Situación Nacional de Ciberseguridad - Julio 2026 - Uruguay

Ameaças e campanhas ativas no Uruguai

Ransomware e extorsão no Uruguai, ACU e os casos em leak sites

Cifrado de ativos confirmado, ACU e Deadlock

O caso mais sólido de ransomware do mês é o ACU, o Automobile Club del Uruguay, listado por Deadlock em ransomware.live, com data de descoberta em 10 de julho. A fonte de inteligência associada e as coberturas de acompanhamento sustentam que houve exfiltração antes do ciframento. Nesse caso, o impacto operacional não ficou reduzido a uma mera menção em um leak site. A aparição no portal da vítima e a descrição do ator apontam para uma intrusão com técnica de dupla extorsão.

Exfiltração sem ciframento, BHU como caso de extorsão materializada

O Banco Hipotecario del Uruguay aparece em julho como o exemplo mais visível de exfiltração com impacto material. As fontes descrevem roubo de informação, resgate exigido e posterior publicação de material na dark web ao não ser pago. O incidente foi atribuído pela imprensa ao grupo Crypto24. Embora a data original do ataque seja outubro de 2025, a continuidade de seus efeitos em julho de 2026 justifica sua menção na parte qualitativa do relatório, não na base de incidentes deste mês. Para a taxonomia, o verificável é exfiltração e extorsão, com persistência do dano.

Apenas menção em leak site, Section9 e uma entidade uruguaia não confirmada

Vários serviços de monitoramento localizaram em julho uma entidade uruguaia, com domínio oculto no material, associada ao grupo Section9. Breach House, Recentbreaches, Darkfield, GalaxyWarden e Dexpose coincidiram em situar o caso em 26 ou 27 de julho e em mencionar exfiltração ou ameaça de publicação, mas não houve confirmação pública da organização afetada nem precisão suficiente para afirmar com segurança se houve ciframento. Por isso, o caso deve permanecer na categoria de menção em leak site ou tipificação não determinável, conforme a fonte consultada.

Fraude e phishing no Uruguai

Deepfakes financeiros com a imagem do presidente

O relatório da Revelum citado por Nación.com.uy é o fato mais claro do mês em fraude digital. Não se trata de um phishing clássico por e-mail, mas de anúncios fraudulentos com deepfakes de uma figura pública para induzir investimento ou desvio de dinheiro. O caso mostra uma evolução do golpe, mais visual, mais crível e com alto potencial de segmentação. O dado mais chamativo é a aceleração em poucos dias, com 16 anúncios detectados entre 21 e 23 de julho.

Alerta sobre automatizações e IA mal projetadas

El País Uruguay e El Correo não reportam fraude operacional concreta em uma organização específica do país, mas expõem uma preocupação que em julho ficou instalada no debate local: sistemas de IA e automatizações que realizam ações mais amplas do que o previsto por problemas de projeto. Isso não entra como incidente de fraude, mas sim como contexto de risco para futuras campanhas de abuso de automação e escalada de permissões.

APT, hacktivismo e campanhas oportunistas no Uruguai

No material de julho não aparecem elementos robustos para atribuir uma campanha APT clássica contra o Uruguai. O que se observa é atividade oportunista e massiva, com exploração de sites vulneráveis e com leak sites usados para ampliar a pressão sobre as vítimas. A campanha sobre sites do Hospital de Clínicas e INISA entra melhor na categoria de exploração automatizada do que na de ator persistente com objetivos estratégicos. Essa distinção importa, porque muda o tipo de contenção necessária, desde endurecer exposição e correção até revisão de credenciais, logs e mecanismos de persistência.

Vulnerabilidades críticas com impacto no Uruguai

A agenda de vulnerabilidades dominou o mês e contou com respaldo de fontes locais e externas. O CERTuy foi o ator mais relevante para o Uruguai, porque não só difundiu o alerta da Microsoft como também publicou um aviso próprio sobre Joomla. A isso se somaram advisories de outras equipes de resposta, que ajudam a dimensionar a gravidade da exposição.

A combinação dessas falhas deixa duas leituras concretas para o Uruguai. A primeira, que os ambientes Windows e Microsoft 365 ou SharePoint continuam sendo uma superfície de ataque de alto interesse para agentes oportunistas e avançados. A segunda, que os CMS e as extensões de terceiros, em particular Joomla, seguem como um ponto fraco clássico em instituições que administram sites públicos ou semipúblicos com ciclos irregulares de atualização.

Regulação e conformidade no Uruguai

Julho foi um mês especialmente movimentado na agenda regulatória. O Banco Central do Uruguai aprovou um marco específico para os Provedores de Serviços de Ativos Virtuais, com exigências de autorização, governança corporativa, conformidade, auditoria e segurança da informação. O pacote normativo inclui a necessidade de designar responsáveis independentes da área de tecnologia, realizar auditorias externas anuais sobre continuidade do serviço e resiliência diante de ciberataques, além de cumprir obrigações adicionais de proteção operacional e dos usuários. Diferentes veículos resumiram a norma por ângulos complementares, mas o núcleo é o mesmo, mais supervisão, mais segregação, mais controle.

No caso das Instituições Emissoras de Dinheiro Eletrônico, a partir de 1 de julho de 2026 elas devem reportar periodicamente ao BCU suas capacidades de cibersegurança. A mudança é relevante porque transforma a cibersegurança em dado de supervisão regulatória, e não apenas em prática interna. O recado é claro, o regulador quer informações comparáveis e uma linha de base de resiliência dentro do sistema financeiro.

O Decreto N.º 168/026, aprovado em 17 de julho e publicado oficialmente em 30 de julho, completa o quadro do lado do Estado. A norma obriga a Administração Central a acionar procedimentos administrativos imediatamente diante de incidentes e estabelece consequências se os problemas estiverem ligados à falta de previsão, a processos inadequados ou a sistemas obsoletos. A lógica é de amadurecimento institucional, embora sua eficácia dependa da implementação real, dos prazos internos e da capacidade da AGESIC de acompanhar e fiscalizar.

Setores mais afetados no Uruguai

Os setores mais atingidos pela sinalização de julho foram o público, o financeiro, o tecnológico, o de transporte e o de alimentos e serviços. Vale ler essa distribuição como uma sobreposição, não como compartimentos estanques. Um mesmo fato pode atingir mais de um setor, por exemplo, uma filtragem em uma entidade financeira tem impacto regulatório, reputacional e operacional ao mesmo tempo.

O setor público enfrentou dois tipos de pressão. De um lado, a afetação direta de sites de instituições como Hospital de Clínicas e INISA, com uma dinâmica automatizada de busca por vulnerabilidades. De outro, o reordenamento normativo imposto pelo Decreto N.º 168/026 e pelo projeto de Rendición de Cuentas, que obriga a relatórios anuais de cibersegurança. Esse duplo movimento, incidente mais regulação, sugere que o setor público uruguaio ficou sob pressão tanto pela exposição técnica quanto pela exigência administrativa.

O setor financeiro apareceu em várias frentes. O BHU continuou mostrando consequências de um ataque grave com filtragem massiva, enquanto o BCU endureceu o esquema para PSAV e IEDE. Esse contraste é revelador. O regulador observou que a superfície de ataque já não está limitada à banca tradicional, mas também abrange ecossistemas de criptoativos e dinheiro eletrônico. Em termos de prioridade, o risco operacional e o de conformidade ficaram muito mais entrelaçados.

Em transporte e serviços automotivos, a ACU apareceu como vítima associada à Deadlock. Em alimentos e serviços, o caso vinculado à Section9 indicou que atores de ransomware seguem buscando organizações com valor operacional e reputacional. Por fim, o bloco de fraude com deepfakes se sobrepõe ao setor financeiro, embora a peça de abuso em si se origine em um uso de identidade política e não em uma plataforma financeira determinada.

Tendências e sinais a monitorar no Uruguai

Não há baseline comparativo formal disponível para este país, porque este é o primeiro período arquivado com este formato de indicadores. Por isso, não cabe inventar uma variação mensal contra junho. Ainda assim, dá para marcar sinais de acompanhamento a partir de julho.

A primeira é o predomínio das vulnerabilidades. Se 18 dos 72 fatos verificados do mês se agrupam ali, a mensagem é que o Uruguai segue muito sensível a ciclos de correção de grandes fornecedores e a falhas em software de uso amplo, especialmente Microsoft e CMS de terceiros. O caso de Joomla e o pacote da Microsoft mostram que a janela entre publicação e exploração continua muito curta.

A segunda é a consolidação da extorsão como tática de pressão, para além da criptografia. Em julho, conviveram um caso com criptografia confirmada, um caso com exfiltração e pedido de resgate, e várias aparições em leak sites com tipificação incompleta. Isso sugere que os operadores seguem valorizando a publicação de dados, mesmo quando não conseguem impacto técnico pleno sobre a infraestrutura.

A terceira é a institucionalização da resposta. O Uruguai está passando de publicar alertas e cobrir incidentes a exigir relatórios, auditorias e responsabilidades formais. O BCU e AGESIC empurram nessa direção. Falta ver se os órgãos e operadores transformam essa pressão regulatória em mudanças práticas de inventário, correção, segregação de privilégios e continuidade operacional.

A quarta é o crescimento da fraude sintética. Os deepfakes de Yamandú Orsi são um aviso sobre campanhas de engenharia social mais convincentes e mais difíceis de barrar com controles clássicos. Se esse tipo de material circulou com força em julho, é razoável esperar mais tentativas de abuso de identidade pública ou corporativa nos meses seguintes.

Recomendações para equipes de segurança no Uruguai

Priorizar a correção dos componentes citados pelo CERTuy, em especial as vulnerabilidades que já estão sendo exploradas no Active Directory Federation Services, no SharePoint Server e no SP Page Builder para Joomla. Se houver exposição pública, o tempo de reação deve ser medido em horas, não em dias. Em ambientes Microsoft, vale revisar também a cobertura do restante do pacote de julho, porque o comunicado local destaca uma superfície muito mais ampla do que os zero-days.

Revisar inventário e exposição de CMS, extensões e plugins. A campanha sobre Joomla e a descrição do defacement em massa em sites uruguaios mostram que páginas públicas seguem sendo um alvo fácil quando o ciclo de atualização atrasa. A verificação manual da aplicação de patches, a rotação de credenciais administrativas e a revisão de contas com privilégios continuam sendo medidas básicas, que não podem ficar à mercê da inércia da plataforma.

No setor financeiro e entre provedores de ativos virtuais, alinhar o regulatório ao técnico. O novo marco do BCU não deve ser tratado como mero trâmite documental. Exigir um responsável de segurança independente, auditorias externas e evidências de resiliência diante de ciberataques obriga a organizar registros, continuidade, segregação de fundos e resposta a incidentes. Se essa documentação não se traduzir em testes reais, simulações e métricas internas, a conformidade será frágil.

Em órgãos públicos, formalizar a resposta a incidentes conforme o Decreto N.º 168/026. Isso implica fluxos claros de escalonamento, responsáveis designados, critérios para informar a AGESIC e rastreabilidade das correções. Também convém revisar sites institucionais expostos à internet, porque o ataque em massa contra páginas públicas mostrou que o risco nem sempre chega por uma intrusão sofisticada, mas por automação de baixo custo contra superfícies mal mantidas.

Fortalecer controles antifraude para material sintético e campanhas de impersonation. Os deepfakes de Yamandú Orsi mostram que a verificação visual já não basta. As equipes de segurança e comunicação devem definir procedimentos para alertas públicos, bloqueio de anúncios, monitoramento de marca e confirmação fora de banda quando surgirem peças audiovisuais suspeitas.

Anexo técnico: indicadores de compromisso e TTPs

Section9 e Deadlock, domínios e vestígios observáveis

O material de julho traz ao menos um IOC explícito no caso Section9. O ransomware.live publica para o grupo Section9 o identificador de compromisso 0CB7BEB4F390737D72070C4DAD8C1516A962C333DE7668ACA379CAA0DD7F1277CB6703B746B4, associado à sua infraestrutura de comunicações. Esse dado é útil para detectar contatos ou infraestrutura vinculada ao operador.

No caso de ACU e Deadlock, as fontes consultadas não trazem hashes, IPs nem domínios de C2, mas há referências de vitimologia e cronologia. A data de primeira observação informada por ransomware.live foi 10 de julho de 2026, e o setor associado foi transporte e logística. As descrições de GalaxyWarden e Pulse apontam para uma dinâmica de exfiltração antes da criptografia, compatível com dupla extorsão.

TTPs observadas nas campanhas de julho

Nos sites uruguaios afetados pela campanha automatizada de julho, o padrão descrito foi o de um bot que varria milhares de sites em busca de uma vulnerabilidade específica. Na versão técnica divulgada pelo YouTube, há sugestão de uso de extensões desatualizadas do Joomla, embora essa parte não deva ser tomada como confirmação independente. Ainda assim, a lógica de TTP é clara, exploração em massa, ataque à superfície pública e interrupção da disponibilidade.

Nos casos de ransomware e extorsão, a tática recorrente foi a pressão por meio da publicação de dados ou da ameaça de publicá-los. O BHU mostra a variante clássica com roubo, resgate e vazamento após o não pagamento. Section9 aparece mais próximo do ecossistema de leak site, com ameaça pública. ACU, segundo as fontes de inteligência, teria seguido uma lógica de dupla extorsão.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o Uruguai, sem acesso à internet nem validação externa adicional. A janela temporal dos indicadores é julho de 2026, com 72 fatos datados dentro do período e 2 sem data confirmada, que ficaram excluídos dos cálculos. Os fatos de meses anteriores só foram usados como contexto qualitativo quando estavam claramente identificados como tais, por exemplo o ataque ao BHU ocorrido em outubro de 2025. Não foi somada telemetria agregada aos indicadores, porque os materiais de tentativas, varreduras ou bloqueios não constituem incidentes.

Quando um indicador aparece em 0, isso significa que ele não surgiu no material analisado do mês, e não que não tenha ocorrido no Uruguai ou na região. Esse matiz importa especialmente para CVEs e para certas categorias de fraude ou interrupção. Neste caso, houve sim CVEs críticos mencionados, mas o princípio continua válido para qualquer leitura de ausência. A ausência de evidência no corpus não equivale à ausência de fato no mundo real.

Também ficaram fora dos cálculos as peças sem data confirmada, embora possam servir de contexto. Além disso, o corpus reúne fontes de qualidade distinta, desde CERTuy, AGESIC, BCU e outros órgãos oficiais até coberturas jornalísticas e plataformas de inteligência de ransomware. As fontes patrocinadas, comunicados comerciais, redes sociais de consumo e publicações não incluídas na lista habilitada foram excluídas como evidência. Quando uma afirmação dependeu de monitoramento de terceiros ou de cobertura secundária, essa atribuição foi preservada e não tratada como confirmação oficial, salvo se o material permitia isso.