tipo de ataque, mas a sobreposição entre intrusão, exposição de dados e dependência de fornecedores ou sistemas de terceiros.

Água e OT tiveram um peso desproporcional diante do volume total do mês. Colorado e os alertas sobre utilities de água em outros estados mostraram que o acesso remoto e os PLCs seguem sendo um ponto frágil. A orientação da CISA e do FBI para integradores de ICS não foi uma peça isolada, mas uma resposta direta a um problema que já havia se materializado.

Finanças apareceu pelo lado regulatório e por incidentes de dados, mas também pela pressão sobre terceiros, fornecedores core e supervisão. A OCC, o Fed, a FTC e os projetos legislativos de setembro colocaram os bancos no centro de uma discussão mais ampla sobre resiliência operacional, proteção do consumidor e uso de fornecedores tecnológicos.

Energia e transporte tiveram menos volume, mas risco alto por criticidade. Os petroleiros investigados no golfo do México e o caso da CenterPoint Energy mostram que os vetores sobre OT, TI e dados de clientes convivem. Em telecomunicações, a discussão se deslocou mais para o plano de política pública, embora o interesse por certificação e resiliência de fornecedores indique uma preocupação contínua.

Tendências e sinais para monitorar nos EUA

A comparação com agosto mostra uma queda forte no volume geral, de 92 para 53 fatos verificados, mas não uma descompressão do risco. Caíram os incidentes sem tipificação, os casos de ransomware ou extorsão e a fraude ou phishing documentado, enquanto os CVEs críticos mencionados subiram, de 18 para 27. O mês anterior foi dominado por ransomware, este mês por vulnerabilidades. Essa inversão é o principal sinal tático.

A segunda sinalização é a consolidação da borda e do acesso remoto como a superfície de maior urgência. SonicWall, Citrix, Mikrotik, WSO2, VMware, Check Point e produtos Microsoft apareceram com exploração ativa ou inclusão no KEV. O mercado de appliances e software exposto à Internet continuou funcionando como a primeira linha de impacto para atacantes com objetivos que vão do acesso inicial ao posicionamento para intrusão posterior.

A terceira tendência é a maior densidade de incidentes em ambientes de terceiros e fornecedores. O caso do FBI, o debate sobre integradores ICS, a orientação interagencial de bancos e os movimentos regulatórios sobre core providers e provedores de serviços externos apontam na mesma direção. Não se trata apenas de auditoria de fornecedores, mas de continuidade operacional diante de dependência crítica.

Em saúde e governo local, setembro deixou claro que a combinação de exfiltração, ransomware e exposição administrativa segue ativa, embora com menos casos massivos do que em agosto. Ao mesmo tempo, a narrativa de ataque assistido por IA apareceu menos como fato operacional direto nos EUA e mais como contexto de risco global, especialmente pelas campanhas descritas por Anthropic e Unit 42 em outras frentes.

O sinal mais relevante para outubro é direto: o ritmo de publicação do KEV e os prazos de mitigação seguirão ditando a agenda de defesa. Se o mês anterior foi o aviso de uma alta de ransomware, setembro foi o lembrete de que a exploração de vulnerabilidades segue sendo o caminho mais rápido para comprometer serviços, dados e redes industriais.

Recomendações para equipes de segurança nos EUA

Priorizar a correção de appliances de borda e de acesso remoto, com foco em NetScaler, SonicWall, WSO2, Mikrotik, VMware, Check Point e produtos Microsoft que foram adicionados ao KEV ou mostraram exploração ativa. Em organizações com exposição pública, a janela de remediação deve ser medida em horas, não em semanas.

Revisar imediatamente as dependências com terceiros, especialmente integradores ICS, fornecedores core em bancos e serviços externos com acesso remoto persistente. Os contratos devem prever logging de sessões, inventário de software e hardware, notificação acelerada de incidentes e capacidade de operar sem o integrador se esse terceiro for comprometido.

Em governo, saúde e utilities, reforçar o monitoramento de identidade, autenticação e exfiltração. Os casos do FBI, Astrana, CenterPoint e Fort Smith mostram que o acesso inicial ainda chega por credenciais, impersonação ou sistemas expostos. Não basta proteger o perímetro se o dado sensível já estiver acessível internamente ou em portais conectados.

Em OT e água, limitar a exposição direta à Internet, registrar e segmentar os acessos remotos, e manter procedimentos manuais prontos. A orientação da CISA e do FBI sobre integradores ICS e o caso do Colorado mostram que a continuidade operacional depende tanto da arquitetura quanto da disciplina operacional.

Nas equipes de resposta, distinguir com precisão entre criptografia, extorsão simples e mera publicação em leak site. Essa diferenciação é fundamental para não superestimar nem subestimar o evento, medir o impacto real e comunicar com jurídico, direção e reguladores sem misturar alegações não verificadas com intrusões confirmadas.

Perguntas frequentes

O que mudou entre agosto e setembro de 2026 nos EUA?

Setembro registrou menos fatos verificados do que agosto, 53 contra 92, e muito menos ransomware. Em compensação, cresceu a pressão sobre vulnerabilidades críticas, com 27 CVEs mencionadas ante 18 no mês anterior. O sinal dominante saiu de ransomware e passou para exploração técnica, principalmente em bordas expostas e acesso remoto.

Quais setores ficaram mais expostos neste mês nos EUA?

Saúde, governo, água, finanças, energia, telecomunicações, transporte e serviços digitais tiveram fatos documentados. A combinação mais sensível cruzou governo e defesa, com o FBI e o DMDC, enquanto água e OT se destacaram pelos casos do Colorado e pela orientação CISA-FBI para integradores de ICS.

Quais vulnerabilidades concentraram a urgência operacional nos EUA?

Citrix NetScaler, SonicWall SMA1000, Microsoft Windows, WSO2, Adobe Commerce, SharePoint, Mikrotik RouterOS e Linux kernel dominaram a agenda. O padrão comum foi a exploração ativa ou a inclusão no catálogo KEV da CISA, o que forçou a priorização imediata de correções em ambientes expostos.

Como interpretar os cinco casos de ransomware ou extorsão do mês?

Eles não devem ser agrupados como um bloco único. Um aparece melhor caracterizado como exfiltração sem criptografia, quatro não permitem definir com certeza o tipo de impacto, e em vários casos a fonte registra apenas a publicação em um leak site. Essa distinção muda por completo a avaliação do dano.

O que isso implica para bancos e fornecedores na frente regulatória dos EUA?

Implica mais controle sobre terceiros, mais exigência documental e menos margem para respostas informais. A Reg S-P já exige notificação rápida, a OCC alinhou seu trabalho ao NIST, o Fed reforçou o foco em fornecedores e o debate sobre TPRM aponta para core providers com responsabilidades mais rígidas.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para os EUA e setembro de 2026. Os 53 fatos verificados do período são a base de todos os indicadores. Os três fatos do bloco de marco comparativo foram usados apenas para evolução mês a mês e não entram como volume do mês. Os quatro fatos sem data confirmada foram excluídos dos indicadores.

Um indicador em zero, especialmente em CVEs ou em categorias como fraude, não significa ausência real do fenômeno nos Estados Unidos ou na região. Significa que ele não apareceu no material analisado para este período com a confirmação suficiente exigida por estas regras.

A janela temporal declarada pelo relatório inclui 53 fatos com data em setembro de 2026, mais três fatos de meses anteriores usados apenas como comparação, e quatro sem data confirmada excluídos das contagens. O material não incorpora telemetria agregada como incidente, e qualquer cifra de tentativas ou bloqueios deve ser lida, se aparecer, como ruído operacional e não como intrusão confirmada.

Também foram excluídas como evidência as publicações de redes sociais de consumo e conteúdo patrocinado. Quando foram usadas menções de terceiros, priorizaram-se órgãos oficiais, avisos de fabricantes, CISA, FBI, SEC, OCC, Fed e outras fontes primárias ou diretamente observacionais. Quando uma afirmação dependia apenas de atribuição do atacante ou de cobertura secundária, ela foi tratada como tal e não como fato fechado.