Varejo e consumo: ransomware e fraude em julho de 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O mês fechou com 13 casos em que ransomware ou extorsão foram o eixo principal, mas só em parte deles o material permite identificar com clareza o tipo exato de impacto. Essa distinção importa. Não convém misturar criptografia de ativos, exfiltração sem criptografia e mera menção em leak site, porque cada modalidade exige respostas diferentes e tem consequências operacionais distintas.

Nos fatos verificáveis, a criptografia de ativos ficou confirmada em 2 casos. O material disponível sobre a Ecopetrol indica que uma tentativa de ransomware foi bloqueada por controles de cibersegurança na companhia e em suas subsidiárias, o que não implica criptografia bem-sucedida. No caso das lotéricas da Caixa, também não há evidência pública no material de criptografia nos sistemas, mas de desvios, terminais fora do ar e transações não autorizadas. Por isso, o eixo dominante do mês não foi um ransomware clássico de criptografia em massa, e sim uma combinação de extorsão com pressão sobre dados e, em menor medida, impacto transacional.

A simples menção em leak site aparece em 3 casos. A Micropack foi reivindicada pela LockBit 5.0, o Mercado Libre Argentina foi listado pelo The Gentlemen sem prova pública de intrusão bem-sucedida e uma entidade uruguaia do setor de alimentos e serviços foi reivindicada pela Section9 sem confirmação oficial. Esse conjunto é especialmente relevante para o varejo porque os leak sites funcionam como ferramenta de pressão sobre empresas com alta exposição reputacional e operacional. Muitas vezes o dano não começa com a criptografia, mas com a ameaça pública de exposição de dados, o que pode afetar clientes, fornecedores e canais de cobrança mesmo antes de uma confirmação técnica.

A tipificação não determinável com o material alcança 8 casos. Isso não é uma fraqueza do relatório, e sim um sinal de como boa parte da atividade extorsiva é publicada hoje. Os atacantes anunciam, mas nem sempre mostram. Os veículos secundários repercutem a reivindicação, mas não trazem provas suficientes para distinguir entre criptografia, exfiltração ou mera pressão. Para um CISO de varejo, isso significa não ficar só na etiqueta de ransomware. É preciso perguntar que tipo de dano já está visível, qual pode se materializar depois e quais controles são acionados conforme a fase do ataque.

Fraude e phishing

O bloco de fraude e phishing foi liderado por 8 casos documentados e pela confirmação de que o phishing segue sendo o vetor mais frequente na América Latina, segundo a ESET, com 73% das organizações entrevistadas afetadas em seu Security Report 2026. Embora esse último número venha de uma pesquisa e não de incidentes do período, ajuda a contextualizar por que tantos eventos do mês aparecem em torno de pagamentos, credenciais e uso indevido de interfaces.

O Brasil mostrou uma variante particularmente ilustrativa com o uso reportado de PDFs falsos de pagamento que imitavam marcas de comércio eletrônico e instituições bancárias para atacar pagamentos via boleto. A cobertura secundária da Cointelegraph Brasil não permite tratar essa descrição como uma tendência geral confirmada, mas sim como uma hipótese de ataque coerente com o ecossistema de pagamentos local. Em varejo e consumo massivo, fraudes desse tipo são muito eficazes porque exploram hábitos conhecidos do usuário, a urgência do pagamento e a confiança em formatos documentais familiares.

O Uruguai, por sua vez, mostrou fraude informática no plano mais tradicional, com roubo de cartões, operações fraudulentas e uma quadrilha estrangeira desarticulada. Para o setor, isso é um alerta direto. Nem toda perda entra por um endpoint. Parte do risco chega pelo ponto de venda, pelo cartão físico, pelo marketplace e pela logística da última milha. A defesa antifraude precisa olhar para o ciclo completo, da autenticação à conciliação financeira.

APT e hacktivismo

Em julho, não houve um volume grande de campanhas APT clássicas atribuídas de forma sólida ao eixo de varejo e consumo massivo, mas houve pressão de atores extorsivos com narrativa organizada e uma campanha mais ampla que a Kaspersky descreveu como StrikeShark, observada contra organizações da América Latina, Ásia e Europa, com casos na Colômbia entre os países mencionados. O material disponível não a vincula diretamente ao varejo, mas sim a um clima regional de operações mais persistentes e com maior uso de artefatos maliciosos e evasão.

A leitura útil para este setor é que campanhas com aparência menos ruidosa podem acabar atravessando back office, fornecedores ou contas corporativas que sustentam plataformas de venda. Quando o foco fica apenas no endpoint do caixa ou na web pública, perde-se de vista que muitas intrusões mais sérias começam por e-mail, documentos, atualizações falsas ou vulnerabilidades em software de colaboração e administração.

Vulnerabilidades críticas

O material analisado registrou, sim, CVEs críticas citadas ao longo de julho, portanto não procede dizer que não houve exposição técnica. O que se pode afirmar é que o período trouxe vários alertas de exploração ativa em produtos muito usados em ambientes corporativos. A CISA adicionou a CVE-2026-48282 do Adobe ColdFusion ao catálogo KEV e, depois, incorporou falhas do Fortinet FortiSandbox e do Microsoft SharePoint. Além disso, o boletim da Microsoft de julho de 2026 confirmado pelo governo uruguaio apontou que a CVE-2026-56155 no Active Directory Federation Services e a CVE-2026-56164 no SharePoint Server foram exploradas ativamente e estavam incluídas no KEV, embora esses fatos não façam parte da contagem de CVEs críticas do período porque o indicador fornecido fixa 4 menções.

Para varejo e consumo em massa, a mensagem é direta. Muitas plataformas que sustentam promoções, portais de fornecedores, intranets, gestão documental e publicação interna dependem de produtos como SharePoint, Office, .NET, SQL Server ou componentes de acesso federado. Se esses serviços ficam expostos, os atacantes ganham uma porta de entrada que não exige criatividade extraordinária. Basta automação, exploit já testado e uma janela de patch lenta. O risco não está só na invasão inicial, mas na possibilidade de um comprometimento em software corporativo escalar para credenciais, documentos internos e sistemas de suporte ao negócio.

Regulação e conformidade

Julho também trouxe dois movimentos com leitura regulatória e de coordenação institucional. No caso da Ecopetrol, a empresa atuou com a Fiscalía de Colombia e com o MinTIC para tentar retirar a informação publicada ilegalmente pelos atacantes. Esse passo mostra uma resposta que já não é apenas técnica, mas também jurídica, reputacional e de gestão de conteúdo. Em incidentes com exfiltração, a capacidade de coordenar com autoridades e com plataformas de divulgação de dados passa a integrar o processo de contenção.

O outro frente foi o Uruguai, onde o Ministério do Interior informou a formalização de duas pessoas por furto agravado e fraude informática, com prisão preventiva. O caso é relevante porque evidencia a articulação entre investigação financeira, promotoria e provas obtidas em ambiente físico. Para varejo e consumo em massa, o recado é que as áreas antifraude precisam estar prontas para colaborar com promotorias, bancos e órgãos de investigação. Não se trata apenas de comunicar perdas, mas de preservar evidências, reconstruir trajetórias de pagamento e custodiar logs, câmeras e registros de acesso.

No campo da conformidade, o mês também reforçou a pressão dos marcos de notificação e gestão de incidentes. A apresentação de reportes à SEC por parte da Ecopetrol sublinha que eventos com exfiltração ou impacto material potencial não podem permanecer restritos à esfera interna. Para empresas com presença regional e operações mistas de varejo, distribuição ou pagamentos, a coordenação com os regimes de reporte de cada jurisdição continua sendo uma exigência operacional, não uma formalidade jurídica.

Países e subsegmentos mais afetados

Brasil

Brasil foi o país com a sinalização mais visível nesse eixo em julho, principalmente pelo episódio das lotéricas da Caixa. A combinação de terminais fora do ar, pagamentos não autorizados, transferências não reconhecidas e restrições temporárias de operação indica um risco específico para o canal físico de recebimento e a infraestrutura de pagamentos de proximidade. O impacto em pelo menos cinco estados amplia a leitura de incidente local para fragilidade de plataforma.

Além disso, a cobertura agregada citada por veículos regionais colocou o Brasil como o país com mais vítimas de ransomware no primeiro semestre de 2026, e como o mais afetado na telemetria da FortiGuard Labs citada por Infobae México. Embora esses números não se refiram a incidentes do mês, reforçam a prioridade do mercado brasileiro no mapa regional.

Argentina

A Argentina ficou marcada por dois sinais distintos. O primeiro foi a Micropack, distribuidora de alimentos e produtos de varejo reivindicada pela LockBit 5.0. O segundo foi a inclusão da Mercado Libre Argentina no portal de vazamentos da The Gentlemen sem prova pública de intrusão bem-sucedida. Entre um caso e outro, o mês mostrou tanto risco sobre a cadeia de abastecimento quanto pressão narrativa sobre uma plataforma central de comércio digital.

O subsegmento mais exposto no país não é apenas o e-commerce, mas distribuição e marketplace. Esse binômio exige atenção à continuidade logística, à confiança do cliente, à disponibilidade de contas e à proteção de dados internos e comerciais. Quando um ator de peso como a Mercado Libre aparece em uma atribuição extorsiva, ainda que não confirmada, o ruído se espalha para usuários, sellers e parceiros da plataforma.

Colômbia

A Colômbia concentrou o caso mais complexo de vazamento corporativo, com a Ecopetrol como eixo. Embora não seja um varejista, o incidente importa para o consumo de massa porque atinge ambientes de nuvem, fornecedores, parceiros financeiros e redes de clientes. O país também aparece nas coberturas regionais de frequência de ataques, com mais de 3.000 ciberataques semanais reportados por Infobae Colômbia e com presença na campanha StrikeShark da Kaspersky.

A leitura setorial para a Colômbia aponta para ambientes corporativos com forte integração de terceiros e risco elevado de exfiltração de informações sensíveis. No eixo de varejo, isso se traduz em atenção especial a portais de fornecedores, sistemas de fidelidade, integrações com parceiros e plataformas em nuvem que sustentam as operações comerciais.

Uruguai

O Uruguai trouxe a face mais visível da fraude informática. A formalização de duas pessoas por furto agravado e fraude informática, junto com a investigação sobre roubo de cartões para compras e operações fraudulentas, mostra uma economia criminosa que combina presença física e abuso digital. Em paralelo, surgiu uma reivindicação não confirmada sobre uma entidade de alimentos e serviços associada à Section9.

Para o consumo de massa, o Uruguai deixa um sinal claro sobre o valor da evidência física e transacional. Câmeras, rastreabilidade de compras, monitoramento de padrões de uso e colaboração com autoridades foram decisivos. Em um país com mercado menor que outros da região, a eficiência da resposta pode ser uma vantagem, mas não reduz a necessidade de controles antifraude mais robustos em comércios, marketplaces e pontos de cobrança.

Subsegmentos de consumo de massa e comércio

Os subsegmentos mais expostos no mês foram distribuição de alimentos, marketplaces, pontos de cobrança, lotéricas e pagamentos de proximidade. Micropack representa a cadeia de abastecimento. A Mercado Libre reflete plataforma digital e economia de sellers. As lotéricas da Caixa mostram o risco do canal físico de pagamentos. O Uruguai evidencia a fraude em cartões e compras. No conjunto, o vertical ficou atravessado por uma mesma lógica, a de negócios de alto volume, com muita rotatividade de transações e dependência de terceiros.

Tendências e sinais a monitorar

Não há base comparativa com o mês anterior, porque este é o primeiro período arquivado com este formato de indicadores para a América Latina. Isso impede afirmar se julho subiu ou caiu em relação a junho dentro desse mesmo recorte. O que se pode dizer é que o mês deixou uma combinação especialmente densa de extorsão, fraude e exposição por vulnerabilidades, com uma distribuição geográfica que incluiu Brasil, Argentina, Colômbia e Uruguai.

A primeira sinalização a acompanhar é o deslocamento do ciframento em massa para a pressão sobre dados e reputação. No mês, a face mais visível do ransomware não foi uma onda de ciframento confirmado, e sim a menção em leak sites, a ameaça de publicação e a exfiltração com potencial de dano legal e financeiro. Para varejo e consumo de massa, essa mudança é crítica porque os atacantes sabem que o setor depende de confiança, disponibilidade e volume de transações. Eles não precisam destruir tudo para forçar negociação.

A segunda sinalização é a persistência da fraude como camada paralela ao ciberataque. Brasil, com pagamentos por boleto e loterias, Uruguai, com roubo de cartões, e as referências a PDFs falsos de pagamento mostram que o negócio criminoso não faz muita distinção entre invasão e fraude quando o resultado pode ser monetizado. Para o setor, isso obriga a integrar segurança e antifraude. São disciplinas diferentes, mas em julho atuaram como uma mesma superfície de risco.

A terceira sinalização é a exploração de software corporativo. Embora o vertical nem sempre apareça na primeira linha dos relatórios de KEV, sua infraestrutura depende de SharePoint, ColdFusion, Fortinet, Microsoft e outros componentes que não são específicos de varejo, mas fazem parte do suporte do negócio. O risco não está apenas no caixa ou na loja online. Também está na camada de colaboração, autenticação e gestão que conecta funcionários, fornecedores e parceiros.

A quarta sinalização é a fragilidade do canal de pagamentos presencial e de intermediação. As lotéricas da Caixa mostram que uma interrupção em terminais e autorizações pode gerar perdas diretas e afetar depósitos, boletos e transferências. Na América Latina, onde boa parte do comércio de massa ainda depende de esquemas híbridos de pagamento, essa fragilidade se torna um problema de continuidade de negócios, não apenas de cibersegurança.

Recomendações para equipes de segurança

Primeiro, separar com rigor os domínios de pagamento, autenticação, administração e analytics. O mês mostrou que uma ruptura em um canal de cobrança ou em uma camada de colaboração pode escalar rapidamente quando os privilégios estão misturados. Em varejo e bens de consumo, isso exige revisar segmentação de rede, identidades privilegiadas, federação de acesso e rotas de saída de dados. O objetivo não é só impedir intrusão, mas conter o raio de impacto se um fornecedor, um usuário ou uma credencial for comprometido.

Segundo, reforçar a detecção de fraude no ponto de venda e no canal digital com regras que cruzem o transacional e o comportamental. Os casos de Brasil e Uruguai lembram que a fraude pode vir de pagamentos não autorizados, roubo de cartões, duplicação de comprovantes ou manipulação de boleto. As equipes devem revisar padrões anômalos por geografia, horário, valor, terminal, conta de origem e dispositivo. Onde houver marketplace, vale somar monitoramento de sessões, trocas de senha, tomada de contas e abuso de promoções.

Terceiro, tratar toda menção em leak site como evento de primeira classe, mesmo que a intrusão não esteja confirmada. Micropack, Mercado Libre e a entidade uruguaia reivindicada pela Section9 mostram que a exposição pública já é um risco operacional. O plano de resposta deve prever validação técnica, comunicação interna, monitoramento de marca, busca por credenciais expostas e coordenação com jurídico e comunicação. A ausência de confirmação pública não equivale à ausência de risco.

Quarto, priorizar patching e hardening nos produtos que aparecem com exploração ativa no KEV. SharePoint, ColdFusion e Fortinet não são anedotas técnicas. São superfícies potenciais de acesso inicial a ambientes corporativos, e o setor depende delas para fluxos internos, colaboração e exposição de serviços. A recomendação aqui é operacional: inventário vivo, SLA curto de patching, exceção mínima e validação posterior da exposição externa.

Quinto, preparar o negócio para continuidade sem dependência cega de terceiros. O caso das lotéricas da Caixa e a exposição em múltiplas subsidiárias da Ecopetrol indicam que terceiros, filiais e canais distribuídos podem ser o ponto fraco. O plano de continuidade deve incluir contingências manuais, rotas alternativas de cobrança, revisão de SLAs, simulações de queda de terminais e capacidade de operar com degradação controlada por várias horas ou dias.

Sexto, preservar evidências desde o primeiro minuto. O Uruguai mostrou que câmeras, rastreabilidade e articulação com investigação financeira foram úteis para desarticular uma quadrilha de fraude. Em ciberincidentes no varejo, isso se traduz em preservar logs de autenticação, registros de pagamento, imagens de terminais, tickets, câmeras de loja e rastreabilidade de mudanças. Se a evidência se perde, também se perde a possibilidade de recuperar fundos ou reconstruir a sequência do ataque.

Sétimo, integrar as áreas de segurança, antifraude, operações, jurídico e experiência do cliente. No setor, uma intrusão raramente fica restrita ao SOC. Ela acaba afetando vendas, cobranças, reputação e atendimento ao cliente. Por isso, vale que o comitê de crise consiga decidir rápido se o problema é interrupção, extorsão ou fraude, e que tenha guias de comunicação prontos para cada cenário.

Limitações do material

Este informe foi construído exclusivamente com o material fornecido para julho de 2026 e com foco temático em varejo, comércio eletrônico e consumo massivo na América Latina. Não houve acesso à internet nem a fontes fora da lista autorizada. Isso significa que o retrato é preciso no que foi verificado no material, mas não esgota tudo o que ocorreu na região ao longo do mês.

A janela temporal dos indicadores se limita aos fatos datados de julho de 2026. Os 6 fatos sem data confirmada foram excluídos dos indicadores, embora pudessem ser usados como contexto qualitativo. Também ficaram de fora as cifras de telemetria agregada, porque representam tentativas, bloqueios ou médias semanais de vendors, e não incidentes com impacto confirmado. Elas não foram somadas a nenhuma contagem de eventos do período.

Um indicador em 0 não significa que o fato não tenha ocorrido na região. Significa apenas que ele não apareceu no material analisado com a tipificação ou confirmação exigida. Esse detalhe é especialmente importante para CVEs e para categorias como ransomware, nas quais parte da atividade pode ter ficado fora do corpus disponível ou da evidência pública reunida.

O material também excluiu redes sociais de consumo e conteúdo patrocinado ou press releases que não fossem adequados para sustentar tendência. Quando alguma afirmação veio de cobertura secundária ou de uma atribuição não confirmada, ela foi tratada como tal e não como fato técnico plenamente verificado. Em vários casos de ransomware ou leak site, a cobertura disponível permitiu registrar a reivindicação, mas não comprovar intrusão, exfiltração ou criptografia. Esse limite é deliberado e faz parte da integridade do relatório.

Comentários operacionais finais

O mês mostrou que o risco para varejo e consumo de massa na América Latina não está se concentrando em um único vetor. Coexistem fraude presencial, pagamentos adulterados, extorsão narrativa, vazamentos de dados, exploração de software empresarial e pressão sobre terceiros. A defesa que olha só para o portal de e-commerce ou só para o endpoint de caixa chega tarde. A exposição real está na combinação de identidades, pagamentos, fornecedores, nuvem e reputação.

Indicadores de atenção