Uruguai: cibersegurança em agosto de 2026

Ameaças e campanhas ativas no Uruguai

Ransomware e extorsão, com tipificação incompleta no material

O mês registrou 8 casos de ransomware ou extorsão como eixo principal, mas em todos eles a fonte não permitiu determinar com segurança o tipo de impacto. O material inclui reclamações sobre Vigilia, Criba e Agroland, além de referências a trackers e sites de vazamento, mas nem sempre confirma criptografia, exfiltração ou apenas a publicação da vítima.

Na prática, isso obriga a tratar esses casos como sinais de extorsão com impacto ainda não fechado. Para defesa e continuidade, a ambiguidade não é menor. Um leak site pode antecipar dano reputacional e operacional, mesmo sem confirmação pública de criptografia ou vazamento completo. Em saúde e agro, além disso, o tempo entre a reclamação e a validação costuma ser suficiente para acionar contenção preventiva.

Global contra Vigilia

Global é o único caso do mês com contexto mais direto sobre o Uruguai. O leak site alegou o comprometimento da Vigilia e ameaçou divulgar informação completa caso não houvesse negociação. A fonte da Dexpose acrescenta que o serviço pertence ao setor de saúde e que dados sensíveis de pacientes ou de atendimento médico poderiam ter sido expostos, embora isso permaneça no campo da atribuição jornalística, e não de uma confirmação técnica do alcance.

DragonForce e Criba, com dados que tangenciam o Uruguai, mas não o confirmam

Criba apareceu em vários trackers como vítima atribuída ao DragonForce, e algumas descrições mencionam dados da Argentina, do Uruguai e de outros países. No entanto, a empresa está localizada na Argentina e o material não prova uma vítima uruguaia direta. Para o Uruguai, o valor do caso está no caráter transfronteiriço dos vazamentos e na possibilidade de exposição de dados de pessoas ou clientes uruguaios dentro de uma base regional.

Qilin e Agroland, sinal de risco agroindustrial

Agroland S.A. foi listada pelo Qilin em vários rastreadores e sites de brechas, com descrições que a apresentam como empresa agroindustrial baseada no Uruguai ou com região RO. O material não confirma a intrusão nem detalha o tipo de informação supostamente comprometida. Ainda assim, o caso acrescenta um sinal de pressão sobre o setor agroindustrial, que costuma combinar sensibilidade operacional, logística e dados comerciais.

Fraude e phishing, com foco em consumo e bancos

Os 5 casos de fraude ou phishing documentados em agosto tiveram um padrão comum, engenharia social apoiada em marcas conhecidas e canais de alta confiança. O mais claro foi o da UTE e eBROU. Também houve alertas sobre SMS falsos da Netflix dirigidos a usuários uruguaios para roubar dados bancários e credenciais.

Em ambos os cenários, o atacante tenta tirar a conversa do canal formal e levá-la para um ambiente controlado por ele. Isso reduz drasticamente a eficácia de controles puramente técnicos e obriga a reforçar educação do usuário, monitoramento de suplantação de marca e validações fora de banda. A exposição da Latam Pass, além disso, lembra que mesmo sem o comprometimento de números completos de cartão, a combinação de dados pessoais e dados financeiros parciais já basta para fraude posterior.

APT, hacktivismo e campanhas não confirmadas

O único indício de hacktivismo ou pressão coordenada foi o alerta preventivo da VECERTRadar sobre uma suposta campanha #OpUruguay contra portais estatais. A própria publicação a marcou como não confirmada, portanto não deve ser tratada como incidente. Ela serve apenas como pista de monitoramento para infraestrutura pública, especialmente porque menciona portais de alta visibilidade institucional.

Vulnerabilidades críticas com impacto no Uruguai

O mês trouxe apenas uma vulnerabilidade crítica citada com confirmação operacional no material, CVE-2026-73570, ligada ao Zimbra Collaboration Suite e com exploração ativa. Não houve outras CVEs críticas registradas no material analisado de agosto, o que não significa ausência regional de vulnerabilidades, e sim falta de menção verificada neste conjunto documental.

A relevância local é direta porque o CNCS do Uruguai alertou para a exploração ativa e recomendou aplicar patches imediatamente. O aviso do próprio governo é a referência central aqui. As coberturas técnicas acrescentaram que o problema afeta versões anteriores a 10.1.20 quando o pacote opcional zimbra-snmp está instalado e o SNMP notifications está habilitado. Em ambientes com e-mail auto-hospedado, isso obriga a revisar exposição, versões e logs.

Regulação e compliance no Uruguai

O Uruguai viveu em agosto uma concentração relevante de decisões e projetos regulatórios com impacto direto em segurança da informação, dados pessoais e identidade digital. O movimento mais estrutural foi o regime para Provedores de Serviços de Ativos Virtuais, mas não foi o único. Também avançaram finanças abertas, alertas sobre risco cambial, proteção de menores em redes sociais e o enquadramento do jogo online.

Ativos virtuais e supervisão do BCU

O BCU habilitou o trâmite online para solicitar autorização e registro como PSAV, voltado a pessoas jurídicas que fazem intercâmbio, transferência, custódia ou administração de criptoativos e tokens digitais. O marco exige autorização prévia da Superintendência de Serviços Financeiros e um esquema de compliance mais rígido, com segurança da informação, prevenção à lavagem de dinheiro e auditorias, segundo a regulamentação citada pelo material.

Em paralelo, a análise regulatória sobre stablecoins e serviços de ativos virtuais deixa claro que o Uruguai ainda não tinha uma licença VASP específica em operação, porque o projeto de lei 20.345 seguia pendente. Isso significa que o ecossistema continua funcionando com estruturas societárias, registro mercantil e requisitos prudenciais já existentes, enquanto o sandbox do BCU serve como via intermediária para inovação financeira.

Depósitos em dólares e risco cambial

A Circular 2509 do BCU estabeleceu um novo aviso para depósitos em moeda estrangeira. O documento deve informar o cliente sobre o risco cambial e pode ser entregue a novos depositantes a partir de 1 de outubro de 2026, enquanto, para clientes existentes, o prazo vai até 31 de dezembro de 2026. A norma também permite notificação por e-mail ou por aviso destacado em canais digitais por um período mínimo de dez dias úteis.

Esse movimento não é cibersegurança em sentido estrito, mas toca o eixo de informação financeira, consentimento e transparência. Na prática, reforça a obrigação de explicar riscos ao usuário e mostra uma sensibilidade regulatória maior na relação banco-cliente. Esse mesmo clima apareceu no debate sobre finanças abertas, no qual o BCU afirmou que o consentimento expresso e informado segue como coluna vertebral do sistema.

Finanças abertas e sigilo bancário

O projeto de Competitividade e Redução do Custo de Vida incluiu a criação de um sistema de finanças abertas que permite o cruzamento e o compartilhamento de dados financeiros entre entidades. O tema gerou discussão política sobre o alcance do sigilo bancário, e o Senado incorporou uma salvaguarda para que a negativa do usuário em autorizar o uso ou o intercâmbio de seus dados não possa condicionar trâmites nem acesso a produtos. Isso reduz o risco de coerção comercial, embora não elimine tensões sobre governança de dados.

Dados pessoais e bases registradas pela URCDP

A URCDP inscreveu várias bases de dados em agosto, entre elas SMART de Ducsa, VISTARA SERVICIOS AL CLIENTE S.A.S., Empleados de Aduro S.A., Aplexi da ANTEL, Câmeras de videovigilância de Devoto Hnos e Gestión Humana Agesic. O padrão mostra atividade administrativa sustentada e aplicação contínua da Lei 18.331. Também abriu inscrições para um curso voltado a órgãos públicos, com conteúdos sobre inteligência artificial, videovigilância e dados de menores.

Identidade digital e DNI eletrônico

A Direção Nacional de Identificação Civil e a Agesic assinaram um acordo para desenvolver um aplicativo que permita usar o DNI eletrônico para se identificar e assinar digitalmente em serviços online, lendo o chip de forma temporária e sem armazenar os dados em dispositivos, servidores ou nuvem. O desenho busca reduzir a exposição da identidade, desde que a implementação respeite esse princípio de não persistência.

Menores, redes sociais e sanções às plataformas

O projeto de lei para impedir que menores de 15 anos criem perfis em redes sociais e restringir adolescentes de 15 a 17 anos colocou o foco sobre as plataformas digitais, com sanções econômicas e competência sancionadora atribuída à AGESIC. Embora o texto ainda esteja em discussão, sua relevância para cibersegurança está na verificação de idade, no tratamento de dados de menores e na responsabilidade das plataformas pelo cumprimento de regras de proteção.

Jogo online e segurança digital

A CUOASEC impulsionou um projeto para regular o jogo online com autorização estatal, domínio exclusivo .bet.uy, Registro Nacional de Usuários, rastreabilidade, proteção de dados, medidas contra lavagem de dinheiro, cibersegurança e autoexclusão. O material deixa claro que se trata de uma iniciativa setorial, não de lei vigente. Ainda assim, sua mera apresentação mostra que os operadores locais já percebem a segurança e o compliance como condições de entrada no mercado.

Setores mais afetados no Uruguai

O impacto do mês se distribuiu entre regulação financeira, administração pública, saúde, consumo digital e, em menor medida, agroindústria. Nem todos os setores sofreram o mesmo tipo de pressão, mas todos ficaram expostos a uma combinação de exigências regulatórias, fraude e reclamações de extorsão que atravessou diferentes ativos. A concentração dos casos não foi homogênea, embora tenha ficado bem clara em bancos, Estado e serviços sensíveis.

O setor financeiro foi o mais movimentado, tanto pelo volume quanto pela profundidade normativa. O BCU ocupou várias linhas da agenda com PSAV, depósitos em dólares e finanças abertas. A isso se somam os casos de fraude que apontam para contas bancárias, identidades e meios de pagamento. Em termos operacionais, o risco não vem só de invasões técnicas, mas também de falsificação de identidade, consentimento mal gerido e abuso de canais digitais confiáveis.

O setor público também teve presença alta. AGESIC, URCDP, CERTuy, o MIEM, a DNIC e o Ministério do Interior apareceram com ações concretas, de decretos e resoluções a oficinas e acordos. Isso mostra uma máquina estatal ativa, mas também uma ampla superfície de dependência tecnológica. Quando o Estado publica avisos de manutenção, cursos de proteção ou novos procedimentos digitais, está reconhecendo ao mesmo tempo que sua exposição cresce.

A saúde apareceu pelo caso da Vigilia, que se destaca pela sensibilidade dos dados potencialmente envolvidos e pela probabilidade de pressão extorsiva. A agroindústria surgiu com a Agroland, embora o material não tenha confirmado impacto no Uruguai além da menção à empresa. Comércio e consumo digital ficaram representados pela fraude da Netflix e pela exposição parcial de dados em Latam Pass, dois exemplos de como o roubo de informação pessoal segue rentável sem comprometer sistemas inteiros.

Tendências e sinais a monitorar no Uruguai

A comparação mês a mês mostra menos fatos totais do que em julho, mas uma composição mais inclinada a regulação e fraude. O volume caiu de 72 fatos verificados para 49, com recuo em incidentes sem tipificação, ransomware ou extorsão e movimentos regulatórios apenas ligeiramente menores. Ao mesmo tempo, os casos de fraude ou phishing subiram de 2 para 5, e a ameaça predominante mudou de vulnerabilidades para regulação.

Isso não significa alívio pleno. Indica, antes, uma redistribuição do foco. Em julho, o material estava mais concentrado em vulnerabilidades. Em agosto, o centro de gravidade migrou para o desenho normativo, com efeitos diretos sobre bancos, dados pessoais e plataformas digitais. Para as equipes de segurança, o sinal prático é que o risco mais imediato combina conformidade e abuso de processos, não apenas exploração técnica.

O segundo sinal a monitorar é a persistência de ransomware com tipificação incompleta. Agosto reduziu esses casos de 17 para 8, mas a qualidade da atribuição continua irregular. Trackers e leak sites seguem publicando reivindicações que nem sempre viram incidentes confirmados. Nesse cenário, a primeira decisão operacional é classificar corretamente o que se sabe e o que ainda não foi confirmado.

O terceiro sinal é a alta do fraude em canais de confiança. UTE, eBROU, Netflix e outros nomes de marca mostram que o adversário prioriza engenharia social em vez de exploit. Essa estratégia escala mais facilmente e custa menos do que comprometer infraestrutura. Se em julho preocupavam mais as vulnerabilidades, em agosto ficou claro que o usuário segue sendo o ponto de entrada mais rentável.

Recomendações para equipes de segurança no Uruguai

As prioridades do mês devem se concentrar em quatro frentes, e-mail, fraude financeira, conformidade de dados e resposta a extorsão. O aviso do CNCS sobre Zimbra exige revisão de patches e da exposição dos servidores de e-mail. O caso UTE e os SMS da Netflix pedem reforço nos controles de anti-phishing, validação de identidade e monitoramento de falsificação de marca.

Em organizações financeiras e fintechs, vale revisar os fluxos de consentimento, rastreabilidade e aviso ao usuário. A discussão sobre finanças abertas e a Circular 2509 mostram que o regulador está atento a como a autorização é informada e capturada. Se houver integração com terceiros, a governança de acesso e a capacidade de revogar permissões precisam estar muito bem documentadas.

Para equipes de dados e privacidade, agosto confirma que a segurança técnica sozinha não basta. A URCDP segue exigindo organização documental, registro, treinamento e medidas que possam ser revisadas. Se uma organização trata dados pessoais, precisa comprovar que seus controles estão implementados, e não apenas declarados. Isso vale tanto para bases internas quanto para videomonitoramento, atendimento ao cliente e dados de menores.

Diante de ransomware e menções em leak sites, o critério precisa ser rápido e conservador. Se surgir uma referência como a de Vigilia, o correto é acionar a verificação interna, buscar indicadores e conter o incidente, sem esperar confirmação externa para preparar a resposta. Em campanhas transfronteiriças como Criba ou Agroland, além disso, convém revisar se há dados de clientes, parceiros ou usuários uruguaios dentro de ambientes regionais.

Perguntas frequentes

O que mudou no Uruguai entre agosto e julho em matéria de ameaça predominante e fraude?

Agosto saiu de um mês dominado por vulnerabilidades para outro dominado por regulação, enquanto a fraude ou phishing subiu de 2 para 5 casos e o ransomware caiu de 17 para 8. A leitura conjunta é que o foco se deslocou para compliance, identidade e abuso de confiança, e não para uma queda geral do risco.

Como interpretar o caso de Vigilia junto com os trackers de Criba e Agroland?

Vigilia é o único caso uruguaio com reclamação direta sobre um fornecedor local de saúde, mas a fonte não especifica o tipo de impacto. Criba e Agroland aparecem em trackers e leak sites com referências que tangenciam o Uruguai, embora nem sempre confirmem uma vítima uruguaia direta. A seção de ameaças explica essa diferença.

Qual é a relação entre o aviso da Zimbra e as recomendações para equipes no Uruguai?

A CVE-2026-73570 afeta Zimbra com exploração ativa, e o CNCS uruguaio pediu a aplicação imediata de patches. Isso se conecta à recomendação de revisar e-mail autohospedado, logs e exposição. Em agosto não houve outras CVEs críticas registradas no material, então essa é a prioridade técnica clara do mês.

Quais peças regulatórias impactam mais dados e cibersegurança neste mês?

As mais relevantes são o regime para PSAV, a Circular 2509 sobre depósitos em dólares, o debate de finanças abertas, as resoluções da URCDP e o acordo para usar DNI eletrônico online. Em conjunto, elas exigem reforço em autenticação, rastreabilidade, consentimento e gestão de dados pessoais no setor público e financeiro.

Que tipo de fraude ficou mais visível no Uruguai durante agosto?

A fraude mais visível foi a que se passava pela UTE para levar as vítimas ao eBROU e obter empréstimos ou transferências. Também houve SMS falsos da Netflix voltados a roubar dados bancários. Os dois casos mostram engenharia social em torno de marcas conhecidas e afetam diretamente usuários, bancos e equipes de atendimento ao cliente.

Limitações do material

Este relatório foi construído exclusivamente com os fatos datados de agosto de 2026 incluídos no material fornecido. Os fatos de julho de 2026 foram usados apenas como referência comparativa e são mencionados explicitamente como tal quando necessário. Não houve consulta à internet nem incorporação de qualquer fonte fora da lista autorizada.

Um valor em 0, especialmente para CVEs críticos, significa que não apareceu nenhuma menção verificável no material analisado durante este período. Isso não implica ausência de vulnerabilidades críticas no Uruguai, nem na região, apenas ausência de registro documental neste conjunto. O mesmo se aplica a qualquer indicador sem comparativo disponível.

Os fatos sem data confirmada ficaram fora dos indicadores. Também não foi contabilizada telemetria agregada de tentativas ou bloqueios, porque o material não a trouxe como volume de incidente. Em ransomware, além disso, foi mantida a distinção entre criptografia confirmada, exfiltração sem criptografia e mera menção em leak site; quando o material não permitiu determinar isso, a tipificação foi indicada como não determinável.

Ficaram fora do respaldo principal as redes sociais de consumo e qualquer publicação não listada entre as fontes permitidas, assim como conteúdo patrocinado ou material promocional quando não estava corroborado por fonte primária. A leitura setorial e regulatória priorizou órgãos oficiais, avisos de CSIRT/CERT, reguladores e, em segundo plano, coberturas jornalísticas que reproduzem ou contextualizam esses fatos.