Setor público e governo, Junho de 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O material do mês confirma que o ransomware segue presente no ecossistema regional e que o setor público continua aparecendo entre as vítimas visíveis em sites de vazamento. A CronUp reportou 139 novas vítimas na semana de 22 a 26 de junho, com organizações governamentais incluídas entre os casos publicados. A Kaseya, em seu levantamento de vazamentos, também lembrou que a América Latina mantém atividade relevante de ransomware, com impacto em setores essenciais, o que reforça a persistência dessa ameaça no contexto latino-americano.

No vertical governamental, a extorsão segue um padrão específico. Os atacantes costumam buscar acesso inicial por credenciais roubadas, serviços expostos, phishing ou terceiros com privilégios. Uma vez dentro, o objetivo nem sempre é criptografar de imediato. Em muitos casos, a lógica é exfiltrar dados, manter presença e pressionar com a ameaça de publicação. Para órgãos públicos, o dano se amplia porque os dados podem incluir informações de cidadãos, processos ou documentação operacional que não pode ser facilmente substituída.

Fraude e phishing

Junho deixou um sinal forte de fraude, especialmente no México. A dinâmica da Copa do Mundo de 2026 gerou uma onda de sites falsos, falsificação de marcas e páginas fraudulentas de venda de ingressos. Isso não é um fenômeno menor nem puramente comercial. Quando uma campanha de fraude escala em torno de um evento de alto perfil, o Estado fica exposto como emissor, validador ou receptor de reclamações, e pode acabar absorvendo parte do custo reputacional do golpe.

Em nível regional, os relatórios citados no período também colocam phishing, roubo de credenciais e campanhas de malware entre as ameaças mais comuns contra organizações na América Latina. Em serviços públicos, esses vetores costumam ser a etapa anterior a incidentes mais graves. Uma conta comprometida em um ministério, em uma secretaria municipal ou em um fornecedor de suporte pode levar a movimento lateral, alteração de configurações ou preparação de uma extorsão posterior. Por isso, embora a fraude pareça um problema de usuário final, na prática ela funciona como porta de entrada para ataques contra o Estado.

APT, hacktivismo e pressão sobre sistemas públicos

O material disponível não descreve uma campanha APT atribuída de forma conclusiva, mas mostra uma convergência entre ataques persistentes e pressão sobre sistemas públicos. O falso alerta no Brasil teve, inicialmente, leitura de possível ciberataque. A Guatemala aparece como um caso de campanha prolongada contra órgãos estatais. E as análises sobre infraestruturas críticas falam de atores capazes de combinar automação, reconhecimento e exploração em escala. Esse conjunto se encaixa melhor em uma pressão contínua sobre o setor público do que em eventos isolados.

Também há um componente de exposição pública e narrativa. Um alerta de emergência manipulado, uma base de dados estatal atacada ou uma lista de vítimas publicada por um grupo de ransomware produzem efeito político imediato. Os atacantes entendem isso. Em governos, a interrupção do serviço costuma doer tanto quanto o vazamento, porque afeta legitimidade, atendimento ao cidadão e capacidade de resposta. Junho mostrou que essa combinação de dano técnico e dano reputacional continua sendo uma das formas mais eficazes de pressão sobre o setor público.

Vulnerabilidades críticas

Não foram mencionados CVEs críticos verificáveis no material fornecido para junho de 2026.

Regulação e conformidade

Em junho, a agenda regulatória se concentrou em dois planos. O primeiro foi formal e regional. Microsoft e a OEA reforçaram sua parceria para reduzir riscos cibernéticos e fortalecer a capacidade institucional digital na América Latina. A decisão tem peso político claro porque coloca os governos no centro de uma estratégia de desenvolvimento de capacidades, não como receptores passivos de tecnologia, mas como atores que precisam de prevenção, detecção e resposta coordenadas. Para o setor público, o movimento importa tanto pela cooperação quanto pelo tipo de agenda que impulsiona.

O segundo plano foi nacional e concreto. Na Guatemala, as fontes informam que há projetos em andamento ligados a cibersegurança, infraestruturas críticas e proteção de dados. Também é mencionada uma estimativa orçamentária inicial para uma lei de cibersegurança. Mais do que o valor, o ponto central é que a onda de ataques empurrou o tema para o centro da discussão pública. Quando um país debate ao mesmo tempo a definição de infraestruturas críticas, a proteção de dados e uma lei-matriz de cibersegurança, está reconhecendo que o problema deixou de ser técnico e passou a ser de governança.

O relatório da Fortinet citado pela ITware Latam também traz uma leitura regulatória útil para o setor público. 89% dos entrevistados esperam um aumento das regulações de cibersegurança aplicáveis a ambientes OT nos próximos cinco anos, o que antecipa pressão crescente sobre operadores de serviços essenciais, muitos deles estatais ou com forte articulação pública. Na América Latina, a regulação parece avançar mais rápido onde o risco já não pode mais ser escondido por esquemas voluntários. A combinação entre maior visibilidade dos incidentes e pressão sobre serviços essenciais está empurrando a transição para marcos mais exigentes.

Países e subsegmentos mais afetados

Brasil

Brasil foi o país mais visível do mês por causa do episódio do falso alerta em massa. A dimensão do alcance, o caráter sensível do sistema afetado e a reação institucional imediata colocam o caso como o mais grave em termos simbólicos. O incidente expôs fragilidades em canais de emergência, controle de mensagens e coordenação da resposta. A UFJF acrescentou uma análise técnica que reforça a ideia de uma vulnerabilidade de arquitetura e de processos, não apenas de software.

O Brasil também aparece no contexto regional de ciberataques de alto volume citado por Check Point Research, no qual lidera as médias semanais de ataques por organização. Isso ajuda a entender por que o caso do falso alerta não deve ser lido de forma isolada. O país combina exposição massiva, alta densidade de infraestrutura digital e uma superfície estatal complexa. Nesse ambiente, qualquer falha em sistemas críticos de mensagens públicas pode ganhar enorme escala.

Guatemala

A Guatemala concentrou a leitura de risco pela continuidade operacional do Estado. As notas sobre a campanha contra órgãos públicos descrevem um cenário em que ministérios, migração e bases de dados estatais foram atingidos por ataques ao longo de abril, maio e junho. Soma-se a isso a ausência de uma definição técnica e legal de infraestruturas críticas, o que deixa sem marco claro serviços básicos e repartições sensíveis.

O subsegmento mais afetado não é um setor econômico, e sim a administração central. Isso importa porque o dano não se mede apenas pelo número de vítimas, mas pela capacidade do Estado de continuar prestando serviços, administrar processos e proteger dados de cidadãos. Na Guatemala, o problema se torna sistêmico porque o vazio normativo coincide com uma campanha prolongada e com um aparato institucional que ainda não conta com um esquema homogêneo de resposta.

México

O México aparece em junho principalmente pelo ambiente de fraude ligado à Copa de 2026, mas também pelo volume de ataques regionais citado por Check Point Research e pelo foco crescente em alvos ligados ao evento. O setor público mais exposto é o que orbita logística, transporte, informação ao cidadão e portais de serviços. Os especialistas citados em Proceso falam em um ambiente digital hostil, e essa formulação resume bem o risco para órgãos que terão de operar sob demanda elevada e pressão reputacional.

O subsegmento mais sensível é o de portais e serviços vinculados a eventos de grande porte. Neles, falsificação, desinformação e fraude se misturam ao risco de incidentes técnicos. Se o cidadão não distingue com clareza entre um site oficial e um falso, o custo acaba aparecendo em atendimento público, reclamações e perda de confiança. O problema, portanto, não é apenas de comércio eletrônico, mas de legitimidade digital do Estado.

República Dominicana e outros ambientes OT

Embora o material não tenha trazido um incidente governamental específico para a República Dominicana, há um sinal relevante sobre o uso de inteligência artificial para disparar ciberataques contra organizações, incluindo serviços do Estado e infraestruturas críticas. A menção importa porque ambientes OT e serviços públicos compartilham riscos semelhantes de automação ofensiva, acesso remoto e baixa tolerância a falhas. O dado não permite atribuir um caso a uma entidade específica, mas serve como alerta sobre o vetor de ameaça que se consolida na região.

Subsegmento, alertas de emergência e gestão de crise

O sistema de alertas de emergência merece leitura separada. O caso brasileiro mostrou que a comunicação pública também é infraestrutura crítica. Quando esse canal falha, o Estado perde capacidade de avisar, conter e orientar. Não se trata de um componente acessório, mas de parte do ciclo de proteção civil. Para outros países da região, isso abre uma pergunta objetiva sobre autenticação, redundância, testes periódicos e protocolos de reversão de mensagens.

Subsegmento, ministérios e plataformas de serviços ao cidadão

As campanhas na Guatemala mostram que ministérios e portais de atendimento ao cidadão seguem como pontos de alto valor para os atacantes. Não é necessário que uma repartição seja estratégica no sentido clássico para virar alvo. Basta concentrar informação útil, ter acesso a outras redes ou permitir a interrupção de serviços. Em junho, o material confirma que esse tipo de alvo continuou presente e que a capacidade de resposta institucional ainda é desigual.

Tendências e sinais a monitorar

Não há baseline comparativo arquivado para este primeiro período com esse formato de indicadores na América Latina, então junho precisa ser lido pela própria densidade, e não em comparação com uma série anterior. Ainda assim, o mês deixou vários sinais claros. O primeiro é o peso dos incidentes acima das mudanças de política. O fato mais relevante não foi uma nova lei nem uma cúpula, mas o impacto direto sobre serviços públicos no Brasil e na Guatemala.

O segundo sinal é a combinação de ameaça técnica com ameaça à confiança. No Brasil, o problema não foi apenas um alerta falso. Foi que milhões de pessoas receberam uma mensagem que parecia legítima a partir do sistema estatal. Esse tipo de incidente produz efeitos persistentes, porque contamina o uso futuro da plataforma. Se o Estado perde credibilidade em seu canal de emergência, depois precisa gastar mais para voltar a ser confiável.

O terceiro sinal é o avanço paralelo de campanhas de fraude e extorsão. O México mostrou um ambiente de suplantação e domínios falsos em torno da Copa de 2026, enquanto CronUp e Kaseya confirmaram que o setor público segue aparecendo em listas de vítimas de ransomware e vazamentos. Isso sugere uma estrutura de ameaça mais completa: fraude ao usuário, exfiltração de dados e pressão operacional convivem no mesmo mês.

O quarto sinal é a consolidação da resposta institucional. A aliança reforçada entre Microsoft e a OEA, somada ao impulso regulatório na Guatemala, indica que o setor público passou a ser tratado como um espaço que precisa de capacidade sustentada, e não apenas de compras isoladas. A discussão já não é se falta coordenação, mas quão rápido ela pode ser construída.

O quinto sinal é que a exposição se amplia para canais não tradicionais. Alertas de emergência, plataformas de eventos, serviços ao cidadão e ambientes OT aparecem misturados. Isso obriga as equipes de segurança do setor público a deixar de pensar em silos e a mapear dependências funcionais. O risco de junho não ficou concentrado em um único domínio, mas distribuído por toda a cadeia de prestação do serviço.

Recomendações para equipes de segurança

Primeiro, revisar os canais de alerta e de mensagens críticas com foco em autenticação forte e redundância. O caso brasileiro deixa uma lição direta. Todo sistema que difunda mensagens de emergência deve validar emissor, integridade e autorização de cada publicação e, além disso, contar com mecanismos de desativação controlada, rastreabilidade e testes periódicos em ambientes isolados.

Segundo, priorizar a segmentação entre domínios administrativos, de atendimento ao cidadão e de operação crítica. O material da Fortinet citado em junho insiste que falhas de visibilidade, segmentação e acesso remoto seguem presentes. No setor público, isso não pode continuar sendo tratado como uma dívida futura. Se uma conta ou uma rede secundária cair, a resposta precisa impedir que o incidente vire uma falha de todo o órgão.

Terceiro, reforçar a higiene de identidades e credenciais. O conjunto de ameaças de junho, de phishing a ransomware e acesso remoto indevido, sugere que o ponto de entrada continua sendo a autenticação. MFA resistente a phishing, revisão de privilégios, rotação de credenciais, gestão de terceiros e monitoramento de contas de serviço devem ser tratados como controles básicos, não como extras.

Quarto, monitorar ativamente domínios, campanhas de suplantação e fraude temática. O caso da Copa de 2026 mostra que eventos de grande porte multiplicam o risco de sites falsos e páginas apócrifas. Órgãos públicos envolvidos com logística, transporte, turismo ou segurança deveriam ter regras de marca, listas de domínios autorizados e canais visíveis de denúncia para os cidadãos.

Quinto, integrar a resposta a incidentes com a comunicação pública. Um incidente no Estado não termina quando é contido tecnicamente. Também é preciso responder a cidadãos, imprensa, autoridades políticas e, em alguns casos, órgãos de controle. As equipes deveriam ter roteiros de crise, porta-vozes definidos e critérios para distinguir entre mensagem preventiva, aviso de continuidade e alerta real.

Sexto, revisar fornecedores e acesso remoto com foco em continuidade. As campanhas de junho confirmam que a superfície do Estado inclui terceiros. Se um fornecedor administra suporte, mensageria, infraestrutura ou serviços, seu nível de maturidade impacta diretamente o órgão. Convém exigir rastreabilidade, controle de sessões, segmentação e auditorias de acesso, especialmente em serviços que interagem com cidadãos.

Sétimo, acelerar a definição de ativos críticos e planos de recuperação. Guatemala mostra o custo de não ter uma classificação operacional de infraestruturas críticas. Sem inventário de serviços essenciais, sem RTO e RPO realistas e sem priorização explícita, a recuperação é improvisada. O setor público deveria mapear quais sistemas sustentam atendimento ao cidadão, identidade, arrecadação, migração, emergências e logística, e atribuir a eles um tratamento diferenciado.

Limitações do material

O relatório foi elaborado exclusivamente com o material fornecido para junho de 2026. Não foram usadas fontes externas nem informações fora da lista autorizada. Isso limita a possibilidade de confirmar atribuições técnicas finas, o número exato de vítimas em algumas campanhas e detalhes operacionais de certos incidentes.

Várias peças jornalísticas e resumos citados falam de campanhas amplas, mas nem sempre detalham o universo completo de órgãos afetados. Em Guatemala, por exemplo, as fontes confirmam múltiplas dependências impactadas, embora não apresentem um número definitivo de instituições. No México, parte do material sobre Mundial 2026 mistura contexto de fraude privada com possíveis impactos públicos, por isso o cruzamento com o setor estatal deve ser lido com cautela.

Também não houve CVEs críticos verificáveis mencionados no corpus disponível para o período, então a seção de vulnerabilidades se limita a essa constatação. Da mesma forma, não foram incorporados IoCs nem TTPs explícitos publicados pelas fontes de maneira suficientemente verificável para construir um anexo técnico independente.

Por fim, alguns fatos mencionados no material de pesquisa aparecem com confirmação direta muito alta, enquanto outros são atribuídos pela fonte com certo grau de incerteza. Na redação, foram priorizados os casos confirmados e consolidadas as repetições entre veículos quando descreviam o mesmo episódio, evitando inflar o número de incidentes com duplicações jornalísticas.