Relatório de inteligênciaWhalemate Labs11 de ago. de 202630 min de leitura

Telecom e ISPs, Julho de 2026

Julho trouxe cortes de fibra, incidentes na Copaco e na Ecopetrol, fraude com telecom e forte pressão de ransomware na região.

A plataforma para gerenciar o risco humano em cibersegurança.

Principais conclusões

Julho combinou cortes físicos de fibra, incidentes web e vazamentos, com leitura de risco média-alta para telcos e ISPs na região.
O caso Movistar em La Molina confirmou que a infraestrutura física segue sendo uma via de interrupção direta e de impacto imediato sobre a disponibilidade.
A Copaco mostrou que um portal institucional pode exigir desativação preventiva mesmo sem evidência de impacto em sistemas críticos.
A Ecopetrol deixou um sinal forte sobre privilégios de terceiros, movimento lateral e exposição de informação sensível em ecossistemas amplos.
O mês reforçou a pressão de ransomware com criptografia confirmada em um caso e múltiplos episódios em que a fonte não precisou se houve criptografia.
A usurpação de identidade de uma empresa de telecomunicações, embora sem data confirmada, mostra que o fraude de marca segue sendo um vetor de alto dano reputacional.
Não houve baseline comparativo mensal, então os sinais devem ser lidos como foto inicial desta série e não como variação em relação ao mês anterior.

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um informa sua base e seu critério de contagem, para que os números se reconciliem entre os módulos. Trata-se da leitura recorrente mês a mês; a análise posterior aprofunda os casos sem repetir este resumo.

Janela dos indicadores: 73 fatos datados em julho de 2026 · 1 sem data confirmada (excluído dos indicadores). Os fatos de meses anteriores são usados apenas como referência comparativa na análise, nunca como volume deste período.

Painel mensal de sinal verificado — Base: 67 fatos verificados com data no período para a América Latina.

Distribuição por eixo de ameaça — Cada fato é atribuído a um único eixo conforme sua tipificação; a soma fecha com os 67 fatos do período.

Distribuição setorial do sinal — Classificação heurística por setor da vítima. Um evento pode afetar mais de um setor, por isso a soma pode superar a base.

Distribuição geográfica da sinalização — Fatos verificados do período agrupados por país ou cobertura regional; cada fato conta apenas uma vez.

Resumo executivo do mês

Julho de 2026 deixou um sinal fragmentado, mas consistente, para telecomunicações e provedores de conectividade na América Latina. Não houve um padrão único dominante, e sim a convivência de interrupções físicas de serviço, incidentes de segurança em plataformas institucionais, vazamentos associados a terceiros e uma pressão sustentada de ransomware sobre o ecossistema regional. No plano operacional, o caso mais visível de conectividade foi o corte de fibra óptica em La Molina, Lima, que afetou usuários de internet fixa e foi ligado à manipulação de cabeamento em câmaras subterrâneas de telecomunicações. No plano corporativo, a Copaco desativou preventivamente seu site após detectar um incidente de segurança, enquanto a Ecopetrol passou por uma divulgação ilegal de informação sensível que envolveu várias empresas do grupo e acionou a resposta coordenada de diversas autoridades colombianas.

A leitura de risco do mês para o setor é média-alta. A avaliação não vem de uma única intrusão em grande escala, mas da repetição de vetores que afetam disponibilidade, confiança e exposição de dados. O corte de infraestrutura de fibra confirma que a superfície física segue sendo um ponto relevante de falha para operadores e serviços atacadistas. O incidente da Copaco mostra que um evento limitado à plataforma web pode obrigar a medidas preventivas que afetam visibilidade e atendimento ao usuário. A Ecopetrol, embora não seja uma ISP, funciona como caso de referência para a gestão de ambientes digitais extensos e terceiros privilegiados, porque o vazamento alcançou informação de 15 empresas vinculadas e levou a uma resposta multiagência. Para telecomunicações e ISPs, esse tipo de incidente importa pela proximidade estrutural entre operador, provedor, cliente corporativo e cadeia de subcontratação.

Também houve um componente de fraude em telecomunicações, embora com data não confirmada no material analisado. A Noticias RCN reportou uma rede criminosa que usurpou a identidade de uma empresa de telecomunicações para oferecer serviços ilegais de internet e televisão e aplicar um golpe milionário. Esse fato não entra no cômputo do mês, mas ilustra uma linha de ameaça que mistura suplantação, venda fraudulenta e dano reputacional ao setor. Em paralelo, a cobertura regional sobre ransomware e exploração de vulnerabilidades mostrou um ambiente hostil para provedores de conectividade, especialmente pela exposição de plataformas remotas, equipamentos de borda e ferramentas de administração que costumam ficar dentro do raio de ação de operadores, integradores e MSPs.

O mês também deixou um sinal claro sobre técnicas que se tornam mais operacionais do que espetaculares. A TrendTIC descreveu ataques na Colômbia e no [México](/pt/noticias/mexico-lidera-vitimas-ransomware-america) em que os invasores imprimiram notas de resgate depois de criptografar sistemas com BitLocker. A Kaseya e a F5 Labs, por sua vez, documentaram exploração de vulnerabilidades em SonicWall SMA1000, FortiSandbox, SharePoint e outras plataformas que costumam aparecer em ambientes de acesso remoto, segurança gerenciada e administração corporativa. Para uma ISP ou uma telco, o ponto não é só a vulnerabilidade pontual, mas a combinação entre dispositivos expostos, privilégios amplos e dependência de terceiros para suporte ou monitoramento. Isso torna mais sensível qualquer brecha em plataformas de autenticação, acesso remoto ou gestão de clientes empresariais.

Julho não trouxe uma única grande crise de conectividade regional, mas sim várias sinais de erosão operacional. Houve interrupções locais, incidentes web, vazamentos com terceiros, pressão de extorsão e campanhas que confirmam que a cadeia de telecomunicações continua exposta tanto no plano físico quanto no lógico. A exposição do mês foi mais dispersa do que concentrada, mas nem por isso menos séria.

Panorama regional do mês

Cronologia de fatos verificados, julho de 2026 — Marcos com data confirmada dentro de julho de 2026. Os fatos dos meses anteriores ficam fora da cronologia e são usados apenas como referência comparativa.

O sinal regional de julho combina dois tipos de risco que frequentemente se sobrepõem em telecomunicações e ISPs. O primeiro é o risco de indisponibilidade, que aparece quando um rompimento de fibra, uma intervenção em câmaras subterrâneas ou um incidente de plataforma obriga a degradar serviços, acionar contingências ou restaurar a operação a partir de planos de resposta. O segundo é o risco de intrusão com vazamento de dados, que nem sempre interrompe o serviço, mas compromete confiança, integridade comercial e, em alguns casos, rastreabilidade jurídica. Neste mês, as duas dimensões estiveram presentes em diferentes países e com níveis distintos de confirmação.

A leitura qualitativa é de risco médio-alto. É média porque o material não trouxe uma queda regional massiva atribuível a um único ator nem uma campanha exclusivamente dirigida contra ISPs com efeito sistêmico. É alta porque as peças verificadas apontam para superfícies que, por definição, são críticas, fibra óptica urbana, contas institucionais, plataformas web de operadoras estatais, ambientes de nuvem corporativa e sistemas de acesso remoto. Além disso, o material mostra que a pressão não veio apenas de ataques diretos. O ambiente de ransomware e exploração ativa de vulnerabilidades seguiu forte na região, e isso afeta telcos e ISPs mesmo quando eles não aparecem sempre nomeados como vítima final.

Há também um ponto importante sobre a natureza do material. Várias coberturas se apoiam em jornalistas, porta-vozes empresariais ou fontes policiais e judiciais, com alta confirmação direta. Outras peças remetem à telemetria de vendors ou a tendências regionais sobre ransomware, que não equivalem a incidentes com impacto confirmado em telecomunicações. Por isso, o quadro de julho mostra mais pressão sobre o ecossistema do que sobre um subconjunto estreito de operadores. Na prática, isso obriga a ler o sinal com uma visão de cadeia de suprimentos, fornecedores de acesso, plataformas de administração, terceiros com privilégios, infraestrutura de borda e camadas de segurança gerenciada.

A dimensão geográfica também foi relevante. O Peru concentrou um caso claro de interrupção por dano físico à rede. O Paraguai trouxe a medida preventiva da Copaco sobre seu portal institucional. A Colômbia reuniu o incidente da Ecopetrol e a menção a uma fraude com identidade de empresa de telecomunicações. O Chile apareceu na cobertura de um suposto incidente ainda não confirmado pelas autoridades. O resultado não é uma geografia homogênea, mas uma soma de episódios com diferentes graus de verificação que, lidos em conjunto, mostram uma região em que a conectividade segue sensível tanto ao sabotagem quanto ao abuso de credenciais e à extorsão.

Países com fatos verificáveis — Mapa qualitativo por país, com base em fatos confirmados do mês.

Indicadores do período

Indicador	Valor
Fatos verificados no período (base de todos os indicadores)	67
Janela temporal dos indicadores	73 fatos com data em julho de 2026 · 1 sem data confirmada (excluídos dos indicadores)
Incidentes sem tipificação (brechas ou interrupções)	17
Casos com ransomware ou extorsão como eixo primário	15
Desdobramento de ransomware por tipo de impacto: criptografia de ativos confirmada	1
Desdobramento de ransomware por tipo de impacto: tipificação não determinável com o material	14
Casos de fraude ou phishing documentados	2
Movimentos regulatórios documentados	0
CVEs críticos mencionados	6
Setores com pelo menos um fato documentado	5
Ameaça predominante do mês	Sem classificação (20 de 67 fatos)
Fatos com confirmação direta da fonte	96%
Cifras de telemetria agregada excluídas do volume	6 (tentativas ou bloqueios agregados: não são incidentes com impacto confirmado)

A base do período é de 67 fatos verificados. A janela temporal inclui 73 fatos com data em julho de 2026 e 1 fato sem data confirmada, excluído dos indicadores. Essa diferença importa porque evita misturar material contextual com o volume operacional do mês. Também importa para ler o peso relativo das categorias: o rótulo de ameaça predominante ficou como "sem classificação", com 20 de 67 fatos, o que indica um nível alto de heterogeneidade e de tipificação incompleta no material, não ausência de atividade.

As cifras de telemetria agregada são excluídas do volume. Neste informe, elas não entram como incidentes nem como evidência de intrusão consumada. Servem apenas como contexto, quando mencionadas, e sempre com a ressalva de que são tentativas, bloqueios ou detecções automatizadas reportadas por vendors em janelas de medição específicas. Em julho, a cobertura incluiu, por exemplo, telemetria da ESET entre janeiro e maio de 2026 e relatórios da FortiGuard sobre tentativas de hackeo durante 2025. Esses dados ajudam a dimensionar a exposição, mas não substituem incidentes confirmados em telecomunicações ou ISPs.

Incidentes relevantes

Movistar e o corte de fibra em La Molina

O caso mais claro de indisponibilidade na conectividade fixa ocorreu no Peru. A Movistar informou um corte de fibra óptica no distrito de La Molina que causou a interrupção do serviço de internet fixa em vários setores da região. La República acrescentou que o impacto se estendeu a La Molina, Chaclacayo, Ate, Santa Clara e Chosica, e que o serviço foi restabelecido no mesmo dia às 12h16. A cobertura também apontou que a empresa identificou um grupo de pessoas manipulando outra câmera subterrânea na interseção das avenidas Aragón e Asturias, e que o episódio se somou a outros dois atos de vandalismo ocorridos durante o fim de semana.

A relevância do caso não está apenas na interrupção pontual. A cena descrita pelas fontes mostra um padrão clássico de risco para operadores de última milha, entrada física em câmaras, manipulação de cabeamento e corte direto de fibra com impacto imediato sobre a experiência do cliente. Nesse tipo de incidente, a camada lógica fica atrás da física. Primeiro cai a continuidade do enlace, depois vem a reconstrução do serviço e, em paralelo, a busca pelos responsáveis e a avaliação do alcance. A prisão em flagrante de três pessoas em La Molina, enquanto manipulavam cabeamento de fibra óptica a partir de uma câmera subterrânea durante a madrugada de 3 de julho, reforça a hipótese de que não se tratou de um problema técnico acidental, mas de uma intervenção deliberada.

Infobae Peru acrescentou que as investigações preliminares vinculavam os detidos ao corte de 1º de julho, quando o dano à fibra deixou sem internet diferentes setores de La Molina. Essa sequência entre um corte inicial, uma nova manipulação e uma detenção posterior sugere que a proteção da infraestrutura não pode se limitar ao monitoramento de rede. Ela também exige controle físico de câmaras, dutos e pontos de emenda, sobretudo em áreas urbanas onde a concentração de clientes pode transformar um dano localizado em uma interrupção massiva do bairro ou do corredor metropolitano.

Para operadores e provedores de conectividade, o caso deixa várias lições operacionais. A primeira é que a redundância precisa existir no plano de rota, mas também no de acesso físico. A segunda é que a coordenação com forças de segurança e autoridades locais faz parte do tempo de recuperação, não é uma etapa administrativa posterior. A terceira é que atos de vandalismo contra fibra não devem ser analisados como fatos isolados de roubo de cobre ou cabeamento, mas como eventos que podem afetar reputação, SLA e suporte corporativo se atingirem enlaces de clientes empresariais. A própria cobertura mostra que a interrupção não foi apenas doméstica, mas comprometeu vários distritos e exigiu reparo e restauração rápidas.

Copaco e a desativação preventiva do site

No Paraguai, a Copaco desativou preventivamente seu site institucional após detectar um incidente de segurança que afetou o acesso à plataforma. O ABC Color informou que, até aquele momento, as revisões técnicas confirmavam que o incidente não havia afetado os sistemas críticos. Esse ponto é importante: a decisão de tirar o site do ar não equivale a uma queda total da operação nem a um comprometimento da infraestrutura central, mas revela que a superfície pública pode exigir respostas conservadoras quando há dúvida sobre integridade ou disponibilidade.

O dado útil para o setor não é apenas o evento em si, mas a sequência de decisão. Uma telco estatal não pode se dar ao luxo de manter no ar um portal exposto se houver suspeita de incidente de segurança. A medida preventiva reduz o risco de propagação ou de exploração adicional, mas cria atrito para usuários, equipes comerciais e canais de autoatendimento. Em outras palavras, a resposta também tem custo. Por isso, esse tipo de incidente não deve ser lido como simples manutenção do site. É uma decisão de contenção diante de um sinal anômalo que, mesmo sem comprometer sistemas críticos, já afetou o acesso à plataforma.

A cobertura jornalística também falou em um "incidente", sem detalhar publicamente a causa técnica do evento. Esse ponto exige leitura cautelosa. Não há evidência no material de ransomware, exfiltração ou comprometimento de credenciais. O que existe é a confirmação de uma afetação no acesso e de uma medida preventiva para contê-la. Para um operador de telecomunicações, esse tipo de fato costuma acionar hipóteses que vão de defacement ou alteração do portal até abuso de componentes web, falhas de autenticação ou exploração de alguma dependência. Sem mais detalhes técnicos, não cabe afirmar além do que dizem as fontes.

Ecopetrol e a filtragem associada a terceiros privilegiados

O caso da Ecopetrol foi o mais volumoso em termos de informação afetada e a resposta institucional mais ampla do mês. A Infobae informou que a Promotoria abriu investigação pelo ciberataque contra a Ecopetrol e que, até aquele momento, não havia provas de dano essencial ou especialmente grave na operação da companhia. A mesma cobertura apontou que os responsáveis teriam levado mais de uma tera de informação, incluindo dados de funcionários e material vinculado ao conselho de administração. Além disso, a Procuradoria-Geral da Nação abriu uma investigação pela divulgação ilegal de informação sensível de 15 empresas ligadas à petrolífera estatal.

A Caracol Radio trouxe um detalhe técnico especialmente relevante para operadores de conectividade e ecossistemas com acesso distribuído. Segundo fontes da Promotoria, o acesso ao ambiente da Ecopetrol teria ocorrido por meio de um terceiro com privilégios de administrador e, em seguida, os atacantes usaram Kali Linux para se movimentar dentro da TI e extrair dados. Se essa reconstrução se mantiver, o incidente não começa em um exploit remoto clássico, e sim em um ponto de confiança mal gerido. Para telecomunicações e ISPs, isso é um alerta claro: o risco não está só no perímetro, mas também na administração delegada, nos acessos de fornecedores e nas credenciais com privilégios amplos.

A Ecopetrol confirmou que agentes externos publicaram informações copiadas ilegalmente de 15 empresas do Grupo Ecopetrol e que trabalhava com a Promotoria e o MinTIC para retirar o conteúdo do acesso público e limitar sua difusão. A empresa também informou que o impacto do incidente se limitou ao download de arquivos e que não foi identificado comprometimento da integridade da informação. A Yahoo Finance, citando um comunicado da PR Newswire, acrescentou que não foram comprometidas as identidades de usuários associados a 3.300 contas afetadas nem capturadas credenciais de acesso, e que não foi detectado impacto nas soluções tecnológicas transacionais de seu ecossistema digital, nem nas de subsidiárias, parceiros comerciais, fornecedores e clientes.

A própria cadeia de resposta mostrou coordenação formal com ColCERT, Promotoria, Comando Conjunto Cibernético, Polícia Nacional e DIJIN. O ColCERT informou que recebeu o reporte do incidente, ativou a coordenação com as entidades competentes e manteve canais diretos com a Promotoria, a Polícia e o CTI para a investigação. Em termos de governança, isso transforma o caso em um exemplo de resposta multiagência diante de exposição de dados e vazamento público. Em termos de risco setorial, deixa uma lição direta para telcos e ISPs com portais de autoatendimento, NOC distribuído ou integração com terceiros: o privilégio de administrador nas mãos de um terceiro não é um detalhe contratual, é uma superfície de ataque.

A conta comprometida ligada à AFA Medios

Em julho também houve um fato que, embora não seja de telecomunicações em sentido estrito, ajuda a entender a lógica de contas comprometidas e envio não autorizado de e-mails. O WeLiveSecurity informou que uma conta ligada à AFA Medios foi comprometida e que e-mails foram enviados a jornalistas sem autorização da entidade. A Associação do Futebol Argentino relatou um acesso não autorizado a uma de suas contas institucionais e afirmou que trabalhava para esclarecer o ocorrido.

O valor analítico desse caso está na mecânica. Uma conta institucional comprometida pode ser usada como canal de legitimação para comunicações maliciosas, vazamento de mensagens ou engenharia social. Para provedores de conectividade e telcos que administram caixas de e-mail corporativas, serviços de correio ou identidade federada, o problema não termina na troca de senha. A questão é como o acesso foi detectado, quais controles de MFA estavam ativos, se houve regras de encaminhamento, se existiam sessões persistentes e se foram revisados indicadores de abuso lateral. O fato, como foi reportado, mostra que a conta virou veículo para e-mails não autorizados, não necessariamente um incidente de infraestrutura, mas uma intrusão com efeito reputacional e operacional.

Chile e o incidente ainda não confirmado no MTT

A cobertura da ADN Radio sobre o Chile merece leitura à parte pelo grau de certeza. O meio reportou como alegado um incidente de cibersegurança contra a infraestrutura do Ministério dos Transportes e Telecomunicações, mas a própria nota o apresentou como não confirmado pelas autoridades. Também indicou que o fato teria incluído um suposto banco de dados com informações de mais de 100.000 usuários e funcionários, atribuído pelo site consultado a um grupo não verificado. Esse material não deve ser lido como uma intrusão confirmada nem como um volume verificável de impacto, e sim como um alerta jornalístico com nível limitado de certeza.

Para o informe do mês, o valor da peça está no contexto: a infraestrutura de transporte e telecomunicações costuma ser um alvo atraente por seu papel em informações sensíveis e na interconexão entre órgãos. Mas, enquanto não houver confirmação oficial, não cabe tratá-la como incidente consumado. Sua inclusão aqui responde à lógica do material fornecido, que a apresenta como evento não confirmado e, portanto, útil apenas como sinal de vigilância qualitativa.

Ameaças e campanhas ativas

Ransomware e extorsão, com e sem criptografia

O mês confirmou 15 casos com ransomware ou extorsão como eixo principal, mas o material só permitiu determinar um caso com criptografia de ativos confirmada e 14 em que a tipificação exata não pôde ser estabelecida. Essa distinção importa muito. Não é a mesma coisa uma intrusão com exfiltração e pressão por pagamento que uma criptografia efetiva de ativos, e também não é a mesma coisa uma menção em um site de vazamento que uma queda operacional real. Em julho, o material não permite agrupar tudo em um único bloco homogêneo. A fonte nem sempre detalha se houve criptografia.

A TrendTIC informou ataques na Colômbia e no México em que os invasores imprimiram notas de resgate em impressoras corporativas depois de criptografar sistemas com BitLocker. Esse detalhe constitui criptografia confirmada e, além disso, mostra uma técnica de pressão psicológica que busca maximizar a visibilidade dentro da organização. Em vez de se limitar à tela do equipamento, a nota impressa aparece em espaços compartilhados e leva a mensagem de extorsão para o plano físico. Para operadores, integradores e provedores de serviços gerenciados, isso sugere que o objetivo não é apenas bloquear processos, mas acelerar a negociação por meio da exposição interna.

O restante do sinal de ransomware no mês foi mais difuso. A Kaseya relatou que o grupo Inc vinha explorando zero-days do SonicWall SMA1000 para obter execução remota de código com privilégios de root, dado que reforça o valor de plataformas de acesso remoto como trampolim para a implantação de ransomware. A CronUp, por sua vez, apontou uma semana com 147 novas vítimas em sites de vazamento e descreveu um padrão operacional baseado em exploração de vulnerabilidades e credenciais comprometidas. Embora não sejam incidentes de telecomunicações em sentido estrito, esses dados ajudam a entender o ambiente de pressão que afeta operadoras e ISPs, que costumam operar serviços expostos e com forte dependência de acesso remoto.

A cobertura regional também confirmou que os atacantes continuam misturando objetivos financeiros com infraestrutura e serviços. A ESET reportou 4.699 ataques de ransomware no primeiro semestre de 2026, com Brasil, México, Argentina e Colômbia entre os países mais expostos segundo a nota citada. A Nteve apontou serviços empresariais, manufatura e tecnologia entre os setores mais afetados, enquanto EM e Lucas Alcaraz destacaram o crescimento do ransomware no Brasil e o peso do país dentro do volume regional. Nenhum desses dados equivale a um incidente de telecomunicações, mas todos compõem um contexto de ameaça que sustenta o risco para provedores de conectividade e seus clientes corporativos.

Fraude e falsa identidade em telecomunicações

O material do mês incluiu dois fatos com componente de fraude ou phishing documentado. O mais claro, embora sem data confirmada, foi o relato da Noticias RCN sobre uma organização criminosa que usurpou a identidade de uma empresa de telecomunicações para fraudar 6.500 milhões de pesos e oferecer ilegalmente 1.500 serviços de internet e televisão que afetaram 930 pessoas. Embora o fato não entre nos indicadores do período por falta de data confirmada, ele é relevante porque ilustra um vetor muito sensível para o setor: o uso de uma marca, uma identidade comercial ou um canal de venda aparente para monetizar a confiança alheia.

Em termos operacionais, esse tipo de falsa identidade costuma se apoiar em perfis falsos, canais de atendimento improvisados, cobranças indevidas e promessas de serviços que não existem. O dano vai além da fraude financeira. Também compromete a percepção de legitimidade da empresa afetada, pode disparar reclamações de usuários e obriga equipes de atendimento, jurídico e segurança a coordenar mensagens consistentes. Para operadoras e ISPs, o risco aumenta quando o consumidor não consegue distinguir com clareza entre o canal oficial e o canal apócrifo, ou quando a própria marca convive com múltiplos intermediários de venda e suporte.

O segundo fato documentado se relaciona com o comprometimento de uma conta ligada à AFA Medios e o envio não autorizado de emails a jornalistas. Embora não seja fraude comercial no sentido estrito, compartilha a mesma lógica de phishing e abuso de confiança. Uma conta legítima comprometida tem alto valor de reutilização porque reduz alertas dos destinatários e facilita a circulação de mensagens que parecem autênticas. Para o setor de telecom, onde o email e a mensageria de suporte fazem parte da relação diária com usuários, esse tipo de abuso tem implicações diretas na validação de tickets, campanhas e comunicações de segurança.

APT e intrusão oportunista

Não houve no material uma campanha APT clássica e claramente atribuível com foco direto em telecomunicações e ISPs, mas houve vários indícios de intrusão oportunista com alta maturidade operacional. O acesso à Ecopetrol por meio de um terceiro com privilégios de administrador, o uso de Kali Linux para se mover dentro de TI, o abuso de credenciais e a exploração ativa de vulnerabilidades em plataformas expostas desenham um cenário em que os atacantes combinam reconhecimento, acesso inicial e movimento lateral com ferramentas disponíveis e rotas de ataque bastante convencionais.

A Kaspersky, segundo a Infosertecla, relatou uma campanha chamada StrikeShark que usa um malware novo, SharkLoader, e incluiu organizações da Colômbia entre seus objetivos. Mesmo sem o material vincular isso diretamente a uma operadora de telecomunicações, o sinal merece atenção porque aponta para uma campanha ativa na região e porque a infraestrutura de acesso, email, autenticação ou distribuição de software de uma telco pode ser um alvo natural para esse tipo de malware. O valor do dado está na lógica de distribuição, não em uma vítima específica do vertical.

Vulnerabilidades críticas

O material do mês menciona seis CVEs críticos, mas nem todas as peças permitem associá-los a telecomunicações e ISPs da região com o mesmo nível de detalhe. A lista a seguir consolida apenas o que foi mencionado explicitamente pelas fontes disponíveis.

CVE	Software	Exploração	Fonte
CVE-2026-15409	SonicWall SMA1000	Zero-day explorado ativamente para obter execução remota de código com privilégios de root	F5 Labs
CVE-2026-15410	SonicWall SMA1000	Zero-day explorado ativamente para obter execução remota de código com privilégios de root	F5 Labs
CVE-2026-25089	FortiSandbox	Falha em múltiplas versões, incluindo FortiSandbox Cloud e PaaS, com exposição relevante para provedores de segurança gerenciada e grandes operadores	F5 Labs
CVE-2026-39808	FortiSandbox	Falha em múltiplas versões, incluindo FortiSandbox Cloud e PaaS, com exposição relevante para provedores de segurança gerenciada e grandes operadores	F5 Labs
CVE-2026-58644	SharePoint	A fonte indicou que requer ao menos privilégios de Site Owner, o que restringe a rota prática de ataque	F5 Labs
CVE-2026-48282	Adobe ColdFusion	Path traversal, CVSS 10, vinculado pela Senserva ao CISA KEV e relevante para aplicações expostas à internet	Senserva

Não foram registrados mais CVEs críticos no material analisado para este relatório, mas isso não significa ausência de vulnerabilidades críticas exploradas na região. Também é preciso ler este bloco com cuidado: a menção a uma vulnerabilidade não equivale a um incidente em telecomunicações. Ainda assim, ela aponta plataformas que podem ficar no raio de exposição de telcos, ISPs, MSSPs e operadores com infraestrutura de gestão remota, sobretudo quando servem para acesso, administração ou publicação de serviços.

Em paralelo, a CISA publicou seu boletim semanal de 20 de julho de 2026 com vulnerabilidades exploradas ativamente durante aquela semana, e a Security Arsenal informou que, entre 13 e 16 de julho, 10 vulnerabilidades foram adicionadas ao KEV. A Hacker Storm disse que a CISA acrescentou oito novas vulnerabilidades ao KEV, incluindo Fortinet FortiOS e Arista VeloCloud Orchestrator. A Telefónica Tech também publicou um boletim semanal para o período de 25 a 31 de julho que menciona a inclusão de uma vulnerabilidade ao KEV em 22 de julho. Essas referências não comprovam, por si só, impacto em telecomunicações latino-americanas, mas situam o mês dentro de uma janela de exploração ativa sobre ferramentas que telcos e ISPs costumam administrar ou integrar.

Regulação e compliance

Não houve movimentos regulatórios documentados no material do período. Isso não significa ausência de atividade regulatória na região, mas, para julho de 2026 e com base no material fornecido, não houve peças verificáveis sobre novas normas, resoluções ou anúncios regulatórios específicos do vertical de telecomunicações e ISPs.

Mesmo sem anúncios normativos, o mês trouxe implicações claras de compliance. O caso Ecopetrol mostra interação com a Fiscalía, MinTIC, ColCERT, CCOCI, Polícia e DIJIN para o tratamento de informações divulgadas ilegalmente e a remoção de conteúdo de acesso público. Na Copaco, a decisão de desativar preventivamente o site se encaixa em uma lógica de contenção e dever de diligência diante da exposição pública. No caso chileno do MTT, a falta de confirmação oficial destaca um ponto de compliance comunicacional, nem todo relato jornalístico deve ser tratado como fato atribuído pela organização, especialmente se a autoridade não o confirma.

Para telcos e ISPs, o compliance nesse contexto depende menos de uma grande reforma e mais da disciplina de resposta. Notificação interna tempestiva, preservação de evidências, controle de acessos de terceiros, coordenação com CSIRT ou CERT e rastreabilidade das decisões de contenção foram os elementos que mais pesaram no material do mês. Não aparece uma nova regulação, mas sim uma exigência concreta de governança operacional.

Países e subsegmentos mais afetados

Peru

O Peru foi o país com o caso de impacto mais direto sobre a conectividade de usuários finais. O corte de fibra em La Molina afetou a internet fixa em vários distritos da Lima Leste e obrigou a Movistar a informar o restabelecimento ainda no mesmo dia. O episódio expôs um vetor físico claro, com manipulação de cabeamento e câmaras subterrâneas de telecomunicações. Para uma operadora, isso acende um alerta sobre pontos de acesso urbanos e sobre a relação entre vandalismo, roubo e interrupção de serviços. Não houve exfiltração de dados nem ransomware, mas houve uma queda de disponibilidade com impacto visível para os usuários.

Paraguai

O Paraguai apareceu pelo caso da Copaco, a empresa estatal de telecomunicações. O fato consistiu na desativação preventiva do site institucional após a detecção de um incidente de segurança. A cobertura não detalhou a causa técnica, e não há evidência de impacto em sistemas críticos. Ainda assim, a medida é relevante porque mostra uma postura de contenção diante de uma anomalia na superfície pública. Em uma telco estatal, o site não é um componente acessório. Ele faz parte do canal de relacionamento com usuários, do acesso a informações e, em muitos casos, da distribuição de serviços ou pagamentos.

Colômbia

A Colômbia concentrou vários sinais. O mais importante foi o vazamento associado à Ecopetrol, que envolveu informações de 15 empresas do grupo e acionou uma resposta coordenada com múltiplas entidades. Embora a Ecopetrol não seja uma telco, o tipo de intrusão, com terceiro privilegiado e movimento lateral, é altamente relevante para operadoras de conectividade e provedores de serviços gerenciados. Além disso, a cobertura regional sobre ransomware e a referência da Kaspersky à campanha StrikeShark incluíram organizações colombianas entre os alvos. O país também aparece no material com o caso de fraude em telecomunicações reportado pela Noticias RCN, embora sem data confirmada.

Chile

O Chile ficou associado a duas camadas de sinal. De um lado, a cobertura da ADN Radio sobre um suposto incidente contra a infraestrutura do MTT, não confirmado pelas autoridades. De outro, a telemetria citada pela Nteve posicionou o Qilin como a família com mais detecções no Chile, com um pico em janeiro dentro da janela agregada da ESET. Esse último número é telemetria e não deve ser tratado como incidente, mas ajuda a explicar por que o Chile aparece como um mercado sensível a famílias de ransomware ativas. Para o vertical, a leitura correta é que o país combina exposição de infraestrutura pública com um ambiente de detecção elevado no plano regional.

Brasil, México e Argentina como contexto regional

Brasil, México e Argentina não trouxeram incidentes específicos de telecomunicações no material do mês, mas dominam a camada de contexto regional em ransomware. ESET, Nteve, Agencia NVM, EM e Lucas Alcaraz colocaram o Brasil como o país mais afetado, seguido pelo México, com Argentina e Colômbia também entre os mais expostos. Essa distribuição não se traduz automaticamente em incidentes de telecomunicações, mas aponta para uma pressão estrutural sobre operadoras que sustentam serviços corporativos, acesso remoto, cloud intermediária e suporte a clientes empresariais. Para um ISP, o custo desse ambiente nem sempre aparece na estatística própria do mês, mas sim na carga de monitoramento, endurecimento e resposta preventiva.

Subsegmentos do vertical

O subsegmento mais claramente afetado foi a conectividade fixa de última milha, visível no corte de fibra da Movistar. Em segundo lugar vem a operação de portais e canais institucionais, refletida na Copaco. Em terceiro lugar, embora fora do centro do vertical, aparece a administração de ambientes com acesso de terceiros, que a Ecopetrol expõe com muita clareza e que é especialmente útil para telcos com OSS, BSS, NOC, cloud híbrida ou serviços gerenciados. Também se observam riscos de identidade comercial e venda fraudulenta, mais ligados à relação com o usuário e ao canal de distribuição do que ao core de rede, mas igualmente relevantes para ISPs massivos.

Tendências e sinais a monitorar

Não há base comparativa porque este é o primeiro período arquivado com este formato de indicadores para a América Latina. Por isso, não cabe afirmar aumento ou queda em relação ao mês anterior dentro desta série. O que é possível fazer é identificar sinais que, pela frequência e pelo tipo, devem seguir sob vigilância durante agosto e o restante do terceiro trimestre.

O primeiro sinal é a persistência do risco físico sobre fibra e dutos urbanos. O caso de La Molina mostra que a disponibilidade de serviços pode se degradar por ações deliberadas muito concretas, executadas em infraestrutura subterrânea e com impacto imediato. Para operadoras de conectividade, isso exige reforço na inspeção de pontos críticos, sensores, câmeras, vedação de câmaras e coordenação territorial. A discussão não é só técnica. Também é de segurança física e de resposta local.

O segundo sinal é a relevância de acessos privilegiados de terceiros. A Ecopetrol expôs com clareza que um terceiro administrador pode virar o ponto de entrada de um ecossistema amplo. Essa dinâmica não é exclusiva de energia ou indústria. Em telecomunicações, onde convivem fornecedores, integradores, outsourcers, equipes de campo e plataformas de terceiros, a superfície de confiança é ampla. O mês sugere revisar com mais rigor o ciclo de concessão, revogação, sessões, MFA e registros de administração compartilhada.

O terceiro sinal é a maturidade da extorsão operacional. A TrendTIC mostrou impressões de notas de resgate após criptografia com BitLocker, e várias peças do mês apontaram para ransomware com exploração ativa de vulnerabilidades. Isso reforça um padrão misto, no qual o atacante não se limita a criptografar, mas busca deixar marca, acelerar a pressão e explorar qualquer exposição de borda. Telcos e ISPs devem ler isso junto com a atividade de KEV e com o uso de plataformas de acesso remoto, porque são peças que costumam conviver no mesmo ambiente técnico.

O quarto sinal é o enfraquecimento da fronteira entre incidente e abuso de marca. O caso da suposta empresa de telecomunicações na Colômbia, embora sem data confirmada, lembra que a fraude por usurpação pode afetar a relação com clientes e a confiança nos canais de venda. Em paralelo, a conta comprometida vinculada à AFA Medios mostra como uma identidade legítima pode ser reutilizada para comunicação não autorizada. Nos dois casos, o canal de confiança é tão importante quanto a infraestrutura.

O quinto sinal é que a região segue recebendo pressão constante de exploração de vulnerabilidades críticas. F5 Labs, CISA, Security Arsenal e Telefónica Tech colocam julho como um mês com atividade marcada sobre SonicWall, Fortinet, SharePoint, ColdFusion e outros componentes sensíveis. Não é necessário que uma telco seja a vítima nomeada para que isso importe. Se uma operadora de conectividade administra algum desses componentes, sua exposição é imediata. Se não administra, ainda assim depende deles em sua cadeia de serviços.

Recomendações para equipes de segurança

Revisar imediatamente o mapa de acessos de terceiros com privilégios elevados. O caso Ecopetrol sugere que um terceiro administrador pode estar na origem do acesso inicial. Em telcos e ISPs, vale revalidar contas ativas, sessões persistentes, MFA efetivo, caducidade de acessos e segregação entre suporte, operação e administração.
Priorizar a proteção física de câmeras, dutos e pontos de emenda. O incidente de La Molina mostra que o corte físico de fibra segue sendo uma via simples e eficaz para degradar o serviço. Isso exige controles de fechamento, videomonitoramento, patrulhamento, sensores de abertura e procedimentos de resposta rápida com equipes e autoridades.
Reforçar a vigilância sobre portais institucionais e superfícies públicas. A Copaco desativou seu site de forma preventiva. Isso deve lembrar as equipes de que um portal exposto pode exigir contenção imediata. Convém ter playbooks específicos para web corporativa, autoatendimento e autenticação pública.
Auditar a exposição de plataformas de acesso remoto e administração. SonicWall SMA1000, FortiSandbox, SharePoint e ColdFusion apareceram nas fontes como pontos de exploração ativa ou vulnerabilidades críticas. Se alguma dessas tecnologias existir no ambiente da operadora ou de sua cadeia de fornecedores, a revisão deve ser prioritária e documentada.
Tratar ransomware como uma cadeia, não como um evento único. O mês mostrou criptografia, extorsão, notas impressas, vazamento de dados e abuso de credenciais. A defesa deve incluir cópias restauráveis, segregação de backup, testes de recuperação e monitoramento de exfiltração, não só bloqueio de malware.
Endurecer o canal de comunicação com usuários e jornalistas. A conta comprometida vinculada à AFA Medios mostra que uma identidade legítima pode ser usada para mensagens não autorizadas. Para uma operadora, isso obriga a revisar e-mail, listas de distribuição, modelos, MFA, regras de encaminhamento e validação de remetentes para comunicações sensíveis.
Estabelecer uma rota clara de coordenação com CSIRT, reguladores e forças de segurança. O caso Ecopetrol funcionou com ColCERT, Fiscalía, Policía e outras entidades. Para telcos e ISPs, a coordenação prévia reduz o tempo de reação e evita improviso quando o incidente atinge infraestrutura crítica ou dados de clientes.

Limitações do material

Este informe foi construído exclusivamente com o material fornecido para julho de 2026. Não houve acesso à internet nem a fontes externas adicionais. Por isso, qualquer leitura de tendência, impacto ou atribuição fica limitada ao que as fontes disponíveis permitiram verificar. As peças excluídas por falta de data confirmada não entram nos indicadores, embora possam servir como contexto qualitativo. Esse é o caso do reporte da Noticias RCN sobre a suplantação de uma empresa de telecomunicações, que não foi contado como volume do período.

A janela temporal declarada para os indicadores inclui 73 fatos com data em julho de 2026 e 1 sem data confirmada, mas os indicadores do período são calculados sobre 67 fatos verificados. Essa base deve ser respeitada tal como foi fornecida. Além disso, uma cifra em zero não implica ausência do fenômeno na região. Em particular, o indicador de movimentos regulatórios em 0 significa que ele não apareceu no material analisado, não que não tenha havido atividade regulatória na América Latina.

O mesmo vale para CVEs críticos. Aqui foram registrados 6 CVEs mencionados, por isso a tabela correspondente os desenvolve. Se em outro mês o indicador fosse 0, a leitura correta seria que não foram registrados CVEs críticos no material analisado, não que a região estivesse livre de vulnerabilidades exploradas. Esse cuidado é essencial para não confundir limites do insumo com ausência real de risco.

Também ficaram excluídas do volume as cifras de telemetria agregada. São tentativas, bloqueios, detecções ou médias semanais de vendors, não incidentes com impacto confirmado. Podem ser usadas como contexto se forem citadas com a devida ressalva, mas não devem ser somadas aos fatos do período nem confundidas com intrusões verificadas. Neste informe, essa separação foi respeitada.

Por fim, o material não incluiu IoCs detalhados como hashes, domínios ou IPs, nem um conjunto consistente de TTPs com taxonomia MITRE para o vertical. Por isso não foi incluído anexo técnico de indicadores de compromisso. A ausência dessa seção não implica ausência de atividade maliciosa, apenas falta de insumo verificável dentro do corpus disponível.