Setor público e órgãos governamentais, Julho 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados com data dentro do período. Cada um informa sua base e seu critério de contagem, para que os números se reconciliem entre os módulos. Esta é a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 79 fatos com data em julho de 2026 · 1 de meses anteriores (marco comparativo, não volume do mês) · 4 sem data confirmada (excluídos dos indicadores). Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

Resumo executivo do mês

Julho de 2026 deixou um retrato misto para o setor público e os órgãos governamentais da América Latina. O mês foi marcado por incidentes de disponibilidade, vazamentos e movimentos regulatórios, com uma queda clara nas menções a ransomware e phishing em relação ao mês anterior, mas com uma atividade normativa muito mais intensa. O sinal mais consistente não foi o de criptografia destrutiva, e sim o de sistemas interrompidos, bases de dados expostas, acessos não autorizados e respostas institucionais que buscaram impor limites técnicos e legais mais precisos ao risco.

O volume verificado do período foi menor que o de junho, mas isso não significa uma melhora linear do risco. A superfície pública continuou mostrando fragilidade em plataformas de atendimento ao cidadão, portais de transparência, sistemas de mobilidade e ambientes estatais de suporte. Em vários casos, o impacto principal foi operacional e reputacional, com alguns eventos se estendendo por vários dias antes da restauração parcial. A isso se somaram investigações administrativas e penais, o que confirma que o incidente cibernético no setor público já não é tratado apenas como falha técnica, mas também como questão de continuidade institucional, custódia de dados e possível responsabilidade contratual ou regulatória.

A maior concentração de fatos foi observada em Colômbia, México, Paraguai, Brasil e Argentina, embora com naturezas distintas. A Colômbia combinou um caso de alto perfil como Ecopetrol com a discussão persistente sobre o vazamento de dados de mobilidade em Bogotá. O México trouxe um conjunto denso de incidentes em León e uma série de reportes sobre Sinaloa, ainda com muita incerteza técnica no material disponível. O Paraguai se moveu entre a denúncia de ciberespionagem estatal e a resposta institucional, enquanto o Brasil aportou dois sinais importantes, uma sanção em matéria de proteção de dados vinculada ao sistema público de saúde e um incidente no STM. Em Mendoza, o sinal não foi um ataque, e sim regulação em construção.

A relação entre incidente e resposta também mudou de tom. O mês anterior havia sido marcado por mais ransomware e mais phishing documentado, enquanto em julho dominou o bloco de incidentes sem tipificação, com uma única referência a ransomware como tentativa contida e sem confirmação suficiente para classificar o impacto com precisão. Em paralelo, os movimentos regulatórios cresceram com força, desde um projeto de lei integral em Mendoza até decisões da ANPD no Brasil e atuações da Procuradoria colombiana sobre contratação de cibersegurança. A região mostra assim uma transição parcial da reação puramente operacional para marcos de governança mais explícitos, embora ainda muito desiguais entre jurisdições.

Um dado relevante do mês é que os fatos confirmados diretamente pela fonte alcançaram 81 por cento do material. Isso melhora a qualidade da leitura diante de publicações baseadas em atribuições frágeis ou em reconstruções jornalísticas sem suporte técnico completo. Ainda assim, persistem zonas cinzentas que exigem prudência, sobretudo em campanhas de atribuição complexa, reportes com números não verificados pela autoridade e casos em que o material não permite determinar se houve criptografia, exfiltração ou apenas reivindicação. Em outras palavras, julho ofereceu mais clareza regulatória, mas não necessariamente mais clareza forense.

Panorama regional do mês

A leitura regional de julho é a de um risco médio alto, sustentado menos por uma onda de destruição em massa do que pela persistência de intrusões, vazamentos e indisponibilidades em sistemas públicos essenciais. O critério de risco se apoia na combinação de 41 incidentes sem tipificação sobre 78 fatos verificados, um conjunto de eventos com impacto direto em portais cidadãos e dados sensíveis, e na presença de casos de alto impacto institucional como Ecopetrol, o STM, León, Bogotá e Paraguai. Não é um mês de saturação pelo volume, mas é um mês em que os eventos com consequências operacionais e de conformidade dominaram a agenda.

A dispersão geográfica também é significativa. Não houve uma única geografia dominante em termos de tipo de ameaça. O México concentrou falhas de disponibilidade e vazamento em governos locais, a Colômbia misturou exfiltração, pressão regulatória e investigação penal, o Paraguai colocou em primeiro plano a hipótese de ciberespionagem sobre sistemas estatais, o Brasil mostrou a resposta de sua autoridade de proteção de dados e uma incidência no mais alto tribunal militar, e a Argentina começou a transformar a cibersegurança do Estado em tema legislativo formal. Essa variedade sugere que a região não enfrenta um único problema, mas vários frentes sobrepostas, fornecedores frágeis, plataformas públicas expostas, disputas sobre atribuição e uma maturidade desigual dos marcos de governança.

Também mudou o equilíbrio entre ofensiva e defesa. Em junho havia mais ruído de extorsão, fraude e ransomware. Em julho, o sinal se deslocou para a indisponibilidade de serviços, a exfiltração e a revisão de capacidades estatais. O fato de que o material deste mês inclui um alerta crítico sobre CVE-2026-0257 no GlobalProtect da Palo Alto reforça a ideia de que a exposição não depende apenas do setor público como vítima direta, mas também da sua dependência de infraestrutura e software amplamente implantados. A superfície de risco estatal segue atrelada a terceiros, a contratos de operação e a controles que muitas vezes são ativados depois do incidente.

A leitura qualitativa se completa com uma observação de maturidade. Quando um mês traz tantas menções regulatórias, costuma indicar duas coisas ao mesmo tempo, que o problema já tem peso político e que a reação formal está tentando correr atrás de uma ameaça que se manifesta antes das soluções. O projeto mendocino, a sanção da ANPD, o alerta da Procuradoria na Colômbia e as ações do MITIC no Paraguai mostram que o Estado latino-americano começa a normatizar mais, mas a evidência do mês diz que ainda chega à segunda fase depois do vazamento, da queda ou da intrusão. A prevenção ainda corre atrás do incidente.

Indicadores do período

Incidentes relevantes

Ecopetrol, vazamento de dados e resposta corporativa e estatal

O caso mais visível do mês foi o ciberataque contra a Ecopetrol, que combinou exfiltração, atribuição por parte de um grupo de ameaça e desdobramentos regulatórios na Colômbia. A Reuters informou que a companhia detectou a subtração de informações associadas a cerca de 3.300 contas de usuário e que o incidente afetou ambientes de armazenamento em nuvem de 15 subsidiárias. A mesma cobertura apontou que a Ecopetrol conseguiu impedir uma tentativa de ransomware, mas isso não permitiu concluir que o evento tivesse se reduzido a uma simples intrusão sem consequências, porque a exfiltração foi confirmada e a empresa não descartou um possível impacto financeiro adverso.

A resposta também foi multicanal. Segundo o comunicado corporativo divulgado pelo Yahoo Finance, a Ecopetrol ativou seus protocolos de resposta, revogou acessos não autorizados e implantou medidas para impedir a divulgação pública das informações exfiltradas. Em 28 de julho, de acordo com El País, a empresa apresentou um Formulário 6-K à SEC informando o ciberataque, e dois dias depois o mesmo veículo citou que o grupo The Gentlemen dizia deter até 1 terabyte de informações da Ecopetrol e de subsidiárias, com registros de perfuração, folhas de pagamento, dados bancários, históricos médicos, biometria e credenciais VPN ativas. Essa cadeia de fatos importa não pelo volume alegado pelo atacante, que não está totalmente verificado, mas porque mostra como um incidente corporativo de uma empresa estratégica acaba escalando para a agenda pública, regulatória e de mercado.

Infobae acrescentou que a Fiscalía General de la Nación abriu uma investigação em 31 de julho. Em paralelo, El Colombiano informou que o ColCERT emitiu um alerta de risco alto para o setor empresarial e que o Ministério TIC recebeu o reporte em 17 de julho, acionando coordenação com órgãos competentes. A combinação de investigação criminal, alerta técnico e apresentação ao regulador financeiro sugere que o evento já não é lido como um incidente isolado. Para o setor público e para os órgãos que dependem de contratadas críticas, o caso Ecopetrol funciona como um lembrete operacional sobre exposição em nuvem, revogação de acessos, segmentação de fornecedores e rastreabilidade de contas privilegiadas.

Bogotá e o vazamento de dados de mobilidade

O incidente associado à Secretaria Distrital de Mobilidade de Bogotá continua relevante porque expõe um padrão clássico de exposição por meio de terceiros. Segundo Noticias RCN e El Tiempo, o vazamento de fevereiro de 2026 envolveu uma base de dados histórica administrada por um provedor tecnológico externo, usada como fonte de consulta interna para processos operacionais específicos. Os veículos também detalharam que a intrusão ocorreu sobre o provedor que administrava a base de dados, e não sobre a infraestrutura principal da Secretaria, e que, no momento dos relatos, não havia um consolidado definitivo sobre a quantidade de dados afetados.

Isso não reduziu o impacto reputacional. A Infobae publicou que um grupo de atacantes afirmou ter acessado informações de quase 4,5 milhões de motoristas em Bogotá, com dados pessoais, habilitações, SOAT, veículo e infrações, embora a Secretaria não tenha confirmado esse número. No mesmo ecossistema informativo, foi alertado um risco crescente de campanhas de phishing e golpes direcionados a motoristas, construídas sobre dados exfiltrados e mensagens personalizadas sobre multas e veículos. O ponto operacional aqui não é apenas o vazamento em si, mas a reutilização desses dados em fraude secundária, que pode ampliar o dano muito depois do incidente original.

A cobertura de Noticias RCN também informou que as investigações técnicas incluíam preservação de evidências digitais, análise de rastreabilidade, revisão de sistemas comprometidos e pedidos formais ao provedor para reforçar controles e entregar relatórios técnicos detalhados. Além disso, o Distrito desmentiu versões sobre manipulação de multas e impacto na fotodetecção. Esse tipo de esclarecimento público é importante porque mostra outro traço do risco no setor público: quando falta um consolidado forense, o vazio é ocupado por especulações, atribuições não verificadas e leituras políticas do incidente. Bogotá aparece, assim, como um caso de brecha ainda em esclarecimento, com impacto operacional, contratual e de confiança cidadã.

León, queda de portais, transparência e bloqueio preventivo

León foi um dos focos mais consistentes do mês no México. Em 1º de julho, veículos locais reportaram que a página oficial do Governo de León ficou fora do ar por um ciberataque que afetou principalmente o Sistema de Atención Ciudadana, travando trâmites e o pagamento de multas. La Silla Rota acrescentou que, durante o incidente, teriam sido roubados dados de cidadãos, embora sem precisar volume nem evidência técnica. No dia seguinte, a Direção de Tecnologias da Informação municipal informou que, até aquele momento em 2026, haviam sido registrados aproximadamente 1 milhão 637 mil tentativas de hackeamento contra a infraestrutura digital municipal, dado que deve ser lido como telemetria de tentativas e não como incidentes confirmados.

A evolução posterior mostrou uma indisponibilidade prolongada. AM León apontou que o portal de Transparência seguia com acesso limitado a arquivos oito dias depois do ataque e que o site principal do município foi reativado em 6 de julho, mas o portal de Transparência continuava inabilitado ao menos até o dia 7. Contacto Noticias registrou que o portal digital acumulou nove dias fora do ar. Essa prolongação importa porque a afetação não se limitou à queda inicial do site, mas alcançou funções de prestação de contas e acesso a informação obrigatória.

A resposta oficial foi de contenção. O município informou, segundo AM León, que aplicou um bloqueio preventivo do equipamento de informática para evitar danos maiores e depois realizou testes de segurança antes de restaurar os serviços. A AM também relatou vazamento de bases de dados e compras do município no contexto de um hackeamento à Seguritech vinculado a serviços do governo local. O conjunto de peças desenha um padrão operacional bastante reconhecível para municípios da região, em que a fronteira entre sistema próprio, fornecedor externo e serviços ao cidadão fica difusa. Quando um ator compromete uma camada desse ecossistema, a queda ou o vazamento acabam repercutindo em trâmites, transparência e confiança pública.

Mendoza, projeto de lei e arquitetura estatal de cibersegurança

Na Argentina, o sinal mais forte não foi um incidente, mas um projeto de lei de cibersegurança para Mendoza. O texto legislativo, divulgado por El Sol, cria o Comitê de Condução Estratégica de Cibersegurança como autoridade de aplicação e máxima instância política e estratégica, presidido pelo Ministério de Segurança e Justiça e integrado por outros órgãos provinciais estratégicos. Também estabelece uma Autoridade Operacional de Cibersegurança vinculada ao mesmo ministério, com funções de monitoramento, detecção, gestão e resposta a incidentes, incluindo a operação de um SOC provincial e um CSIRT governamental.

O valor dessa iniciativa está em transformar em norma uma série de decisões que, em outras jurisdições, aparecem de forma dispersa ou apenas como boas práticas. O projeto obriga a elaboração de um Inventário de Ativos Críticos de Informação do Estado provincial, a classificação da informação e o desenvolvimento de um Programa de Gestão de Riscos de Cibersegurança baseado em padrões e boas práticas reconhecidas, incluindo ISO/IEC 27001. Além disso, determina que o alcance obrigatório inclui a Administração Central, organismos descentralizados, entes autárquicos, empresas e sociedades do Estado, e outros organismos com participação majoritária estatal. É uma peça normativa que busca fechar o espaço entre a informalidade operacional e a necessidade de responder com capacidade institucional.

Diario San Rafael acrescentou que a iniciativa se orienta a proteger a infraestrutura tecnológica do Estado e os dados pessoais dos moradores de Mendoza, e que também prevê campanhas de conscientização para a população. Embora não se trate de uma resposta a um incidente específico, sua inclusão no relatório é relevante porque mostra como algumas províncias começam a tratar a cibersegurança como infraestrutura pública crítica, e não como gasto acessório. Em termos de política pública, isso pode impactar compras, auditorias, governança de fornecedores e priorização de ativos.

Paraguai, ciberespionagem, denúncia penal e atribuição estatal

O Paraguai foi um dos casos mais delicados do mês pela natureza do material publicado. Diversas coberturas, entre elas ABC Color, DW, Diario Paraguayo e La Tribuna, indicaram que o MITIC e autoridades dos Estados Unidos detectaram infiltração de múltiplos atores de ameaça vinculados à China em sistemas estatais paraguaios. O material disponível indica que o governo falou em operações cibernéticas maliciosas direcionadas a plataformas digitais do Estado e que houve uma denúncia de ciberespionagem, com abertura de inquérito penal pela Fiscalía.

La Tribuna publicou declarações do diretor-geral de Cibersegurança e Proteção da Informação do MITIC, Pedro Martínez, segundo as quais o objetivo do incidente foi a coleta sigilosa de dados e o monitoramento contínuo, não a destruição ou sabotagem da infraestrutura. Esse detalhe é fundamental, porque desloca a leitura do caso da ideia de dano visível para a de persistência e observação. Para o setor público, a ameaça de ciberespionagem é mais difícil de detectar e também mais difícil de quantificar. Se o propósito é instalar um coletor de dados estatais ou manter acesso silencioso, o problema não é uma queda imediata, mas a possibilidade de o adversário ter permanecido na rede por um período prolongado.

ABC Color informou que a promotora Irma Llano confirmou diligências iniciais e a tomada de depoimento do titular do MITIC. Além disso, uma cobertura diferente apontou que o Ministério teria apresentado ao Senado ações para reforçar a cibersegurança do Estado, conectando a denúncia a uma agenda de resposta institucional. Em paralelo, a DW informou que Estados Unidos e Paraguai detectaram a infiltração durante uma revisão conjunta. Mesmo com a cautela necessária sobre a atribuição, o caso deixa um sinal regional importante: os governos já não discutem apenas proteção de serviços, mas intrusão em redes estatais com possíveis objetivos de inteligência.

Detran de Mato Grosso do Sul e a indisponibilidade por tentativas de intrusão

O Detran de Mato Grosso do Sul informou instabilidade em seus sistemas após tentativas de invasão aos seus ambientes tecnológicos e esclareceu que não houve vazamento de dados institucionais nem de informações de cidadãos. A cobertura de Campo Grande News acrescentou que as tentativas acionaram protocolos de segurança e provocaram falhas intermitentes na conexão com a Sefaz. Embora o material não permita falar de uma intrusão confirmada com exfiltração, o caso se encaixa na categoria de incidente operacional com resposta de contenção.

A relevância desse episódio não está em seu caráter espetacular, mas em sua normalidade. Órgãos de trânsito são alvos recorrentes porque combinam alta demanda cidadã, dependência de integrações com outras agências e forte sensibilidade à continuidade do serviço. Quando a falha atinge os links com a secretaria de fazenda ou compromete a estabilidade do sistema, o problema deixa de ser técnico e passa a ser uma fricção direta para trâmites, arrecadação e atendimento ao público. Para a região, esse tipo de caso é tão representativo quanto um grande vazamento, porque mostra o nível de resiliência cotidiana do aparato estatal.

STM do Brasil, portal fora do ar e alcance restrito

O Superior Tribunal Militar informou um incidente de segurança cibernética em seu portal eletrônico por volta de 2 de julho e retirou temporariamente o site do ar enquanto analisava e recuperava sistemas. O G1 indicou que o incidente afetou apenas o site institucional e não gerou prejuízos aos sistemas internos nem ao andamento processual do tribunal. Essa distinção, embora pareça menor, importa muito do ponto de vista operacional, porque mostra uma contenção efetiva do alcance e evita superdimensionar o evento.

O caso não deixa de ser relevante por isso. Uma interrupção de portal público em uma instituição judicial ou de defesa pode afetar legitimidade, acesso a informações e percepção de segurança institucional, mesmo quando os sistemas internos permanecem intactos. Em termos de leitura regional, o STM confirma que a indisponibilidade de uma interface pública segue sendo um sinal importante no setor público, especialmente quando coincide com um mês em que vários órgãos precisaram bloquear ou tirar plataformas do ar para conter danos maiores.