Ransomware na América Latina, Outubro de 2026

Ameaças e campanhas ativas

Ransomware e extorsão com criptografia confirmada

Em outubro, o material permite identificar um núcleo relativamente restrito de casos com criptografia confirmada. O principal é a Program Consultores, na Argentina, onde o ataque deixou servidores e sistemas municipais fora do ar. Também foram registrados outros casos com impacto administrativo, mas nem sempre com confirmação suficiente de que a criptografia tenha sido o mecanismo principal.

A leitura geral é que a criptografia continuou presente, mas não dominou o cenário. A visibilidade pública ficou dividida entre indisponibilidade, vazamento, ameaças de publicação e acesso indevido a dados. Isso é relevante porque obriga os defensores a parar de tratar ransomware como um evento único e a enxergá-lo como um ciclo de intrusão com várias saídas possíveis.

Exfiltração sem criptografia e extorsão simples

O caso do Hospital Einstein, no Brasil, se encaixa melhor nessa categoria, já que a confirmação pública se concentrou no acesso não autorizado a dados de pacientes, com notificação regulatória e policial, mas sem queda operacional do serviço. Cyberint, Cyware e ATLAS também descreveram a N0n como um ator focado em roubo de dados, credential stuffing, exfiltração e criptografia em alguns casos, o que reforça a diversidade de técnicas.

Também entra aqui a campanha marítima e logística associada à N0n, na medida em que várias fontes se limitaram a reproduzir sites de vazamento e ameaças de publicação de dados. Quando não há evidência forense de criptografia nem confirmação da organização afetada, a categoria correta é extorsão simples ou reivindicação de leak site, não ransomware operacional. Essa precisão importa porque o dano reputacional e regulatório pode ser alto mesmo sem bloqueio de sistemas.

Apenas menção em leak site ou atribuição não verificada

Muitos dos fatos do mês não passam de uma menção em um portal de vazamento ou de uma atribuição secundária. ATLAS, Ransomware.live, HookPhish, SecurityArsenal e outras fontes do arquivo listam organizações da Argentina, do Brasil, da Bolívia e de outros países, mas nem sempre trazem confirmação independente. Nesses casos, o valor está na detecção precoce do sinal, não em tratá-lo como incidente encerrado.

Isso fica especialmente visível no material sobre Grupo Crônica, Solutend, várias listas de N0n e algumas referências a organizações de saúde ou logística na região. O resultado final é um mês com bastante ruído de extorsão e vazamento, mas com uma proporção menor de episódios que permitam afirmar, sem ressalvas, que houve criptografia ou exfiltração já comprovadas.

Fraude e phishing documentados

O componente de fraude não foi central em volume, mas apareceu de forma nítida em Garza. O acesso indevido a uma conta oficial e a tentativa ou consumação de uma transferência de 15 milhões de pesos colocaram o caso na interseção entre intrusão, abuso de identidade e fraude financeira. Esse tipo de incidente não deve ser lido como periférico, porque costuma ser o primeiro passo de campanhas que depois escalam para extorsão ou roubo de dados.

Além disso, o material comparativo mostra que a região segue exposta a campanhas com phishing, macros e abuso de ferramentas administrativas como vetores de entrada. Embora essas referências nem sempre sejam incidentes latino-americanos confirmados em outubro, elas ajudam a ler a persistência de um padrão técnico que alimenta tanto ransomware quanto fraude.

APT, hacktivismo e campanhas não estritamente ligadas a ransomware

Não houve no corpus de outubro uma campanha latino-americana claramente classificada como APT ou hacktivismo que mereça um desenvolvimento equivalente ao dos incidentes de ransomware. Há menções a atores com operações complexas, campanhas com automação e até ambientes assistidos por IA, mas o material disponível não basta para transformá-las em um eixo regional autônomo dentro deste relatório.

Vulnerabilidades críticas

Em outubro, o material analisado citou 4 CVEs críticos. O número não indica ausência de vulnerabilidades críticas exploradas na região, apenas que o corpus deste mês não trouxe mais referências verificáveis para este relatório.

Regulação e compliance

Outubro teve mais movimentação regulatória e de compliance do que o mês anterior, embora a maioria das referências tenha se concentrado em respostas a incidentes e notificações às autoridades, mais do que em novas normas. O caso Einstein é o exemplo mais claro disso, porque a instituição comunicou a ANPD e a Polícia Federal, o que aciona obrigações de apuração interna, rastreabilidade e resposta a dados pessoais.

Na Argentina, a discussão regulatória apareceu de forma indireta em torno do caso PGM e da administração pública local. A exposição de municípios e a possível circulação de dados ou acessos indevidos criam uma camada de compliance que não se resolve apenas com a restauração dos serviços. Nesses casos, a relação com fornecedores, a retenção de logs e a documentação da recuperação costumam ser tão importantes quanto a contenção técnica.

Também houve, no corpus, referências a boletins oficiais, como o do CISC brasileiro, que tratou de campanhas direcionadas a domínios governamentais e vulnerabilidades críticas, embora o resultado disponível não relacione esses avisos às denúncias concretas de outubro. Esse cuidado é relevante porque evita atribuir em excesso um boletim preventivo a um incidente específico sem evidência suficiente.

Para as organizações regionais, o mês deixa um sinal simples. Quando há acesso a dados pessoais ou interrupção de serviços, a camada regulatória deixa de ser secundária. Ela passa a fazer parte do incidente desde o primeiro dia, tanto para saúde quanto para administração pública e, em menor medida, para infraestrutura e serviços empresariais.

Países mais afetados na América Latina

Brasil, Argentina e México concentraram a maior parte do sinal verificável do mês. Peru, Colômbia, Chile, Paraguai e Bolívia aparecem no material como contexto ou em menções de terceiros, mas não com a mesma densidade de incidentes confirmados durante outubro. Os Estados Unidos figuram apenas no quadro comparativo e não integram o foco geográfico deste relatório.

Argentina

A Argentina foi o país com o incidente mais disruptivo do mês. O ataque contra Program Consultores e PGM afetou municípios de várias províncias e tirou do ar trâmites, cobranças e plataformas administrativas. Também houve menções ao Grupo Crónica e a uma organização de Río Grande, além de reivindicações da ATLAS sobre vítimas argentinas associadas a diferentes grupos.

A chave local é a dependência de provedores compartilhados. Quando uma única plataforma sustenta dezenas de municípios, o incidente deixa de ser um caso pontual e passa a ser uma interrupção sistêmica. Por isso, o golpe argentino do mês não se mede apenas pelas vítimas, mas pelo alcance funcional e pela quantidade de localidades com serviços degradados.

Brasil

O Brasil combinou volume, diversidade setorial e confirmações diretas. O caso Einstein trouxe o sinal mais claro na área de saúde, enquanto a ATLAS e outras fontes listaram vítimas associadas a N0n, The Gentlemen, Arcus Media, Eclipse, DireWolf e outros grupos. Os setores mais atingidos no material incluem saúde, tecnologia, governo e varejo.

Além disso, o Brasil aparece como um dos países com maior densidade de vítimas nos repositórios de vazamento consultados. Isso não deve ser confundido com incidentes confirmados, mas sim com uma exposição contínua que atravessa empresas, instituições e setor público. Na prática, os times brasileiros não precisam olhar só para criptografia de dados, também devem monitorar vazamentos, pressão regulatória e atividade de leak sites.

México

O México manteve presença no material, embora com menos fatos de outubro plenamente confirmados dentro do corpus. A comparação com meses anteriores ainda mostra o país como um dos mais atingidos na região, e as referências a campanhas com edge, VPN e cadeias de fornecedores sustentam essa leitura.

O ponto importante é metodológico. Em outubro, o arquivo traz mais contexto do que casos fechados para o México. Isso não reduz o risco do país, mas obriga a não inflar a contagem regional com material que não pertence a este período ou que não tem confirmação direta suficiente.

Colômbia

A Colômbia aparece no material sobretudo por sua presença histórica em listas e por referências de terceiros. O arquivo não traz em outubro uma massa equivalente de incidentes confirmados como no Brasil ou na Argentina, embora mantenha o país no radar de extorsão e ransomware regional. Para uma leitura operacional, isso significa vigilância persistente, e não alarme por um pico pontual.

Peru

O Peru figura em análises de terceiros e em uma referência a vítimas listadas por Aur0ra, além de material comparativo sobre setor de saúde e seguradoras em meses próximos. Em outubro, o sinal é mais indireto do que confirmado. Ainda assim, o país segue aparecendo no mapa de exposição regional por sua presença em campanhas de extorsão e vazamento.

Paraguai

O Paraguai aparece no material como parte de campanhas latino-americanas mais amplas e como jurisdição atingida por ransomware em meses próximos. Em outubro, não concentra fatos confirmados do mesmo peso que a Argentina ou o Brasil, mas continua integrado à dinâmica regional de grupos que operam sobre cadeias de suprimento e organizações de serviços.

Bolívia

A Bolívia aparece no caso Solutend, mas com uma inconsistência geográfica não resolvida na fonte primária secundária. Essa ambiguidade impede usar o incidente como base firme de volume, mas ajuda a mostrar a frequência com que as atribuições regionais surgem incompletas ou contraditórias em sites de vazamento.

Chile e outros países

O Chile, assim como outros países latino-americanos, aparece em acompanhamentos de terceiros sobre campanhas como SafePay e em referências de cobertura agregada, mas sem uma confirmação equivalente para outubro dentro deste arquivo. A ausência de um fato no corpo do relatório não equivale à ausência de risco, apenas à ausência de material verificável para este mês.

Tendências e sinais a monitorar

A comparação com setembro mostra menos fatos verificados no geral, menos incidentes sem tipificação e menos casos de ransomware ou extorsão como eixo principal. Ainda assim, a queda no volume absoluto não significa menor pressão operacional. O que muda é o formato do sinal, com mais concentração em casos seletivos, leak sites e ataques contra fornecedores ou instituições muito expostas.

A ameaça predominante seguiu sendo ransomware, com 73 de 210 fatos, ante 157 de 399 no mês anterior. Isso indica queda em volume, não em relevância. Quando o eixo principal segue o mesmo, mas os casos ficam mais dispersos e menos homogêneos, a defesa precisa de mais capacidade de correlação e menos dependência de indicadores isolados.

Um segundo sinal é a persistência da extorsão baseada em dados. Casos como Einstein, N0n e as listas de vítimas em ATLAS mostram que a fronteira entre ransomware, data theft e publicação em leak site está cada vez mais difusa. Para o CISO regional, isso significa que restaurar sistemas já não basta como resposta completa se também houve exposição de dados ou pressão regulatória.

O terceiro sinal é setorial. Saúde, governo local, transporte marítimo, logística e mídia seguiram aparecendo como verticais de alta exposição. Não é uma novidade em si, mas outubro confirma que os atacantes continuam priorizando organizações com pouca tolerância à interrupção e sob pressão pública imediata.

Por fim, o mês confirma que fontes secundárias são úteis para detectar campanhas, mas não para inflar números. Há mais ruído de leak sites do que confirmações de intrusão encerrada. O trabalho analítico sério consiste em separar o material acionável da mera reivindicação, algo que neste mês foi especialmente necessário na Argentina e no Brasil.

Recomendações para equipes de segurança

O primeiro ajuste é parar de tratar ransomware como uma única camada de defesa. Outubro mostrou três frentes distintas e simultâneas, criptografia, exfiltração e mera reivindicação. As equipes precisam responder a cada uma com mecanismos diferentes, porque restaurar a partir de backup não resolve vazamento de dados pessoais nem extorsão baseada em publicação.

A segunda prioridade é revisar a superfície exposta de fornecedores críticos. O caso PGM mostra que um fornecedor municipal pode se tornar um multiplicador regional do impacto. Vale mapear quais serviços de terceiros sustentam processos sensíveis, quais credenciais administram, como são segmentados e o que acontece se ficarem fora do ar por horas ou dias.

Também é preciso endurecer a identidade como plano principal de defesa. O material do mês volta a mostrar abuso de contas válidas, RDP, VPN mal configuradas, staging de dados e ferramentas administrativas legítimas. Isso exige MFA real, controle de privilégios, monitoramento de anomalias, rotação de credenciais e uma política muito mais rígida para acessos remotos e contas de serviço.

Para a saúde, a prioridade adicional é separar disponibilidade de confidencialidade. O caso Einstein mostra que uma instituição pode seguir operando enquanto sofre acesso indevido a dados muito sensíveis. Isso exige playbooks com notificação antecipada, preservação forense, validação jurídica e comunicações claras com pacientes e reguladores, não apenas com a TI.

Em municípios e governo local, a recomendação é assumir que os portais compartilhados são ativos críticos. É preciso ter inventário de dependências, backups testados, procedimentos de contingência manual e um plano para cobranças, agendamentos, trâmites e publicação web quando o fornecedor cair. Sem uma rota manual, o atacante não precisa criptografar tudo para causar dano público.

Em paralelo, convém monitorar leak sites e repositórios de inteligência com critério de validação. Nem toda menção equivale a comprometimento real, mas uma menção persistente pode ser o primeiro sintoma de uma intrusão ainda pendente de verificação. O fluxo correto é detectar, cruzar informações, preservar evidências e só então classificar.

Por fim, outubro deixa uma recomendação transversal: integrar segurança, jurídico, compliance e comunicação de crise desde o desenho do incidente. Na região, os casos mais caros não são necessariamente os mais barulhentos, e sim os que combinam indisponibilidade, exposição de dados e má sequência de resposta.

Perguntas frequentes

Qual é a diferença entre um caso com criptografia confirmada e uma simples menção em um leak site?

Um caso com criptografia confirmada implica que os ativos ficaram indisponíveis ou que os arquivos foram bloqueados, como ocorreu com Program Consultores na Argentina. Uma menção em um leak site apenas mostra que alguém reivindicou a vítima ou publicou dados, mas não comprova, por si só, que houve intrusão efetiva. Veja as seções Incidentes relevantes e Ameaças e campanhas ativas.

Quais países concentraram os fatos mais sólidos do mês e que tipo de impacto tiveram?

A Argentina concentrou o incidente mais disruptivo, com criptografia e paralisação de serviços municipais, enquanto o Brasil trouxe o caso de saúde mais claro, com acesso não autorizado a dados de pacientes. O México aparece mais como referência comparativa de exposição regional do que como volume confirmado de outubro. Veja Países mais afetados na América Latina e Incidentes relevantes.

Por que o relatório separa ransomware, extorsão simples e fraude?

Porque o impacto operacional e jurídico não é o mesmo. A criptografia afeta a disponibilidade, a exfiltração compromete a confidencialidade e a fraude pode ser um abuso financeiro sem ransomware técnico. Em outubro, Garza se enquadra em fraude, Einstein em acesso indevido a dados e Program Consultores em criptografia. Veja Indicadores do período e Ameaças e campanhas ativas.

Quais setores deveriam priorizar seus controles a partir deste mês?

Saúde, governo local, transporte marítimo, logística e mídia devem reforçar seus controles primeiro, porque foram os verticais mais presentes no sinal verificável do mês. A combinação de vazamento, interrupção e abuso de contas os afeta com especial força. Veja Panorama regional do mês e Países mais afetados na América Latina.

Os 4 CVEs críticos mencionados significam que houve quatro vulnerabilidades exploradas na região?

Não necessariamente. Isso significa que o material analisado de outubro mencionou quatro CVEs críticos, mas nem sempre trouxe o detalhe técnico completo nem um vínculo fechado com cada incidente latino-americano. A ausência de mais CVEs no relatório não implica que não tenham existido outras vulnerabilidades críticas na região. Veja Vulnerabilidades críticas e Limitações do material.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para outubro de 2026, além do marco comparativo de meses anteriores que aparece no arquivo. Os fatos do bloco comparativo não foram contabilizados como volume do mês, e os fatos sem data confirmada ficaram excluídos dos indicadores. Quando mencionados, é indicado que a data não está confirmada.

A janela temporal dos indicadores é a declarada na instrução, 210 fatos com data em outubro de 2026, 35 de meses anteriores usados apenas como referência comparativa e 9 sem data confirmada excluídos. Os indicadores devem ser lidos como sinal do eixo ransomware na região, e não como telemetria agregada nem como um censo exaustivo de toda a atividade latino-americana.

Um indicador em zero, ou um dado não detalhado, não significa ausência do fenômeno na região. Em particular, se um CVE não aparece ou aparece sem precisão técnica, isso apenas quer dizer que não ficou registrado no material analisado deste mês. Isso não autoriza concluir que não existiram vulnerabilidades críticas exploradas na América Latina.

O material também mistura fontes primárias com coberturas secundárias, análises de terceiros e repositórios de vazamentos. Por isso, vários fatos do período ficam em estado de atribuição parcial ou incerta. As fontes promocionais, os conteúdos patrocinados e as publicações em redes sociais excluídas pela instrução não foram usadas como evidência de volume nem como base de tendência.

Por fim, a comparação setorial e geográfica deve ser lida com cautela. Um mesmo fato pode atingir mais de um setor, e muitas menções a vítimas em leak sites não equivalem a comprometimento confirmado. Em um mês com tanta atividade de extorsão e tanta tipificação incompleta, separar sinal verificado de ruído é parte central da análise.