Relatório de inteligênciaWhalemate Labs11 de ago. de 202628 min de leitura

Serviços digitais, data centers e SaaS, Jul 2026

Julho terminou com intrusões em cloud e SaaS, alertas críticos em Citrix e Ivanti, e a Ecopetrol como o caso mais sensível da região.

A plataforma para gerenciar o risco humano em cibersegurança.

Principais conclusões

A Ecopetrol foi o incidente corporativo mais sensível do mês por exfiltração em nuvem, alcance multinível e pressão de extorsão.
Citrix NetScaler e Ivanti concentraram o alerta preventivo mais relevante, com exploração ativa confirmada em ao menos um CVE.
O mês mostrou mais risco por acesso e exfiltração do que por criptografia massiva de ativos.
O ransomware seguiu ativo na região, mas o material exige distinguir entre criptografia confirmada, tentativa bloqueada e tipificação não determinável.
O Paraguai trouxe a sinalização mais clara de ciberespionagem e coleta sigilosa, útil como referência para infraestrutura crítica e serviços gerenciados.
O phishing e os documentos maliciosos seguiram como porta de entrada dominante para intrusões contra ambientes com privilégios.
Não houve movimentos regulatórios documentados, mas houve investigações penais e fiscais após incidentes de alto impacto.

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um declara sua base e seu critério de contagem, para que os números se conciliem entre módulos. Esta é a leitura recorrente mês a mês; a análise posterior aprofunda os casos sem repetir este resumo.

Janela dos indicadores: 41 fatos datados em julho de 2026 · 1 de meses anteriores (marco comparativo, não volume do mês). Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

Painel mensal de sinal verificado — Base: 39 fatos verificados datados no período para a América Latina.

Distribuição por eixo de ameaça — Cada ocorrência é atribuída a um único eixo conforme sua tipificação; a soma fecha com os 39 registros do período.

Distribuição setorial do sinal — Classificação heurística por setor da vítima. Um fato pode atingir mais de um setor, por isso a soma pode superar a base.

Distribuição geográfica do sinal — Fatos verificados do período agrupados por país ou cobertura regional; cada fato conta uma única vez.

Resumo executivo do mês

Julho de 2026 deixou um sinal muito concreto para o vertical de serviços digitais, data centers e fornecedores tecnológicos na América Latina. O caso mais visível foi a Ecopetrol, não só pela escala do acesso não autorizado e do download de dados associado a milhares de contas, mas porque o incidente atingiu ambientes de armazenamento em nuvem de cerca de 15 subsidiárias e obrigou a revogar acessos, bloquear mecanismos de extração em massa e ativar uma resposta legal e forense que seguia em aberto ao fim do mês. A empresa insistiu que não houve interrupção material de operações críticas nem criptografia confirmada dos ativos originais, mas o impacto reputacional e de exposição de informação foi evidente.

O outro eixo forte do mês foi preventivo e estrutural. O CSIRT do Governo do Chile publicou alertas sobre vulnerabilidades críticas em Citrix NetScaler ADC e Gateway, com o CVE-2023-4966 apontado como explorado ativamente, e sobre múltiplas falhas críticas em produtos Ivanti. Nesse vertical, essa combinação importa mais do que a lista de CVEs em si, porque aponta para superfícies de acesso remoto, gateways e appliances que costumam ser o primeiro ponto de entrada para ambientes cloud, SaaS e administração de data centers. O material não mostra um movimento regulatório associado, mas sim um alerta operacional claro: o perímetro lógico de fornecedores e serviços digitais continuou sendo um alvo prioritário.

A trama regional também se moveu sobre o eixo de espionagem e acesso persistente. O Paraguai relatou infiltração de múltiplos atores vinculados à China em sistemas estatais, com investigação ainda em andamento e referências a tentativa de coletar dados de forma furtiva mais do que a sabotagem destrutiva. Embora esse episódio não pertença ao subsegmento corporativo de cloud ou SaaS em sentido estrito, ele reforça uma lição aplicável ao ecossistema de fornecedores tecnológicos: na América Latina, acessos persistentes e discretos continuam sendo um risco real para infraestruturas digitais de alta dependência operacional.

Em ransomware, o mês mostrou uma mistura inquietante de campanhas ativas, táticas de extorsão e ruído de atribuição. A Ecopetrol confirmou uma tentativa bloqueada por seus controles, enquanto a SCILabs relatou mudanças no mix regional, com variantes novas ou mais visíveis como SafePay e The Gentlemen. A TrendTIC descreveu ataques na Colômbia e no México em que as notas de resgate foram impressas em impressoras corporativas após a criptografia com BitLocker, um sinal de pressão operacional que combina interrupção, humilhação e aceleração da negociação. A evidência disponível não permite homogeneizar todos esses casos sob uma mesma etiqueta, o mês mostrou desde criptografia confirmada até exfiltração sem criptografia e, em vários episódios, a fonte não especificou o mecanismo exato.

A leitura de fundo é que julho não foi um mês de uma única grande onda, mas de acúmulo de riscos em camadas: vulnerabilidades críticas em componentes expostos, intrusões com foco em nuvem e armazenamento, campanhas de ransomware com táticas mais agressivas e um ambiente de ameaças persistentes que continua atingindo a região, seja no setor público ou em empresas com forte dependência digital. O sinal global para esse eixo é alto em severidade, embora fragmentado em tipologias. Não há um único padrão dominante fácil de resumir, porque a maior parte dos fatos ficou sem classificação no material, mas a combinação de exposição, extração e exploração ativa de appliances deixa pouco espaço para uma leitura complacente.

Panorama regional do mês

A fotografia regional de julho para serviços digitais, data centers e provedores de tecnologia é de risco alto, sobretudo pela convergência de três camadas de ameaça. A primeira é a exposição técnica: Citrix e Ivanti apareceram com vulnerabilidades críticas, uma delas já explorada ativamente, e isso afeta justamente os pontos em que convergem acesso remoto, virtualização, administração e publicação de serviços. A segunda é a intrusão com exfiltração, visível na Ecopetrol, onde o acesso não autorizado se estendeu a ambientes de arquivo em nuvem e a cerca de 3.300 contas de usuário. A terceira é a pressão extorsiva, com ransomware confirmado em um caso, tentativa bloqueada em outro e várias referências a campanhas ativas cuja tipificação exata nem sempre pôde ser determinada pelo material.

Esse cruzamento é especialmente sensível para o setor porque a região depende de uma ampla cadeia de intermediários digitais. Ambientes cloud de terceiros, appliances de borda, gateways de acesso e serviços gerenciados funcionam como pontos de concentração de risco. Quando uma falha crítica aparece em Citrix NetScaler ou em Ivanti, o problema não é só a vulnerabilidade em si, mas a facilidade com que pode virar acesso inicial, persistência ou movimento lateral em direção a dados hospedados em sistemas de clientes. Se o alvo também é uma empresa com subsidiárias e serviços distribuídos, como a Ecopetrol, a superfície de exposição se multiplica.

A leitura geográfica também é clara. A Colômbia concentrou o caso corporativo mais sensível do mês, enquanto o Chile trouxe alertas de alto valor operacional por parte de seu CSIRT. O Paraguai, por sua vez, apareceu como uma sinalização de ciberespionagem com implicações para infraestrutura e soberania digital. O material não traz um conjunto amplo de incidentes sobre data centers puros ou grandes provedores SaaS com impacto confirmado e público, mas mostra uma cadeia de eventos que atinge diretamente o negócio digital que esses provedores sustentam. Em outras palavras, julho registrou menos quedas massivas e mais incidentes que comprometem controle, acesso e confiança.

A ameaça predominante do mês ficou sem classificação em 18 de 39 fatos, o que não é um vazio menor. Isso aponta para uma cobertura que reporta consequências, declarações oficiais ou alertas sem uma taxonomia fechada do ataque. Para um leitor de risco, isso importa porque a falta de classificação não reduz a severidade, mas limita a capacidade de correlacionar técnicas. O operador defensivo não deveria ler esse dado como benignidade, e sim como um lembrete de que a superfície observada está mais distribuída do que em outros meses e de que a evidência pública raramente traz todos os detalhes técnicos ao mesmo tempo.

Cronologia de fatos verificados, julho de 2026 — Marcos com data confirmada dentro de julho de 2026. Os fatos de meses anteriores ficam fora da cronologia e servem apenas como referência comparativa.

Indicadores do período

Indicador	Valor
Fatos verificados do período (base de todos os indicadores)	39
Janela temporal dos indicadores	41 fatos com data em julho 2026 · 1 de meses anteriores (marco comparativo, não volume do mês)
Incidentes sem tipificação (brechas ou interrupções)	11
Casos com ransomware ou extorsão como eixo primário	6
Desdobramento de ransomware por tipo de impacto: Criptografia de ativos confirmada	1
Desdobramento de ransomware por tipo de impacto: Tipificação não determinável com o material	5
Casos de fraude ou phishing documentados	2
Movimentos regulatórios documentados	0
CVEs críticos mencionados	8
Setores com pelo menos um fato documentado	5
Ameaça predominante do mês	Sem classificação (18 de 39 fatos)
Fatos com confirmação direta da fonte	97%
Cifras de telemetria agregada excluídas do volume	2 (tentativas ou bloqueios agregados: não são incidentes com impacto confirmado)

Leitura metodológica dos indicadores

A base de 39 fatos verificados do período é o ponto de partida de toda a leitura analítica. A janela temporal de 41 fatos com data em julho 2026 e um fato de meses anteriores é mantida como marco de contexto, mas não entra no volume mensal. Essa distinção é relevante porque impede inflar a sinalização de julho com cobertura publicada dentro do mês, mas pertencente a um período anterior.

Os 11 incidentes sem tipificação mostram um problema recorrente neste segmento, a dificuldade de fechar a taxonomia a partir da cobertura pública inicial. Em serviços digitais e fornecedores de tecnologia, muitas vezes quem fala primeiro é a área de comunicação da vítima ou uma nota de agência, e o detalhe técnico chega tarde ou nunca. Isso obriga a ler o mês com cautela. Um caso pode ser uma intrusão com exfiltração, uma tentativa de ransomware bloqueada, uma brecha sem criptografia ou uma simples atribuição em um leak site. Agrupar tudo como "ransomware" apaga diferenças operacionais que, para um CISO, são centrais.

Os 8 CVEs críticos mencionados não foram um dado decorativo. Nesse eixo, os CVEs de appliances e gateways têm capacidade de degradar de forma imediata o controle sobre acessos, sessões e tráfego para serviços internos ou expostos. O material não soma esses CVEs a uma contagem de intrusões, e também não deve ser lido assim. São sinais de superfície e exposição, não incidentes confirmados por si só.

Incidentes relevantes

Ecopetrol e a intrusão em ambientes cloud

Ecopetrol foi o principal caso corporativo do mês para o vertical, porque reuniu várias camadas de risco ao mesmo tempo. A empresa informou acesso não autorizado a recursos digitais da companhia e de suas subsidiárias, além de uma tentativa de ransomware que foi bloqueada por seus controles de cibersegurança. A Reuters acrescentou que o acesso afetou ambientes de armazenamento de arquivos em nuvem de cerca de 15 subsidiárias e resultou no download não autorizado de dados associados a aproximadamente 3.300 contas de usuário. Isso torna o caso especialmente relevante para serviços digitais, porque o incidente não se limitou a estações de trabalho nem a um sistema isolado, mas a arquivos hospedados na nuvem e a um amplo ecossistema do grupo.

A resposta pública da empresa foi relativamente precisa em um ponto-chave: no momento do comunicado, não havia identificado disrupção material em operações críticas, capacidade de produção ou serviços essenciais. A Noticias RCN também indicou que não havia sido identificado impacto nos sistemas transacionais nem no ecossistema de soluções digitais da companhia e de suas filiais, e que não houve evidência de destruição ou criptografia da informação original. Esse detalhe é importante porque separa o impacto na disponibilidade do impacto na confidencialidade. Para um relatório deste eixo, a intrusão com exfiltração e a tentativa bloqueada pesam mais do que uma narrativa simplificada de "ransomware bem-sucedido".

A evolução do caso também mostrou um padrão clássico de contenção e ampliação do perímetro de resposta. A Ecopetrol afirmou ter revogado acessos não autorizados, bloqueado mecanismos associados a downloads massivos de informações, identificado infraestruturas externas usadas para armazenar ou baixar dados e reforçado o monitoramento de sua infraestrutura tecnológica. A empresa também apresentou denúncia criminal à Fiscalía General de la Nación. O País América Colombia acrescentou que, em um terceiro comunicado de acompanhamento, a empresa ainda reconhecia incerteza sobre o alcance total, o impacto e os custos do incidente. Essa incerteza é, por si só, uma variável de risco em ambientes com múltiplas subsidiárias e armazenamento distribuído.

A atribuição pública também elevou a sensibilidade do caso. Um grupo que se identificou como The Gentlemen afirmou ter até um terabyte de informações da Ecopetrol e de filiais como Hocol, Cenit, Eust e Econova. Essa alegação não foi verificada de forma independente pela cobertura disponível, mas reforça uma hipótese que já vinha se desenhando na região, a de agentes que combinam extração, pressão reputacional e negociação posterior. Para um fornecedor de tecnologia ou de serviços digitais, o problema não é apenas o vazamento, mas a capacidade do invasor de transformar dados em pressão operacional e legal.

Citrix NetScaler ADC e Gateway

O CSIRT de Gobierno de Chile publicou em 17 de julho um alerta sobre vulnerabilidades críticas em Citrix NetScaler ADC e Gateway, incluindo CVE-2023-4966, que, segundo o alerta, vem sendo explorada ativamente em ataques contra esses appliances. No contexto deste vertical, essa frase vale mais do que a enumeração da falha. NetScaler e produtos equivalentes costumam atuar na borda de acesso a recursos internos, desktops virtuais, aplicações publicadas e serviços de autenticação. Quando uma vulnerabilidade é explorada ativamente ali, o risco não fica restrito ao appliance, mas se projeta sobre tudo o que depende dele.

A importância regional do alerta é dupla. Primeiro, porque ele vem de um CSIRT governamental, não de uma nota comercial. Segundo, porque não descreve apenas uma vulnerabilidade histórica isolada, mas um conjunto de falhas críticas em um componente que segue sensível para organizações com operações distribuídas, provedores de nuvem privada, data centers e ambientes híbridos. A mitigação não é imediata nem trivial quando o equipamento exposto sustenta sessões ativas, túneis ou acesso remoto de usuários internos e externos.

Ivanti e a exposição de appliances de acesso

O mesmo CSIRT de Gobierno de Chile publicou em 23 de julho um alerta sobre múltiplas vulnerabilidades críticas em produtos Ivanti, entre elas CVE-2023-46805, CVE-2024-21887, CVE-2024-22024, CVE-2024-22026, CVE-2024-22028, CVE-2024-22029 e CVE-2024-22030. O valor analítico do caso não está na lista, mas na combinação de criticidade e contexto. A Ivanti aparece em superfícies de gestão e acesso nas quais a exploração pode abrir uma porta para ambientes sensíveis sem passar pelos controles tradicionais de rede.

Para o vertical, isso significa que as equipes de segurança não devem limitar a leitura a um simples "aplicar patch com urgência". A questão de fundo é quais serviços o appliance expõe, quais credenciais ou sessões ele pode alcançar, qual segmentação real existe atrás dele e se há monitoramento de comportamento anômalo sobre autenticação, túneis e downloads. Em um mês em que o acesso não autorizado a recursos na nuvem foi um problema real na Colômbia, um alerta desse tipo não é abstrato. É mais uma peça da mesma superfície de ataque.

Paraguai e a hipótese de ciberespionagem

O Paraguai não traz um caso de fornecedor de tecnologia em sentido estrito, mas sim uma campanha de acesso persistente que vale ser lida pelas implicações para infraestruturas digitais. ABC Color informou que a Fiscalía abriu uma investigação após a denúncia do MITIC e que já havia tomado o depoimento do titular da pasta, Gustavo Villate, enquanto seguiam as diligências para determinar o alcance do ataque denunciado. A cobertura regional também indicou que a denúncia coincidiu com a expansão da rede 5G e mencionou operadores como Tigo e Personal no contexto de restrições a equipamentos de origem chinesa.

DW e La Tribuna incorporaram a hipótese técnica e política. Pedro Martínez, do MITIC, afirmou que as ameaças correspondiam a atividades típicas de grupos que operam para o governo chinês e que o objetivo não era destruir ou sabotar a infraestrutura, mas coletar dados de forma furtiva e manter monitoramento contínuo sobre a atividade estatal. A EFE, difundida pela Infobae, acrescentou que o MITIC e o governo dos Estados Unidos denunciaram a detecção de múltiplos atores vinculados à China em sistemas cibernéticos estatais paraguaios. Nesse caso, o valor para este relatório é a confirmação de que agentes com motivação de espionagem seguem mirando redes complexas e a coleta silenciosa, uma lógica muito próxima da que pode afetar provedores de serviços e operadores de data centers quando hospedam serviços críticos ou identidades privilegiadas.

Campanha StrikeShark e novo malware

A Kaspersky informou uma campanha de ciberataques chamada StrikeShark, com atividade contra organizações na Colômbia e em outros países, usando um novo malware chamado SharkLoader. A cobertura disponível não situa a campanha apenas dentro do vertical de IT/SaaS, mas a conecta à América Latina e a um padrão de intrusão que interessa a esse segmento pelo uso de loaders e pela possibilidade de encadear infecção, persistência e posterior implantação de cargas mais danosas.

O ponto a observar não é apenas o nome da campanha, mas a dinâmica. Quando surge um loader novo, o valor operacional para os atacantes costuma estar na entrega de outras famílias de malware ou na abertura da porta para outras fases da intrusão. Em provedores de tecnologia e serviços digitais, essa evolução importa porque os ambientes de administração e suporte concentram credenciais e permissões de alto valor. Se uma campanha aparece primeiro na Colômbia, mas com alcance regional, o sinal para o restante da região é de vigilância antecipada, não de espera.

Ameaças e campanhas ativas

Ransomware com criptografia confirmada

O único caso do mês em que o material permite falar em criptografia confirmada, dentro deste vertical, é o reportado pela TrendTIC sobre ataques na Colômbia e no México, nos quais os atacantes imprimiram as notas de resgate nas impressoras corporativas das vítimas depois de criptografar os sistemas com BitLocker. A tática é relevante porque não só confirma impacto sobre a disponibilidade, como também adiciona uma camada de pressão física e visível sobre a organização. A impressão do resgate transforma um incidente digital em um lembrete material para usuários e equipes de suporte.

No plano técnico, o uso do BitLocker como parte da cadeia de criptografia confirma que o atacante busca imobilizar o sistema e forçar uma resposta rápida. Para o vertical de serviços digitais, isso obriga a revisar cenários em que a criptografia não se limite a servidores de negócio, mas atinja componentes de administração, desktops remotos, sistemas de suporte e equipamentos usados na operação de plataformas. A visibilidade da nota de resgate em impressoras também sugere um nível de preparo na fase de pós-exploração que não convém subestimar.

Ransomware ou extorsão sem criptografia determinável

A Ecopetrol informou uma tentativa de ransomware bloqueada por controles de cibersegurança, mas o material não especifica se o atacante chegou a criptografar ativos ou se apenas tentou executar a ação antes de ser interrompido. Isso obriga a classificar o episódio como uma tentativa contida de extorsão, e não como criptografia confirmada. A diferença é central. Uma tentativa bloqueada pode deixar evidências de comprometimento e exigir resposta forense, mas não equivale a um incidente de indisponibilidade provocado por criptografia.

A SCILabs também observou uma mudança no mix regional de variantes ativas, com SafePay e The Gentlemen ganhando visibilidade na América Latina. A leitura precisa ser cautelosa porque o material fala de telemetria e mudanças de predominância, não necessariamente de incidentes com impacto já comprovado em cada país. Ainda assim, para equipes de segurança, isso sugere que a superfície de extorsão não se limita a famílias históricas mais conhecidas. Quando o ator troca de ferramenta ou renomeia a operação, os padrões de detecção e resposta precisam revisar premissas.

Menção isolada em leak site ou atribuição pública

O caso da Ecopetrol também ficou exposto a uma pressão de atribuição pública. O grupo The Gentlemen afirmou possuir até um terabyte de informação e detalhou categorias de dados que incluiriam registros de perfuração, folha de pagamento, banco, informações médicas e biométricas de funcionários, além de credenciais VPN ativas. Como a cobertura deixa claro que se trata de uma reivindicação do grupo e não de uma verificação independente, a leitura correta é como ameaça de extorsão e exposição, não como confirmação plena do volume ou da natureza exata dos dados.

Aqui convém distinguir entre prova de acesso, prova de subtração e prova de publicação. O material de julho chega a confirmar acesso não autorizado e downloads associados a milhares de contas, mas não a demonstrar publicamente a integridade completa do conjunto vazado. Para um CISO, essa nuance muda a resposta, uma alegação em leak site exige preparação de crise e monitoramento de exposição, mas não deve ser confundida com toda a sequência operacional de uma brecha totalmente validada.

Fraude e phishing

O período deixou duas referências documentadas neste eixo. De um lado, a ESET sustentou que o phishing continua sendo o vetor de ataque mais frequente na América Latina e afetou 73% das organizações pesquisadas. De outro, o material sobre ciberameaças industriais na região reiterou que phishing e documentos maliciosos seguem sendo uma porta de entrada de alto rendimento para atores que buscam acesso inicial, entrega de malware ou credenciais. Nenhuma dessas peças se traduz automaticamente em um incidente pontual do vertical, mas sim em uma condição de base do risco.

Para fornecedores de tecnologia e serviços digitais, essa persistência importa porque grande parte das intrusões mais sérias começa com o que parece um e-mail comum, um anexo ou uma página falsa de acesso. Quando o alvo são administradores, suporte ou pessoal com acesso a consoles, um único clique pode abrir caminho para ambientes cloud, painéis de clientes ou sistemas de administração de data centers. O problema não é o phishing como conceito genérico, mas sua capacidade de alimentar os demais eixos do mês.

APT e hacktivismo

O episódio paraguaio é o sinal mais claro neste eixo, embora sua natureza exata oscile entre espionagem e acusação geopolítica. O ponto relevante para este informe não é encerrar a atribuição entre Estados, mas registrar que houve atividade de infiltração múltipla, persistente e orientada à coleta de dados, com referência explícita a atores vinculados à China. No vertical de serviços digitais, esse tipo de operação pode conviver com a exploração de infraestrutura de borda, a coleta de credenciais e a observação de serviços de identidade.

A cobertura sobre a Colômbia, com a VECERTRadar apontando um suposto comprometimento de infraestrutura de hosting, também merece menção, embora não haja confirmação por autoridades, ColCERT nem pelo provedor citado. Como se trata de um alerta de inteligência em redes sociais, isso não entra como incidente confirmado nem como base de contagem. Ainda assim, deixa um sinal operacional, o segmento de hosting e de procurement público aparece como ponto de vigilância, mas não deve ser superinterpretado sem verificação oficial.

Vulnerabilidades críticas

CVE	Software	Explotação	Fonte
CVE-2023-4966	Citrix NetScaler ADC e Gateway	Explorada ativamente em ataques segundo o alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2023-46805	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2024-21887	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2024-22024	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2024-22026	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2024-22028	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2024-22029	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile
CVE-2024-22030	Ivanti	Vulnerabilidade crítica mencionada no alerta do CSIRT do Governo do Chile	CSIRT do Governo do Chile

A tabela acima resume as 8 CVEs críticas mencionadas no material analisado. Não há, neste corpus, CVEs críticas adicionais associadas a outros fornecedores do eixo. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que elas não apareceram no material de julho com data confirmada e fonte utilizável.

Regulação e conformidade

Não houve movimentos regulatórios documentados no material de julho para este vertical. Esse 0 deve ser lido de forma literal e restrita: não apareceu decisão normativa, sanção, guia obrigatório ou mudança de compliance que pudesse entrar como fato do mês no corpus analisado.

A ausência de regulação visível não reduz a carga de conformidade que emerge dos incidentes. A Ecopetrol já falou em denúncia criminal diante da Fiscalía General de la Nación, e a gestão de acesso não autorizado, preservação de evidências e bloqueio de exfiltração implica obrigações práticas de rastreabilidade, resposta e provável notificação interna e externa, conforme o marco aplicável. No Paraguai, a abertura de investigação fiscal pela denúncia do MITIC mostra também como incidentes de ciberespionagem e comprometimento de sistemas estatais rapidamente passam para um plano de prova e autoridade.

Para o subsegmento de fornecedores de tecnologia, a conformidade se decide menos em uma nova lei e mais na capacidade de demonstrar controle sobre acessos, segmentação, registros e resposta a incidentes. O mês deixou exemplos suficientes para sustentar que a conversa regulatória pode não ter sido pública, mas o custo jurídico de uma brecha, uma exfiltração ou uma vulnerabilidade explorada ativamente continua presente.

Países e subsegmentos mais afetados

Colômbia

A Colômbia concentrou o fato mais grave do vertical em julho por causa da Ecopetrol, que afetou ambientes de armazenamento de arquivos em nuvem de cerca de 15 subsidiárias e levou ao download não autorizado de dados ligados a aproximadamente 3.300 contas de usuário. Além disso, a empresa enfrentou a pressão pública de uma atribuição feita por The Gentlemen e precisou esclarecer que não via interrupção material em operações críticas nem confirmação de criptografia. A dimensão corporativa do incidente é muito alta porque atinge tanto a nuvem quanto a estrutura multinível da empresa.

A Colômbia também aparece nas sinais de campanha e telemetria. A Kaspersky informou atividade de StrikeShark contra organizações do país, e a TrendTIC situou ali, junto com o México, ataques em que a nota de resgate foi impressa em impressoras corporativas após a criptografia com BitLocker. Embora parte desses dados venha de cobertura de terceiros e não de um único incidente público, a acumulação de referências aponta para uma superfície de risco ampla, que vai de intrusão e exfiltração até pressão de ransomware.

Chile

O Chile apareceu menos por incidentes e mais por capacidade de alerta. O CSIRT do Governo do Chile publicou dois avisos de alto valor operacional, um sobre Citrix NetScaler ADC e Gateway e outro sobre múltiplas vulnerabilidades críticas em Ivanti. Isso transforma o país em um nó de referência técnica para a região neste mês, porque o sinal não foi um ataque consumado relatado publicamente, e sim o aviso antecipado sobre superfícies que costumam estar no centro da infraestrutura digital.

Para as equipes regionais, esses alertas não devem ser lidos como eventos nacionais fechados, mas como insumos de defesa com alcance transversal. Um appliance vulnerável em Santiago ou em qualquer outra capital latino-americana pode ser a porta de entrada para serviços remotos, data centers ou plataformas SaaS com usuários distribuídos por toda a região.

Paraguai

O Paraguai ganhou relevância pelo expediente de ciberespionagem denunciado pelo MITIC e acompanhado pela Fiscalía. A cobertura jornalística o conectou com a expansão 5G e com restrições a equipamentos de origem chinesa, enquanto fontes citadas no material apontaram múltiplos atores de ameaça ligados ao governo chinês. A leitura para este eixo é que o país ficou numa discussão sobre persistência, acesso e coleta de dados, mais do que sobre destruição ou criptografia.

Embora não se trate de um fornecedor tecnológico comercial, o caso importa para a infraestrutura digital regional porque revela uma pressão sustentada sobre redes estatais complexas. Os mesmos vetores, ou variantes deles, podem aparecer em organizações com administração centralizada de identidades, serviços de acesso e plataformas híbridas.

México

O México aparece na cobertura de ransomware e de escalada geral de ciberataques. A Infobae citou um aumento de 38% nos casos de ciberataques no país e o vinculou a uma onda regional associada pela Kaspersky à StrikeShark. Além disso, a TrendTIC incluiu o México no padrão de ransomware com impressoras corporativas como canal de pressão. No contexto do vertical, isso indica uma exposição persistente de organizações com forte dependência de serviços digitais e administração distribuída.

O dado da ESET sobre vítimas regionais e a menção ao México como um dos países com maior impacto de ransomware no semestre reforçam a leitura de base: o México não aparece aqui apenas como número em telemetria, mas como país onde a combinação de escala corporativa, serviços digitais e pressão de extorsão segue visível.

Brasil

O Brasil não protagonizou um incidente corporativo específico do vertical no material de julho, mas funcionou como referência regional em telemetria e volume de ameaças. ESET e SCILabs o colocaram entre os países latino-americanos com mais vítimas ou atividade relevante, e a cobertura da EM afirmou que o país lidera a América Latina em incidentes de ransomware e ocupa a nona posição global. Essa última referência é uma afirmação da fonte e deve ser lida com cautela, mas ajuda a situar o peso brasileiro na conversa regional.

Para uma análise de serviços digitais e data centers, o Brasil continua sendo um mercado de concentração de infraestrutura e de ampla exposição, então qualquer mudança em famílias de ransomware, técnicas de phishing ou exploração de appliances ali tende a ter efeito demonstrativo sobre a região.

Subsegmento de cloud e armazenamento online

Este subsegmento ficou claramente pressionado pela Ecopetrol. O acesso não autorizado atingiu ambientes de armazenamento de arquivos em nuvem e afetou subsidiárias múltiplas. Em termos de risco, isso coloca o cloud storage e a administração de identidades no centro da história. Não se trata de uma queda de serviço no sentido clássico, mas de perda de controle sobre dados que, por definição, dependem de autenticação, permissões, monitoramento e rastreabilidade robustos.

Subsegmento de appliances de perímetro e acesso remoto

Citrix NetScaler e Ivanti representam a outra face do mês. São componentes que vivem na fronteira entre usuários, aplicativos e serviços internos. Quando há exploração ativa nesse ponto, a ameaça não é teórica. O subsegmento fica exposto a intrusão inicial, roubo de sessões, pivotagem e acesso a plataformas que depois sustentam operações digitais mais amplas.

Tendências e sinais a monitorar

Não há baseline comparativo arquivado para este formato de indicadores, então não cabe inventar uma variação mês a mês com base em uma série histórica que não está disponível no material. O que se pode afirmar é que julho reúne sinais de naturezas diferentes que, juntos, elevam a atenção sobre esse vertical.

O primeiro sinal é a persistência de vulnerabilidades críticas em appliances de acesso. Quando Citrix e Ivanti aparecem na mesma janela mensal com alertas de alto impacto, o problema não é apenas o CVE, mas a repetição da mesma classe de superfície exposta. Para operadores de serviços digitais, isso aponta para revisão de inventário, exposição externa, sessão ativa, autenticação e capacidade real de aplicar patches sem interrupção.

O segundo sinal é a maturidade da extorsão. A Ecopetrol mostrou exfiltração sem disrupção material visível, enquanto a TrendTIC documentou um caso com criptografia confirmada e impressão de pedidos de resgate. Esse contraste obriga a abandonar o esquema mental de "ransomware igual criptografia". Em julho houve pressão extorsiva com diferentes expressões, e a resposta defensiva deve contemplar bloqueio de extração, segmentação, cópia segura e monitoramento de impressoras e dispositivos de saída tanto quanto de servidores.

O terceiro sinal é a normalização dos acessos persistentes e silenciosos. O caso paraguaio, ainda que fora do subsegmento corporativo puro, lembra que a região segue como alvo de atores que buscam permanência e coleta de dados, não apenas interrupção. Para fornecedores de tecnologia e data centers, isso se traduz na necessidade de observar não só eventos de segurança visíveis, mas também comportamentos anômalos de administração, autenticação e movimento lateral.

Recomendações para equipes de segurança

Revisar imediatamente a exposição externa de appliances de acesso remoto e de borda, especialmente as famílias Citrix e Ivanti citadas por alertas do CSIRT. Não basta validar que o patch existe. É preciso confirmar versão, superfície exposta, autenticação multifator, sessões persistentes e registros de uso recente.
Priorizar a defesa dos ambientes de armazenamento em nuvem e das identidades com privilégios sobre eles. O caso Ecopetrol mostra que a exfiltração pode ocorrer mesmo quando a operação crítica segue em pé. Isso exige revisão de permissões herdadas, contas inativas, acessos entre subsidiárias, chaves de aplicação e registros de download em massa.
Incorporar controles específicos contra exfiltração, e não apenas contra criptografia. Bloqueio de saídas anômalas, detecção de infraestruturas externas para armazenamento de dados, alertas de despejo em massa e retenção de logs são medidas mais úteis do que confiar que o incidente vai se manifestar como ransomware clássico.
Fortalecer a proteção de impressoras, filas de impressão e dispositivos compartilhados. A tática de imprimir notas de resgate não é um detalhe anedótico. É um sinal de que o atacante busca visibilidade interna e pressão psicológica. O controle desses ativos deve ser integrado à resposta a incidentes e à segmentação.
Revisar credenciais VPN, acessos privilegiados e tokens de sessão. A menção a credenciais VPN ativas na atribuição do grupo que reivindicou a Ecopetrol, ainda sem verificação independente, aponta para um vetor recorrente. Toda conta administrativa ou de acesso remoto deveria passar por rotação e validação após um incidente desse tipo.
Aumentar a vigilância sobre phishing e documentos maliciosos em usuários com acesso a consoles, administração de nuvem e suporte técnico. ESET e TrendTIC concordam que esse vetor continua muito ativo. Em fornecedores de tecnologia, o e-mail de um administrador vale mais do que o de um usuário comum.
Preparar cenários de resposta que distingam exfiltração, criptografia e mera atribuição pública. Não é a mesma coisa conter um ransomware com criptografia confirmada e lidar com um vazamento reivindicado em um leak site. O plano deve contemplar, para cada caso, comunicação, evidência, forense, jurídico e continuidade.
Para organizações com presença regional, homologar mínimos de monitoramento entre países. Paraguai, Colômbia, Chile e México mostraram sinais diferentes, mas compartilham padrões de superfície. Se cada filial responde com critérios próprios, o atacante aproveita essa disparidade.

Limitações do material

Este relatório cobre exclusivamente o material fornecido para julho de 2026 e usa apenas isso como fonte de verdade. Os fatos de meses anteriores, incluídos no arquivo como referência comparativa, aparecem somente quando ajudam a contextualizar a evolução, mas não fazem parte do volume mensal. Em particular, o fato de maio a junho de 2026 registrado no bloco comparativo não deve ser lido como atividade de julho.

A ausência de um indicador não equivale à ausência de fenômeno na região. Se um valor aparece em zero, como o de movimentos regulatórios documentados, isso significa que ele não foi registrado no material analisado para este período. O mesmo vale para CVEs: se um número crítico não tiver aparecido no corpus, isso não prova que não houve vulnerabilidades exploradas na América Latina, apenas que elas não ficaram documentadas no material usado neste relatório. Aqui, além disso, os 8 CVEs mencionados correspondem exclusivamente aos alertas de Citrix e Ivanti disponíveis na fonte.

A janela temporal dos indicadores compreende 41 fatos com data em julho de 2026 e 1 fato de meses anteriores incluído apenas como referência comparativa. Os 39 fatos verificados do período são a base dos indicadores. As cifras de telemetria agregada, como tentativas ou bloqueios, não foram somadas ao volume porque não são incidentes com impacto confirmado.

Ficaram excluídas da construção analítica as fontes não autorizadas pelo listagem fornecida, assim como redes sociais de consumo, publicações patrocinadas, press releases comerciais e qualquer conteúdo não incluído na lista de fontes disponíveis para citação. Quando o material apresentou afirmações de uma empresa ou de um alerta de inteligência sem confirmação independente, elas foram atribuídas como tais e não foram apresentadas como fatos fechados.

Anexo técnico: indicadores de comprometimento e TTPs

O material fornecido não inclui IoCs verificáveis, como hashes, domínios ou IPs, nem detalha TTPs/MITRE publicados de forma explícita nas fontes autorizadas para este informe. Por esse motivo, esta seção não é desenvolvida com listas técnicas, e a análise permanece no nível de campanhas, superfícies e controles observáveis.