Mineração, metalurgia e recursos naturais, Julho 2026

Ameaças e campanhas ativas

Ransomware e extorsão, exfiltração sem cifragem confirmada

Julho registrou um caso confirmado de exfiltração com extorsão na Ecopetrol e vários indícios de pressão por ransomware, mas o material nem sempre permite determinar se houve cifragem dos ativos. Na taxonomia correta, o caso principal pertence a exfiltração de dados sem cifragem confirmada. Reuters, Yahoo Finance e a própria documentação corporativa descrevem acesso não autorizado, descarga de dados e uma tentativa de ransomware bloqueada. Isso significa que o peso do incidente está na informação subtraída e na pressão posterior, não na indisponibilidade de sistemas.

No mesmo mês também circularam relatos sobre ransomware com BitLocker na Colômbia e no México. Aqui houve menção a cifragem, mas a confirmação sólida no material se limita ao padrão de ameaça e à tática de imprimir resgates em impressoras corporativas. Como a principal fonte do detalhe técnico é incerta, convém tratar esses casos como alertas táticos, não como incidentes plenamente auditados. Ainda assim, a leitura para o setor é útil: BitLocker, RDP exposto, SQL mal configurado e abuso de ferramentas administrativas seguem como um combo de alto risco em ambientes corporativos latino-americanos.

A reivindicação do The Gentlemen no caso Ecopetrol se encaixa mais perto de extorsão com pressão pública do que de ransomware com cifragem verificada. O grupo dizia ter até um terabyte de informação e teria enviado um ultimato. Até onde vai o material disponível, a evidência firme é a saída de dados e a ameaça associada, não a indisponibilidade de sistemas por cifragem. Por isso o relatório não agrupa tudo numa única categoria de "ransomware", porque isso apagaria diferenças que, para um CISO, são decisivas.

Fraude e phishing

O material do mês traz quatro casos documentados de fraude ou phishing, mas no conjunto fornecido não aparece uma narrativa setorial extensa que permita tratá-los como campanha única de mineração, metalurgia ou recursos naturais. Ainda assim, o dado é útil porque essas táticas costumam ser o passo anterior a incidentes mais complexos. Em organizações com operação distribuída e alta dependência de fornecedores, fraude de credenciais, suplantação de executivos e phishing contra equipes de finanças ou compras seguem como portas de entrada plausíveis.

A leitura preventiva é clara. Quando há pressão sobre informações de empregados, folhas de pagamento, dados bancários ou credenciais, a fronteira entre vazamento, engenharia social e fraude fica mais porosa. Se, além disso, a organização opera com várias subsidiárias, como no caso Ecopetrol, o risco de suplantação cruzada entre empresas do grupo cresce. Em um ambiente assim, autenticação resistente a phishing e verificação fora de banda não são luxo, são barreira mínima.

APT, espionagem industrial e hacktivismo

Não houve no material atribuição robusta a APT estatal nem uma campanha de hacktivismo claramente ligada ao setor. Há, sim, indícios de interesse em informações sensíveis de negócio, funcionários e operação, especialmente no caso Ecopetrol. The Gentlemen, segundo as coberturas, teria oferecido ou insinuado acesso a arquivos internos de várias empresas do grupo. Mas isso não basta para classificar o caso como espionagem industrial estatal ou como APT em sentido estrito.

O que o mês deixa é um sinal de que a espionagem industrial não precisa de uma campanha sofisticada para causar dano. A exfiltração de perfuração, folhas de pagamento, dados médicos ou credenciais, se de fato for autêntica em parte do que foi difundido, teria impacto direto em concorrência, disputas judiciais, relações trabalhistas e negociação com fornecedores. Por isso a resposta não deve se limitar ao fechamento técnico do incidente, ela também precisa considerar que informação, mesmo sem ter sido publicada em massa, pode ter ficado nas mãos de terceiros.

Vulnerabilidades críticas

O material registrou CVEs críticos e com exploração ativa, portanto não se aplica aqui a ressalva de ausência. Na prática, para o setor, a leitura é que superfícies expostas de colaboração, aplicações de negócio e appliances de borda continuam sendo ponto de entrada recorrente. Em ambientes com subsidiárias, contratados e acesso remoto, um produto que entra no KEV tende a virar um problema de negócio, não apenas de correção.

Além dos quatro CVEs listados acima, diferentes coberturas citaram que a CISA adicionou outras vulnerabilidades exploradas ativamente ao longo do mês, incluindo componentes de Fortinet, Microsoft SharePoint, WordPress Core, Langflow, DD-WRT e SonicWall SMA 1000. O valor desse dado não está em somar marcas, mas em reconhecer um padrão: atacantes aproveitam janelas de correção em tecnologias amplamente distribuídas e com alcance transversal. Para uma companhia de recursos naturais, isso significa revisar não só o que roda na planta, mas também o que sustenta identidade, comunicação e acesso.

Regulação e compliance

Julho não registrou movimentos regulatórios gerais dentro do vertical, e o indicador de movimentos regulatórios documentados segue em zero. Isso não significa um mês sem carga regulatória para as empresas afetadas. Na Ecopetrol, a publicação do Formulário 6-K na SEC abriu uma frente de divulgação para investidores nos Estados Unidos, enquanto a coordenação com a Fiscalía, MinTIC, ColCERT, a Polícia Nacional e outras autoridades colombianas também levou o caso para o terreno penal e de gestão pública.

A sequência ajuda a entender como incidentes grandes são tratados na região. Primeiro vêm os controles internos e a contenção técnica. Depois surge a frente de preservação forense, denúncia e cooperação com autoridades. Em seguida entra o plano de comunicação ao mercado e, em empresas com exposição internacional, a questão da materialidade financeira e da consistência dos fatos divulgados. A experiência do mês mostra que essa transição já não pode ser improvisada, se a informação circula antes de a empresa organizar sua própria narrativa, o custo reputacional aumenta.

Também vale observar o que não apareceu. Não houve uma onda normativa específica para mineração, metalurgia ou recursos naturais na América Latina que estivesse documentada no material. Ainda assim, a ausência dessa frente não reduz a relevância da divulgação corporativa, da coordenação entre órgãos e dos procedimentos de resposta a extorsão e vazamento. Para empresas com ações listadas ou subsidiárias em vários países, esse triângulo entre operação, forense e compliance faz parte do incidente, não é uma tarefa secundária.

Países e subsegmentos mais afetados

Colômbia

A Colômbia foi o centro de gravidade do mês. A Ecopetrol concentrou a maior parte da atenção e arrastou seu grupo empresarial, suas subsidiárias e seu ecossistema de fornecedores e clientes para uma discussão sobre exfiltração, extorsão, credenciais e conformidade. Reuters, Infobae, El Colombiano, El Universal, El País, Caracol Radio e DiarioBitcoin convergiram em uma ideia comum: houve um incidente grave, com dados baixados, sem evidência pública de interrupção operacional crítica no momento do relatório.

O material também mostra que a Colômbia enfrenta um contexto mais amplo de pressão cibernética. A Infobae citou mais de 3.000 ciberataques semanais a empresas colombianas, embora esse dado venha de telemetria e não de incidentes, portanto serve apenas como contexto. Soma-se a isso a referência a incidentes de ransomware no país e a presença de uma base mineral significativa em outros fatos do período. A combinação sugere um ambiente em que o risco não se restringe ao setor de energia ou extrativo, mas se espalha por toda a cadeia de valor.

México

O México aparece como outro ponto relevante pela escalada de ciberataques e por sua participação no contexto regional de ransomware. O dado da Infobae sobre um aumento de 38% em ciberataques e a menção a StrikeShark e SharkLoader sugerem pressão transversal sobre empresas mexicanas. Embora o material não apresente um incidente de mineração ou recursos naturais equivalente ao da Ecopetrol, ele deixa um alerta sobre a exposição de um mercado grande, com múltiplos setores e alto uso de infraestruturas corporativas compartilhadas.

Em chave setorial, isso importa porque as empresas extrativas e metalúrgicas no México costumam operar com cadeias de suprimento extensas e dependências tecnológicas heterogêneas. Se o acesso inicial ocorre por credenciais vazadas, RDP exposto ou abuso de aplicações de negócio, a distância entre um ataque genérico e um incidente industrial encurta bastante.

Chile

O Chile teve uma leitura mais de contexto do que de incidente. A República informou sobre novos prospectos no norte do país e sobre a carteira exploratória da Antofagasta, enquanto a Mining Weekly citou planos de aprovação ambiental para ampliar a exploração em Encierro e Volcanes. Isso não traz fatos de cibersegurança, mas indica atividade de negócios que amplia a superfície de exposição. Mais exploração, mais licenças e mais parceiros também significam mais identidades, mais documentos e mais pontos de troca digital.

A ausência de um incidente chileno verificável no material não deve ser lida como ausência de risco. Em um subsegmento intensivo em geodados, engenharia e relação comunitária, a proteção de informações sensíveis é tão importante quanto a proteção de sistemas industriais.

Peru

O Peru apareceu pelo lado do investimento mineral. A carteira de 66 projetos por US$64.075 milhões indica um volume relevante de atividade que, por si só, multiplica a exposição a terceiros, estudos, licenças e plataformas de colaboração. O dado não é um incidente, mas é um sinal de por que os atacantes encontram valor nesse vertical: onde há mais projetos, há mais dados circulando e mais oportunidades de falsificação de identidade, infiltração e roubo de propriedade intelectual.

Subsegmento energético e petrolífero

Embora o eixo do relatório inclua mineração, metalurgia e recursos naturais em sentido amplo, julho foi dominado por petróleo e serviços associados no caso da Ecopetrol. Isso é relevante porque o risco não se limita a minas ou fundições. As empresas de energia e extração compartilham com a mineração o uso intensivo de subsidiárias, contratados, logística, sistemas financeiros e plataformas documentais. O caso mostra como um incidente em uma holding com várias subsidiárias pode atingir ao mesmo tempo operação, jurídico, conformidade e comunicação.

Exploração e carteira de projetos

Os fatos do Chile e do Peru sugerem que o subsegmento de exploração segue crescendo, e com ele o tamanho da superfície digital. Em exploração, o valor de um arquivo ou de um banco de dados não está apenas na operação do dia, mas na vantagem competitiva futura. Por isso, o espionagem industrial e a extorsão podem ter impacto prolongado mesmo sem interrupção visível.

Tendências e sinais a monitorar

Não há base comparativa histórica, porque este é o primeiro período arquivado com este formato de indicadores para a América Latina. Ainda assim, o mês deixa sinais claros para vigiar em agosto e nos meses seguintes.

O primeiro é a consolidação da exfiltração com extorsão como forma dominante de dano no vertical, ao menos nos fatos documentados. Ecopetrol mostrou que a perda de dados e a pressão pública podem ser mais visíveis que a criptografia. O segundo é a persistência de acessos iniciais apoiados em terceiros, credenciais e ambientes expostos, algo que apareceu tanto na narrativa da investigação colombiana quanto nas descrições atribuídas de ransomware na região.

O terceiro sinal é o peso crescente do compliance. Quando um incidente alcança subsidiárias, contas de usuário, dados de pessoal e ambientes em nuvem, o debate deixa de ser exclusivamente técnico. Em empresas com exposição na bolsa ou em contratos internacionais, a fronteira entre cibersegurança, relação com investidores e reporte regulatório fica turva. Julho mostrou isso com bastante nitidez.

O quarto sinal é tático. O mês deixou vestígios de ransomware tentando se adaptar ao contexto corporativo local com impressoras, BitLocker, RDP exposto e abuso de SQL. Não é preciso uma ferramenta exótica para causar dano se a rede tem credenciais fracas ou serviços publicados sem controle. O quinto sinal é estrutural: as vulnerabilidades exploradas ativamente seguem afetando tecnologias de uso amplo, de aplicações de colaboração a appliances de borda e suites de negócios.

Recomendações para equipes de segurança

Primeiro, revisar com prioridade a superfície de terceiros e contas privilegiadas. O caso Ecopetrol, segundo a investigação citada por Caracol Radio, aponta para um acesso inicial por meio de um terceiro com privilégios de administrador. Isso exige auditoria de fornecedores, acessos remotos, credenciais compartilhadas, privilégios herdados e contas de serviço. Em um grupo com filiais, o inventário de quem pode entrar em quê não pode ficar disperso em planilhas ou aprovações informais.

Segundo, reforçar a proteção do armazenamento em nuvem e a classificação de informação sensível. O mês registrou download não autorizado de dados em ambientes de aproximadamente 15 subsidiárias. Se a organização não sabe onde vive a informação crítica, não consegue medir bem o que foi perdido nem qual exposição legal existe. É preciso etiquetagem, segregação, retenção clara e controles sobre cópias e compartilhamento externo.

Terceiro, endurecer o caminho de acesso remoto. RDP exposto, SQL exposto ou mal configurado e abuso de ferramentas administrativas aparecem como padrões recorrentes na região. A autenticação multifator resistente a phishing, a restrição geográfica e temporal, a eliminação de acessos herdados e o monitoramento de atividade anômala devem ser tratados como controles de base, não como melhorias opcionais.

Quarto, preparar uma resposta específica para extorsão e vazamento. O caso Ecopetrol mostrou que o incidente não termina quando um ataque de ransomware é bloqueado. O dano pode migrar para a circulação pública de arquivos, para a negociação com atacantes, para a intervenção de autoridades e para o tratamento de reclamações internas. Convém ter roteiros de comunicação, rotas de preservação forense e critérios para decidir o que se reporta, quando e a quem.

Quinto, revisar a segurança de impressão e dispositivos periféricos. A tática de imprimir notas de resgate não é central pelo papel, mas pela mensagem, o atacante quer impactar fora do SOC e do console de administração. As impressoras precisam estar inventariadas, segmentadas e autenticadas, com registros centralizados. Se puderem receber trabalhos de estações comprometidas sem controle, também podem amplificar a pressão do atacante.

Sexto, acelerar a aplicação de patches em tecnologias que aparecem na KEV. Julho trouxe várias referências a Adobe ColdFusion, Fortinet, Microsoft SharePoint, SonicWall SMA 1000 e Oracle E-Business Suite. Um calendário de remediação lento, sobretudo em ambientes de internet-facing systems, abre uma janela que os atacantes já conhecem. Em recursos naturais, onde há dependência de portais, integrações e contratados, o atraso na aplicação de patches costuma multiplicar o risco.

Sétimo, praticar cenários de exfiltração sem criptografia. Muitos playbooks ainda são pensados para indisponibilidade total. Julho sugere outro cenário, a operação continua, mas os dados sensíveis saem. Isso exige capacidades de detecção, contenção, análise de escopo e coordenação jurídica muito diferentes de um simples restore.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para julho de 2026 e com o recorte temático de mineração, metalurgia e recursos naturais na América Latina. Não foram usadas a internet nem fontes fora da lista autorizada. Os fatos de meses anteriores ficaram fora do volume do período e só entram como contexto quando o próprio material permite. Também há um fato sem data confirmada, que não entra em nenhum cálculo nem indicador; se for mencionado, deve ser entendido como contexto qualitativo, e não como volume do mês.

A janela temporal declarada para os indicadores é a de 57 fatos com data em julho de 2026, com 1 sem data confirmada excluído. Essa base deve ser lida como a foto do mês, não como uma telemetria agregada do setor. Não foram somadas tentativas bloqueadas, varreduras ou detecções como incidentes. Quando a telemetria de vendors ou médias semanais foi citada, isso ocorreu apenas como contexto e não como evidência de intrusão efetiva.

Em particular, um indicador em zero significa que ele não apareceu no material analisado deste mês, não que não tenha ocorrido na região. Isso vale especialmente para CVEs e movimentos regulatórios. Neste período, os CVEs críticos apareceram no material, por isso foram reportados. Se em outro mês um indicador de CVEs estiver em zero, a leitura correta será ausência de registro no corpus, não ausência de vulnerabilidades exploradas na América Latina.

O material excluiu redes sociais de consumo e publicações patrocinadas, e não usou como evidência fontes fora da lista autorizada. Também foi tratada com cautela qualquer afirmação atribuída por uma fonte marcada como incerta, especialmente nos casos de Mallory.ai. Quando uma fonte não informou se houve criptografia, ou quando a atribuição técnica não ficou confirmada por material primário, o relatório deixou isso expresso de forma explícita para não superdimensionar o evento nem misturar taxonomias distintas.

Apêndice gráfico

Os fatos do mês mostram uma sequência concentrada entre 17 e 31 de julho, com a Ecopetrol como eixo dos eventos mais intensos. A linha do tempo abaixo resume essa concentração e ajuda a ler como o caso passou de acesso não autorizado e bloqueio de uma tentativa de ransomware a extorsão, divulgação de dados e resposta regulatória e penal.