Telecomunicações e ISPs, Setembro de 2026

Ameaças e campanhas ativas

Extorsão e ransomware

Os fatos do mês mostram três expressões distintas da economia de extorsão. A primeira é o caso da K3G Solutions Brasil, em que o Panzer assumiu o ataque e ameaçou publicar dados. A segunda é a menção à Inter em um site de vazamentos, sem confirmação independente. A terceira é o conjunto de fatos sem tipificação fechada, em que a fonte não permite estabelecer se houve criptografia de ativos, exfiltração ou apenas pressão pública. Essa distinção não é semântica. Ela define prioridades de contenção e notificação.

Em ransomware e extorsão, o material de setembro não documentou uma criptografia confirmada que tenha deixado sistemas inoperantes dentro do vertical. Também não mostrou uma campanha regional homogênea de dupla extorsão com múltiplas vítimas em telecom. O que aparece é a persistência de grupos que usam a exposição pública como amplificador, às vezes com evidência fraca. Isso obriga a não confundir ruído do mercado criminoso com comprometimento real, embora também não convém descartá-lo de imediato.

Fraude e phishing

Não houve casos de fraude ou phishing documentados como categoria formal nos indicadores do período, mas houve uma campanha de smishing muito próxima do phishing tradicional. A diferença prática é que a fraude foi montada sobre SMS e falsificação de operadoras, não sobre e-mail ou formulários web. Para o setor, o efeito é parecido: roubo de credenciais, captura de dados de cartão e desgaste do canal legítimo de comunicação.

O fato de a campanha ter exigido desmentidos públicos de Personal e Claro mostra que o ataque se apoiou na confiança prévia do usuário no número remetente ou na suposta legitimidade da mensagem. Esse é o risco mais persistente para telecomunicações: a marca da operadora funciona como escudo comercial, mas também como isca criminal. Quando essa marca é replicada em um SMS falso, o usuário costuma reagir com menos ceticismo do que diante de um e-mail suspeito.

APT e intrusão direcionada

O material traz sinais de intrusão direcionada e espionagem, embora nem todos atinjam diretamente o vertical latino-americano. A Check Point Research atribuiu ao FamousSparrow uma campanha com alvos governamentais na América Latina e uma organização de telecomunicações em Porto Rico, usando a backdoor SparroWocky. A Cyware, por sua vez, indicou que o Salt Typhoon estaria inserindo backdoors em redes governamentais e de telecomunicações da Argentina, do Equador e da Venezuela, mas a fonte apresentou isso de forma condicional, sem confirmação independente no material fornecido.

Para o leitor do setor, o relevante não é só o nome do ator, mas o tipo de alvo. Quando uma campanha de espionagem atinge telecomunicações, a superfície de interesse costuma incluir credenciais, rotas de acesso, tráfego de dados e possível acesso a comunicações sensíveis. Isso não significa que toda menção a um ator seja uma intrusão verificada na região, mas mostra que o setor segue na mira de operações de alto valor estratégico.

Vulnerabilidades críticas

O material do mês registrou vulnerabilidades críticas de interesse direto para operadores, integradores e provedores de conectividade. A mais relevante foi a CVE-2026-76460 no Cisco ISE e no ISE-PIC. Também houve referências a outros dois CVEs explorados ativamente em setembro por diferentes fornecedores de segurança, mas sem um vínculo tão direto com telecom quanto a falha da Cisco. No total, o período contou com quatro CVEs críticos mencionados no material analisado.

A CVE-2026-76460 merece prioridade porque combina autenticação, administração e exposição em uma plataforma usada para controlar o acesso a redes. A Cisco informou que um invasor remoto não autenticado podia contornar a autenticação e obter acesso não autorizado à interface de administração web por meio de uma solicitação manipulada. SecurityWeek, CyberScoop e The Register concordaram sobre a gravidade do caso e sobre a existência de exploração ativa. Para qualquer operador que use o ISE como plano de controle de acesso, a questão não é se o problema é grave, mas se o ambiente já foi corrigido e auditado.

As demais vulnerabilidades cumprem outra função na análise. O Citrix NetScaler aparece como lembrete de que appliances de borda continuam sendo alvos de exploração ativa, mesmo quando o foco do relatório está em telecom. As falhas de Windows, embora não sejam específicas da vertical, afetam estações de administração, servidores e ferramentas de suporte muito presentes em NOCs e equipes de operação. A leitura prática é que a superfície dos provedores de conectividade não se limita a roteadores e core de rede, mas a toda a camada de identidade, publicação e administração.

Regulação e conformidade

O único movimento regulatório documentado no mês foi o acordo regional promovido pelos Estados Unidos e por 14 governos da América Latina e do Caribe para identificar fornecedores confiáveis de infraestrutura digital. A cobertura do El Economista México enquadrou o tema em uma discussão com implicações para operadoras de telecomunicações, sobretudo em compras, avaliação de segurança e infraestrutura já instalada. Não se trata de uma norma fechada, mas de um sinal político relevante para procurement, due diligence e dependência tecnológica.

O Chile também deixou um sinal regulatório e operacional, embora em formato de instrução setorial e não de nova lei. A Subtel pediu reforço das redes de telecomunicações durante as Fiestas Patrias, com supervisão de nós troncais, revisão da autonomia energética e ativação do Roaming Automático Nacional de Emergência, se necessário. Esse tipo de medida mostra que o Estado trata a resiliência das telecomunicações como parte da gestão da continuidade nacional, não como uma obrigação isolada da operadora.

Em paralelo, a análise sobre a Lei Marco de Cibersegurança do Chile afirmou que a designação de operadores de importância vital e a definição de padrões obrigatórios estão levando à revisão de ativos, dependências e continuidade em setores como energia e telecomunicações. O ponto não acrescenta um incidente, mas explica por que a região está se movendo para marcos mais exigentes sobre infraestrutura crítica. Para ISPs e teles, a conformidade já não gira apenas em torno de privacidade ou faturamento, mas de disponibilidade, redundância e rastreabilidade de interdependências.

Países e subsegmentos mais afetados

Argentina

A Argentina foi o país com maior volume de fatos no frente de telecom de consumo. A campanha de smishing levou Personal e Claro a publicarem esclarecimentos, e TeleSemana, Clarín e Mendoza Post descreveram um esquema que explorava a confiança em benefícios e resgates de pontos. Nesse caso, o subsegmento atingido não foi o backbone nem o core de rede, e sim a relação entre operadora e cliente, além dos canais de mensagens. Isso segue sendo telecom, e, em setembro, foi a principal superfície de desgaste no país.

A outra sinalização argentina foi preventiva. A Infobae descreveu a estratégia de cibersegurança do governo com monitoramento, ciberarenas e alertas antecipados para reforçar defesas diante de ataques por IA, e Contexto24 mencionou a preparação de um centro nacional de operações para 2027. Não se tratam de incidentes do vertical, mas enquadram o contexto de política pública. Para operadoras e ISPs, isso indica uma expectativa maior de coordenação com órgãos estatais em notificação e resposta.

Paraguai

O Paraguai concentrou o maior estresse operacional sobre a infraestrutura de telecom. O roubo de cabos na Copaco não pode ser separado do impacto potencial sobre continuidade e manutenção, e a interrupção prolongada da conectividade mostrou fragilidade no plano de controle. O país reúne uma combinação perigosa para uma operadora dominante ou com forte peso estrutural, com ativos físicos sensíveis, processos internos sob escrutínio judicial e uma rede cuja visibilidade pode se degradar por dias.

Nos subsegmentos, o material aponta tanto para infraestrutura fixa quanto para operação de rede. A subtração de cabos afeta a planta externa, enquanto a queda de visibilidade BGP afeta o controle de rotas e a administração do serviço. É uma mistura de risco de campo e risco de núcleo. Para um relatório regional, o Paraguai foi o caso mais claro de continuidade comprometida sem que necessariamente tenha havido uma intrusão digital clássica.

Chile

O Chile apareceu como o país com maior densidade de reflexão sobre resiliência de telecom. A Subtel pediu reforços temporários por conta das Fiestas Patrias, e o ecossistema local discutiu cortes prolongados de energia, sites móveis críticos e dependências entre energia e telecomunicações. O material não registra uma grande intrusão nem uma queda massiva no período, mas mostra uma maturação da abordagem regulatória e operacional. Isso costuma anteceder, com o tempo, exigências mais concretas sobre backup de energia, autonomia e testes de contingência.

Brasil

O Brasil aparece no mês apenas no caso K3G Solutions e na reclamação do grupo Panzer. Não é pouco, porque o fato coloca uma empresa na interseção entre telecom e consultoria de TI no radar da extorsão. Sem confirmação sobre criptografia ou vazamento real, o valor do caso está no alerta para provedores de serviços gerenciados, integradores e empresas que combinam redes com suporte tecnológico.

Venezuela

A Venezuela soma uma menção importante, mas não confirmada no nível de intrusão, a de Inter no leak site de N0n. O fato é relevante porque fala da exposição de um ISP grande ou com peso local, mas não basta para certificar dano operacional. Em termos de subsegmento, o que aparece é o serviço de acesso à internet e sua vulnerabilidade potencial diante de extorsão pública, mais do que uma ruptura comprovada de rede.

Tendências e sinais a monitorar

A comparação com agosto mostra uma queda acentuada no volume de fatos verificados, de 122 para 41, com recuo equivalente em incidentes não tipificados, ransomware ou extorsão, fraude e movimentos regulatórios. Isso não significa que o risco tenha desaparecido. Significa que o mês foi menos ruidoso e mais concentrado em poucos casos de alto valor operacional. O padrão dominante mudou de amplitude para intensidade localizada.

A permanência da categoria Sem classificação, com 18 dos 41 fatos, é o sinal mais claro da maturidade desigual das informações disponíveis. Nem todo evento consegue ser encerrado com tipificação robusta, e, em telecom, isso costuma acontecer quando a fonte descreve uma queda, uma denúncia ou uma reclamação criminal sem rastreabilidade técnica completa. Para a análise mensal, essa massa amorfa deve ser lida como déficit de atribuição, não como ausência de atividade.

O segundo sinal é a mudança do foco para infraestrutura física e controle de rede. O Paraguai concentrou roubo de cabos e interrupção BGP, enquanto o Chile reforçou a conversa sobre energia e continuidade. Nesse cenário, as equipes de segurança de telcos e ISPs devem parar de olhar a rede apenas como perímetro digital. A continuidade também depende de dutos, geradores, planos de contingência, acesso a salas técnicas e controle de mudanças no roteamento.

O terceiro sinal é a consolidação de identidade e autenticação como superfície crítica. O caso Cisco ISE é um lembrete duro de que uma vulnerabilidade na gestão de identidades pode ter impacto maior do que um exploit em um serviço isolado. Se uma plataforma de controle de acesso cai, o problema não é só técnico. Também ficam comprometidas a confiança interna, a segmentação e a capacidade de resposta a intrusões posteriores.

Recomendações para equipes de segurança

Os times de segurança de telecomunicações e ISPs devem priorizar, neste mês, quatro frentes específicas: controle dos canais com usuários, robustez do plano de roteamento, fortalecimento da infraestrutura de identidade e coordenação com a operação de campo. O material do período não aponta uma ameaça dominante única, mas vários vetores que se reforçam entre si.

Primeiro, vale revisar todos os fluxos de comunicação com o cliente que usem SMS. Se a operadora não tiver programas de pontos por texto, isso deve ficar explícito no site, no call center, nas respostas automáticas e nas peças de atendimento. Também convém reforçar o monitoramento de falsificação de marca, a coordenação com carriers de mensagens e mecanismos de reporte rápido quando surgirem campanhas usando nomes comerciais da empresa.

Segundo, é preciso endurecer o plano de controle de rede e a telemetria de BGP. A interrupção no Paraguai mostra que a visibilidade de prefixes e sessões pode se degradar por períodos prolongados. É recomendável validar redundâncias de gestão, registrar mudanças de rota de forma auditável e ensaiar procedimentos de recuperação que não dependam de um único centro de controle ou de uma única via de administração remota.

Terceiro, acelerar a aplicação de patches e a segmentação em plataformas de identidade. A CVE-2026-76460 deve ser priorizada onde houver Cisco ISE ou ISE-PIC, com revisão da exposição de interfaces administrativas, autenticação multifator para consoles de gestão e verificação de que o catálogo KEV ou avisos equivalentes tenham virado ações reais. O mesmo critério se aplica, por extensão, a appliances de borda e servidores de administração expostos em ambientes de telecom.

Quarto, integrar segurança física e cibersegurança em uma mesma mesa operacional. Os roubos de cabo não são um assunto exclusivo de planta externa. Eles devem ser mapeados junto com monitoramento de alarmes, inventário de trechos críticos, tempos de reposição e rastreabilidade de acesso a câmeras, dutos e salas. Quando surgem detenções ou imputações por subtração de infraestrutura, a operadora precisa saber imediatamente quais serviços ficaram potencialmente expostos e quais redundâncias reais estavam ativas.

Quinto, preparar uma resposta a extorsão sem reagir em excesso a acusações não verificadas. O mês trouxe uma alegação da Panzer sobre a K3G Solutions e uma menção à Inter em um leak site sem confirmação independente. Os times precisam ter um processo que separe pressão pública, vazamento comprovado e impacto operacional real. Sem essa separação, perde-se tempo com a narrativa criminosa e com a contenção.

Perguntas frequentes

O que conecta o caso de smishing argentino à agenda de vulnerabilidades do mês?

A conexão está na exposição de plataformas e marcas de telecom como ponto de confiança. Na Argentina, SMS fraudulentos exploraram a identidade de operadoras. Em paralelo, CVE-2026-76460 mostrou que uma falha de autenticação no Cisco ISE pode afetar o controle de acesso. São frentes distintas, mas ambas atingem a legitimidade da rede e de seus sistemas de administração.

Por que o caso da Copaco e a queda de conectividade no Paraguai não devem ser lidos como um único incidente?

Porque o material não demonstra causalidade direta entre o roubo de cabos e a interrupção da Internet. O que ele mostra é que o Paraguai teve, na mesma janela temporal, um caso penal por subtração de infraestrutura e uma degradação prolongada do plano BGP. A leitura correta é de risco acumulado, não de atribuição fechada.

Qual é o risco operacional mais sério para um ISP que aparece neste mês?

A combinação de continuidade, não uma técnica isolada. O material de setembro mostrou que um ISP pode ser afetado por fraude de marca, roubo físico de ativos, pressão extorsiva e fraquezas no controle de acesso. Se ainda houver vulnerabilidades exploradas em plataformas de identidade ou de borda, a recuperação e a contenção ficam mais complexas.

Como o acordo regional sobre provedores confiáveis se relaciona com os incidentes do mês?

A ligação está na seleção e na supervisão de infraestrutura digital. O acordo impulsionado pelos Estados Unidos e por governos da América Latina e do Caribe busca critérios para avaliar provedores confiáveis, algo que afeta operadoras e compradores de tecnologia. Setembro mostrou por que esse debate importa, houve sinais de extorsão, falhas exploradas e necessidade de resiliência operacional.

O que um CISO de telecom deve monitorar depois de ver esses fatos juntos?

Deve olhar três camadas ao mesmo tempo, canais de cliente, plano de rede e administração de identidade. O smishing argentino toca a relação com usuários, a queda paraguaia toca o controle e a continuidade da rede, e a CVE-2026-76460 toca o acesso administrativo. Se essas três camadas não estiverem coordenadas, o operador responde tarde e com mensagens inconsistentes.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para setembro de 2026 e com os fatos ali datados dentro da janela do período. Os dois fatos sem data confirmada ficaram excluídos dos indicadores e só foram usados, quando cabia, como contexto qualitativo. Não houve telemetria agregada de tentativas ou bloqueios, então isso não foi incorporado como sinal de atividade.

Um indicador em zero, em particular o de casos de fraude ou phishing documentados, significa que não apareceu material verificável dessa categoria no corpus analisado neste mês. Isso não implica ausência de fraude ou phishing na região. O mesmo vale para outros contadores delimitados pelo material: eles refletem a amostra disponível, não a totalidade do que ocorreu na América Latina.

A base temporal dos indicadores foi de 41 fatos com data em setembro de 2026. Os dois fatos sem data confirmada, ambos sobre a interrupção da AT&T no Texas, ficaram fora da base do mês por definição e não devem ser usados para inferir atividade regional. Tampouco foram considerados parte do eixo de telecom da América Latina, embora sirvam para ilustrar discussões sobre atribuição e continuidade.

Ficaram fora da análise como prova de tendência as fontes que não estavam na lista autorizada, assim como qualquer conteúdo patrocinado, publieditorial ou comunicado comercial que não trouxesse evidência primária. Quando uma fonte apresentou uma hipótese ou uma alegação sem verificação independente, ela foi tratada como atribuição daquela cobertura e não como fato consolidado. Essa distinção é central para não superdimensionar leak sites, rumores ou reconstruções jornalísticas incompletas.

Gráficos