Uruguai: situação de cibersegurança, setembro 2026

Incidentes relevantes no Uruguai

Blanco & Etcheverry e o ataque da Gunra

O caso mais claro do mês foi o ataque contra o escritório jurídico e contábil Blanco & Etcheverry, onde o grupo Gunra criptografou informações, exigiu resgate e depois divulgou cerca de 300 GB de dados quando o pagamento não se concretizou. A fonte primária local também confirmou a publicação na dark web, o que torna esse episódio o incidente mais sólido e mais danoso do período.

O Observador informou ainda que o material vazado incluía dados de ao menos 35 pessoas físicas e 149 empresas, segundo a análise da Team Capybara. A exposição não revelou credenciais, chaves, senhas nem documentos de identidade específicos, mas alcançou um nível de confidencialidade classificado como crítico no relatório citado.

O impacto não ficou restrito à firma. A mesma cobertura situou a Blanco & Etcheverry como a terceira empresa uruguaia listada pela Gunra em menos de três meses, o que sugere persistência do grupo sobre alvos locais. Para o país, o dado relevante não é só o volume da filtragem, mas a repetição de vítimas uruguaias no mesmo operador criminoso.

Golpe com a UTE e sequestro de contas de WhatsApp

O Ministério do Interior alertou sobre uma modalidade de falsificação em que um atacante se passa por funcionária da UTE, pede o número de celular e depois solicita o código recebido por SMS para assumir o controle do WhatsApp. Uma vez dentro da conta, o criminoso pede dinheiro aos contatos da vítima, convertendo uma fraude de acesso em um golpe de propagação social.

A Polícia de Rocha relatou um caso concreto com esse padrão, e o Telenoche detalhou que a vítima recebeu uma ligação em que lhe ofereciam trocar o contador. O ataque é simples na execução, mas eficaz no alcance: usa confiança, urgência e reutilização do canal de mensagens para ampliar o dano.

A resposta oficial foi preventiva e prática. O Ministério do Interior recomendou encerrar chamadas suspeitas, não compartilhar dados pessoais nem códigos por SMS e usar o serviço Verifica por WhatsApp. Esse tipo de orientação combina com a ameaça do mês, que privilegiou o engano ao usuário em vez da intrusão técnica.

Condenação por fraude informática em Montevidéu

O Ministério do Interior informou a condenação de M.D.R.M. por dois delitos de fraude informática, com pena de seis meses substituída por liberdade vigiada. O caso não teve a escala de um grande incidente corporativo, mas traz um dado importante para o mês, uma resolução judicial concreta sob a nova tipificação penal.

A cobertura mostra como a lei de crimes cibernéticos vai organizando casos que antes podiam ficar difusos dentro de figuras mais amplas. Em setembro, essa evolução também apareceu na discussão pública sobre o crescimento das denúncias e na diferenciação entre estelionato, cibercrime e fraude informática.

Cooperação internacional, prova digital e novas ferramentas

O Ministério do Interior sediou uma jornada de cooperação internacional sobre cibercrime, informática forense e prova digital, com participação de autoridades do Uruguai, Argentina, Estados Unidos e UNODC. Além disso, foi anunciada a incorporação de ferramentas forenses e uma diplomatura de 260 horas para fortalecer capacidades locais.

A agenda tem valor operacional claro: o Uruguai parece estar investindo em capacidade de investigação e preservação de evidências, não apenas em prevenção. A introdução do Espejo Chubut, software para extrair e preservar dados de celulares de forma rastreável, aponta justamente para reduzir fricções no tratamento probatório de crimes digitais.

Riscos de dados no caso Caranchos

A condenação de oito policiais no chamado caso Caranchos mostrou uso indevido de informação privilegiada e vazamento de dados pessoais de vítimas de acidentes de trânsito. Não é um caso de intrusão digital clássica, mas é um fato de segurança da informação com consequências diretas sobre confidencialidade e abuso interno de acesso.

Na leitura mensal, esse episódio importa porque lembra que parte do risco no Uruguai ainda vem do uso inadequado de dados dentro de estruturas institucionais. Nem todo o problema está fora, em atores criminosos externos.

Ameaças e campanhas ativas no Uruguai

Ransomware e extorsão, com foco em Gunra

Setembro registrou 14 casos com ransomware ou extorsão como eixo principal, mas o detalhamento não é uniforme. Apenas dois têm confirmação de cifragem de ativos, um ficou classificado como exfiltração sem cifragem, dois aparecem só por menção em sites de vazamento e nove não puderam ser tipificados com precisão a partir do material disponível.

O caso de Blanco & Etcheverry é o exemplo mais claro de cifragem seguida de vazamento. O Gunra não apenas reivindicou o ataque, como publicou os dados quando não obteve o pagamento. Já a informação disponível não basta para reconstruir com exatidão o impacto técnico de várias outras reivindicações associadas ao grupo.

Isso exige uma leitura cautelosa. A presença de um nome em um leak site, por si só, não equivale a intrusão comprovada nem a roubo de dados confirmado. Em setembro, a atividade do Gunra no Uruguai foi suficientemente visível para ser considerada uma campanha ativa, mas o material nem sempre permite ir da reivindicação à tipificação forense.

Fraude e phishing em contas, pagamentos e suplantações

O mês mostrou 9 casos documentados de fraude ou phishing, com um padrão muito concentrado em identidade e mensageria. O golpe da UTE e do WhatsApp é a referência mais clara, mas não foi o único, também houve menções oficiais e jornalísticas ao aumento das denúncias por estelionatos digitais no país.

A cobertura de la diaria e Prensa Latina posiciona o fenômeno como massivo e profissionalizado, com agentes especializados em acessos, ferramentas, ataque e cobrança. O dado das denúncias não deve ser lido como medição técnica de intrusões, mas sim como sinal de demanda sustentada sobre os sistemas de denúncia e resposta.

A leitura para as equipes de segurança é direta. Os controles de autenticação de usuários, os alertas de suplantação e a educação sobre códigos SMS seguem como barreiras básicas. A fraude do mês não dependeu de malware complexo, e sim do abuso de confiança e do sequestro da conversa.

APT, hacktivismo e outras campanhas

Não houve no material sinais sólidos de uma campanha APT ou hacktivista com atribuição verificável para setembro. Apareceram, sim, referências a infraestrutura crítica, cooperação internacional e proteção de órgãos públicos, mas não a um ator persistente com campanha identificada dentro do período.

Isso não significa ausência de ameaça avançada, e sim ausência de evidência suficiente no material analisado. Na prática, o mês ficou dominado por extorsão, vazamentos e fraude, não por espionagem ou atividade de motivação política.

Vulnerabilidades críticas com impacto no Uruguai

No material analisado de setembro, não apareceram CVEs críticos vinculados de forma verificável a incidentes no Uruguai. Isso não significa que não haja vulnerabilidades ativas na região, apenas que elas não ficaram documentadas na amostra usada para este relatório.

Regulação e compliance no Uruguai

O movimento regulatório foi intenso e cobriu três frentes: ativos virtuais, finanças abertas e segurança de operações eletrônicas. O BCU habilitou, a partir de 1º de setembro, o início das solicitações para provedores de serviços de ativos virtuais, e a norma passou a integrar seu perímetro de supervisão.

Essa expansão regulatória não é apenas formal. O processo exige autorização, análise de legalidade, viabilidade do negócio, procedência dos recursos e reputação de acionistas e dirigentes. Também consolida uma ideia central para o compliance antilavagem: não basta registrar o provedor, é preciso avaliar quem opera e sob quais controles.

Em paralelo, a Superintendência de Serviços Financeiros do BCU colocou em consulta pública um projeto que eleva as exigências de autenticação reforçada para transações com instrumento não presente e para a vinculação de instrumentos eletrônicos a carteiras digitais. A proposta também fixa prazos de resposta para reclamações quando há participação de instituições do exterior, o que organiza o tratamento de disputas e reduz zonas cinzentas.

A discussão sobre finanças abertas foi o outro eixo principal. A minuta busca compartilhar dados financeiros por meio de API, com consentimento prévio, expresso, informado e revogável, e substituir práticas como screen scraping por canais autorizados e supervisionados. Ao mesmo tempo, a AEBU alertou que a interoperabilidade sem padrões mínimos pode aumentar vazamentos, fraudes e outros cibercrimes.

O Estado também avançou em infraestrutura crítica. O projeto de proteção da infraestrutura crítica prevê registro nacional, planos de segurança, IDS/IPS, protocolos para tecnologias operacionais e IoT, e notificação de incidentes ao Estado em até 12 horas. Se for aprovado como está descrito, será um dos marcos de notificação antecipada mais rígidos do país.

O sinal regulatório mais amplo é claro: o Uruguai tenta organizar um ecossistema financeiro e digital que cresce rápido, enquanto endurece requisitos de segurança e reporte. Isso vale para bancos, fintechs, provedores de ativos virtuais e operadores de infraestrutura crítica.

Setores mais afetados no Uruguai

O setor mais atingido pela qualidade e pelo tipo de fatos documentados foi o de serviços profissionais, com o caso Blanco & Etcheverry como o incidente de ransomware mais claro e grave. Ali se juntam criptografia, exfiltração, vazamento público e impacto sobre clientes e contrapartes, uma combinação mais sensível do que uma simples denúncia em leak site.

O segundo foco foi o ecossistema financeiro e regulado. Não porque tenha havido uma grande brecha bancária visível neste mês, mas porque a regulação, as denúncias de fraude e o avanço das finanças abertas colocaram o sistema financeiro no centro da conversa. BCU, AEBU e SENACLAFT marcaram o ritmo do mês nesse plano.

Também houve presença relevante do setor público e de segurança cidadã. O Ministério do Interior concentrou comunicações sobre fraude, cooperação internacional, evidência digital, condenações e novas ferramentas forenses. Isso mostra um setor estatal que não apenas responde, mas tenta profissionalizar a capacidade investigativa.

Em energia e utilities, apareceu uma dimensão distinta, mais ligada a infraestrutura crítica e conscientização. UTE e CIER colocaram a cibersegurança de redes elétricas digitais na pauta, embora sem incidentes concretos associados ao setor no período. O valor aí foi preventivo e de articulação, não reativo.

A distribuição setorial também deixa um sinal negativo. Apenas sete setores tiveram fatos documentados neste mês, um a menos que em agosto, mas dentro dessa redução relativa aumentou o peso dos casos de fraude e ransomware. Não há um setor único dominando tudo, mas sim uma concentração clara em serviços, finanças, Estado e utilities.

Tendências e sinais a monitorar no Uruguai

A comparação com agosto mostra mais atividade total, mais incidentes sem tipificação, mais ransomware ou extorsão e mais fraude ou phishing, mas menos regulação em volume relativo. Em números, os fatos verificados passaram de 49 para 67, os incidentes sem tipificação de 6 para 11, ransomware ou extorsão de 8 para 14 e fraude ou phishing de 5 para 9. A regulação caiu de 16 para 9 fatos.

Isso não significa que a pressão regulatória tenha perdido relevância. O que mudou foi a composição do mês, com mais eventos operacionais e mais casos que escaparam de uma tipificação mais precisa. Em agosto, a ameaça predominante foi Regulação, com 16 de 49 fatos; em setembro passou a Sem classificar, com 24 de 67.

A queda nos setores documentados, de 8 para 7, também sugere uma concentração maior dos sinais em menos frentes. Esse dado, somado ao aumento de ransomware e fraude, aponta para um mês mais orientado ao impacto direto do que a debates normativos. O caso Gunra reforça a tendência de extorsão com exposição pública de dados, uma fórmula que segue funcionando contra vítimas uruguaias.

Há outro sinal para acompanhar de perto, o descompasso entre percepção e preparo. O estudo Radar para Datasec, divulgado pelo InfoNegocios, indica forte preocupação empresarial, mas também baixa formalização de políticas, responsáveis e backups. Isso é compatível com um mercado em expansão, no qual a superfície de ataque cresce mais rápido que os controles.

Por fim, o panorama de setembro deixa uma lição sobre o papel do Estado. CERTuy, Interior e BCU aparecem ativos e presentes, mas a variedade de fatos mostra que a defesa não depende só da resposta institucional. O ponto crítico está na maturidade operacional de organizações e usuários.

Recomendações para equipes de segurança no Uruguai

1. Revisar os controles de autenticação reforçada em canais de pagamento, carteiras e operações não presenciais, principalmente quando houver vinculação de instrumentos a dispositivos móveis.
2. Endurecer os procedimentos de verificação diante de chamadas, SMS e pedidos de códigos de uso único. O fraude do mês mostrou que o vetor mais rentável ainda é o sequestro de contas por engenharia social.
3. Preparar um fluxo claro para incidentes com possível exfiltração, porque vários casos do mês ficaram sem tipificação completa e a diferença entre vazamento, criptografia e reclamação em leak site muda a resposta legal e técnica.
4. Manter registros de evidência e preservação forense alinhados aos prazos de notificação, sobretudo em setores que possam ficar sujeitos a regras de 12 ou 24 horas conforme o regime aplicável.
5. Revisar a exposição de terceiros e fornecedores, especialmente em finanças abertas, ativos virtuais e serviços profissionais com dados de clientes. O mês mostrou que o dano nem sempre chega pelo perímetro clássico.
6. Confirmar que existam backups testados e restauráveis. No relatório de setembro, uma parte importante do problema operacional apareceu como perda de controle, vazamento ou extorsão, situações em que a recuperação depende tanto de backup quanto de rastreabilidade.
7. Capacitar atendimento ao cliente, mesas de ajuda e front office para detectar suplantações ligadas a utilities, bancos ou áreas de suporte. Se o primeiro ponto de contato falha, o restante do controle chega tarde.

Perguntas frequentes

O que mudou entre agosto e setembro no Uruguai?

Os fatos verificados subiram de 49 para 67, os casos de ransomware ou extorsão passaram de 8 para 14 e os de fraude ou phishing, de 5 para 9. Ao mesmo tempo, os movimentos regulatórios caíram de 16 para 9. A comparação completa está na seção de indicadores e em Tendências e sinais a monitorar.

Quão grave foi o caso Blanco & Etcheverry em relação ao restante do mês?

Foi o incidente mais claro e mais grave do período, porque reuniu criptografia confirmada, exigência de resgate e divulgação posterior de cerca de 300 GB de informação. Além disso, a cobertura citou dados de pelo menos 35 pessoas físicas e 149 empresas. O detalhe técnico e contextual está em Incidentes relevantes e Ameaças ativas.

Por que o relatório diz que a ameaça predominante foi "Sem classificar"?

Porque 24 dos 67 fatos do mês não permitiram uma tipificação mais precisa com o material disponível. Isso não significa ausência de risco, mas sim que as evidências publicadas não bastaram para atribuir com rigor uma única categoria. O detalhe metodológico está em Indicadores do período e Limitações do material.

Como as novas normas do BCU se relacionam com a fraude do mês?

As normas de autenticação reforçada, reclamações e finanças abertas buscam reduzir justamente os riscos que o mês deixou expostos, como falsificação de identidade, uso indevido de dados e operação não autorizada. A ligação entre regulação e ameaças aparece em Regulação e conformidade, junto com a fraude por WhatsApp e a agenda de ativos virtuais.

Houve vulnerabilidades críticas exploradas no Uruguai durante setembro?

No material analisado, não apareceram CVEs críticos documentados para este mês. Isso não equivale à ausência regional de vulnerabilidades, apenas ao fato de que elas não ficaram registradas na amostra usada para o relatório. O quadro e seu alcance estão em Vulnerabilidades críticas com impacto no Uruguai e Limitações do material.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o Uruguai em setembro de 2026. Os fatos do bloco comparativo dos meses anteriores só foram usados para contraste, nunca como volume do mês, e os fatos sem data confirmada ficaram fora dos indicadores, embora pudessem ser mencionados como contexto se agregassem valor qualitativo.

O indicador de CVEs críticos aparece em zero porque elas não surgiram no material analisado de setembro. Isso não significa ausência de vulnerabilidades críticas na região, muito menos ausência de exploração ativa fora desta amostra.

Também não foi incorporada telemetria agregada, como incidentes ou bloqueios, porque o material não traz cifras desse tipo. As tentativas, os escaneamentos ou os bloqueios automatizados, ainda que existissem em outras fontes, não são computados como incidentes neste relatório.

As fontes excluídas por regra editorial ou por formato não foram usadas como evidência: redes sociais de consumo, publicações patrocinadas, comunicados comerciais e material não incluído na lista de fontes disponíveis. Quando uma afirmação veio de uma nota jornalística sobre cifras alheias ou de uma fonte com atribuição incerta, ela foi mantida com o nível de cautela correspondente.