Panorama de cibersegurança na América Latina, Jul 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O mês confirmou que o ransomware na região não está concentrado em um único setor nem em um único modelo. Na Argentina, a pressão sobre o Ejército Argentino apareceu por meio da Qilin, com atividade de leak site e referências a credenciais comprometidas associadas. No Brasil, a Global Secret Group foi associada a vítimas de saúde e energia, enquanto a Blackwater apareceu em um caso de gás. Na Colômbia e no México, diferentes relatos falaram de intrusões e campanhas que combinam roubo de dados, pressão extorsiva e, em alguns casos, ataque a serviços públicos.

A maioria dos casos não permitiu determinar com precisão se houve criptografia de ativos. Isso é importante do ponto de vista metodológico. O material permite distinguir vários cenários, mas, em muitas notas, o fato confirmado é a aparição em leak site ou a menção a dados vazados, não a indisponibilidade de sistemas. Quando o material não especifica o efeito operacional, isso precisa ficar explícito, sem superdimensionar o impacto. Ainda assim, o padrão regional é claro: a extorsão com exfiltração ganha peso frente ao ransomware puramente disruptivo.

No Brasil, a pressão sobre a saúde foi a mais intensa. A ESET informou que, no primeiro semestre de 2026, o país acumulou mais de 100 vítimas de ransomware, enquanto o material setorial lembrou que a saúde brasileira sofreu uma pressão muito acima da média global. Esse contexto não transforma cada caso em uma paralisação total, mas indica uma cadeia sustentada de exposição sobre hospitais, clínicas e fornecedores.

Na Argentina, Qilin e The Gentlemen mostram dois estilos complementares. A Qilin aparece como um ator de extorsão com leak site, enquanto The Gentlemen se coloca na órbita de ameaças que usam vazamentos e pressão pública. Nos dois casos, a distância entre "reivindicação" e "brecha confirmada" precisa ser mantida com clareza. A aparição em sites de vazamento é sinal de risco, mas não prova por si só criptografia, exfiltração completa nem impacto operacional final.

Fraude e phishing

O golpe digital foi provavelmente a ameaça mais cotidiana do mês. A Argentina mostrou um cenário especialmente denso, com campanhas de vishing, golpes de "likes pagos", suplantação de identidade por WhatsApp, técnicas que bloqueiam o home banking para depois se passar pelo banco e variações que usam IA para clonar voz ou imagens. O BCRA respondeu com guias mais precisos sobre o que fazer diante de um golpe, quais informações reunir e por que a primeira reclamação deve passar pela instituição financeira.

O sinal não é apenas local. Mercado e Sumsub mostraram um salto regional da fraude com identidades geradas por IA, com Argentina, Chile e Colômbia entre os países onde o fenômeno ganhou velocidade. A BioCatch, citada por diferentes reportagens, apontou um aumento forte em engenharia social e personificação. No México, a CONDUSEF relatou suplantação de instituições financeiras e a imprensa voltou a destacar phishing bancário, perfis falsos e ofertas fraudulentas de crédito. Na Colômbia, a tomada de contas, as contas mula e o spoofing se consolidaram como uma combinação muito ativa.

O dado novo do mês é que a fraude já não depende apenas do engano humano tradicional. Ela se apoia cada vez mais em camadas técnicas, deepfakes, clonagem de voz, bots para o primeiro contato, documentos sintéticos e automação da interação com a vítima. A consequência operacional é evidente. Controles estáticos não bastam. São necessárias validações contextuais, análise comportamental de transações, monitoramento de risco e barreiras de autenticação mais fortes.

APT, hacktivismo e abuso de IA

No terreno de APT ou de atores com técnicas mais avançadas, o mês deixou dois sinais muito distintos. O primeiro foi a PhantomEnigma, uma campanha que abusou de domínios governamentais brasileiros para distribuir malware e mirou bancos e órgãos públicos. O valor do caso não está apenas no malware, mas no abuso de confiança que envolve usar domínios .gov.br comprometidos como vetor de entrega. O segundo foi a intrusão assistida por IA contra organizações do governo mexicano e uma utility de água em Monterrey, onde a Dragos e a Gambit Security sustentaram que o atacante usou modelos como Claude e GPT para acelerar reconhecimento, geração de credenciais e password spraying.

Nos dois casos, a conclusão relevante é que a IA já atua como multiplicador em diferentes fases do ataque. Ela não introduz necessariamente uma técnica ofensiva inédita, mas acelera a execução, reduz tempos e amplia o alcance de alvos. Isso basta para mudar a economia das campanhas. O adversário pode explorar mais, mais rápido e com menor custo operacional.

Vulnerabilidades críticas

O bloco de vulnerabilidades mostra um padrão muito consistente. Os produtos expostos pertencem quase todos à camada de acesso remoto, colaboração web ou bancos de dados críticos. Ou seja, justamente os componentes que mais valor têm para um atacante porque permitem entrar pelo perímetro, roubar chaves ou alcançar infraestrutura interna. A região deveria ler estes alertas menos como eventos isolados e mais como uma lista de vetores prováveis para as próximas semanas.

Regulação e compliance

Argentina, Mendoza e a virada para notificação rápida

A Argentina foi o país com maior intensidade normativa visível no mês. A província de Mendoza concentrou vários projetos simultâneos. Um, impulsionado pelo Poder Executivo, busca criar um Sistema Provincial de Cibersegurança para coordenar prevenção, detecção, resposta e recuperação. Outro, apresentado pela Fuerza Patria, propõe uma lei contra o cibercrime e de proteção de dados pessoais para órgãos estaduais provinciais e municipais. Os dois textos convergem em elementos que hoje já são padrão maduro na região: notificação de incidentes em 72 horas, designação de responsáveis por dados, privacidade desde a concepção e rastreabilidade no tratamento.

A discussão não é menor. Mendoza incorporou ainda noções de governança de dados, ciclo de vida da informação, autoridade operacional separada do comitê, sanções escalonadas e até um regime de hackers éticos, ou white hats. Isso revela uma ambição regulatória pouco comum em uma jurisdição subnacional. Se sair do papel, a província pode virar referência para outros estados locais, embora ainda reste ver se a arquitetura proposta aguenta a implementação.

No plano nacional, a Resolução 725/2026 do Boletim Oficial alterou protocolos policiais diante de crimes informáticos, especialmente quando há menores envolvidos. Em paralelo, o BCRA reforçou seu regime antifraude, com recomendações concretas e um fluxo mais formalizado para reclamações. A mensagem institucional é que o dano por fraude digital já não é tratado apenas como problema do usuário, mas como risco operacional e regulatório do sistema financeiro.

Chile e a identidade digital como eixo

O Chile teve um mês especialmente ativo em cibersegurança normativa. A Câmara dos Deputados aprovou em geral o projeto sobre deepfakes, que avança em sua tramitação e busca regular a criação e a difusão de imitações digitais realistas de imagem, corpo ou voz. A lógica do texto é clara: proteger a identidade e a integridade digital diante de conteúdos gerados com IA e dar ferramentas para remover conteúdos, punir danos e exigir responsabilidades de plataformas e representantes legais.

Ao mesmo tempo, a orientação do Banco Central e da Comissão para o Mercado Financeiro manteve um tom duro sobre fraudes com cartões e instrumentos financeiros. O país consolidou um padrão em que os emissores devem oferecer canais gratuitos 24x7, bloquear instrumentos inativos, reportar periodicamente os usuários afetados e desagregar as informações à CMF. Em matéria de autenticação, a nova ARC pressiona bancos e fintechs a reforçar o multifator e abandonar esquemas frágeis, como cartões de coordenadas.

A outra face do quadro é operacional. O CSIRT Chile emitiu alertas sobre OpenSSH, Ivanti, Citrix e SharePoint. Isso mostra uma institucionalidade que não apenas regula, mas também avisa com agilidade sobre falhas exploradas. O país aparece, assim, como um dos mais completos da região no cruzamento entre prevenção, reporte e enforcement.

Brasil, plataforma, dados e fiscalização

O Brasil seguiu se movendo em dois trilhos. De um lado, endureceu o ambiente regulatório sobre plataformas e dados, com um conjunto de mudanças que também afeta a governança digital e a supervisão. De outro, seus órgãos técnicos, como CERT.br e CTIR Gov, emitiram alertas sobre exploração ativa de vulnerabilidades em VPNs, SharePoint, Ivanti e outras superfícies expostas. O quadro regulatório brasileiro não se limita a um único tema. Abrange big techs, proteção de dados, IA em saúde e exigências de segurança cada vez mais concretas.

Em paralelo, a LGPD continuou funcionando como base de enforcement para o ecossistema de compliance. Embora o material não reconstrua um único grande salto regulatório em julho, ele mostra um movimento contínuo de supervisão e de maior sofisticação institucional. A leitura política é óbvia: o Brasil já opera com um aparato de fiscalização mais desenvolvido do que boa parte da região, e seu peso econômico faz com que qualquer mudança de critério se espalhe para bancos, saúde, varejo e plataformas.

Colômbia, menores e corresponsabilidade digital

A Colômbia publicou o Decreto 0769 de 2026, que regulamenta a Lei 2489 de 2025 e define regras de corresponsabilidade entre plataformas, escolas e famílias para garantir ambientes digitais seguros para meninas, meninos e adolescentes. O foco está em ciberassédio, exploração, abuso sexual on-line e conteúdos inadequados. O texto também obriga fornecedores de plataformas, apps, videogames e serviços de IA a identificar riscos, adotar medidas de proteção, oferecer mecanismos de reclamação e informar periodicamente ao Ministério TIC.

A mudança é importante porque mostra uma política de segurança digital mais ampla, que já não se concentra apenas em fraude financeira ou infraestrutura crítica, mas também na exposição de menores e na cadeia de responsabilidade de intermediários digitais. Em um país com alto volume de fraude e grande exposição financeira, o decreto amplia o perímetro regulatório e obriga plataformas e fornecedores a assumir parte do problema.

Guatemala, México e Peru

A Guatemala seguiu discutindo sua iniciativa 6347 sobre crimes cibernéticos, com penas de até nove anos para condutas como acesso ilícito, ataque à integridade de sistemas, fraude informática e uso indevido de dispositivos. O México, por sua vez, mostrou um debate regulatório mais fragmentado, com referências a IA, menores, fraude digital e usurpação de instituições financeiras, mas sem uma norma única consolidada no material analisado. O Peru manteve uma frente relevante com a SBS alertando sobre usurpação de identidade em produtos financeiros e o BCRP aprofundando mudanças em pagamentos e transferências, embora grande parte desse material apareça mais como marco de compliance do que como incidente pontual de risco.

Países mais afetados na América Latina

Argentina

A Argentina combinou três frentes de pressão. Primeiro, o fraude financeira e a falsificação de identidade, com recomendações recorrentes do BCRA, campanhas de vishing, golpes no WhatsApp, bloqueio de home banking e uso de IA para fraudes mais sofisticadas. Segundo, a agenda regulatória de Mendoza, que foi a mais visível do mês em toda a região para uma jurisdição subnacional. Terceiro, o caso do Exército Argentino no leak site da Qilin e a intervenção no site do Senado mendocino, que deixaram um sinal concreto de exposição institucional.

A leitura técnica é que o país está lidando com duas superfícies distintas. Uma é a financeira, onde a fraude escala por engenharia social. A outra é a estatal, onde a discussão sobre cibersegurança já se traduz em projetos de lei, notificação e governança. A ponte entre as duas é a proteção de dados e a necessidade de reforçar a identidade digital.

Brasil

O Brasil foi o país com o ecossistema mais amplo e, ao mesmo tempo, mais heterogêneo. Teve casos de ransomware em saúde, energia e gás. Teve alertas oficiais sobre exploração ativa de VPNs, SharePoint e Ivanti. Teve campanhas que abusaram de domínios governamentais. E teve, além disso, uma base telemétrica muito alta em tentativas de phishing e atividade de ransomware, embora esses números devam ser lidos como volume de detecções, não como incidentes com impacto confirmado.

Na frente setorial, a saúde foi o núcleo mais sensível. Mas o país também mostrou pressão em infraestrutura elétrica e em provedores de serviços. Isso significa que a superfície de ataque brasileira não está concentrada em um único vertical. Ela se estende de hospitais a utilities e plataformas, com um perímetro corporativo que continua sendo alvo prioritário.

Chile

O Chile aparece como o país com melhor densidade regulatória e um dos mais comprometidos no trabalho de fechar brechas de autenticação e exposição. O projeto de deepfakes, a guia do Banco Central sobre fraudes com cartões, a ARC e os alertas do CSIRT configuram uma resposta de Estado bastante articulada. Ao mesmo tempo, o país não está livre de pressão técnica. Os avisos sobre OpenSSH, Ivanti, Citrix e SharePoint confirmam que a superfície exposta segue sendo um problema muito sério.

O sistema financeiro chileno parece ter entendido antes que outros a relação entre fraude, autenticação e responsabilidade dos emissores. Isso lhe dá uma vantagem, mas não elimina o risco. A própria insistência dos bancos de que nunca pedem senhas ou códigos por telefone mostra que a engenharia social continua em escala massiva.

Colômbia

A Colômbia teve um mês intenso por causa do caso Ecopetrol e da frente de fraude financeira. O país já vinha com alta exposição a engenharia social, falsificação, tomada de controle de contas e contas mula. O ataque à Ecopetrol elevou o patamar porque envolveu uma empresa emblemática, com possível extorsão e exposição de dados sensíveis. Ao mesmo tempo, o decreto sobre ambientes digitais seguros para menores ampliou a agenda de segurança para uma escala mais social e regulatória.

O caso colombiano mostra como convivem duas camadas de risco. Uma é a patrimonial, onde a fraude bancária e a falsificação estão muito industrializadas. A outra é a corporativa e crítica, onde empresas de energia e serviços essenciais se tornam alvos de campanhas mais complexas. A presença de novas táticas de IA e acessos remotos expostos reforça essa leitura.

México

O México aparece no material mais como cenário de debate e de ataques de alto impacto do que como um país com uma única tendência dominante. Houve relatos de fraude bancária, falsificação de instituições, phishing, campanhas com IA e o caso do suposto hackeamento do SIDAC, além da intrusão assistida por IA contra órgãos do governo mexicano e a utility de água em Monterrey. Também houve a discussão sobre se a regulação de IA deve avançar por setores ou por uma lei geral.

O sinal mais forte é que o México está muito exposto tanto à falsificação financeira quanto a ataques contra governo e serviços públicos. A convivência de fraude massiva e intrusões complexas obriga a pensar em controles distintos conforme o tipo de ativo. Não se protege da mesma forma uma conta bancária e um sistema estatal com dados de cidadãos.

Peru

O Peru teve um sinal mais contido, mas não irrelevante. A SBS alertou sobre falsificação de identidade em produtos financeiros e o BCRP continuou ajustando o sistema de pagamentos e as regras de transferências. É um país em que a camada regulatória avança e os controles financeiros estão se formalizando, embora o material do mês não tenha mostrado o mesmo volume de incidentes que no Brasil, Colômbia, México, Argentina ou Chile.

Paraguai, Bolívia e Estados Unidos

O Paraguai ficou fora da foto de impacto verificado do mês, embora o arquivo inclua marco regulatório e comparativo. A Bolívia teve uma intervenção relevante com o aviso do CGII sobre Redis, útil como sinal regional de resposta técnica a CVEs críticos. Os Estados Unidos aparecem apenas de forma indireta como referência regulatória ou de ecossistema, sem fatos próprios da região latino-americana no período.

Tendências e sinais a monitorar

Não há baseline comparativo próprio do mês anterior para este formato de indicadores na América Latina, então não cabe inventar uma variação mês a mês. O que dá para ler é a consolidação de tendências que já vinham aparecendo e que, em julho, ficaram mais nítidas.

O primeiro sinal é o crescimento da fraude de identidade assistida por IA. O material da Argentina, Chile, Colômbia e México repete deepfakes, suplantação, clonagem de voz, perfis sintéticos e automação do contato. Em paralelo, os bancos endurecem a autenticação e os reguladores pressionam por mudanças de procedimento. O sinal a monitorar é se essa escalada técnica começa a se traduzir em exigências maiores de validação contextual e em mais fricção para o usuário.

O segundo sinal é a persistência do ransomware com foco em saúde, energia e setor público. O Brasil concentra a parte mais visível dessa pressão, mas Argentina, Colômbia e México também registraram eventos ou campanhas associadas. O ponto de monitoramento não é só quais grupos atacam, mas quais vetores usam, sobretudo VPNs, serviços expostos, hipervisores e credenciais vazadas.

O terceiro sinal é a maturação da resposta regulatória. Mendoza, Chile, Colômbia e Brasil avançaram em regras mais duras sobre reporte, sanção, notificação, autenticação e plataformas. Isso não elimina o risco, mas muda o custo de operar sem controles. É preciso observar quais jurisdições conseguem transformar a norma em prática e quais ficam só no texto.

O quarto sinal é que a IA deixou de ser apenas uma história de defesa. Em vários casos, ela apareceu como acelerador ofensivo sobre governo, OT, fraude e geração de identidades falsas. A questão não é se a IA está presente, porque já está. A questão é em que fase do ataque ela agrega mais valor ao adversário, e como priorizar os controles para cortar essa vantagem.

Recomendações para equipes de segurança

Primeiro, endurecer a camada de acesso remoto. O material do mês volta a mostrar VPNs, gateways, appliances e serviços expostos como vetores recorrentes. Isso exige priorizar MFA real, revisão de configurações, rotação de credenciais, exposição mínima e monitoramento contínuo de acessos anômalos. Não basta ter o patch publicado se o perímetro continuar aberto ou com autenticação fraca.

Segundo, separar de forma rígida os controles de fraude dos controles de intrusão. O fraude digital na região já usa engenharia social, IA e falsificação de identidade. As equipes precisam adicionar validações contextuais, comportamento transacional, verificação fora de banda e regras de fricção adaptativa. Em bancos e fintechs, não funciona tratar tudo como phishing genérico.

Terceiro, revisar a capacidade de detecção e resposta sobre contas institucionais. A AFA mostrou como uma única conta comprometida pode ser suficiente para espalhar mensagens não autorizadas. As equipes devem proteger contas de alto privilégio, reforçar a recuperação de identidade, controlar redirecionamentos e monitorar anomalias de envio a partir de contas legítimas.

Quarto, tratar saúde, energia e governo como verticais de prioridade máxima. O padrão de julho mostra que esses setores seguem como alvos preferenciais de extorsão e exfiltração. Isso exige segmentação, backups testados, controle de acesso privilegiado, inventário de ativos expostos e testes de restauração que não dependam de suposições otimistas.

Quinto, incorporar governança de dados e rastreabilidade como controle de segurança, e não só de compliance. O debate de Mendoza e as normas chilenas mostram que a região já exige mais transparência sobre dados, incidentes e responsabilidades. As organizações que não tiverem rastreabilidade fina do ciclo de vida da informação vão ficar expostas tanto técnica quanto legalmente.

Sexto, revisar contratos e exposição de terceiros. Em vários casos, da saúde a utilities, a superfície de ataque passa por fornecedores, software exposto ou serviços externos. O risco de cadeia de suprimentos continua sendo uma das vias mais baratas para o atacante e uma das mais difíceis de fechar sem monitorar o ecossistema completo.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para julho de 2026 e com os fatos datados dentro da janela do período. Os fatos sem data confirmada foram excluídos dos indicadores, embora alguns possam agregar contexto qualitativo. Os fatos de meses anteriores que chegaram ao arquivo pela cobertura publicada em julho foram usados apenas como referência comparativa e nunca como volume do mês.

Também cabe um ajuste importante sobre os indicadores. Quando um indicador aparece em zero, isso significa que ele não surgiu no material analisado neste período, não que o fato não tenha ocorrido na região. Isso vale especialmente para CVEs e para qualquer categoria em que a ausência de menção não equivale à ausência real de atividade. Neste mês, houve CVEs críticos mencionados, por isso esse número deve ser lido como presença de sinal no material, não como universo completo de vulnerabilidades da região.

A telemetria agregada, como tentativas de phishing, varreduras ou bloqueios automatizados, foi excluída do volume de incidentes. Se for mencionada, deve ser entendida como medição de exposição, não como intrusão confirmada. Também não foram usadas como evidência de tendência fontes de conteúdo patrocinado, comunicados comerciais ou publicações de consumo que não estejam dentro da lista habilitada para citação.

Por fim, o relatório não introduz fontes externas ao corpus fornecido nem atribui incidentes quando o material oferece apenas uma reivindicação em leak site, uma conjectura jornalística ou uma afirmação não verificada pela fonte. Quando um fato não permitiu distinguir entre criptografia, exfiltração ou menção em leak site, essa ambiguidade foi preservada em vez de forçar uma classificação.