Regulação e compliance na América Latina, Jul 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O material do mês registra seis casos com ransomware ou extorsão como eixo primário. Em um deles houve criptografia de ativos confirmada, enquanto nos outros cinco a tipificação não pôde ser determinada com precisão a partir do material analisado. Essa distinção é central. Não é o mesmo um evento com sistemas criptografados e indisponibilidade operacional que uma extorsão baseada em exfiltração ou uma simples reivindicação em um leak site. Como o arquivo não permite separar com exatidão em todos os casos se houve criptografia, a leitura deve ser conservadora.

A implicação para a região é dupla. Primeiro, o ransomware continua sendo uma ferramenta de pressão sobre organizações que lidam com dados ou serviços críticos, embora o material deste mês não permita atribuir uma vitimologia homogênea. Segundo, a própria expansão regulatória sobre notificação precoce, rastreabilidade e responsabilidade funcional faz com que um evento de extorsão ou criptografia tenha hoje consequências legais mais amplas do que há um ano. Não basta restaurar sistemas. É preciso demonstrar diligência, decidir se houve exposição de dados, registrar tempos de resposta e antecipar obrigações de aviso.

Fraude e phishing

Os 39 casos de fraude ou phishing documentados mostram que a fraude digital segue funcionando como o vetor mais transversal do mês depois da regulação. As evidências se concentram em bancos, fintechs e serviços financeiros, mas também aparecem modalidades de falsificação de identidade e engano apoiadas em redes sociais, chamadas falsas, mensagens urgentes e links maliciosos. O caso argentino é ilustrativo, com o BCRA, bancos e veículos de imprensa detalhando padrões de engenharia social e procedimentos de contestação. Em paralelo, o debate mexicano sobre fraude digital e agendas antifraude sugere que o setor financeiro busca uma convergência mais estreita entre prevenção de incidentes cibernéticos e controle de golpes.

Do ponto de vista de conformidade, o problema não se encerra na detecção de um golpe. As organizações precisam decidir quais atritos introduzem, quais provas de identidade exigem, como validam canais oficiais e como preservam a rastreabilidade da reclamação sem prejudicar a experiência do usuário. O mês deixa um sinal claro: a fraude já não é tratada como um subtema comercial, mas como um componente da postura regulatória de cada entidade.

APT e hacktivismo

O material do mês não traz atribuições sólidas para campanhas APT específicas. Ainda assim, aparecem manifestações de hacktivismo ou intrusão com motivação simbólica, como o caso do Senado de Mendoza. Também há referências a ataques cotidianos contra o Estado mendocino, descritos por autoridades como diários, o que sugere uma pressão constante sobre serviços públicos e portais institucionais. Na ausência de um conjunto de IoCs ou TTPs publicados, não cabe forçar uma classificação técnica mais fina.

A leitura útil para equipes de segurança é que o hacktivismo e a intrusão oportunista se tornam mais visíveis quando há exposição regulatória. As iniciativas de cibersegurança provincial, os projetos de lei e as discussões públicas geram picos de atenção que podem ser aproveitados por atores com objetivos de denúncia, ridicularização ou desestabilização reputacional.

Vulnerabilidades críticas

O indicador de CVEs críticos no material analisado é 0. Não foram registrados CVEs críticos nos fatos do período, o que não implica ausência de vulnerabilidades críticas exploradas na região. Também não significa ausência de exposição técnica, apenas que o arquivo de julho de 2026 não incluiu CVEs críticos verificáveis para este eixo.

Regulação e compliance

Julho consolidou um movimento que já vinha amadurecendo na região: a segurança digital passou a ser escrita em linguagem administrativa, sancionatória e de governança. Em Mendoza, o Executivo provincial e a Fuerza Patria apresentaram projetos distintos, mas convergentes na ideia de institucionalizar a resposta. Um propõe um Sistema Provincial de Cibersegurança, um comitê especializado e coordenação entre órgãos públicos e privados. O outro traz uma lógica mais precisa de proteção de dados, privacidade desde a concepção, responsáveis designados por órgão e notificação precoce de incidentes. Essa sobreposição não é redundante, ela mostra duas formas de traduzir o problema em norma: uma centrada na resiliência do Estado, outra em garantias e obrigações de tratamento de dados.

O detalhe técnico dos projetos de Mendoza merece atenção. O Diario Judicial descreve um regime de governança de dados que cobre todo o ciclo de vida da informação, com obrigações de criação, armazenamento, compartilhamento e eliminação segura. O texto também aponta uma autoridade de execução operacional separada do comitê executivo e um regime sancionatório escalonado para quem descumprir padrões, omitir relatórios ou dificultar auditorias. Para um CISO do setor público, isso significa que a discussão já não está no plano abstrato das boas práticas, mas na futura possibilidade de sanções administrativas, restrições de interconexão e medidas contratuais. Em outras palavras, o descumprimento pode deixar de ser só uma observação e virar uma limitação operacional.

A Resolução 725/2026 na Argentina, que altera protocolos policiais diante de crimes informáticos quando há menores envolvidos, soma outra dimensão. Embora o foco não seja a cibersegurança corporativa, ela introduz restrições e procedimentos quando adolescentes estão envolvidos. Para qualquer organização que opere canais de denúncia, suporte ou atendimento ligados a menores, a leitura é direta: o tratamento de evidências, o primeiro contato e a preservação de informação sensível passarão a ter condições mais estritas.

No Chile, o projeto sobre deepfakes avançou com um desenho regulatório que já permite antecipar obrigações de compliance. O texto prevê aplicação a pessoas físicas e jurídicas, com impacto especial em plataformas de redes sociais que operem no território. Exige representante legal no Chile, canal de denúncias e etiquetas visíveis para conteúdo gerado ou modificado com IA. Além disso, incorpora ações judiciais para a retirada do conteúdo e a reparação do dano. Embora parte do regime sancionatório ainda dependa da aprovação final e da regulamentação, a mensagem regulatória é muito clara: as plataformas não serão apenas intermediárias passivas, mas sujeitos com deveres ativos de gestão e resposta.

A outra peça chilena, o projeto n.º 14.767-03 sobre copyright digital, mostra uma linha complementar. O foco está nas medidas tecnológicas de proteção, na burla e na responsabilidade penal associada à fabricação ou oferta de ferramentas que facilitem essa burla. Isso importa para fornecedores de software, distribuidores de dispositivos e atores do ecossistema criativo, porque amplia o perímetro de compliance para condutas de viabilização tecnológica, não apenas para atos diretos de infração.

A guia oficial do Banco Central do Chile sobre roubos e fraudes financeiras reafirma uma lógica regional de transparência operacional. Canais gratuitos 24x7, bloqueio de meios inativos por mais de 12 meses, publicação semestral de usuários afetados, valores e tempos de resposta, além do envio desagregado à Comissão para o Mercado Financeiro. Esse tipo de obrigação não apenas organiza a resposta ao fraude, como também pressiona as instituições a medir melhor suas próprias fricções e a construir relatórios internos mais robustos.

A Colômbia, por sua vez, regulamentou a Lei 2489 de 2025 por meio do Decreto 0769 de 2026. O texto impõe corresponsabilidade entre plataformas, escolas e famílias, e obriga os provedores digitais a identificar e gerenciar riscos, adotar medidas de proteção de dados, oferecer mecanismos de reclamação e informar semestralmente ao Ministério TIC. O alcance é amplo, porque cobre plataformas, aplicativos, videogames, sistemas de IA e outros serviços digitais. Para o setor privado, isso significa que a governança de menores deixou de ser tema de relações públicas ou de desenho de produto, e passou a ser um dever regulatório mensurável. O fato de a norma mirar violência digital, cyberbullying, exploração, abuso sexual online e conteúdos impróprios também lhe dá uma dimensão reputacional especialmente sensível.

A Guatemala seguiu o caminho do endurecimento penal. A iniciativa 6347 propõe penas específicas para acesso ilícito, ataque à integridade de dados, ataque à integridade de sistemas, fraude informática e uso indevido de dispositivos tecnológicos. Embora o processo siga aberto e tenha devolvido o texto à comissão em abril de 2026 para correções técnicas, o debate já está posto. No ambiente empresarial, isso exige revisar preservação de logs, políticas de acesso, procedimentos de investigação interna e documentação de controles, porque o padrão que parece emergir é o de uma rastreabilidade penalmente relevante.

O México aparece de outra forma. O material analisado não confirma uma nova norma específica da CNBV ou do Banxico publicada em julho, mas mostra uma convergência do mercado financeiro e dos reguladores para unir cibersegurança e antifraude. A cobertura fala em blindar usuários contra fraude digital, e outros textos do mês mencionam o uso de inteligência artificial para detecção em tempo real, o intercâmbio de alertas com o BCRA na Argentina e, no pano de fundo regional, um endurecimento das exigências de biometria e identificação. Para compliance, a leitura é clara: o problema não é apenas regular a infraestrutura, mas provar que os mecanismos de autenticação, monitoramento e resposta não degradam a experiência a ponto de empurrar os usuários para canais mais arriscados.

O Brasil segue como referência estrutural da região, embora neste arquivo o material útil tenha se concentrado mais no entorno do que em um único ato normativo. A newsletter da Garrigues identifica as agências supervisoras setoriais, associações empresariais, ministérios e grandes plataformas como indutores da modernização regulatória em proteção de dados e cibersegurança no Chile e no Brasil. Essa descrição coincide com o tipo de agenda visto ao longo do mês: a regulação já não se move apenas pelo legislador, mas pela interação entre supervisor, indústria e setores com maior exposição a fraude, dados sensíveis e serviços digitais massivos.

Tabela comparativa de peças regulatórias do mês

Países mais afetados na América Latina

Argentina

A Argentina foi o país com maior densidade de fatos regulatórios ligados a este eixo, sobretudo por Mendoza e pela atuação do BCRA. Na província, o debate sobre a futura Lei de Cibersegurança e o projeto alternativo de proteção de dados criou um marco de discussão que combina resiliência estatal, governança de dados, sanções por descumprimento e obrigação de notificar incidentes. O alcance descrito pelas fontes é amplo, abrange poderes do Estado, terceiros tecnológicos e serviços críticos essenciais. A presença de um registro provincial de incidentes, um comitê executivo e uma autoridade operacional sugere uma arquitetura institucional mais madura do que a simples elaboração de boas práticas.

No setor financeiro, o BCRA continuou organizando o fluxo de resposta a fraudes virtuais. O valor da cobertura não está em uma única comunicação isolada, mas na forma como consolida um processo: primeiro a reclamação perante a entidade, documentação minuciosa, prazo mínimo de dez dias úteis e, depois, encaminhamento ao Banco Central. Em paralelo, outra comunicação do BCRA detalha trâmites e serviços do regime de entidades financeiras e PSP, reforçando a canalização formal e rastreável das solicitações. Para bancos e fintechs, a mensagem é consistente, mais padronização documental, mais rastreabilidade e menos improviso operacional.

Chile

O Chile manteve uma agenda dupla entre proteção da identidade digital e compliance financeiro. O projeto sobre deepfakes avançou com amplo apoio parlamentar e deixou claro que as plataformas que operarem no Chile terão deveres específicos, desde representante legal até rotulagem de conteúdo sintético. O desenho do projeto busca transformar a gestão de conteúdo enganoso gerado por IA em uma obrigação de produto e de procedimento, não apenas em uma discussão sobre liberdade de expressão ou moderação reativa.

Em paralelo, o projeto sobre direito autoral digital também segue seu curso. Ao enfatizar as medidas tecnológicas de proteção e a sua burla, o Chile amplia a conversa sobre cibersegurança para ativos intangíveis, software e serviços técnicos que facilitam infrações. Soma-se a isso a guia oficial do Banco Central sobre roubos e fraudes financeiras, que fortalece o compliance em bancos e emissores com horários de atendimento, bloqueio e reporting. O país aparece, assim, como um dos mais ativos na institucionalização do dever de resposta tanto em plataformas quanto em serviços financeiros.

Colômbia

A Colômbia teve um mês muito claro em matéria de regulação de ambientes digitais para menores. O Decreto 0769 de 2026 estabelece obrigações para plataformas, apps, videogames, sistemas de IA e outros serviços, e obriga a gerenciar riscos, oferecer mecanismos de reclamação e reportar semestralmente. O ponto central aqui é a combinação entre corresponsabilidade e supervisão periódica. A norma não recai apenas sobre escolas ou famílias, mas coloca os fornecedores como sujeitos obrigados de primeiro nível.

Isso tem impacto direto sobre empresas de tecnologia e edtech que operam na região. Elas ficam expostas à revisão de privacy by design, mecanismos de reporte, classificação de conteúdo, idade mínima de acesso e processos internos de escalonamento para denúncias. O material do mês sugere que a Colômbia está ampliando o alcance do compliance digital para a proteção infantil, uma área em que falhas de governança têm custos reputacionais e regulatórios desproporcionais.

Guatemala

A Guatemala continuou impulsionando uma reforma penal de cibersegurança com a iniciativa 6347. A intensidade do debate parlamentar, a devolução à comissão para correções técnicas e a busca por parecer conjunto mostram que o país está tentando fechar lacunas de tipificação. Diferentemente de outras jurisdições mais focadas em governança administrativa, a Guatemala avança pela via da punição penal, o que obriga as organizações a pensar em evidências, logs, preservação e cooperação com as autoridades.

México

No México, o material aproveitável de julho aponta para um movimento mais de convergência setorial do que de norma pontual datada. A indústria financeira concorda em unir cibersegurança e antifraude para blindar os usuários, enquanto outras coberturas do mês falam de biometria, identidade e detecção de fraude. Embora o arquivo não apresente uma resolução específica da CNBV ou do Banxico para julho, ele mostra uma pressão regulatória e reputacional sobre a banca para reforçar controles, compartilhar alertas e sustentar a experiência do usuário sem abrir novas brechas de fraude.

Brasil

O Brasil aparece menos por um único ato do mês e mais como parte do marco regional de supervisão. A newsletter da Garrigues situa as agências supervisoras e os ministérios setoriais como impulsionadores da modernização regulatória, e o material sem data confirma que a LGPD já consolidou um regime sancionatório robusto e critérios claros de gradação. Neste informe, o Brasil funciona como referência estrutural para entender como a região começa a combinar enforcement de proteção de dados com governança tecnológica em setores sensíveis.

Paraguai, Peru, Bolívia e EUA

Paraguai, Peru e Bolívia não concentraram o grosso do material aproveitável de julho para este eixo, embora sigam aparecendo no arquivo geral com discussões sobre dados pessoais, banca digital e ativos virtuais. Nos Estados Unidos, a presença de conteúdos sobre plataformas e cibersegurança não faz parte do recorte geográfico principal deste informe, mas ajuda a contextualizar o fluxo regional de ideias regulatórias. Nesse grupo, não há densidade verificável suficiente para construir uma leitura equivalente à dos países anteriores.

Tendências e sinais a monitorar

Não existe baseline comparativo do mês anterior para a mesma série de indicadores, porque este é o primeiro período arquivado com este formato para a América Latina. Isso impede uma comparação quantitativa mês a mês e obriga a ler julho como linha de base operacional. Ainda assim, o contraste com os fatos de junho de 2026 do CELE, em que a categoria de cibersegurança representava 4,0% dos projetos mapeados entre janeiro e junho, mostra que o fenômeno já vinha crescendo e, em julho, ganhou densidade, visibilidade e especificidade.

O primeiro sinal a monitorar é a passagem de marcos gerais para obrigações concretas. Quando uma iniciativa começa a exigir responsáveis designados, prazos de 72 horas, registros de incidentes, canais de denúncia ou relatórios semestrais, o impacto deixa de ser simbólico. Afeta processos, orçamentos, organogramas e controles de terceiros. Mendoza, Chile e Colômbia são três expressões diferentes dessa mesma tendência.

O segundo sinal é a expansão do compliance para conteúdo, identidade e fraude. Deepfakes, impersonação, golpes bancários, fraudes digitais e proteção de menores não aparecem como problemas separados, mas como faces de um mesmo espaço normativo. Isso obriga as equipes de segurança e jurídicas a coordenar moderação, identidade, autenticação, antifraude e preservação de evidências. O risco de tratar cada frente como um silo é alto.

O terceiro sinal é a relevância crescente do Estado subnacional. O caso de Mendoza mostra que províncias e jurisdições locais podem se tornar laboratórios regulatórios com efeito de demonstração nacional. Para empresas com operação distribuída, isso significa que o mapa de compliance já não pode ser pensado apenas por país. Também é preciso olhar para províncias, setores e órgãos específicos.

O quarto sinal é a consolidação da resposta a fraudes como disciplina regulatória. O BCRA, o Banco Central do Chile e a discussão no México apontam para o mesmo ponto, a necessidade de documentar, bloquear, escalar e reportar com precisão. A resposta a fraudes já não é só um problema de suporte. Faz parte do compliance e da supervisão financeira.

O quinto sinal é que as sanções futuras não serão homogêneas. A Guatemala parece caminhar para o penal; o Chile mistura penal, administrativo e judicial; a Colômbia regula deveres de gestão contínua; Mendoza desenha sanções administrativas e contratuais. As equipes regionais não podem importar uma única matriz de compliance. Precisam mapear por jurisdição, por tipo de operador e por classe de dado ou serviço.

Recomendações para equipes de segurança

As equipes regionais deveriam tratar julho como um mês de preparação para uma exposição regulatória maior, e não como uma anomalia. A primeira prioridade é revisar os fluxos de notificação de incidentes e reclamações. Se uma organização lida com dados de cidadãos, menores ou clientes do setor financeiro, precisa conseguir determinar em horas, e não em dias, o que aconteceu, quais informações foram comprometidas, quem decide o aviso e que evidências ficam preservadas. As obrigações de 72 horas, os registros de incidentes e os relatórios semestrais não se improvisam.

A segunda prioridade é alinhar segurança, jurídico e atendimento ao cliente. Fraude digital e golpe bancário já não se resolvem com uma ligação ao banco nem com uma política de senhas. Exigem roteiros de resposta, bloqueio de operações, escalonamento para fraude, preservação de logs, comunicação ao usuário e, quando cabível, canal formal para a autoridade. Se essas etapas não estiverem integradas, a organização acaba reagindo de forma incoerente diante do regulador e do cliente.

A terceira prioridade é formalizar a governança de dados. Os projetos de Mendoza e a lógica chilena de rastreabilidade mostram que os reguladores esperam cada vez mais responsáveis identificados, inventários, ciclos de vida documentados, controles de acesso, eliminação segura e rastreabilidade de mudanças. Isso vale tanto para órgãos públicos quanto para fornecedores privados que prestam serviços a eles.

A quarta prioridade é revisar produto e experiência do usuário sob a ótica de compliance. A pressão por biometria, validação de identidade, mecanismos de denúncia e proteção de menores não pode ser resolvida com a simples adição de atrito. Os controles precisam ser seletivos, mensuráveis e proporcionais. Caso contrário, há risco de empurrar o usuário para canais paralelos mais perigosos ou de degradar tanto a experiência que o próprio controle perca eficácia.

A quinta prioridade é preparar respostas específicas para plataformas e conteúdo sintético. Os projetos sobre deepfakes no Chile e as discussões sobre fraude digital no México mostram que as plataformas terão de gerenciar denúncias, rótulos, remoção de conteúdo e, provavelmente, obrigações de presença local ou representação legal. Quem opera com conteúdo gerado por IA já deveria ter um protocolo interno para identificar, classificar, rotular e escalar peças potencialmente ilícitas.

A sexta prioridade é reforçar a cooperação com terceiros. Boa parte dos fatos do mês envolve fornecedores de software, conectividade, infraestrutura ou serviços digitais que operam como parte da cadeia de responsabilidade. Especialmente no setor público, um incidente nem sempre nasce dentro do órgão. Por isso, os contratos devem incluir prazos de notificação, obrigações de assistência, preservação de evidências, acesso a registros e mecanismos de auditoria.

Matriz operacional de resposta sugerida

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para julho de 2026 e com o marco comparativo dos meses anteriores incluído no arquivo. Não houve acesso à internet nem a fontes externas adicionais. Os 531 fatos verificados do período constituem a base de todos os indicadores, enquanto os 28 fatos sem data confirmada foram excluídos dos cálculos e usados apenas quando agregaram contexto qualitativo.

O indicador de CVEs críticos é 0 no material analisado. Isso significa que não foram registrados CVEs críticos dentro do arquivo de julho de 2026, e não que não tenha havido vulnerabilidades críticas exploradas na região. A ausência desse dado não deve ser lida como ausência de risco técnico.

Também não houve telemetria agregada no material do período. Por esse motivo, este relatório não usa tentativas de ataque, bloqueios, varreduras ou médias de vendor como se fossem incidentes. A leitura de risco se apoia exclusivamente em fatos verificados, não em ruído de fundo filtrado por sistemas defensivos.

O material excluiu para fins de indicadores os fatos posteriores ao período e os conteúdos sem data confirmada. Também ficaram fora da argumentação como evidência principal as redes sociais de consumo, publicações no LinkedIn, conteúdo patrocinado e peças comerciais que não estão dentro da lista de fontes permitidas. Quando uma afirmação apareceu como incerta ou atribuída pela própria fonte, ela foi tratada como tal e não elevada a certeza editorial.