Setor público e órgãos governamentais, Ago 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um declara sua base e seu critério de contagem, para que os números se reconciliem entre os módulos. Eles funcionam como leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir este resumo.

Janela dos indicadores: 113 fatos datados em agosto de 2026. Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

Resumo executivo do mês

Agosto de 2026 registrou 113 fatos verificados sobre o setor público e órgãos governamentais na América Latina, com predominância de incidentes operacionais e uma alta muito acentuada de ransomware e extorsão em comparação com julho. O sinal do mês se concentrou em Brasil, Colômbia e Chile, com impacto sobre ministérios, prefeituras, plataformas de serviços e órgãos de controle, enquanto México, Paraguai e Argentina trouxeram quedas, tentativas de invasão ou falsificações de identidade com menor profundidade técnica.

O caso mais grave pelo impacto operacional foi o ransomware contra o Ministério da Justiça e do Direito da Colômbia, que degradou serviços públicos digitais, obrigou a ativar canais alternativos e exigiu recuperação tecnológica articulada com a COLCERT, a Fiscalía, a Microsoft e aliados do BID. O caso foi confirmado como ransomware pelo próprio órgão, com isolamento de sistemas e restauração gradual, embora sem evidência pública de vazamento de dados no material revisado. Em escala regional, esse episódio voltou a colocar no centro do debate a continuidade operacional de guichês e serviços ao cidadão.

No Brasil, o quadro combinou vazamentos, supostas exposições de dados e ataques atribuídos ou rastreados por terceiros. Houve apuração sobre um possível vazamento de números do Caged, outra frente por supostos vazamentos de dados sigilosos ligados ao STF e à Polícia Federal, uma investigação do MP-BA por exposição de dados pessoais e de saúde de mais de 290 pacientes e um caso de suposto vazamento de dados de investigações dentro da Polícia Federal. Em paralelo, o município de Arcos foi associado a reivindicações de ransomware do grupo Emperador, e vários órgãos municipais do Espírito Santo ficaram fora do ar por um ataque que explorou a infraestrutura da Ágape Consultoria.

O Chile mostrou uma combinação diferente, com invasão ao Serviço Nacional de Migrações, investigação por vazamento de dados médicos em Carabineros, procedimento disciplinar e denúncia criminal em Curicó por extração de material íntimo de telefones institucionais, e um alerta preventivo da ANCI após a invasão da LiteLLM por possível exposição de credenciais. Também houve um episódio de investigação judicial por suposto vazamento de informações de causas a uma organização ligada ao narcotráfico dentro do Poder Judiciário. Não se tratou de uma única campanha, mas de vários fatos com vetores e níveis de gravidade distintos.

O perfil quantitativo também deixou um sinal claro sobre o tipo de risco. Com 54 incidentes sem tipificação, 26 casos de ransomware ou extorsão como eixo primário e apenas 4 movimentos regulatórios, o mês foi mais operacional do que normativo. A ausência de CVEs críticos mencionados no material analisado não implica ausência de exploração na região, mas indica que a discussão pública de agosto se concentrou em invasões, interrupções, vazamentos internos e recuperação, mais do que em vulnerabilidades pontuais identificadas por nome.

Panorama regional do mês

A leitura regional de agosto é de risco alto, não por uma única campanha, mas pela combinação de volume, diversidade de alvos e severidade funcional em órgãos que sustentam serviços públicos básicos. O mês registrou ataques contra ministérios, municípios, órgãos judiciais, forças de segurança e plataformas digitais de governo, com impacto direto na continuidade operacional, no atendimento ao cidadão e no tratamento de informações sensíveis.

O Brasil concentrou o maior número de casos de comprometimento interno e vazamentos. Houve reivindicações de ransomware contra a Intranet Gov Brasil e a Prefeitura Municipal de Arcos, ataques a câmaras municipais e prefeituras do Espírito Santo por meio de um fornecedor comum, além de vários casos de exposição ou suspeita de vazamentos de dados pessoais, de saúde e de investigação. O conjunto não aponta para um único padrão, mas para um ambiente em que o acesso a dados e a intermediação de fornecedores ampliam o risco de propagação e de exposição lateral.

A Colômbia registrou o episódio de maior impacto público, porque o Ministério da Justiça confirmou um ransomware que afetou parte de sua infraestrutura e degradou serviços digitais voltados à cidadania. O fato veio acompanhado por alertas do ColCERT sobre aumento da atividade de ransomware contra alvos nacionais e por uma resposta institucional que incluiu contenção, isolamento de sistemas e restauração escalonada. Do ponto de vista da continuidade do Estado, é o tipo de incidente que exige um esquema maduro de recuperação e priorização de trâmites essenciais.

O Chile, por sua vez, mostrou uma superfície de ataque mais heterogênea. O Serviço Nacional de Migrações sofreu uma intrusão com bloqueio temporário e envio de e-mails massivos institucionais, Curicó enfrentou um vazamento de material íntimo a partir de dispositivos da prefeitura, os Carabineros abriram um sumário por dados médicos sensíveis e o Poder Judiciário terminou com uma prisão preventiva por vazamento de informações para uma quadrilha de narcotráfico. Somou-se a isso o alerta da ANCI por credenciais expostas na cadeia de suprimento do LiteLLM, que apontou risco preventivo e de exposição potencial, não um incidente confirmado de impacto massivo.

México, Paraguai e Argentina completam um mapa em que predominam interrupções, tentativas de violação e falsificações, mais do que brechas massivas confirmadas. No México houve queda temporária de sites do governo federal e do domínio gob.mx, além do caso do C5i de Tlaxcala com tentativa de violar informações. No Paraguai, observaram-se alegações de DDoS contra órgãos públicos. Na Argentina, destacaram-se o golpe que se passou pelo BCRA e o ataque à Oldelval com continuidade operacional preservada. O resultado é um risco regional alto, com focos operacionais e de vazamento muito concretos.

Indicadores do período

Incidentes relevantes

Ministério da Justiça e do Direito da Colômbia

O caso mais sensível do mês foi o ataque de ransomware contra o Ministério da Justiça e do Direito da Colômbia, confirmado pelo próprio órgão a partir de 2 de agosto e com impactos operacionais visíveis por vários dias. A entidade informou indisponibilidade temporária de sistemas, afetação de parte de sua infraestrutura tecnológica e ativação de canais alternativos para o atendimento ao cidadão enquanto avançavam as tarefas de contenção e recuperação.

A sequência importa porque permite separar percepção de evidência. O Ministério confirmou que a COLCERT encontrou achados preliminares compatíveis com ransomware e, depois, comunicou que alguns serviços públicos digitais foram degradados. Também informou trabalho conjunto com a Fiscalía, a COLCERT, a Microsoft e aliados do BID, o que indica uma resposta técnica e institucional coordenada. No material não aparece evidência pública de roubo de dados a partir desses sistemas, de modo que o dano verificável foi sobretudo de disponibilidade.

A leitura operacional é clara. Quando um ministério da Justiça perde disponibilidade parcial, ainda que sem vazamento público confirmado, o impacto se traduz em atrasos em trâmites, acúmulo de processos e maior pressão sobre canais presenciais. A velocidade de isolamento e recuperação foi relevante, mas o episódio expõe um ponto recorrente na região, a dependência de plataformas únicas para gerenciar PQRDSF, processos e serviços de consulta.

Fonte direta do próprio ministério, datada de 2, 3, 8, 15 e 20 de agosto de 2026, com apoio de cobertura técnica externa em Infobae Colombia, DarkReading, DataEnforce, White Hunters, eSoft e Nexsight.

Oldelval e a frente energética argentina

A Oleoductos del Valle informou à CNV que sofreu um ataque informático em seus sistemas administrativos, mas afirmou que o transporte de petróleo seguiu sem interrupções. Em paralelo, veículos especializados descreveram o fato como ransomware do tipo RaaS, e um ator atribuído à Incransom disse ter exfiltrado documentos internos, entre eles materiais de recursos humanos, financeiros e regulatórios.

O elemento a destacar é a separação entre impacto operacional e possível impacto de confidencialidade. A empresa falou em sistemas administrativos afetados, não em interrupção do oleoduto. A alegação posterior em fontes de inteligência sugere exfiltração, mas o material esclarece que o escopo total não foi confirmado de forma independente e que não havia validação pública do número de pessoas afetadas. Neste caso, o risco de negócio está mais perto da exposição documental do que da perda de continuidade física.

A combinação de operação crítica e exposição administrativa é especialmente delicada em infraestrutura energética. Não se trata de um simples incidente corporativo, porque o ambiente regulatório e a confiança do mercado passam a estar em jogo. O caso também mostrou como grupos de ransomware misturam pressão pública, publicação de vítimas em leak sites e alegações sobre volume de dados para maximizar a visibilidade do episódio.

Espírito Santo e a cadeia de suprimentos da Ágape Consultoria

Os fatos sobre a Ágape Consultoria mostram uma campanha com consequências municipais em cascata. Coberturas locais descreveram que sites e bases de dados de várias prefeituras e câmaras municipais do Espírito Santo ficaram fora de serviço ou comprometidos após um ataque que explorou vulnerabilidades nos servidores centrais da empresa fornecedora. Ao mesmo tempo, uma análise da PacificSec ampliou o universo potencial de clientes afetados.

A relevância do caso não está apenas na quantidade de órgãos públicos alcançados, mas no padrão de dependência. Se um fornecedor atende dezenas de câmaras e prefeituras, um comprometimento central pode se transformar em uma falha transversal. As evidências reunidas no material indicam que João Neiva, Ibatiba, Brejetuba e Vitória estavam entre os entes mencionados, junto com outras instituições municipais do estado.

Não há aqui uma tipificação totalmente fechada do impacto final, porque as fontes misturam acesso a bancos de dados, queda de sites, reivindicações de grupos de ransomware e necessidades de contingência de TI. Mas a mensagem estratégica é consistente. A superfície de ataque do setor público não termina na infraestrutura própria de cada município, ela se estende a integradores, consultorias e fornecedores de software com acesso privilegiado.

Intranet Gov Brasil e a alegação do The Gentlemen

Intranet Gov Brasil apareceu em várias fontes de monitoramento como vítima reivindicada pelo grupo The Gentlemen. A Breachsense a registrou como breach, a Intel and Breaches a incluiu entre 83 novas vítimas de ransomware e outras plataformas de monitoramento indicaram o caso como uma publicação em leak site ou uma alegação sem confirmação oficial. O material, porém, não traz validação pública de autoridades brasileiras nem dos operadores da plataforma no momento do reporte.

Por isso, convém tratar o caso com cautela. O nome do domínio e sua descrição como portal digital de serviços públicos e acesso online para cidadãos e empresas sugerem uma infraestrutura com alcance maior que uma simples intranet interna. Mas o material disponível não permite determinar se houve criptografia, apenas menção em leak site ou exfiltração. Essa indeterminação não tira valor do fato, mas obriga a não superdimensioná-lo.

Do ponto de vista do monitoramento, esse tipo de alegação é útil como alerta de exposição reputacional e possível continuidade investigativa. Se a vítima pertence ao ecossistema federal brasileiro, qualquer referência a credenciais, acessos internos ou serviços compartilhados deve ser checada com prioridade. A situação do mês reforça que as listas de vítimas de ransomware são um sinal inicial, não uma prova fechada de impacto.

Serviço Nacional de Migração do Chile

O Serviço Nacional de Migração sofreu um hackeamento em 18 de agosto que bloqueou temporariamente sua plataforma e levou ao envio massivo de e-mails a partir de contas institucionais com imagens e mensagens alheias à gestão habitual do órgão. As fontes coincidem em que o site ficou inutilizado por várias horas, aproximadamente entre 5 e 9 da manhã, e que o serviço foi restabelecido ainda naquele dia.

Esse incidente é diferente de um ransomware clássico. O material não descreve criptografia nem extorsão financeira, mas sim um bloqueio da plataforma, uso indevido de contas institucionais e uma ação com forte componente de sabotagem ou desfiguração. Além disso, as coberturas esclarecem que, até o momento, não foi informado se houve comprometimento de dados pessoais ou antecedentes sensíveis, por isso o alcance sobre informações armazenadas segue sem confirmação pública.

A leitura operacional é desconfortável para a administração pública. Embora a restauração tenha sido rápida, durante várias horas a cidadania não conseguiu concluir trâmites online. O fato também mostrou que a integridade dos canais institucionais de e-mail faz parte da confiança pública, não só da continuidade técnica. Um portal restaurado, mas com contas comprometidas, continua sendo uma superfície sensível.

Curicó e a filtragem a partir de dispositivos institucionais

A Prefeitura de Curicó abriu processo administrativo interno e enviou antecedentes ao Ministério Público após o vazamento e a viralização de vídeos íntimos extraídos de celulares institucionais. As fontes descrevem um modus operandi em que um funcionário de informática teria acessado fotografias e vídeos privados enquanto consertava celulares municipais ou particulares, o que eleva o caso de uma falta administrativa para uma possível causa penal.

Aqui o eixo não é ransomware nem uma intrusão externa, e sim abuso de acesso legítimo e extração irregular de conteúdo sensível. Esse detalhe importa, porque no setor público a fronteira entre suporte técnico e acesso indevido pode ser tênue quando não há separação forte de funções, registro de atividade nem controles sobre dispositivos administrados. O município reagiu afastando os funcionários envolvidos enquanto a investigação seguia.

O caso também deixou uma marca profunda de risco reputacional. Quando o vazamento envolve material íntimo, o dano às pessoas afetadas se torna imediato e a exposição institucional ultrapassa a cibersegurança clássica. A investigação penal e o processo administrativo interno mostram que o problema foi tanto tecnológico quanto disciplinar e de confiança interna.

Argentina, BCRA e a fraude de suplantação

O Banco Central da República Argentina emitiu um alerta público sobre uma fraude virtual que suplanta sua identidade e a de suas autoridades. Segundo o aviso, os atacantes usaram vídeos manipulados e canais como e-mail, WhatsApp ou SMS para simular comunicações oficiais e conseguir dados ou pagamentos. O BCRA esclareceu que não solicita pagamentos nem informações bancárias por esses meios.

Trata-se de fraude e phishing, não de um incidente de intrusão contra sistemas internos do banco. O valor do alerta está em mostrar uma suplantação institucional suficientemente convincente para exigir comunicação pública direta. O próprio aviso acrescenta uma rota de resposta, se alguém instalou um aplicativo ou compartilhou dados, deve contatar imediatamente seu banco e denunciar à UFECI.

Em paralelo, o caso da Oldelval na Argentina ampliou a atenção sobre infraestrutura energética e serviços regulados. Embora não haja relação causal entre a fraude do BCRA e o ataque à Oldelval, ambos os fatos lembram que, no setor público e paraestatal argentino, convivem ameaças de engenharia social com ataques de maior complexidade técnica. Essa coexistência obriga a não priorizar uma única classe de risco.

México, Tlaxcala e a queda de portais governamentais

O México trouxe vários episódios de indisponibilidade. O governo federal e o domínio gob.mx sofreram quedas temporárias e cortes de conectividade, enquanto o C5i de Tlaxcala registrou um hackeamento com tentativa de vulnerar informações. O material descreve o episódio como interrupção de sites e queda generalizada, sem transformá-lo em uma brecha com roubo de dados confirmado.

A importância do bloco mexicano está em que a falha de conectividade não foi tratada pela imprensa apenas como um problema técnico, mas como indicador de uma vulnerabilidade mais profunda da infraestrutura digital pública. Isso não equivale a um incidente confirmado de exfiltração, mas mostra dependência de links, configuração e resiliência operacional. O caso de Tlaxcala acrescenta a variável de tentativa de acesso a informações de segurança pública.

Nos dois episódios, a leitura correta é que a visibilidade pública da queda já constitui um problema de confiança. Quando os portais governamentais ficam fora do ar ou com desempenho instável, o cidadão percebe fragilidade mesmo que a causa não seja um comprometimento de dados. Para as equipes públicas, esses minutos de indisponibilidade costumam abrir janelas de pressão para suporte, imprensa e autoridades políticas.

Chile, poder judiciário e vazamentos sensíveis

Em 28 de agosto, um funcionário do Poder Judiciário do Chile ficou em prisão preventiva após ser acusado de vazar informações de investigações judiciais para uma organização narcotraficante. As fontes falam de causas, decisões e medidas cautelares entregues sem autorização, com intervenção do Ministério Público e decisão do Juizado de Garantia de San Bernardo.

Este caso não é um ataque técnico, mas é cibersegurança institucional em sentido estrito, porque mostra abuso de acesso a informação protegida dentro do Estado. Diferentemente de um malware ou de uma campanha de ransomware, aqui o problema está no uso malicioso do privilégio. Esse tipo de incidente é mais difícil de detectar por perímetros tradicionais e costuma depender de rastreabilidade, controle de consultas e auditoria interna.

No mesmo mês, a Carabineros abriu um processo administrativo por vazamento de dados médicos sensíveis, o que reforça o padrão. Há um sinal comum, a exposição de informação reservada dentro de órgãos com alto volume de dados pessoais e judiciais. A resposta precisa ir além do incidente pontual e revisar perfis de acesso, segregação de funções e alertas de comportamento anômalo.