Panorama de cibersegurança na América Latina, Agosto 2026

Ameaças e campanhas ativas

A atividade criminosa do mês mostrou menos casos confirmados de ransomware do que em julho, mas manteve o padrão de campanhas transfronteiriças, busca por visibilidade em leak sites e pressão sobre setores críticos. No fraude, por outro lado, a intensidade percebida seguiu alta e cada vez mais apoiada em engenharia social e deepfakes.

Ransomware e extorsão

The Gentlemen voltou a ser o ator mais visível no material regional, com presença em campanhas globais e vítimas na Argentina e no Brasil. Sua expansão não depende só de criptografia, porque o grupo opera com extorsão múltipla, pressão pública e uma combinação de intrusão sobre perímetros expostos, reutilização de ferramentas e targeting cruzado.

O dado mais útil para agosto é que, dos 41 casos com ransomware ou extorsão como eixo primário, apenas 6 tiveram criptografia de ativos confirmada. Em 4 houve exfiltração sem criptografia, em 5 a evidência se limitou à menção em leak site e em 26 o material não permitiu determinar com clareza a modalidade exata. Essa proporção sugere que o ecossistema de extorsão está mais fragmentado do que sugere o nome genérico "ransomware".

Entre as campanhas mais visíveis estiveram as de The Gentlemen, DragonForce, CoinbaseCartel, BLACKWATER e Kazu. DragonForce publicou vítimas na Argentina e no Brasil, CoinbaseCartel listou a Flecha Bus, BLACKWATER apareceu com AMCA e The Gentlemen seguiu somando casos na Argentina, incluindo Criba e a reivindicação contra Oldelval. A presença do mesmo país em várias famílias distintas não aponta para uma única falha, e sim para uma superfície ampla e desigual.

Fraude e phishing

A frente de fraude e phishing seguiu sendo a ameaça mais cotidiana e, ao mesmo tempo, a mais adaptada a mudanças de produto e regulação. A Argentina mostrou uma virada clara da clonagem de cartões para páginas falsas, falsificação de identidade, vishing e ataques apoiados no WhatsApp, enquanto o Brasil consolidou o problema de deepfakes e clonagem de pessoas com IA.

A cifra de 85 casos documentados não esgota o fenômeno. O material de agosto mostra justamente o contrário, uma mutação da fraude para formas mais baratas de escalar e mais difíceis de distinguir pelo usuário final. Em vários países, a validação facial, a biometria e os fluxos de autenticação passaram a ser parte do problema, e não da solução, porque os atacantes aprenderam a imitá-los ou contorná-los.

A pressão sobre o sistema financeiro também ficou visível nas referências a fraude em pagamentos digitais, investigações sobre controles biométricos e reclamações contra bancos e fintechs. O sinal não é só que a fraude cresce, mas que ela se torna multicanal e combina manipulação emocional, automação, modelos de marcas conhecidas e uso oportunista de canais oficiais ou semioficiais.

APT e hacktivismo

O único sinal claramente atribuível a APT no material foi a exploração de CVE-2026-73570 por grupos ligados à Rússia, com campanhas contra agências governamentais, universidades e instituições estatais no Brasil e na Argentina. Essa referência não veio acompanhada por um volume amplo de casos na região, mas sim por um valor estratégico alto pelo tipo de alvo.

Não houve em agosto um bloco grande de hacktivismo com impacto operacional confirmado comparável ao ransomware ou à fraude. O sinal APT aparece mais como um lembrete de que os perímetros de governo, educação e infraestrutura estatal seguem expostos a campanhas com motivação geopolítica ou de espionagem, e que uma vulnerabilidade crítica pode abrir uma janela regional mesmo que o resto do mês seja dominado por outra classe de incidentes.

A baixa quantidade de CVEs críticos mencionados não deve ser lida como tranquilidade. O material registrou apenas dois, e isso significa que, nesta amostra, o foco esteve em regulação e fraude mais do que na exploração pública de falhas técnicas. Isso não equivale à ausência de vulnerabilidades exploradas na região.

Vulnerabilidades críticas

Em agosto, o material analisado registrou poucos CVEs críticos, uma diferença em relação a julho. Isso não significa ausência de exposição técnica na região, mas sim uma mudança de foco do corpus do mês, que destacou sobretudo enforcement regulatório e campanhas de extorsão e fraude.

A evidência de exploração técnica no mês foi limitada, mas relevante pelo tipo de ambiente exposto. No caso do Zimbra, os alvos são estatais e acadêmicos na região. Em The Gentlemen, o foco está em perímetros expostos, como VPNs e firewalls, mais do que em uma plataforma específica. Os dois sinais apontam para uma superfície de ataque híbrida, com vulnerabilidade pública e má exposição operacional.

Regulação e compliance

A regulação foi a principal ameaça do mês porque deixou de ser um complemento do risco e passou a orientar a resposta do mercado. O bloco regulatório registrou intervenções em privacidade, plataformas, pagamentos, biometria, IA, proteção de menores, transparência e supervisão financeira em vários países da região.

O Brasil foi o caso mais intenso. A ANPD multou a ByteDance por tratamento indevido de dados de adolescentes e reforçou uma estratégia de fiscalização em escala, com processos contra grandes plataformas, diretrizes sobre incidentes de segurança, transparência para menores e discussão regulatória sobre deepfakes e conteúdos sintéticos. A mensagem é clara: a autoridade brasileira já não atua apenas sobre descumprimentos pontuais, mas sobre padrões de negócio e de desenho de plataforma.

Na Argentina, o BCRA continuou ampliando regras de meios de pagamento, transferências, débito de parcelas e exigências de supervisão. O novo mecanismo de Cobro con Transferencia, a atualização das disposições sobre câmaras de compensação e a discussão sobre reporte de incidentes em fintech consolidam um ecossistema de pagamentos cada vez mais rastreável e mais exigente. Não existe uma única lei de cibersegurança, mas há uma rede de normas que, na prática, cobre boa parte do terreno.

O México se moveu em duas frentes. De um lado, o Banxico abriu consultas públicas sobre redes de meios de disposição e câmaras de compensação, com foco em eficiência, interoperabilidade e segurança operacional. De outro, a discussão sobre a Ley Federal de Ciberseguridad segue sem aprovação, o que deixa o país em uma arquitetura fragmentada, na qual o compliance depende de circulares, regras setoriais e regulação prudencial mais do que de um marco único.

O Chile, por sua vez, seguiu discutindo o adiamento da Ley de Protección de Datos Personales. O ponto não é menor, uma eventual demora na entrada em vigor afeta a credibilidade da agenda de direitos digitais e prolonga a incerteza para empresas que já precisam se preparar para a futura agência e para um regime de compliance mais rígido. A discussão já não é se haverá regulação, mas quando e com que nível de exigência efetiva.

Paraguai e Colômbia mostram dois problemas distintos. O Paraguai já tem uma lei de proteção de dados em vigor, mas o debate público ainda gira em torno de projetos e da falta de um desenvolvimento mais consolidado de cibersegurança. A Colômbia, segundo as análises do mês, segue sem uma lei integral de cibersegurança e se apoia em normas dispersas, o que fragmenta a defesa digital e complica a atribuição de responsabilidades. Essa fragmentação ficou ressaltada na cobertura local.

Países mais afetados na América Latina

A distribuição geográfica do mês ficou claramente concentrada em Brasil e Argentina, com Chile, México, Colômbia, Paraguai e Bolívia como países de alta relevância regulatória ou de sinal pontual. O Peru não apresentou material suficiente para uma leitura própria neste corpus, e os Estados Unidos aparecem apenas como referência incidental em algumas análises comparativas.

Argentina

A Argentina foi o país com a combinação mais visível de ransomware, fraude e pressão regulatória secundária. A Oldelval dominou a conversa sobre infraestrutura crítica, enquanto Flecha Bus, AMCA e Criba mantiveram o país presente nos painéis de extorsão. Ao mesmo tempo, a fraude bancária seguiu migrando para WhatsApp, phishing, vishing e deepfakes, com sinais de maior judicialização contra bancos por falhas de segurança ou de resposta.

A leitura setorial argentina mostra três áreas sensíveis, energia, transporte e serviços financeiros. A energia ficou exposta com a Oldelval e a discussão sobre infraestrutura crítica. O transporte apareceu com Flecha Bus e La Sevillanita. Já o sistema financeiro continuou sob pressão por golpes, devoluções judiciais, fraude digital e novas regras do BCRA. O país não teve o maior número de fatos absolutos, mas concentrou a maior diversidade de frentes sob tensão.

Brasil

O Brasil foi o epicentro do mês em volume regulatório e em densidade de incidentes de privacidade e fraude. A ANPD tomou decisões sobre TikTok, Discord, processos contra grandes empresas de tecnologia e diretrizes para menores, IA e deepfakes. Ao mesmo tempo, a Latam notificou uma situação de segurança no Latam Pass, e a Mobilemed surgiu como possível vítima em saúde digital.

No plano da fraude, o Brasil mostrou uma escalada clara no uso de IA generativa para suplantação, clonagem de pessoas e criação de deepfakes em campanhas enganosas. O fenômeno não é só técnico, também é comportamental. O usuário final passa a enfrentar falsificações mais convincentes, com impacto direto em validação de identidade, onboarding e autenticação reforçada. O mês deixou o Brasil como principal laboratório regulatório e principal termômetro de fraude sintética da região.

Chile

O Chile foi dominado pela discussão sobre o adiamento da Lei de Proteção de Dados Pessoais e pela aprovação em geral do projeto de lei anti deepfakes. A agenda do país ficou atravessada por dois tempos distintos, um de entrada em vigor de regras já aprovadas e outro de atraso na instalação institucional da nova agência de proteção de dados.

O sinal mais claro é que o Chile já entrou na fase de implementação política do regime de dados. A preocupação não é teórica. Se a vigência plena for postergada, o ecossistema empresarial ganha algum tempo, mas também se alonga o fechamento institucional que a própria lei exige para operar. O país aparece, assim, como um dos focos regulatórios mais relevantes do Cone Sul, embora com menos incidentes operacionais que Argentina ou Brasil.

México

O México combinou reforma financeira, consultas públicas do Banxico e uma lei federal de cibersegurança ainda sem aprovação. A discussão se concentrou em pagamentos, cartões, câmaras de compensação, reportes de incidentes e controle prudencial de Sofomes e fintechs. O país segue sem um marco único, mas a regulação setorial avança com bastante intensidade.

O problema mexicano não é falta de atividade, e sim dispersão. A CNBV, o Banxico, o DOF e outras instâncias empurram peças que afetam a segurança de pagamentos e dados, mas a arquitetura legal continua repartida entre vários instrumentos. Isso obriga as empresas a lerem o risco de forma transversal. Conformidade financeira, privacidade, autenticação, continuidade e reporte de incidentes não vivem em compartimentos estanques.

Colômbia

A Colômbia apareceu menos por incidentes concretos e mais por diagnóstico estrutural. A imprensa local indicou que o país segue sem uma lei integral de cibersegurança e que seu marco se apoia em normas dispersas, situação que limita a coesão defensiva diante de ameaças em crescimento. Nesse contexto regional de fraude sintética e pressão sobre identidade, a fragilidade ficou mais visível do que em meses anteriores.

Paraguai

O Paraguai teve um sinal claro em proteção de dados, com a Lei N.º 7.593/2025 já presente no debate público, mas sem um projeto consolidado de cibersegurança identificado no Senado com a informação recuperada. O país combina uma base legal de privacidade mais moderna com uma discussão ainda fragmentada sobre cibersegurança institucional.

Bolívia

A Bolívia mostrou uma agenda institucional voltada para 2FA, fortalecimento do CSIRT e proteção digital, enquanto, em paralelo, surgiram sinais de possível vazamento e de atividade política digital opaca, como a chamada mini granja de bots vinculada a Fernando Cerimedo. O material de agosto sugere um ecossistema mais ativo na construção de capacidade do que na produção de incidentes confirmados, embora com exposição crescente em serviços públicos e financeiros.

Tendências e sinais para monitorar

A comparação com o mês anterior mostra melhora relativa em algumas frentes e uma aceleração preocupante em outras. Os incidentes não tipificados caíram, os casos de ransomware ou extorsão como eixo primário recuaram com força, e também diminuiu a fraude ou phishing documentado. Mas o mês se deslocou muito mais para a regulação, e essa mudança não é cosmética.

Na comparação com julho, a queda do ransomware de 126 para 41 casos deve ser lida com cautela. Isso não significa que o ator tenha perdido capacidade, e sim que o corpus de agosto reuniu menos eventos desse tipo e mais material regulatório, além de campanhas em que a tipificação não pôde ser precisada. O dado relevante não é só o volume, mas a persistência de grupos como The Gentlemen, DragonForce, Qilin, BLACKWATER e Kazu em diferentes países da região.

O salto regulatório de 261 para 410 fatos é a mudança mais importante do mês. O Brasil puxou a maior parte, mas também houve contribuições da Argentina, México, Chile e Paraguai. O sinal de fundo é que os Estados estão fechando a lacuna entre risco observado e norma aplicável, especialmente em pagamentos, dados de menores, plataformas digitais e relatos de incidentes.

A queda dos CVEs críticos mencionados, de 22 para 2, também é significativa, embora não deva ser superdimensionada. Em agosto, o material disponível concentrou-se em política pública, fiscalização e fraude mais do que em exploração técnica de vulnerabilidades. Isso não significa que a superfície técnica tenha diminuído, apenas que ficou menos visível no corpus analisado.

O sinal a observar em setembro é a convergência entre regulação e fraude. Quando autoridades apertam controles, autenticação, rastreabilidade e reportes, costumam surgir tentativas de evasão mais sofisticadas, especialmente em bancos, fintechs e plataformas com grande base de usuários. O mês deixa claro que a próxima pressão não virá só do malware, mas da engenharia social adaptada a novos requisitos.

Recomendações para equipes de segurança

Os times de segurança da região devem tratar agosto como um sinal de priorização, não como uma nota de rodapé do calendário. O primeiro ajuste é mapear qual parte do negócio está exposta a regulação já em vigor ou em transição, porque vários fatos do mês terminaram em sanções, consultas formais ou novas obrigações de reporte.

Em empresas financeiras, fintechs e provedores de pagamento, a prioridade deve ser reforçar autenticação, monitoramento de identidade e rastreabilidade de incidentes. O material do mês mostra fraude por vishing, phishing, deepfakes, suplantação de autoridade e manipulação de fluxos de onboarding. Isso exige combinar controles técnicos, verificação fora de banda e procedimentos mais rápidos de reversão e denúncia.

Em setores de energia, transporte, saúde e serviços compartilhados, o foco precisa estar na segmentação real dos ambientes e na capacidade de resposta a extorsão. Oldelval e Mobilemed deixam uma lição parecida, embora com naturezas distintas: uma intrusão em sistemas administrativos pode não parar a operação, mas pode desorganizar a continuidade, a relação com reguladores e a superfície de pressão do atacante.

Também vale revisar a exposição de perímetro e de serviços remotos. A atividade atribuída a The Gentlemen e outros grupos volta a mostrar abuso de VPN, firewalls e acessos expostos. Isso exige correções rápidas, MFA bem implementado, inventário de acessos externos, rotação de credenciais privilegiadas e um exercício sério de detecção de movimento lateral.

Para áreas jurídicas e de compliance, a mensagem é não esperar uma lei única para agir. No Brasil, Argentina, México e Chile, já há material normativo suficiente para justificar programas de privacidade, incidentes, retenção, governança de fornecedores e avaliação de risco. A dispersão regulatória não é desculpa; é a condição normal do mercado latino-americano.

Por fim, convém preparar roteiros de resposta para casos em que a evidência pública seja incompleta. Vários incidentes do mês ficaram em leak sites ou em reclamações preliminares. Isso significa que um time pode precisar responder antes de confirmar toda a intrusão. Nesse cenário, o que mais ajuda não é adivinhar a atribuição, mas cortar acesso, preservar evidência, revisar credenciais e fechar a porta para a segunda onda de extorsão.

Perguntas frequentes

Por que agosto ficou dominado por regulação e não por ransomware?

Porque a base mensal concentrou 410 movimentos regulatórios frente a 41 casos de ransomware ou extorsão como eixo primário, e também houve 85 fatos de fraude ou phishing. A regulação absorveu mais da metade do sinal porque Brasil, México, Argentina e Chile moveram normas, sanções e consultas que impactam diretamente segurança e dados.

Quais países mostraram mais pressão combinada entre incidentes e compliance?

Brasil e Argentina. O Brasil combinou uma multa recorde da ANPD à ByteDance, fiscalização ampliada e sinais de fraude sintética. A Argentina somou Oldelval, Flecha Bus, AMCA, Criba e uma frente forte de estelionatos financeiros. O Chile se destacou mais por regulação, e o México por mudanças prudenciais e consultas do Banxico.

Como ler os casos de ransomware do mês?

Com cautela e separando três planos: criptografia confirmada, exfiltração sem criptografia e mera menção em leak site. Em agosto, dos 41 casos com ransomware ou extorsão como eixo primário, só 6 tiveram criptografia confirmada, 4 foram exfiltração simples, 5 ficaram em leak site e 26 não puderam ser tipificados com precisão.

O que mudou no fraude digital em relação ao mês anterior?

O volume documentado caiu, mas a modalidade ficou mais sofisticada. O material mostra menos clonagem de cartões e mais phishing, páginas falsas, vishing, deepfakes e falsificação de identidade, sobretudo na Argentina e no Brasil. A combinação com biometria e validação facial elevou o risco de burlar controles.

O que implicam as duas vulnerabilidades críticas mencionadas?

Que a exposição técnica não desapareceu, embora o mês tenha sido dominado por regulação. CVE-2026-73570 afetou Zimbra e foi explorada contra alvos governamentais e acadêmicos no Brasil e na Argentina, enquanto CVE-2026-50751 foi citada como vetor provável na campanha da The Gentlemen. O baixo número não significa ausência de risco.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para agosto de 2026 e com o marco comparativo dos meses anteriores incluído no arquivo. Não houve acesso à internet nem foram incorporadas fontes fora da lista autorizada. Os fatos sem data confirmada ficaram fora dos indicadores e só foram usados quando ajudavam a contextualizar.

A janela temporal declarada para o período foi de 904 fatos com data em agosto de 2026, 64 de meses anteriores como marco comparativo, 25 sem data confirmada excluídos dos indicadores e 7 posteriores ao período também excluídos. Os indicadores do mês foram reproduzidos exatamente como fornecidos e não foram recalculados de forma independente.

Um indicador em 0, em particular o de CVEs críticos, significa que não houve registro no material analisado para este mês, não que não tenham existido vulnerabilidades exploradas na região. O mesmo vale para qualquer ausência de setor ou país em uma seção específica. A falta de evidência neste corpus não equivale à inexistência do fenômeno.

Também foram excluídas como prova de tendência as telemetrias agregadas, as tentativas ou bloqueios automatizados e o conteúdo promocional, os press releases e publieditoriais quando eram a única base da afirmação. As cifras de tentativas de fraude, bloqueios ou varreduras só foram mencionadas quando o material permitia atribuí-las a um vendor e deixando claro que não são incidentes com impacto confirmado.

Anexo técnico: indicadores de comprometimento e TTPs

The Gentlemen e a cadeia de ataque observada

A campanha atribuída a The Gentlemen mostrou uma cadeia de intrusão com acesso inicial por meio de interfaces de firewall expostas na Internet, reconhecimento com Advanced IP Scanner, uso de PowerRun.exe para elevação de privilégios e do driver ThrottleBlood.sys para evasão de defesas. O material também mencionou abuso de VPN gateways, firewalls e ferramentas de acesso remoto sem patch.

IOCs e artefatos explícitos do material

A evidência explicitada no corpus não trouxe hashes, IPs nem domínios verificados para adicionar como lista técnica limpa. Trouxe, sim, nomes de ferramentas, drivers e vetores: Advanced IP Scanner, PowerRun.exe, ThrottleBlood.sys, interfaces FortiGate expostas, VPN gateways expostos e sistemas virtualizados como Linux, ESXi, Hyper-V, além de Backdoors em Go e criptografia com curve25519 e xchacha20 na descrição técnica de The Gentlemen.

Recomendação de leitura técnica

Para uma equipe blue team, a utilidade desses sinais não está na atribuição, mas no padrão. Se uma organização expõe serviços de borda, usa administração remota e tem pouca segmentação entre a rede administrativa e os sistemas críticos, o caso The Gentlemen funciona como um guia de priorização defensiva. O material não inclui IoCs suficientes para uma lista de bloqueio, mas traz TTPs claros para reforçar detecção e hardening.