Atividade de ransomware na América Latina, julho de 2026

Ameaças e campanhas ativas

Criptografia de ativos confirmada

O mês registrou 21 casos com criptografia de ativos confirmada entre os fatos verificados. O material não permite vincular cada um a uma vítima específica nesta nota sem repetir desnecessariamente a base, mas deixa uma leitura tática útil. Onde a criptografia foi confirmada, o problema deixa de ser apenas extorsão e passa a ser operacional, com impacto direto em disponibilidade, restauração e dependência de backups.

As fontes que contextualizam esse tipo de atividade apontam vetores recorrentes. CSO Online e Brandefense destacam o uso de VPNs vulneráveis e credenciais legítimas, enquanto Infosecurity Magazine e AhnLab ressaltam o peso dos grupos mais ativos e dos ambientes perimetrais. Na América Latina, isso coincide com organizações que ainda mantêm acessos remotos mal segmentados e sem autenticação forte em todos os pontos sensíveis.

Exfiltração sem criptografia, extorsão simples

Os 8 casos classificados como exfiltração sem criptografia confirmam que a extorsão já não depende necessariamente de bloquear sistemas. Basta entrar, copiar dados e pressionar com publicação ou venda secundária. Em setores como saúde, comércio e Estado, esse modelo pode ser mais rentável do que criptografar tudo, porque permite manter a operação da vítima enquanto aumenta a pressão pública.

O caso SPDM se encaixa parcialmente nessa lógica, já que o material reporta 847 GB de dados reivindicados. A mesma leitura vale, em outro plano, para a menção ao Ejército Argentino com atividade de infostealer relacionada. Em ambos os casos, o risco não está apenas na intrusão inicial, mas na circulação posterior de credenciais ou dados sensíveis.

A exfiltração simples exige defesas diferentes das pensadas para ransomware clássico. Não basta proteger o backup se o adversário já saiu com informações. Aqui importam DLP, controle de saída, inventário de dados sensíveis, registros de transferência e capacidade de detectar despejo massivo ou compressão anômala.

Apenas menção em leak site

Os 5 fatos que ficaram apenas em menção em leak site lembram que a pressão criminosa também opera no plano narrativo. O claim público, por si só, pode forçar a vítima a responder, mesmo sem evidência suficiente de acesso real. The Gentlemen e o caso de Mercado Libre Argentina ilustram esse ponto com clareza.

Para um CISO, essas menções importam por três motivos. Primeiro, porque antecipam possível escalada. Segundo, porque exigem contraste rápido com logs, EDR, autenticação e telemetria interna. Terceiro, porque podem alimentar consultas de imprensa, clientes e reguladores antes que exista uma imagem técnica completa.

Tipificação não determinável com o material

A categoria mais ampla do mês, com 128 fatos, foi a de tipificação não determinável. Isso não é uma falha menor do relatório. Faz parte do fenômeno. Muita cobertura jornalística e de inteligência em julho menciona ransomware, extorsão ou leak sites sem documentar de forma suficiente se houve criptografia, apenas exfiltração ou mera reivindicação.

Essa ambiguidade deveria preocupar as equipes de segurança. Quando a comunicação externa não distingue o modo de impacto, a resposta interna tende a se misturar. E isso leva a erros de priorização, por exemplo, tratar como incidente de disponibilidade um caso que exige primeiro contenção de identidade e evidência de exfiltração, ou o contrário.

Fraude e phishing

Houve 7 casos de fraude ou phishing documentados no período. Não competem com ransomware como eixo dominante, mas ajudam a alimentá-lo. O material de ESET, Aufiero Informática e outras fontes lembra que o acesso inicial ainda depende muitas vezes de e-mail falso, credenciais comprometidas e software desatualizado. No plano operacional, phishing e fraude continuam sendo a porta de entrada de muitos claims de ransomware.

APT e hacktivismo

O mês não mostrou predominância de APT ou hacktivismo na amostra, mas deixou sinais compatíveis com campanhas de pressão persistentes sobre organismos públicos e de defesa. O caso Ejército Argentino e alguns registros sobre infraestrutura crítica fora da região ajudam a contextualizar o risco, embora não substituam evidência local de um ator APT puro. Em julho, o material fala mais de ciberextorsão organizada do que de espionagem sofisticada.

Vulnerabilidades críticas

O indicador de CVEs críticos mencionados foi 1. Isso significa que, no material analisado, houve uma única referência crítica desse tipo, e não que não existam outras vulnerabilidades exploradas na região. A ausência de mais CVEs nesta amostra não deve ser interpretada como ausência de risco técnico.

A menção ao CVE-2023-20269 se encaixa em um padrão mais amplo de exposição de perímetro. As fontes do mês também citam VPNs da Ivanti, Fortinet, Cisco, Citrix, SonicWall, GlobalProtect e dispositivos de borda como o NetScaler ADC. Embora nem todos apareçam como CVEs críticos no material, a leitura operacional é a mesma: o perímetro segue sendo o ponto de entrada preferido quando a organização não endurece o acesso remoto e não exige MFA.

Regulação e compliance

Julho também trouxe movimentação regulatória no Brasil, e isso está longe de ser um detalhe lateral. O Portal Information Management informou que a Lei nº 15.352/2026 transformou a ANPD em autarquia de natureza especial, com poderes ampliados de fiscalização sobre dados sensíveis, incluindo os de saúde. O mesmo material citou a Resolução CFM nº 2.454/2026, primeiro marco brasileiro sobre o uso de inteligência artificial na medicina, em vigor desde agosto.

A leitura regulatória é dupla. De um lado, as autoridades brasileiras parecem responder ao aumento dos incidentes com mais capacidade de supervisão e regras específicas para IA na saúde. De outro, esse endurecimento ocorre num cenário em que os ataques não são apenas sofisticados, mas também favorecidos por falhas básicas de governança, tráfego de dados por canais não criptografados e configurações fracas na nuvem.

Em termos de compliance, o setor de saúde brasileiro surge como o mais exposto ao atrito entre segurança, continuidade assistencial e obrigações de proteção de dados. As fontes do mês insistem que boa parte do risco atual vem de erros operacionais, falta de segmentação e ausência de MFA em contas privilegiadas. Isso obriga a revisar não só a segurança técnica, mas também a governança de terceiros, provedores de cloud e contratos de tratamento de dados.

Países mais afetados na América Latina

Brasil

O Brasil foi, de longe, o país mais visível do mês em volume, recorrência setorial e variedade de grupos associados. As evidências do período colocam o país como epicentro regional do ransomware em saúde e como um dos maiores alvos globais do segmento. A ESET o reportou com mais de 100 vítimas no primeiro semestre de 2026, e outras fontes do mês reforçaram essa centralidade com 99 incidentes acumulados desde janeiro, 195 instâncias de telemetria entre janeiro e maio e uma concentração de 51% das ocorrências regionais em saúde.

O ponto-chave não é só a quantidade. É a estrutura. Os casos brasileiros que aparecem no material atingem hospitais e clínicas, provedores de saúde, configurações em nuvem, hipervisores e o ecossistema de tecnologia médica. SPDM e Global Secret Group ilustram a pressão sobre grandes prestadores. SINDPD e Portal Information Management mostram uma superfície sistêmica em que a continuidade assistencial e a proteção de dados estão sob pressão ao mesmo tempo. Cafe com Bytes acrescenta que LockBit 5 e The Gentlemen lideram em vítimas no país, sinal de um mercado criminal fragmentado e competitivo.

Argentina

A Argentina teve uma das sinalizações mais visíveis do mês por causa do caso Ejército Argentino e da menção a Mercado Libre Argentina. A ESET a colocou com 39 vítimas no primeiro semestre de 2026, e os trackers de ransomware citados pelo material mostram entre 169 e 174 vítimas históricas nos mapas de inteligência, muito acima do que aparece em painéis restritos. Isso sugere uma exposição contínua, e não um episódio isolado.

O caso Ejército Argentino é relevante pelo alvo, pelo grupo e pela combinação com atividade de infostealer. Já a menção a Mercado Libre funciona como exemplo de pressão extorsiva sem confirmação pública de intrusão. Juntos, os dois casos mostram que a Argentina combina alvos de alta visibilidade com pressão criminosa oportunista, e que os claims públicos podem gerar dano operacional e reputacional mesmo antes de a intrusão ser tecnicamente comprovada.

Bolívia

A Bolívia teve um único caso claramente verificável em julho, mas nem por isso menos relevante. Krybit reivindicou o ataque ao SEPREC e ransomware.live registrou a vítima em 7 de julho. O sinal é importante porque mostra impacto sobre uma entidade estatal com função registral, ou seja, um alvo em que a extorsão pode buscar não só pagamento, mas também visibilidade e pressão institucional.

As evidências disponíveis não permitem afirmar a extensão exata do comprometimento. Mas deixam claro que a Bolívia não ficou à margem do mapa regional e que os operadores de ransomware também miram órgãos da administração pública com menor capacidade de redundância que as grandes empresas privadas.

Colômbia

A Colômbia aparece no material mais como contexto do que como sequência de incidentes confirmados em julho. A ESET a situou com 33 vítimas no primeiro semestre de 2026, e várias fontes do período a mencionam como parte da pressão regional sobre governos e órgãos públicos. Além disso, o material de pesquisa inclui referências a campanhas e achados de outros países que contextualizam sua exposição por meio de acesso remoto e configurações expostas.

Não houve em julho, dentro do material verificável, um incidente colombiano com o mesmo nível de confirmação que Argentina, Brasil ou Bolívia. Por isso, a leitura por país precisa ser prudente. A Colômbia aparece como um território com risco contínuo e presença no mapa regional, mas não como principal foco dos fatos documentados do mês.

México

O México se manteve entre os países mais afetados da região, com quase 80 vítimas no primeiro semestre de 2026 segundo a ESET. Em julho, porém, o material disponível para este eixo não trouxe um caso de ransomware latino-americano tão nítido quanto os da Argentina, Bolívia ou Brasil. O que há é contexto de exposição e pressão regional, além da posição do país entre os alvos persistentes de operadores globais.

Para a leitura regional, o México importa porque costuma combinar alta exposição de grandes organizações com complexidade regulatória e alcance transfronteiriço. Embora este informe não atribua ao país um caso confirmado de ransomware do mês, ele segue aparecendo na geografia da ameaça e não deve sair da prioridade de monitoramento.

Paraguai

O Paraguai não teve um fato confirmado no material do mês dentro do escopo verificável. Há apenas um comentário sem data confirmada sobre sanatórios obrigados a voltar ao papel, mas a fonte não permite usar isso como volume do período. Na prática, isso significa que não há base suficiente para atribuir ao país um incidente de julho, embora o contexto regional sugira exposição ao mesmo tipo de vetores visto no restante do Cone Sul.

Peru

O Peru também não registrou um fato confirmado de ransomware em julho dentro do material verificável. A menção ao Centro Nacional de Segurança Digital na lista de fontes serve apenas como contexto de disponibilidade documental, não como incidente do período. A ausência de casos verificáveis não deve ser lida como baixa exposição, e sim como falta de sinal confirmado na amostra analisada.

Chile

O Chile aparece de forma mais clara no plano de telemetria e detecção, com sinais de Qilin no primeiro semestre de 2026 segundo a ESET, mas sem um incidente verificado de julho dentro do material deste eixo. Por isso, não há volume mensal confirmado a atribuir nesta nota. Ainda assim, a menção a famílias ativas no país ajuda a sustentar a leitura de um ecossistema regional em que os grupos mais ativos operam de forma transnacional.

Tendências e sinais para monitorar

A comparação com junho mostra uma forte expansão do volume verificado. A passagem de 74 para 241 ocorrências é um salto que não se explica por telemetria, já que a telemetria ficou excluída da contagem. O crescimento também aparece nos casos com ransomware ou extorsão como eixo principal, que subiram de 56 para 162. Em outras palavras, julho não foi apenas um mês com mais notícias, mas um mês com mais sinal verificado de extorsão.

A leitura mais importante é que o mercado criminoso aparece fragmentado e, ao mesmo tempo, mais profissionalizado. Qilin, DragonForce, Akira, LockBit 5, The Gentlemen, Global Secret Group e Krybit coexistem no material como marcas ativas ou em ascensão. Isso sugere que o problema não está concentrado em um único ator dominante, mas em vários operadores capazes de compartilhar infraestrutura, métodos e afiliados. Para a defesa, isso significa que bloquear uma família não elimina o risco.

Outro sinal para monitorar é o deslocamento para serviços e infraestrutura de borda. CSO Online e Brandefense insistiram no uso de VPNs vulneráveis e no abuso de credenciais legítimas. O material de Estado de Minas acrescenta que, no Brasil e na região, os atacantes estão mirando hipervisores como VMware ESXi, Hyper-V e Nutanix, em ambientes com MFA fraco e backups expostos. Essa combinação pode transformar uma intrusão relativamente banal em uma paralisação operacional prolongada.

A saúde segue como o setor mais sensível. Não só pela frequência, mas pelo custo reputacional e operacional de cada incidente. O Brasil concentra 51% das ocorrências regionais em saúde segundo várias das fontes citadas em julho, e os dados de mercado do país reforçam o apelo criminoso do setor. Se essa relação entre valor do dado, urgência assistencial e exposição técnica se mantiver, é razoável esperar que a saúde continue como o primeiro alvo de extorsão na região.

O outro sinal a acompanhar é a qualidade da atribuição pública. Em julho houve muitas menções em leak sites e várias fontes não conseguiram verificar com exatidão o impacto técnico. Isso obriga as equipes de segurança a trabalhar com mais disciplina na classificação interna. Um claim sem criptografia não recebe a mesma resposta que uma intrusão com exfiltração confirmada. A diferença, na operação, é enorme.

Recomendações para equipes de segurança

Primeiro, revisar o perímetro de acesso remoto como um ativo crítico, e não como uma comodidade operacional. O material do mês repete VPN, ausência de MFA, credenciais roubadas e abuso de acesso legítimo como porta de entrada. Isso exige endurecer AnyConnect, Fortinet, Ivanti, Palo Alto GlobalProtect, Citrix, SonicWall e qualquer serviço exposto à Internet com MFA obrigatório, segmentação por função e desativação de acessos obsoletos.

Segundo, tratar os hipervisores como superfície de ataque prioritária. A referência a VMware ESXi, Hyper-V e Nutanix não é decorativa. Muitas organizações protegem bem estações de trabalho e servidores tradicionais, mas deixam camadas de virtualização com poucas barreiras. É preciso revisar autenticação, separação das redes de administração, backups offline ou imutáveis e controles de acesso privilegiado sobre consoles de virtualização.

Terceiro, reforçar a detecção de exfiltração. O mês mostrou casos de dados reivindicados em leak sites e atividade de infostealer associada a vítimas concretas. Isso exige DLP, monitoramento de compactação em massa, alertas por transferência incomum, inspeção de tráfego de saída e correlação com identidade. Quando o adversário não cifra e só rouba, o backup deixa de ser a primeira linha de defesa.

Quarto, estabelecer um circuito rápido de verificação para claims públicos. Se uma organização aparecer em um leak site, o tempo de resposta deve ser medido em horas, não dias. É preciso uma cadeia clara entre jurídico, segurança, comunicação e diretoria para confrontar logs, revisar EDR, validar autenticações e preparar mensagens sem aceitar de antemão uma narrativa criminosa que ainda não foi comprovada.

Quinto, segmentar a continuidade por serviços críticos e não por domínios administrativos. Em saúde e setor público, o risco real é a interrupção de processos essenciais. Por isso, convém validar dependências entre aplicações, fornecedores, identidade, armazenamento e backups. O objetivo não é só evitar criptografia, mas manter uma degradação controlada se um segmento cair.

Sexto, endurecer a governança de terceiros e de nuvem. O material brasileiro de julho insiste em falhas de configuração, servidores cloud mal protegidos e tráfego de dados médicos por plataformas não criptografadas. Isso pede inventário de fornecedores, revisão de contratos, mínimo privilégio, criptografia em trânsito e em repouso, e testes periódicos de recuperação a partir de backups limpos.

Sétimo, em saúde e administração pública, incorporar exercícios de mesa centrados em extorsão com exfiltração. Não basta simular criptografia. É preciso praticar o cenário de ameaça pública, pressão da imprensa, vazamento parcial, contato com afiliados e coordenação regulatória. Julho mostrou que muitas campanhas buscam exatamente isso.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para julho de 2026 e com a base de fatos verificados do período. Isso significa que apenas os elementos contidos no bloco de pesquisa podem sustentar afirmações sobre a atividade do mês. Os fatos sem data confirmada foram excluídos dos indicadores e só puderam ser usados como contexto qualitativo, sempre com a ressalva de que sua data não está confirmada.

A janela temporal dos indicadores é de 248 fatos com data em julho de 2026, com 26 sem data confirmada excluídos. A base dos indicadores é de 241 fatos verificados do período. Os 7 registros de telemetria agregada não foram somados ao volume, porque correspondem a tentativas ou bloqueios automatizados e não a incidentes com impacto confirmado.

Um indicador em zero, e isso se aplica de forma especial a CVEs críticos, significa que esse elemento não foi registrado no material analisado. Não significa ausência de vulnerabilidades críticas nem ausência de exploração na região. Neste mês, o material só permitiu identificar um CVE crítico mencionado, CVE-2023-20269, e o restante das referências técnicas ficou em descrições de vetores ou superfícies de ataque sem numeração de CVE.

A cobertura também excluiu fontes não aptas a sustentar tendências, como publicações em redes sociais de consumo e certos materiais promocionais ou de tipo press release quando não ofereciam evidência suficiente. Em particular, não foram usadas publicações do LinkedIn como evidência para afirmar incidentes confirmados, embora apareçam mencionadas no bloco de pesquisa como contexto de leitura.

A leitura por país incluiu apenas jurisdições com fatos verificáveis dentro do período ou com contexto técnico explícito no material. Países sem material suficiente foram tratados em uma frase agregada para não inventar atividade. O relatório não acrescenta vítimas, URLs nem cifras externas às fornecidas, e não deriva totais próprios por soma de categorias que não foram desenhadas para ser exclusivas entre si.