Em alta:
Mato Grosso: Saúde estadual sofre novo ataque
CiberLATAMbywhalemate
Alternar para modo escuro/claro
Selecionar idioma
Notícias
Investigações
Relatórios
RadarEm tempo real
EntrarCadastre-se grátis
Relatório de inteligência

Panorama de cibersegurança na América Latina, Outubro 2026

Mais ransomware, mais fraude e mais regulação marcaram outubro na América Latina, com Argentina, Chile, Brasil e Colômbia em foco.

1 de nov. de 202635 min de leitura
Panorama de cibersegurança na América Latina, Outubro 2026whalemateA plataforma para gerenciar o risco humano em cibersegurança.

Principais conclusões

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um declara sua base e seu critério de contagem, para que os números se reconciliem entre os módulos. Eles formam a leitura recorrente mês a mês, e a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 851 fatos datados em outubro de 2026 · 116 de meses anteriores (marco comparativo, não volume do mês) · 33 sem data confirmada (excluídos dos indicadores). Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

CIBERLATAM / WHALEMATE Painel mensal de sinal verificado outubro de 2026 · América Latina Ameaça predominante: Sem classificação (339 de 847 fatos). Cobertura: 851 fatos com data em outubro de 2026 · 116 de me… FATOS VERIFICADOS 847 base do período: toda contagem a partir de baixo mede-se sobre este total RANSOMWARE / EXTORSÃO 72 15 ativos criptografados confirmado · 5 exfiltração sem criptografia (extorsão simples) INCIDENTES SEM TIPIFICAÇÃO 97 brechas ou interrupções sem tipo de ameaça declarado FRAUDE / PHISHING 128 campanhas de fraude documentadas REGULAMENTAÇÃO 150 normas, resoluções ou sanções CVEs ÚNICOS 14 CVE-2020-3259 / CVE-2023-20269
Painel mensal de sinal verificado — Base: 847 fatos verificados com data no período para a América Latina.
MÓDULO FIXO MENSAL Distribuição por eixo de ameaça outubro de 2026 · América Latina Cada ocorrência conta em apenas um eixo, por isso a soma é exatamente 847. "Incidentes sem tipificação" é o restante. Sem classificação 339 Regulação 150 Fraude 128 Incidentes 97 Ransomware 72 Vulnerabilidades 61
Distribuição por eixo de ameaça — Cada ocorrência é atribuída a um único eixo conforme sua tipificação; a soma fecha com os 847 casos do período.
MÓDULO FIXO MENSAL Distribuição setorial do sinal outubro 2026 · América Latina Base: 847 fatos do período · soma 1046 porque 171 fatos foram classificados em mais de um setor. Outros / sem setor ident… 311 Setor público / OIV 266 Finanças 141 Telecom 138 Tecnologia 93 Varejo / consumo 37 Saúde 30 Energia 30
Distribuição setorial do sinal — Classificação heurística por setor da vítima. Um fato pode afetar mais de um setor, por isso a soma pode ultrapassar a base.
MÓDULO FIXO MENSAL Distribuição geográfica do sinal outubro de 2026 · América Latina Cada fato é atribuído a um único país ou a cobertura regional, por isso a soma é exatamente 824 sobre 847 fatos … Argentina 161 Peru 121 Brasil 119 México 116 Regional 99 Colômbia 65 Chile 57 Uruguai 53 Paraguai 33
Distribuição geográfica do sinal — Fatos verificados do período agrupados por país ou cobertura regional; cada fato conta uma única vez.

Resumo executivo do mês

Outubro de 2026 deixou um quadro regional de risco alto, com 847 fatos verificados na América Latina e uma combinação mais pesada de intrusão, extorsão, fraude e ajuste regulatório. O mês foi dominado por dois vetores que se sobrepõem cada vez mais, ataques operacionais contra serviços essenciais e usos maliciosos de inteligência artificial para fraude, suplantação e influência. O sinal mais claro foi que o maior incidente confirmado afetou saúde e municípios na Argentina, enquanto Chile, Brasil, Colômbia e México concentraram as leituras mais sensíveis do período.

O caso argentino da Program Consultores se consolidou como o episódio mais visível do mês pelo impacto operacional. A cobertura confirmou um ransomware que tirou do ar sistemas usados por municípios de várias províncias e, segundo uma fonte local, alcançou cerca de 250 municípios. Em paralelo, a CrowdStrike informou uma campanha अलगada, também na Argentina, com agentes de IA que comprometeram ao menos 15 entidades de saúde e extraíram credenciais e prontuários de pelo menos uma vítima. São fatos distintos, mas juntos explicam por que o setor público e a saúde ficaram entre os mais expostos durante o período.

A extorsão também seguiu avançando sobre infraestrutura crítica, sobretudo no Brasil e no Chile. No Brasil, o hospital Albert Einstein confirmou acesso não autorizado a dados de pacientes e notificou a ANPD e a Polícia Federal, enquanto a operação Insidioso avançou sobre um caso de ransomware com extração de dados sensíveis. No Chile, a continuidade fora de serviço do parque solar Huatacondo e de seu sistema de armazenamento seguiu alimentando o debate sobre resiliência OT, e a análise da Entel Digital voltou a posicionar transporte, logística, energia, água, saneamento e saúde como as verticais sob maior pressão.

A camada fraudulenta foi igualmente intensa, embora com menos peso que em setembro. A Argentina concentrou vários dos casos mais nítidos, com golpes de investimento com IA, deepfakes sexuais em escolas, fraude bancária e fraude digital organizada com domínios falsos. Na Colômbia, a Shadow Parasite mostrou a industrialização do phishing com 288 domínios falsos e 47 marcas suplantadas. Na Bolívia, a polícia alertou para um aumento de até 300% nas fraudes digitais e descreveu clonagem de voz, links falsos e manobras no WhatsApp e no Telegram como táticas frequentes.

A regulação teve papel menor que no mês anterior, mas continuou marcando a agenda regional. O Chile avançou no adiamento de sua lei de proteção de dados; o Brasil manteve uma produção normativa intensa, com sanções, guias, sandbox e ajustes de governança; e a Guatemala voltou a impulsionar sua iniciativa de cibersegurança no Congresso. O mês também deixou um sinal claro de maturidade institucional, a ANPD brasileira sancionou Feira de Santana pela exposição de dados médicos sensíveis e consolidou uma linha de supervisão que já não se limita ao aviso.

Panorama regional do mês

A região mostrou pressão elevada porque os fatos verificados não ficaram restritos a um único tipo de incidente nem a um único país. Houve ransomware com impacto operacional, extorsão baseada em roubo de dados, fraude digital em escala industrial, campanhas de influência com IA, exposição de dados pessoais e decisões regulatórias tentando acompanhar um ritmo de mudança que já tinha se desbordado. O risco operacional regional segue alto porque várias dessas frentes convergem sobre a mesma superfície: saúde, governo local, serviços financeiros, telecomunicações e energia.

A leitura qualitativa de outubro é de risco alto. Não por um salto isolado de volume, mas porque o material mostra combinação de alcance, diversidade técnica e exposição sistêmica. O ransomware seguiu entrando por credenciais, acessos remotos e cadeias de terceiros; a fraude reforçou o uso de engenharia social e de usurpação com IA; e a regulação respondeu com mais fiscalização, mais obrigações e mais supervisão sobre dados e plataformas digitais. O sinal dominante não foi uma única família de malware, e sim a normalização de ataques mistos, em que um incidente juridicamente relevante pode começar como golpe, seguir como comprometimento de conta e terminar em extorsão ou vazamento de dados.

O Brasil concentrou o maior peso estrutural do mês por densidade regulatória e pela presença de casos em saúde, energia, setor público e finanças. A ANPD voltou a mostrar capacidade sancionatória, enquanto o ecossistema normativo seguiu se ajustando para Open Finance, LGPD, inteligência artificial e proteção infantil em ambientes digitais. Esse nível de produção não elimina o risco, mas indica um mercado institucional que já trata a cibersegurança como tema de conformidade, governança e continuidade operacional, não apenas como defesa técnica.

A Argentina concentrou a maior visibilidade operacional do período pelo choque entre ransomware, saúde e fraude digital. A combinação de municípios fora do ar, hospitais comprometidos, golpes com IA e casos de deepfakes sexuais mostra um ambiente em que a fronteira entre ciberincidente, crime econômico e dano reputacional ficou porosa. Em termos de ameaça, isso obriga a ler o país não só como um mercado de vítimas, mas como um laboratório de táticas de abuso de identidade, monetização fraudulenta e pressão extorsiva.

Chile, Colômbia e Bolívia trouxeram sinais distintos, mas convergentes. O Chile concentrou o debate sobre infraestrutura crítica, continuidade de energia e conectividade, e uma agenda regulatória que avança para 2027. A Colômbia mostrou uma combinação de exposição técnica, phishing em massa e fraude digital industrializada. A Bolívia, por sua vez, deixou um alerta útil para a região: a fraude já não depende apenas de links ou SMS, mas de voz clonada, manipulação emocional e automação da persuasão.

Indicadores do período

Indicador Outubro 2026 Mês anterior Variação
Fatos verificados do período 847 851 -4
Janela temporal dos indicadores 851 fatos com data em outubro de 2026 · 116 de meses anteriores (marco comparativo, não volume do mês) · 33 sem data confirmada (excluídos dos indicadores) Igual Sem mudanças
Incidentes não tipificados (brechas ou interrupções) 97 61 +36
Casos com ransomware ou extorsão como eixo primário 72 40 +32
Criptografia de ativos confirmada 15 Não informado N/D
Exfiltração sem criptografia (extorsão simples) 5 Não informado N/D
Apenas menção em leak site 1 Não informado N/D
Tipificação não determinável com o material 51 Não informado N/D
Casos de fraude ou phishing documentados 128 190 -62
Movimentos regulatórios documentados 150 322 -172
CVEs críticos mencionados 14 2 +12
Setores com pelo menos um fato documentado 8 8 Sem mudanças
Ameaça predominante do mês Sem classificação (339 de 847 fatos) Regulação (322 de 851 fatos) Mudança de eixo
Fatos com confirmação direta da fonte 73% Não informado N/D
Cifras de telemetria agregada excluídas do volume 4 (tentativas ou bloqueios agregados: não são incidentes com impacto confirmado) Não informado N/D

Leitura dos indicadores

A tabela confirma um mês menos "normativo" que setembro, mas mais pesado em segurança operacional e resposta a incidentes. A queda nos movimentos regulatórios não significa relaxamento, e sim uma mudança de foco, com menos iniciativas visíveis na cobertura e mais fatos desordenados, com tipificação incompleta. O aumento de ransomware e de incidentes sem classificação sugere um mercado de ameaças mais confuso, em que as coberturas jornalísticas e os avisos técnicos ainda não bastam para fechar todas as atribuições.

CRONOLOGIA Fatos verificados do período 1/10 Ocomissárioproprietáriode 1/10 Segundo o DiarioPanorama, a 1/10 Segundo oTiempo, o CSIRT 1/10 Diario Panoramainformou que 1/10 Diario Panoramaindicou que 1/10 AComissãodeCiência,
Cronologia de fatos verificados, outubro de 2026 — Marcos com data confirmada dentro de outubro de 2026. Os fatos de meses anteriores ficam fora da cronologia e são usados apenas como referência comparativa.

Incidentes relevantes

Ransomware da Program Consultores e queda de serviços municipais na Argentina

O caso mais visível do mês foi o ataque à Program Consultores S.A., operadora da plataforma PGM, que tirou do ar sistemas usados por prefeituras de várias províncias argentinas. A cobertura do Diario Popular confirmou a interrupção de trâmites, cobranças de taxas e serviços digitais, enquanto La Voz del Interior ampliou o alcance e falou em cerca de 250 municípios afetados em todo o país. A empresa disse que um programa malicioso criptografou arquivos e deixou servidores inoperantes, e negou roubo ou vazamento de bases de dados.

A relevância do caso não depende só do impacto técnico. O incidente atingiu uma peça de infraestrutura compartilhada, o que amplia o dano em cascata quando a dependência de software centralizado é alta. Em municípios, o efeito prático é duplo: a atenção ao cidadão fica travada e a rastreabilidade administrativa piora, algo especialmente sensível quando ainda há uma exigência de resgate. A própria cobertura mostrou que o debate local acabou girando em torno do modelo de terceirização tecnológica e da resiliência contratual dos fornecedores.

A sequência de informações também deixou um matiz relevante sobre atribuição e alcance. O TiempoSur falou em mais de 250 municípios e comunas de 11 províncias, mas esclareceu que esse número vinha da cobertura local e não de uma auditoria independente. Para a leitura regional, o ponto importante é outro: o ransomware já não atinge só grandes empresas ou órgãos centrais do Estado, mas plataformas que sustentam operações públicas distribuídas. Isso obriga a revisar inventário de dependências, contratos de continuidade e capacidade de recuperação por cliente ou jurisdição.

Campanha com agentes de IA contra a saúde argentina

A CrowdStrike informou em 30 de outubro que, entre maio e agosto de 2026, documentou uma campanha em que um operador hispanofalante comprometeu pelo menos 15 entidades de saúde argentinas. A empresa disse que o atacante usou uma arquitetura de dois agentes baseada em Claude Code, com um agente Supervisor que escolhia a próxima tarefa e um agente Executor que a executava. Segundo a mesma fonte, credenciais e prontuários foram extraídos de pelo menos uma vítima.

A peça é importante porque não descreve IA como simples apoio para escrever phishing ou automatizar scripts, mas como parte do ciclo de decisão e execução do ataque. Esse salto muda a leitura de risco para hospitais e clínicas: não se trata mais só de bloquear mensagens ou anexos, e sim de antecipar cadeias de intrusão mais adaptativas. O IT Brief Asia reforçou essa ideia ao apontar que os agentes tomavam decisões e executavam comandos durante a intrusão, o que diferencia essa campanha de usos superficiais de IA.

A cobertura não identificou publicamente as entidades comprometidas, e isso limita qualquer inferência sobre exposição geográfica ou institucional. Ainda assim, o fato de o material estar na saúde argentina e mencionar exfiltração de credenciais e prontuários o torna uma referência obrigatória do mês. O impacto potencial é evidente: perda de confidencialidade clínica, risco regulatório e maior superfície para fraude posterior, porque credenciais e dados médicos podem alimentar extorsão, falsificação de identidade ou engenharia social.

Hospital Albert Einstein e resposta da Polícia Federal do Brasil

O Hospital Israelita Albert Einstein confirmou que sofreu um ataque cibernético com acesso e obtenção não autorizados de parte de sua base de dados de pacientes. A instituição informou que os dados podiam incluir nome, CPF, data de nascimento, prescrições médicas e resultados de exames, e comunicou o caso à ANPD e à Polícia Federal. Também afirmou que o atendimento aos pacientes não foi afetado.

A Polícia Federal abriu a Operação Insidioso para investigar um grupo suspeito de ataques de ransomware. A cobertura do Metrópoles indicou que a investigação começou após o aviso de uma instituição que disse ter sido vítima, em julho, de um ataque com extração de dados sensíveis. O Correio Braziliense acrescentou que os sistemas e os prontuários eletrônicos continuaram funcionando normalmente, o que aponta para um incidente com impacto em dados, mas não necessariamente com queda operacional ampla.

Esse contraste entre continuidade clínica e exposição de informação é central para entender o padrão brasileiro do mês. O dano nem sempre aparece na forma de sistemas desligados. Às vezes ele se expressa em perda de dados, obrigação de notificação, pressão reputacional e possível extorsão. O caso Einstein também se encaixa na mudança geral do mercado: a exfiltração antes da criptografia, ou mesmo sem criptografia, já faz parte da cadeia usual de monetização.

Huatacondo e a resiliência OT no Chile

O parque solar Huatacondo e seu sistema de armazenamento em baterias seguiram desconectados do Sistema Elétrico Nacional, com disponibilidade de 0% segundo o informe diário do Coordinador Eléctrico Nacional de 27 de outubro. O mesmo registro mantinha como causa a informada em 27 de agosto, "ciberataque a las instalaciones de Huatacondo". O Diario Financiero acrescentou que o Coordinador também vinculou a esse suposto ciberataque a desconexão do transformador TR1 220/23 kV da subestação Santa Rita.

A cobertura não trouxe detalhes técnicos nem autoria, e esse vazio exige cautela. Mas a manutenção da desconexão por dois meses torna o caso relevante pelo valor de sinal. Não importa só se houve um ataque bem-sucedido, mas o fato de a infraestrutura ter ficado com indisponibilidade prolongada e com efeitos no debate público sobre energia crítica, controle supervisor e operação remota. A SolarQuarter e a Energía Futura também informaram que não haviam sido divulgados a identidade dos atacantes nem a data de reconexão.

O Chile aparece aqui como um país em que a cibersegurança industrial já não é uma discussão teórica. A nota da Entel Digital citada pela G5 Noticias colocou transporte e logística, energia, combustíveis, água e saneamento entre as verticais mais afetadas por ransomware em infraestrutura crítica. O caso Huatacondo entra então como parte de uma conversa mais ampla sobre OT, continuidade elétrica e dependência cruzada com telecomunicações.

Shadow Parasite e fraude digital industrializada na Colômbia

A investigação atribuída à Lumu e divulgada pelo Impacto TIC identificou 288 domínios falsos usados para se passar por 47 marcas na Colômbia, incluindo instituições financeiras, carteiras digitais, arrecadadores de pagamentos e empresas de serviços públicos. A Semana acrescentou que a operação começou com 51 domínios e depois escalou para 288, com 246 endereços IP e 29 sistemas autônomos, além de sete gateways de pagamento vinculados. A mecânica incluía captura de senhas, códigos de autenticação e dados de cartões por meio de portais falsos.

O valor do caso está na escala e na disciplina operacional. Não se trata de um site isolado, mas de uma infraestrutura de fraude com capacidade de rotacionar domínios, desviar tráfego e sustentar campanhas de suplantação de marca. Isso se encaixa no que a região vem observando há meses: a fraude se profissionalizou e já funciona como serviço, com níveis de automação que tornam mais difícil distinguir entre uma campanha pontual e uma plataforma estável de monetização.

Shadow Parasite também ajuda a ler a diferença entre exposição e comprometimento. O ColCERT emitiu um alerta sobre 8.699 serviços PHP acessíveis pela internet, mas esclareceu que isso não confirmava um ataque bem-sucedido. Já o Shadow Parasite descreve vítimas diretas do golpe. A distinção importa porque, na Colômbia, o problema parece estar dividido entre a superfície exposta e a fraude de suplantação já implantada em escala.

Golpes com IA e violência digital na Argentina

A Argentina foi o país onde mais se sobrepuseram fraude, identidade e dano digital não clássico. A ESET, em várias coberturas, analisou uma campanha de golpes de investimento que combinou anúncios digitais, engenharia social por telefone, suplantação de meios de comunicação e figuras públicas, além de vídeos ou declarações manipuladas com inteligência artificial. A cobertura mencionou inclusive uma suposta plataforma associada à VT Markets e deepfakes ligados ao presidente Javier Milei e a um projeto fictício de investimento.

O outro lado da mesma dinâmica foi mais escolar e muito mais grave do ponto de vista social. Em Lomas de Zamora, houve denúncia contra alunos por criar e difundir imagens sexuais falsas de colegas, e a Justiça analisou celulares para reconstruir criação, circulação e eventual venda do conteúdo. O La Nación informou que o caso foi encaminhado a uma promotoria juvenil por suposto crime de fabricação e distribuição de imagens sexuais de menores, enquanto o Chequeado lembrou que a Argentina ainda não tem uma figura penal específica para deepfakes sexuais.

A leitura conjunta é incômoda, mas clara. A IA já está sendo usada tanto para roubar dinheiro quanto para fabricar dano reputacional e sexual em ambientes escolares. Não se trata de uma única classe de crime, mas de um conjunto de ferramentas que viabiliza fraude financeira, extorsão, humilhação pública e coerção entre pares. Para as equipes de segurança, isso desloca a discussão do controle técnico puro para uma resposta interdisciplinar com jurídico, RH, compliance e proteção de menores.

OpenAI e a influência encoberta com foco regional

A OpenAI informou em 4 e 8 de outubro que suspendeu contas do ChatGPT originadas na Rússia por uso em operações de influência encobertas voltadas a países da América Latina, com foco especial em Argentina e Bolívia. A empresa disse ter detectado e bloqueado duas operações que usavam a ferramenta para redigir e atualizar relatórios internos, e que uma das redes buscava interferir na política da região. O CyberScoop acrescentou que também foram usadas identidades falsas de jornalistas e think tanks.

A chave desse caso não é apenas a origem das contas, mas a adaptação regional do conteúdo. A operação não se limitou a campanhas genéricas, e tentou instalar narrativas úteis em contextos políticos concretos, com alusões à Argentina e à Bolívia. A OpenAI também mencionou conteúdo falso difundido na Bolívia no fim de maio de 2026, o que mostra uma temporalidade mais longa do que a simples janela de outubro.

Da perspectiva da cibersegurança regional, essas operações não substituem phishing nem ransomware. Elas os complementam. Podem corroer a confiança pública, amplificar rumores e facilitar fraudes, especialmente quando o público já está exposto a deepfakes, contas falsas e clonagem de voz. Em outubro, a sinalização é que a IA não só acelera o ataque, como também acelera a construção de ambientes de credibilidade falsa.

Ameaças e campanhas ativas

Ransomware e extorsão

O mês mostrou um aumento claro da pressão por ransomware e extorsão, embora a tipificação completa tenha seguido incompleta em muitos casos. Dos 72 casos com ransomware ou extorsão como eixo principal, apenas 15 tiveram cifragem de ativos confirmada, 5 foram exfiltração sem cifragem, 1 ficou em mera menção em um leak site e 51 não puderam ser determinados com o material disponível. Essa distribuição é importante porque confirma que o rótulo "ransomware" já não basta para descrever o fenômeno completo.

Na Argentina, a Program Consultores foi o exemplo mais visível de cifragem com impacto operacional. No Brasil, o hospital Einstein e a operação Insidioso se alinham mais com exfiltração, intrusão e pressão criminal do que com interrupção massiva de serviços. Na camada de leak sites, o grupo N0n trouxe outro padrão, uma campanha de extorsão centrada em roubo de dados e ameaça de publicação, com múltiplas referências no Brasil e em outros países da região, mas nem sempre com confirmação pública de intrusão. A fonte da Cyberint chegou a indicar que não havia sido visto ciframento de arquivos e que o portal de vazamentos se apoiava no roubo de dados.

A região também ficou exposta a uma mudança nos alvos preferidos. A análise da Entel Digital citada pela G5 Noticias colocou transporte e logística como o setor mais atingido, seguido por energia, combustíveis, água e saneamento, com saúde e governo também em níveis altos. Isso coincide com o observado no Brasil, Chile e Argentina. A extorsão já não busca apenas dinheiro, quer provocar interrupção em infraestruturas onde o custo político da paralisação é alto.

Fraude e phishing

A queda relativa dos casos de fraude e phishing em relação a setembro não deve ser interpretada como alívio. Outubro seguiu cheio de campanhas de falsificação de identidade, mas com uma composição mais dispersa. A Argentina somou golpes de investimento com IA, fraude bancária por duplicação de chip e uso do celular roubado para operar home banking, além de casos de deepfakes sexuais. A Colômbia mostrou a industrialização da fraude de marca. Bolívia e Chile trouxeram alertas sobre vishing, clonagem de voz e golpes por mensageria.

A fraude bancária por si só deixou sinais concretos. A Justiça argentina condenou o Banco Hipotecario em um caso em que o chip do telefone de uma cliente foi duplicado, houve acesso ao seu home banking e foi contratado um empréstimo em seu nome. Em outra causa, a Câmara de Apelações de Santa Rosa confirmou uma multa contra o Banco de La Pampa por não adotar mecanismos adequados para verificar identidade e detectar operações incomuns após um phishing. São duas decisões diferentes, mas ambas reforçam uma tendência, a responsabilidade sobre autenticação e detecção já não se limita ao usuário.

A dimensão da fraude também aparece na camada de mercado. Na Bolívia, a polícia falou em aumento de até 300% nas fraudes digitais. Na Colômbia, Shadow Parasite demonstrou uma infraestrutura ampla e organizada. Na Argentina, o iProUP informou que o Classiscam usou bots do Telegram para gerar páginas fraudulentas e que o país concentrou 14,3% da atividade latino-americana rastreada nessa amostra. A lição é que o phishing já não opera só por volume, mas por especialização local e personalização do engano.

APT, ciberespionagem e influência

O sinal de APT ou ciberespionagem não foi o dominante do mês, mas deixou rastros suficientes para não ficar fora da leitura regional. A campanha CL-UNK-1211, reportada pelo CSIRT Financeiro da Asobancaria, mostrou o uso de SysGoRAT, web shells e reverse shells contra servidores Linux pertencentes a organizações governamentais e infraestrutura afiliada ao Estado. O aviso não atribuiu a campanha a um grupo estatal específico, mas confirmou capacidades de acesso remoto, execução de comandos e coleta de informações.

Esse tipo de operação se diferencia do ransomware por intenção e persistência. Busca permanecer, reconhecer o ambiente e extrair informações, não apenas monetizar rápido. Embora não seja possível elevar essa campanha a uma série de compromissos concretos em outubro, sua relevância regional está no padrão técnico, abuso de servidores expostos, cadeias de persistência e foco em infraestrutura estatal ou próxima do Estado. Isso é especialmente sensível quando se combina com exposições de PHP, Nextcloud, NetScaler ou Atlassian vistas no mesmo período.

Ao mesmo tempo, a desinformação assistida por IA avançou sobre a fronteira entre influência e fraude. A OpenAI documentou operações encobertas voltadas à América Latina, e isso recoloca na mesa a necessidade de separar propaganda automatizada de simples conteúdo falso. Em termos operacionais, a região enfrenta uma camada híbrida em que o objetivo nem sempre é roubar dados ou cifrar equipamentos, mas condicionar a percepção, corroer a confiança ou preparar o terreno para golpes posteriores.

Vulnerabilidades críticas

As 14 CVEs críticas mencionadas no material se concentram sobretudo em PHP, Collabora, Atlassian e Citrix, com exploração ativa confirmada em vários casos. A concentração em software de infraestrutura e colaboração volta a mostrar que os atacantes estão explorando componentes transversais, e não apenas produtos de nicho.

CVE Software Explotação Fonte
CVE-2026-110447 Collabora Online Built-in CODE Server para Nextcloud (richdocumentscode) Explorada ativamente durante setembro e outubro de 2026, segundo MITRE CVE; o aviso oficial pede atualização para 26.4.303 ou posterior MITRE CVE, Collabora Online, CSIRT Bolivia
CVE-2026-109618 PHP Exploração ativa confirmada pela CISA; afeta runtimes PHP e pode permitir execução remota de código CISA, AWS, Unit 42
CVE-2026-109619 PHP Exploração ativa confirmada pela CISA; afeta runtimes PHP e pode permitir execução remota de código CISA, AWS, Unit 42
CVE-2026-21589 Atlassian Data Center e Server, vários produtos Tentativas de exploração dentro das duas horas posteriores à divulgação pública Atlassian, The Hacker News, CERT-EU
CVE-2026-107406 Citrix NetScaler ADC e Gateway Risco crítico de RCE ou DoS sob certas configurações SAML; a Citrix não conhecia exploits sem mitigação ao publicar o aviso Citrix, SecurityWeek, BleepingComputer
CVE-2025-20265 Fortinet Exploração ativa mencionada no boletim oficial do CISC/MJSP do Brasil gov.br CISC
CVE-2026-42031 CKAN DataStore Listada no boletim oficial do CISC/MJSP como alerta de segurança gov.br CISC
CVE-2026-44277 Fortinet FortiAuthenticator Listada no boletim oficial do CISC/MJSP como alerta de segurança gov.br CISC
CVE não especificado PHP Duas falhas críticas de PHP levaram à suspensão preventiva de sites no Paraguai CERT-PY, cobertura local
CVE não especificado PHP Desabilitar a aplicação não é suficiente, é preciso atualizá-la ou removê-la Collabora Online
CVE não especificado Atlassian Data Center Exploração observada muito pouco tempo depois da divulgação The Hacker News
CVE não especificado Cloudflare Containers Não é um CVE, mas uma exposição cross-tenant corrigida pelo fornecedor Cloudflare, InfoQ
CVE não especificado Fortinet Aviso sobre bypass de autenticação em dispositivos Fortinet gov.br CISC
CVE não especificado SharePoint, CrowdStrike e CKAN Incluídas em boletins de alerta do Brasil, sem vínculo regional específico no material gov.br CISC

A leitura mais importante da seção não é a lista, mas o padrão. O mês combinou exploração ativa, janelas curtas de divulgação e dependência crítica de software exposto à internet. Isso faz com que a higiene de correção continue sendo um problema de primeira ordem na América Latina, agora com um matiz novo: muitas dessas falhas afetam plataformas de colaboração, autenticação ou publicação web que estão no centro de processos empresariais e estatais.

Regulação e conformidade

A regulação de outubro foi menos visível, mas não menos importante. Foi mais cirúrgica. O Chile empurrou a postergação da Lei 21.719 de proteção de dados para 15 de outubro de 2027, com a iniciativa ainda em tramitação ao fim do processo legislativo do mês. O debate expôs o dilema típico da região, como cobrar conformidade quando a institucionalidade responsável pela fiscalização ainda não amadureceu.

O Brasil seguiu em modo de regulação ativa e sancionatória. A ANPD concluiu um processo administrativo sancionador contra a Prefeitura de Feira de Santana por expor no Diário Oficial dados pessoais sensíveis de 1.241 pessoas, com advertência, publicização da infração e medidas corretivas. O caso é relevante porque confirma que a autoridade já não se limita ao setor privado. A autarquia também atualizou seu glossário, publicou versões em inglês da LGPD e manteve seu sandbox de IA em andamento.

Chile, dados pessoais e prorrogação

O Senado chileno aprovou um projeto que adia a vigência da Lei 21.719 para 15 de outubro de 2027. G5 Noticias, TrendTIC e Diario Financiero convergiram no ponto central, a proposta avançou no Senado e depois seguiu para a Câmara de Deputadas e Deputados. O conteúdo substantivo da lei inclui acesso, retificação, supressão, oposição, portabilidade, bloqueio, deveres de informação, segurança e notificação de violações.

O sinal político é que o Chile prioriza tempo de adaptação em vez de execução imediata. A leitura técnica é mais ambígua. O adiamento pode dar fôlego a órgãos e empresas, mas também prolonga a janela de transição em que as novas competências sancionatórias da agência ainda não estão plenamente ativas. As notas da Universidade de Chile e da Varela Abogados apontaram justamente esse problema de instalação institucional. Para a segurança corporativa, isso significa que o padrão regulatório já está desenhado, embora a pressão sancionatória tenha sido deslocada no calendário.

Brasil, ANPD e fiscalização ativa

O Brasil concentrou vários movimentos regulatórios ao longo de outubro. A ANPD concluiu o caso de Feira de Santana, publicou novas entradas em seu glossário, divulgou a segunda parte de seu sandbox de inteligência artificial e manteve uma agenda de fiscalização que abrange sistemas de IA, biometria, transparência de plataformas e proteção infantil. A ficha oficial do Senado também mostra iniciativas em tramitação ligadas a dados pessoais e à proteção de dados como direito fundamental.

O caso Feira de Santana é o mais importante porque traduz a doutrina em sanção concreta. A autoridade detalhou que a exposição de dados médicos sensíveis ocorreu no Diário Oficial do município, identificou seis infrações à LGPD e determinou medidas corretivas, entre elas nomear um encarregado de dados, publicar políticas de privacidade e preparar um plano de resposta a incidentes. Essa combinação de sanção e remediação deve ser lida como um modelo provável para casos semelhantes na região.

México e Guatemala, marcos em movimento

No México, o sinal regulatório esteve mais concentrado em pagamentos, menores e supervisão financeira. A Secretaria de Segurança e Proteção Cidadã divulgou recomendações para fortalecer a segurança de e-mails institucionais, enquanto a Suprema Corte confirmou, segundo a cobertura disponível, a competência da CONDUSEF para sancionar instituições financeiras por descumprimentos regulatórios. Em paralelo, a agenda legislativa seguiu impulsionando regras sobre economia digital e proteção de menores em ambientes digitais.

A Guatemala retomou a iniciativa 6347 de lei de cibersegurança e a levou à discussão no Congresso, com participação prevista do setor bancário e dos autores da proposta. O projeto busca fortalecer a prevenção, a detecção e a resposta diante de ameaças digitais. Embora a tramitação ainda esteja longe de terminar, o simples retorno da iniciativa à agenda mostra que a região segue tentando institucionalizar a resposta antes que a pressão dos incidentes volte a deixá-la para trás.

Países mais afetados na América Latina

Argentina

A Argentina foi o país com maior densidade de fatos visíveis no mês, pela combinação de ransomware, saúde, fraude financeira, golpes com IA e violência digital em escolas. O caso da Program Consultores atingiu municípios de várias províncias e afetou trâmites e cobranças. A campanha da CrowdStrike ampliou a pressão sobre a saúde, com pelo menos 15 entidades comprometidas. A isso se somaram golpes de investimento com IA, casos de deepfakes sexuais e condenações judiciais por fraudes bancárias e uso de identidade falsa.

O país aparece como um nó em que convivem dois riscos, o operacional, com impacto em prefeituras e saúde, e o social, com deepfakes, fraude digital e usurpação de figuras ou instituições. Essa mistura dificulta a defesa porque exige coordenação entre segurança técnica, resposta jurídica e comunicação pública. A leitura de outubro é que a superfície de ataque argentina não é só tecnológica, também é reputacional e educacional.

Chile

O Chile teve um mês centrado em resiliência de infraestrutura crítica, dados pessoais e fraude digital. O caso Huatacondo seguiu como referência de continuidade em OT. A análise da Entel Digital, citada pelo G5 Noticias, colocou transporte e logística no topo das vítimas de ransomware em infraestrutura crítica, seguidos por energia e serviços essenciais. No front regulatório, o país continuou defendendo o adiamento da lei de proteção de dados para 2027.

A principal leitura chilena é de preparação institucional, mas com uma base operacional pressionada pela realidade. O país tenta organizar dados e fiscalização enquanto enfrenta ameaças sobre energia e telecomunicações. Essa combinação de agenda legislativa e pressão sobre infraestrutura crítica o coloca entre os países com melhor debate público, mas também com exposição relevante a incidentes de alta sensibilidade.

Brasil

O Brasil manteve o maior peso em regulação, supervisão e casos de dados pessoais, somado a uma infraestrutura crítica que segue sob pressão. A sanção da ANPD à Feira de Santana, o avanço de seu sandbox de IA e a publicação de glossários e versões da LGPD em inglês confirmam uma institucionalidade ativa. Em paralelo, o Hospital Einstein e outros casos mostram que a exposição de dados continua sendo um problema material.

Em ransomware, o Brasil segue aparecendo com frequência em listagens, leak sites e análises de grupos como N0n, Arcus Media e outros atores monitorados por Brandefense e Cyberint. O país também foi palco de debates sobre energia, transporte e OT, com o Guardião Cibernético como evidência de preparo estatal. Não só concentra atividade, como também define o padrão regulatório mais robusto da região para outubro.

Colômbia

A Colômbia se destacou pela sofisticação do fraude estruturado e pela superfície técnica exposta. O Shadow Parasite mostrou uma operação sofisticada de falsificação de marcas. O ColCERT alertou para milhares de serviços PHP expostos, e o CSIRT Financeiro da Asobancaria informou sobre o SysGoRAT e a campanha CL-UNK-1211 contra servidores Linux de organizações governamentais e vinculadas ao Estado. O país também aparece na cobertura regional por exposição em telecomunicações e energia.

O sinal colombiano de outubro é duplo: muita exposição e muita engenharia social. Há problemas de configuração, serviços abertos e credenciais comprometidas, mas também fraudes digitais cada vez mais profissionalizadas. Isso faz da Colômbia um país especialmente útil para observar como superfície exposta, campanhas de phishing e abuso de identidade se misturam em um mesmo ecossistema.

Bolívia

A Bolívia apareceu menos por incidentes concretos e mais pelo nível de alerta público. A polícia reportou aumento de até 300% nas estafas digitais e descreveu o uso de WhatsApp, Telegram, falsas atualizações bancárias e clonagem de voz com inteligência artificial. A OpenAI também citou a Bolívia como um dos focos de operações de influência encoberta na região.

Isso coloca o país em posição delicada, porque o problema não é apenas o volume de fraude, mas o tipo de narrativa que pode ser construída com IA. A combinação de fraude, pressão política e desinformação automatizada exige capacidades de resposta que cruzem segurança, verificação de conteúdo e proteção do usuário final.

Peru

O Peru teve sobretudo uma leitura de exposição técnica e resposta regulatória comparada. A Agência Andina informou configurações incorretas em servidores e serviços na nuvem, enquanto outros materiais anteriores do mesmo período comparativo mostraram um ecossistema com alta atividade de malware e debate regulatório sobre pagamentos digitais e finanças abertas. Embora este mês não tenha concentrado incidentes de alto perfil no corpo principal, o país ficou exposto como um caso em que a superfície técnica e a regulação financeira seguem em ajuste.

México

O México apareceu mais por regulação, fraude e telemetria de ataques do que por incidentes confirmados no mês. Houve alertas sobre segurança de e-mails institucionais, discussão sobre economia digital, leis de pagamentos e obrigações de proteção infantil em plataformas. O material também mostrou um forte mercado de fraude e phishing com apoio de IA, embora várias peças pertençam ao quadro comparativo. Outubro deixou, ainda assim, um sinal nítido: o país continua sendo um grande centro de pressão para a banca, o comércio digital e a identidade financeira.

Paraguai

O Paraguai apareceu sobretudo em vulnerabilidades críticas e defesa preventiva. O CERT-PY alertou para roubo de contas de WhatsApp por meio de acesso à caixa postal de voz, e a Justiça Eleitoral suspendeu preventivamente seus sites após um alerta ligado a duas falhas críticas de PHP. A combinação é relevante porque mostra uma postura defensiva mais imediata diante de vulnerabilidades exploradas ativamente.

Estados Unidos e cobertura internacional relevante

Embora o foco deste relatório seja a América Latina, alguns fatos fora da região ajudam a entender o ambiente. CrowdStrike, OpenAI, CISA, MITRE, Atlassian, Collabora e Citrix trouxeram alertas e análises que afetam a região pela via do software usado localmente. Não são casos latino-americanos, mas fazem parte da cadeia de risco que acaba impactando equipes na região quando o software exposto é o mesmo.

Tendências e sinais para monitorar

O mês anterior havia sido dominado por regulação, com 322 movimentos documentados. Em outubro, o volume caiu para 150 e o eixo predominante passou a ser o "sem classificação", com 339 de 847 fatos. Isso não significa menor pressão, mas menor capacidade de enquadramento. Quando a ameaça fica sem classificação, costuma haver mais ruído, mais dispersão e mais incidentes cuja tipificação ainda não foi fechada.

A segunda tendência é a alta de ransomware e extorsão em relação ao mês anterior. Sair de 40 para 72 casos com esse eixo primário é uma diferença material. Nem tudo isso implica criptografia e, de fato, o material mostra que a maior parte não pôde ser determinada com precisão. Ainda assim, o dado indica que a extorsão voltou ao centro, sobretudo em saúde, governos locais, energia e transporte.

A terceira sinalização é a queda de fraude e phishing documentados, de 190 para 128. Essa redução não deve ser lida como alívio. Ela parece apontar, na verdade, para um deslocamento em direção a formas mais complexas de fraude, menos fáceis de classificar como phishing clássico. As evidências do mês apontam para deepfakes, vishing, clonagem de voz, portais falsos, golpes de investimento e suplantação de identidade apoiada por IA.

A quarta sinalização é o salto nos CVEs críticos mencionados, de 2 para 14. Isso importa porque outubro foi um mês de infraestrutura exposta e correção urgente. PHP, Atlassian, Collabora e Citrix mostraram que a janela entre divulgação e exploração continua curta. Para a região, isso exige políticas de patch que não dependam de janelas mensais, mas de priorização por exposição pública e criticidade do serviço.

A quinta sinalização é regulatória. Embora o volume tenha caído frente a setembro, as decisões do mês foram mais concretas. O Chile empurrou a lei de dados para 2027, o Brasil sancionou, a Guatemala avançou, o México reforçou diretrizes e proteção infantil, e a conversa sobre IA ficou cada vez mais ligada à governança, fiscalização e proteção de menores. A região já não discute só se deve regular, mas como sustentar a capacidade de cumprir.

Recomendações para equipes de segurança

Equipes de segurança na América Latina devem sair de outubro com três prioridades claras. A primeira é endurecer o controle de acesso e a exposição de serviços críticos, principalmente em softwares de colaboração, autenticação e publicação web. As vulnerabilidades de PHP, Atlassian, Collabora e Citrix mostram que uma parte relevante do risco continua entrando por componentes comuns e muito expostos.

A segunda prioridade é assumir que a fraude com IA já faz parte do perímetro de segurança. Isso exige reforçar a verificação de identidade, o monitoramento de falsificação de marca, os canais de denúncia, a detecção de vishing e os procedimentos de validação fora de banda. Também exige treinar atendimento ao cliente e áreas de operações para reconhecer mudanças de voz, pressão de tempo e narrativas sintéticas de urgência.

A terceira prioridade é preparar a resposta a incidentes com foco em extorsão, não apenas em criptografia. Em outubro, ficou claro que muitos ataques passam por exfiltração ou pela ameaça de publicação antes de qualquer bloqueio de sistemas. Isso exige planos que contemplem revisão de logs, rotação de credenciais, preservação de evidências, comunicação regulatória e gestão de crise reputacional.

Os setores mais expostos devem revisar dependências compartilhadas. Prefeituras, saúde, energia, transporte e telecomunicações precisam de inventários de terceiros, testes de continuidade e exercícios de recuperação. Se o sistema de um fornecedor cair, o cliente precisa saber o que será interrompido, quanto tempo leva para voltar e quem aprova a restauração. A resiliência deixa de ser um conceito abstrato quando uma plataforma de uso compartilhado pode deixar centenas de entidades fora de operação.

Também convém elevar a vigilância sobre campanhas regionais de fraude. Shadow Parasite, Classiscam, os golpes de investimento com IA e os deepfakes sexuais mostram que o crime localiza muito bem sua mensagem. A defesa, portanto, também precisa ser local, marca, linguagem, meios usados pela vítima, canais de suporte e padrões de pagamento. A prevenção genérica já não basta.

Perguntas frequentes

O que mudou entre setembro e outubro na leitura regional de risco?

Outubro deixou uma agenda dominada por regulação e passou a uma pauta mais fragmentada, com mais ransomware, mais incidentes sem tipificação e queda do fraude clássico documentado. O material deste mês mostra menos ordem normativa e mais pressão operacional sobre saúde, municípios, energia e fraude com IA, segundo as seções de Indicadores, Incidentes e Tendências.

Qual país teve o impacto operacional mais visível do mês e por quê?

A Argentina concentrou o caso mais visível por causa do ransomware contra a Program Consultores, que deixou sem serviço municípios de várias províncias, e da campanha de IA contra a saúde que atingiu ao menos 15 entidades. A combinação dessas duas frentes, somada ao fraude digital e aos deepfakes escolares, explica seu peso em Países mais afetados e Incidentes relevantes.

O aumento de ransomware significa que houve mais criptografia confirmada?

Não. O indicador sobe para 72 casos com eixo primário, mas apenas 15 tiveram criptografia confirmada, 5 foram exfiltração sem criptografia, 1 ficou como menção em leak site e 51 não puderam ser tipificados. Essa diferença entre volume e natureza do impacto é explicada em Indicadores e Ameaças e campanhas ativas.

Quais vulnerabilidades devem preocupar mais uma equipe regional agora?

As de PHP, Atlassian, Collabora e Citrix, porque combinam criticidade alta, exposição pública e exploração rápida. O material do mês inclui casos de exploração ativa em PHP e Collabora, tentativas de exploração pouco depois da divulgação da Atlassian e riscos graves em NetScaler. A tabela de Vulnerabilidades críticas resume a leitura.

Qual a relação entre fraude com IA e incidentes tradicionais de cibersegurança?

A relação é operacional, e não apenas conceitual. A fraude com IA já alimenta phishing, vishing, falsificação de identidade, deepfakes e golpes de investimento, e pode acabar em acesso a contas, perdas financeiras ou extorsão. Outubro mostrou essa conexão na Argentina, na Colômbia e na Bolívia, e a desenvolveu em Incidentes relevantes e Ameaças e campanhas ativas.

O que um CISO deve monitorar em saúde, energia ou governo local durante novembro?

Credenciais, fornecedores compartilhados, exposição de serviços web, campanhas de extorsão com publicação de dados e falsificação de identidade com IA. Outubro mostrou que esses setores são alvos recorrentes e que o dano pode ser operacional, legal ou reputacional. As seções de Panorama regional, Países mais afetados e Recomendações para equipes de segurança detalham isso.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido e com a janela temporal declarada para outubro de 2026. Os fatos do bloco comparativo foram usados apenas como referência de evolução e foram mencionados com seu mês explícito quando coube. Os 33 fatos sem data confirmada ficaram excluídos dos indicadores e só podem ser usados como contexto qualitativo se essa limitação for esclarecida.

Um indicador em zero não significa ausência do fenômeno na região, mas ausência de registro no material analisado. Isso vale especialmente para CVEs e para qualquer categoria que não tenha aparecido com evidência suficiente no corpus. Da mesma forma, a queda ou a alta de uma categoria não pode ser interpretada como total regional, mas como sinal da cobertura documentada neste período.

As cifras de telemetria agregada não foram contadas como incidentes porque descrevem tentativas, bloqueios ou medições de volume, e não intrusões confirmadas. Tampouco foram usadas como prova de aumento de risco. Quando foram mencionadas, ficaram atribuídas ao vendor e à sua janela temporal, segundo as regras de integridade do material.

Este relatório também excluiu como base de afirmações as publicações em redes sociais e os conteúdos patrocinados ou comerciais que não estão na lista de fontes permitidas. Quando uma cobertura não foi respaldada por uma fonte primária ou por um aviso técnico ou oficial, ela foi tratada com cautela ou deixada fora da leitura principal. Isso afeta sobretudo algumas referências secundárias a leaks, campanhas de fraude e atribuições técnicas.

Fontes