Atividade de ransomware na América Latina, Jun/2026

Ameaças e campanhas ativas

Ransomware e extorsão

A ameaça dominante do mês foi o ransomware em formato de extorsão, com impacto operacional. Os 20 casos de ransomware ou extorsão documentados se distribuem entre incidentes com vítimas confirmadas, menções a campanhas e reportes de atividade global que alcançam a América Latina. O padrão mais consistente é a pressão sobre serviços em que a restauração tem custo alto, especialmente sanatórios, empresas de medicina privada, clínicas e, no caso do Brasil, organizações com ampla exposição corporativa.

Qilin aparece como um dos nomes mais visíveis do mês. A Revista Ciberseguridad o posicionou como o grupo mais ativo em maio em nível global e o El Heraldo de Puebla o vinculou a incidentes no Brasil e no Chile durante a primeira semana de junho. Isso não permite atribuir com certeza todos os ataques regionais a uma única campanha, mas mostra um operador com tração suficiente para manter presença contínua no início do mês. LockBit5 também figura como ator relevante no radar de Daniel Donda, com 22 publicações observadas em uma semana de junho e 100 organizações afetadas globalmente nesse intervalo.

A combinação de atores e setores sugere uma extorsão que prioriza o tempo de resposta da vítima. O ataque a sanatórios paraguaios obrigou a operação manual. Esse detalhe é decisivo, porque indica que o efeito buscado não é apenas o criptografamento de arquivos, mas a alteração do fluxo operacional. Na saúde privada, esse impacto tem custo direto sobre atendimento, agendamentos, faturamento e coordenação entre áreas. Na prática, isso aumenta a probabilidade de pressão por uma recuperação acelerada, mesmo quando o pagamento não é confirmado publicamente.

Fraude, phishing e acesso inicial

Embora o eixo deste informe seja ransomware, o material do mês mostra que o acesso inicial continua apoiado em fraudes e phishing. A ITware Latam, citando o Relatório Fortinet 2026, indicou que o phishing representa 76% e o ransomware 50% dos vetores de ataque apontados por organizações industriais da América Latina. A CronUp, por sua vez, informou campanhas que distribuíam infostealers por meio de falsas promoções do Spotify Premium e de jogos pirateados, com impacto em usuários de língua espanhola, inclusive da América Latina. Não são incidentes de ransomware em sentido estrito, mas fazem parte do funil que termina facilitando credenciais roubadas e invasão posterior.

O sinal é importante porque as campanhas de extorsão não se limitam ao criptografamento final. A obtenção de credenciais, o abuso de acesso remoto e a engenharia social seguem como mecanismos de preparação. As fontes disponíveis para junho mostram um ecossistema em que phishing, falsificação de serviços e distribuição de malware roubador de informações convivem com a operação de ransomware. Em termos defensivos, isso obriga a revisar e-mail, navegação, autenticação e exposição remota como parte de uma mesma cadeia de risco.

APT e hacktivismo

Não houve material verificável no período que permita descrever com precisão uma campanha APT ou de hacktivismo diretamente vinculada ao eixo de ransomware na América Latina. A leitura dominante segue sendo criminal, com foco em extorsão, vazamento e pressão operacional. Por isso esta subseção fica sem expansão temática adicional, além de assinalar que o mês não ofereceu evidência suficiente para incorporar uma narrativa técnica distinta da do ransomware e de seus precursores de acesso inicial.

Vulnerabilidades críticas

Não foram registrados CVEs críticos verificáveis no material fornecido para junho de 2026.

Regulação e conformidade

No campo regulatório, o mês trouxe duas sinalizações documentadas. A ITware Latam informou que 89% dos líderes industriais entrevistados na América Latina esperam aumento nas regulações de cibersegurança nos próximos cinco anos. O dado não estabelece uma norma nem uma medida concreta, mas indica a expectativa de um ambiente de conformidade mais rígido, impulsionada por incidentes recorrentes e pela pressão sobre setores industriais e de infraestrutura.

A segunda sinalização aparece na leitura corporativa e setorial que acompanha o risco. O relatório da Fortinet citado pela ITware Latam aponta que 71% dos responsáveis por cibersegurança industrial na América Latina relataram entre uma e nove intrusões no último ano, ante 47% no período anterior. A mesma análise acrescenta que apenas 24% viram impacto simultâneo em TI e OT, contra 60% de 2025, e atribui essa redução a uma melhor segmentação de redes. Em termos de conformidade, isso sugere que a pressão regulatória e a exigência de segmentação começam a se converter em decisões técnicas.

Não houve no material disponível movimentos regulatórios de alcance nacional especificamente associados a ransomware em junho, nem sanções, nem novas obrigações concretas detalhadas por país. A leitura válida é que o mês deixou expectativa de maior regulação e uma discussão mais madura sobre resiliência, mas não um pacote normativo identificado que possa ser atribuído sem ambiguidade à evidência fornecida.

Países mais afetados na América Latina

Brasil

O Brasil concentra boa parte da superfície de risco do mês. O país aparece no relatório patrocinado por Valor Econômico com alta de 25% nos ataques de ransomware e média de 3.736 ataques cibernéticos por semana por organização em fevereiro. A Dinamio o coloca entre os países mais impactados por ransomware em março, com 1,8% dos ataques globais reportados. Soma-se a isso a menção da Qilin a uma empresa alimentícia brasileira dentro de uma campanha transnacional.

A leitura para o Brasil é a de um mercado muito exposto, em que o risco não se limita a um único incidente. O material disponível aponta para exposição de serviços remotos, credenciais comprometidas e pressão ampla sobre organizações grandes e médias. A combinação de escala, conectividade e persistência dos ataques faz do país um alvo natural para operadores de extorsão em busca de retorno rápido.

México

O México aparece com duas camadas de sinal. A primeira é o volume de ataques e a menção a tentativas em massa, com 237 mil ataques de ransomware reportados por Radio Fórmula e 337 milhões de tentativas de ciberataques em 90 dias divulgados por Fortinet e Indigo MTY. A segunda é mais específica e vem do Banxico, que em seu informe sobre o sistema financeiro apontou incidentes cibernéticos em 2026, incluindo famílias de ransomware como LockBit e Qilin.

Isso coloca o México em uma situação de pressão dupla, com alto volume geral e presença concreta de ransomware em entidades financeiras. As informações de junho não permitem associar todos esses dados a uma única vítima ou a uma única campanha, mas deixam claro que o país combina grande superfície, criticidade setorial e presença de atores já reconhecidos em outras partes da região. Para equipes de segurança, isso significa que o risco não está só na banca, mas em fornecedores e cadeias conectadas.

Paraguai

O Paraguai foi o país com o incidente mais operacional do mês no material disponível. A cobertura local descreve um ciberataque massivo por ransomware que afetou vários sanatórios privados e empresas de medicina privada, com impacto sobre Migone, Grupo Britânico, Reyva, Las Lomas e Santa Clara. A operação manual forçada é um sinal de disrupção material, não apenas de exposição teórica.

O caso paraguaio também lembra que organizações de saúde privada podem ter um nível alto de interdependência, mesmo quando o incidente se manifesta em marcas ou unidades diferentes. Para ransomware, isso amplia o efeito de um acesso comprometido. Se um atacante alcança sistemas compartilhados, o dano se propaga da infraestrutura digital para a operação diária. Em junho, o Paraguai não teve apenas um caso, teve um caso que alterou diretamente o modo de trabalho de várias entidades de saúde.

Chile

O Chile aparece a partir da referência a uma clínica afetada na campanha atribuída à Qilin. O material não permite identificar a vítima nem ampliar o alcance com outros fatos locais no mês, mas confirma que o país esteve dentro da geografia atingida pelo grupo. Para uma clínica, a lógica de impacto é clara, porque o ransomware em saúde interrompe agenda, atendimento, registros e coordenação interna.

Embora o número de fatos documentados no Chile seja menor que no Brasil, no México ou no Paraguai, o sinal é relevante pela natureza do setor envolvido. Em junho, o Chile não fica fora do mapa regional de extorsão, apenas aparece com menor densidade de informação pública verificável.

Argentina

A Argentina segue como país de alta pressão regional segundo os dados da Check Point Research divulgados por Itsitio, com 2.470 ciberataques semanais por organização em maio. Não há no pacote de junho uma vítima argentina de ransomware detalhada o suficiente para abrir um caso próprio, mas a exposição geral é significativa. Em ambientes assim, o risco de ransomware cresce pela acumulação de superfície e pela probabilidade de compromissos iniciais em e-mail, VPN ou serviços expostos.

A ausência de um caso concreto não elimina a importância do país no mapa regional. Antes, sugere que, em junho, a visibilidade pública se concentrou em outros focos, enquanto a Argentina seguiu sob pressão de base.

Colômbia

Não houve material verificável em junho que permita atribuir à Colômbia um caso de ransomware ou extorsão confirmado dentro deste eixo. A leitura deve ficar limitada a essa ausência de fatos documentados na evidência fornecida.

Bolívia

Não houve material verificável em junho que permita atribuir à Bolívia um caso de ransomware ou extorsão confirmado dentro deste eixo. A leitura deve ficar limitada a essa ausência de fatos documentados na evidência fornecida.

Peru

Não houve material verificável em junho que permita atribuir ao Peru um caso de ransomware ou extorsão confirmado dentro deste eixo. A leitura deve ficar limitada a essa ausência de fatos documentados na evidência fornecida.

Estados Unidos

Não houve material verificável em junho que permita atribuir aos Estados Unidos um caso dentro do alcance regional deste relatório. A menção fica apenas como país incluído na taxonomia solicitada, sem fatos documentados no material fornecido para este período.

Tendências e sinais a monitorar

Não há base comparativa do mês anterior, porque este é o primeiro período arquivado com esse formato de indicadores para a América Latina. Isso impede ler a variação mensal como uma série histórica formal. Ainda assim, o material de junho traz três sinais úteis para monitoramento imediato.

O primeiro é a consolidação da saúde privada como setor sensível. O Paraguai trouxe o caso mais visível, mas a referência a uma clínica no Chile e a leitura global sobre Qilin mostram que o setor continua sendo um alvo prioritário. Onde há agendamentos, sistemas clínicos, faturamento e atendimento ao paciente, o custo da indisponibilidade é alto, e o incentivo à extorsão também.

O segundo é a persistência de Brasil e México como geografias de pressão. O Brasil combina aumento reportado de ataques, exposição de serviços e acesso remoto vulnerável. O México combina volume de tentativas, incidentes no sistema financeiro e famílias de ransomware já observadas em relatórios oficiais. Para os dois países, o sinal mais importante não é um episódio isolado, e sim a continuidade de um ambiente amplo de ataque.

O terceiro é o peso de campanhas que misturam phishing, stealers e acesso inicial com extorsão posterior. CronUp e ITware Latam mostram que o phishing segue como vetor central, enquanto promoções falsas e jogos pirateados servem para coletar credenciais ou instalar malware. Isso significa que a defesa contra ransomware na região não pode se concentrar só em backup e restauração. Ela precisa começar antes, em identidade, e-mail, exposição remota e controle de endpoints.

Recomendações para equipes de segurança

A primeira prioridade é revisar exposição remota e credenciais privilegiadas. O material de junho volta a apontar vetores clássicos como VPN, RDP e RDWeb expostos, além de credenciais comprometidas. Para as equipes de segurança, isso exige inventário exaustivo dos serviços publicados, MFA obrigatória sempre que possível, revisão de acessos legados e validação de que as contas privilegiadas não tenham reutilização de senhas nem privilégios excessivos.

A segunda prioridade é segmentar de fato os ambientes críticos. O relatório da Fortinet citado pela ITware Latam sugere que a melhor segmentação ajudou a reduzir o impacto simultâneo sobre TI e OT. O dado é relevante porque liga uma medida de arquitetura a uma redução concreta do dano. Em organizações de saúde, indústria ou serviços, segmentar não é apenas uma decisão de rede, também é uma forma de limitar o movimento lateral e proteger processos que não podem ficar indisponíveis.

A terceira prioridade é melhorar a resposta operacional para cenários de trabalho manual. O caso paraguaio mostrou que vários sanatórios precisaram voltar ao papel ou a procedimentos manuais. Esse tipo de fallback precisa estar ensaiado antes do incidente. Formulários, fluxos de autorização, telefones de contingência, critérios para continuidade clínica e procedimentos de faturamento devem existir e ser exercitados. Sem isso, a alternativa manual vira improviso sob pressão.

A quarta prioridade é reforçar e-mail, navegação e treinamento específico sobre phishing e stealers. O ecossistema do mês segue mostrando campanhas com iscas de serviços conhecidos, software pirata e ofertas falsas. Não se trata de capacitação genérica, mas de controles técnicos e comportamentais concretos, como bloqueio de anexos executáveis, revisão de links, isolamento de navegação arriscada e alertas sobre falsos instaladores ou atualizações.

A quinta prioridade é revisar a capacidade de restauração, não apenas o backup. O fato de um país registrar mais ataques ou de uma organização ter backup não garante recuperação rápida. É preciso testar restaurações completas, validar tempos de reconstrução, verificar a integridade dos backups e separar as credenciais de backup da rede produtiva. Os dados de junho sugerem que a distância entre ter cópias e voltar a operar segue sendo um ponto fraco relevante.

A sexta prioridade é fortalecer o monitoramento de vazamento e de sites de extorsão. Embora em vários casos do mês não tenha havido confirmação de publicação de dados, o modelo atual de ransomware depende muito da ameaça de exposição. As equipes devem monitorar menções à sua marca, unidades, fornecedores e grupos empresariais, porque incidentes com estrutura de conglomerado, como o da saúde privada no Paraguai, costumam se expandir de uma entidade para outra.

Limitações do material

Este informe foi construído exclusivamente com o material fornecido para junho de 2026. Não foram usadas fontes externas nem navegação na internet. Isso impõe limites concretos sobre a atribuição de vítimas, técnicas e grupos em alguns fatos que aparecem apenas como referências parciais ou como cobertura indireta.

Vários materiais mencionam grupos e países sem detalhar vítimas completas, alcance técnico nem confirmação independente adicional. Nesses casos, a redação se limitou ao que era verificável. Também há peças que tratam de incidentes cibernéticos ou de pressão geral sobre a região, mas não permitem classificar cada caso como ransomware com total precisão. Quando isso ocorreu, foi priorizado o dado explícito da fonte em vez de qualquer inferência.

Não foram incluídas fontes de redes sociais como evidência, embora algumas aparecessem no pacote de research, porque a diretriz editorial as exclui da lista de citação. Também não foram incorporados IoCs, porque o material disponível para junho não traz hashes, domínios ou IPs verificáveis publicados por uma fonte apta para este informe.

Por fim, o indicador de 82% de fatos com confirmação direta da fonte descreve a qualidade do sinal documental do mês, não uma medição operacional do fenômeno em si. Os 28 incidentes documentados e os 20 casos de ransomware ou extorsão refletem o universo verificado neste arquivo, não o total real de atividade na região.