Brasil: situación de ciberseguridad, junio 2026

Incidentes relevantes en Brasil

Defensa Civil Alerta y la falsa alerta extrema

El incidente más importante del mes fue la intrusión contra el sistema Defesa Civil Alerta. La fuente oficial del MIDR indicó que la plataforma fue retirada del aire alrededor de las 01:30 del 20 de junio de 2026, tras un envío remoto no autorizado de alertas extremas. Reuters, Agência Brasil, O Globo, Teletime y otros medios coincidieron en el núcleo del hecho: hubo un mensaje falso, la plataforma se desactivó preventivamente y la Policía Federal abrió investigación. Las variaciones entre fuentes están en el nivel de detalle, no en la sustancia.

Lo relevante para un equipo de seguridad no es solo que hubo una intrusión. El incidente mostró que el riesgo no estaba confinado a una sola jurisdicción ni a un canal marginal. Se reportaron mensajes en varios estados, al menos ocho capitales y miles o millones de teléfonos, según la fuente consultada. Además, el uso de la palabra "misantropia" y la distribución mediante Cell Broadcast y SMS evidencian un compromiso de la cadena de administración del sistema, no un simple problema de entrega de notificaciones. La posterior centralización del servicio en Brasília confirma que la arquitectura previa era demasiado expuesta.

Ajuste operativo del sistema de alertas públicas

El MIDR respondió con una reconfiguración de gobernanza y acceso. Primero limitó el uso directo por parte de los estados, luego implementó un flujo semiautomático con formularios y una única autoridad habilitada para disparar alertas durante la etapa de contención. Más tarde anunció un esquema automático con VPN, cuentas Gov.br y verificación adicional por código. Esa secuencia importa porque muestra cómo un incidente real termina reescribiendo el proceso operativo de una plataforma crítica.

En términos de seguridad, el problema ya no se limita al vector inicial de ingreso. También queda bajo escrutinio la trazabilidad de credenciales, el control descentralizado del panel, el rol de los usuarios regionales y la segregación entre prueba y producción. El propio hecho de que el sistema tuviera que ser retirado y luego reactivado tras nuevos testeos confirma que el ataque tocó un activo sensible y no una superficie secundaria.

Incidentes de seguridad vinculados a datos personales y pagos

Fuera del caso de alertas, el mes dejó otras señales puntuales. El Banco Central confirmó un incidente de seguridad vinculado a accesos indebidos a un sistema administrado por la Polícia Civil do Maranhão, con exposición de datos de claves Pix, incluyendo nombre, CPF, institución, agencia, cuenta y fecha de creación. La información disponible aclara que no se comprometieron contraseñas, saldos ni movimientos financieros, lo que acota el impacto, pero no lo trivializa.

También se mencionó, en material de fecha no confirmada, una campaña de ransomware ThreeAM contra WS Group Brasil con doble extorsión y borrado de copias de sombra. Como la fecha no está confirmada, no se incorpora al conteo mensual, aunque sí ayuda a contextualizar el interés de grupos criminales en la infraestructura corporativa brasileña.

Material complementario sobre iFood y Nissan

Dos hechos adicionales funcionaron como contexto, aunque no dominan el balance mensual. Por un lado, un reporte de WCYB Digital Radio indicó que iFood habría comunicado una exposición de datos de unos 1,2 millones de usuarios vinculada a un incidente previo. Por otro, SecurityWeek informó una brecha en Nissan Americas asociada a la explotación de CVE-2026-35273 en Oracle PeopleSoft, con posible impacto en empleados de Brasil entre otros países. En ambos casos, el material es útil para lectura de tendencia, pero la relación directa con el país no pesa igual que en los incidentes locales confirmados.

Amenazas y campañas activas en Brasil

Ransomware con cifrado confirmado

El único caso con cifrado de activos confirmado en el material del mes fue el de la Secretaría de Estado de Saúde de Mato Grosso, asociada a LockBit5. La combinación de fuentes permite sostener que hubo exfiltración y cifrado de sistemas, configurando un esquema clásico de doble extorsión. No se publicaron IOCs verificables ni detalles técnicos que permitan ir más allá de la atribución y el patrón general del ataque.

Ransomware con exfiltración sin cifrado confirmado

En la categoría de exfiltración sin cifrado aparecen casos donde la fuente describe el robo o salida de datos, pero no el bloqueo operativo de los sistemas. Coemi Imóveis figura entre ellos por una reclamación de Krybit con amenaza de publicación de datos si no se iniciaban negociaciones. Meta, proveedor brasileño de salud ocupacional, fue listado por BravoX con afirmación de exfiltración de información sensible. Editora Irmãos Vitale también encaja mejor en esta categoría, ya que el material señala filtración de datos, sin documentación clara de cifrado. El rasgo común es una extorsión centrada en la divulgación de información, más que en la indisponibilidad técnica.

Casos cuya tipificación no puede cerrarse con el material

Hay nueve casos en los que la fuente no precisa si hubo cifrado, exfiltración o solo inclusión en leak site. Esto incluye varias menciones en radares semanales y agregadores de filtraciones, como ws.com.br, MHE9 Logística, Clínica Vida, Silmquinas e Equipamentos, sweetome.com y la referencia a gov.br atribuida a APT73/Bashe. En esos casos conviene ser estrictos: la existencia de una publicación en un sitio de extorsión no equivale por sí misma a impacto operativo verificado.

Solo mención en leak site

En junio apareció al menos un caso que, por ahora, queda como sola mención en leak site. The Gentlemen incluyó a Mackay Sugar en su sitio, pero todavía no había liberado datos al momento del reporte citado. Esa diferencia importa porque separa la publicación de un objetivo de la evidencia de una filtración efectiva.

Fraude y phishing documentados

El mes también mostró cinco hechos de fraude o phishing documentados. No forman el eje dominante, pero sí encajan en el fondo de presión sobre usuarios y credenciales. En un período donde se discutieron alertas falsas, credenciales clonadas y accesos indebidos a paneles, el componente de ingeniería social no fue accesorio. El material provisto no permite construir una campaña única de phishing, pero sí deja ver un entorno favorable a la suplantación y al abuso de confianza.

APT y hacktivismo

El único reclamo que se aproxima a un eje de APT o actor híbrido es la mención de APT73, también identificado como Bashe, contra gov.br. La reclamación apareció en sitios de extorsión y en reportes de seguimiento, pero sin confirmación oficial ni IOCs públicos. En términos editoriales, eso obliga a tratarlo como una afirmación del actor y no como un hecho consolidado sobre intrusión efectiva.

Vulnerabilidades críticas con impacto en Brasil

El material analizado no registró más CVEs críticos con impacto documentado en Brasil durante junio. Eso no significa que no haya existido explotación de otras vulnerabilidades en la región, sino que no apareció en el corpus usado para este informe.

Regulación y cumplimiento en Brasil

ANPD y el frente sancionador

La ANPD tuvo un mes activo. Cerró el monitoreo de 56 agentes de tratamiento, entre órganos públicos y empresas privadas, sobre la figura del encarregado de dados, y derivó 21 organizaciones a evaluación por falta de respuesta. Además, abrió un proceso administrativo contra Claro por presuntas irregularidades en el compartimiento de datos personales con Serasa. Ese expediente es relevante no solo por el caso concreto, sino porque reafirma que la autoridad está dispuesta a traducir obligaciones de gobernanza en posibles sanciones.

Senado Federal y protección de datos

La CCT aprobó un proyecto que aclara las atribuciones de la ANPD para fiscalizar medidas de seguridad y aplicar penalidades cuando un incidente derive en vazamento de información personal. La CDH, por su lado, avanzó con una modificación al Marco Civil da Internet para exigir notificación cuando se retire contenido sin orden judicial. Aunque el tema no es idéntico al de ciberseguridad operativa, sí impacta la gestión de abuso, moderación y trazabilidad de decisiones sobre plataformas digitales.

Marco Legal da Cibersegurança

El 30 de junio, la CCT discutió el PL 4.752/2025, que instituye el Marco Legal da Cibersegurança y crea el Programa Nacional de Segurança e Resiliência Digital. ABIN participó de la audiencia pública. El movimiento no resuelve por sí solo los problemas operativos del mes, pero muestra que el sistema político brasileño está intentando construir una arquitectura normativa más coherente para enfrentar incidentes de alcance nacional.

Normas internas y gestión pública

Enap aprobó la Resolução 96, que ordena procedimientos internos para comunicación de incidentes de seguridad, pedidos de acceso a la información y registro de compartilhamento de dados pessoais. Aunque es un acto interno, suma a un mes donde el Estado brasileño puso bajo revisión sus propios flujos de reporte y custodia.

Sectores más afectados en Brasil

El sector público fue el más visible por volumen y por intensidad. No solo por el incidente de Defesa Civil Alerta, sino también por la acumulación de incidentes cibernéticos en órganos y entidades federales, el caso Pix administrado por una policía civil estadual y las discusiones regulatorias que tocaron datos personales y seguridad institucional. El Estado apareció como víctima, como regulador y como operador de corrección al mismo tiempo.

La salud también ocupó un lugar destacado. La Secretaría de Saúde de Mato Grosso apareció en el ecosistema de extorsión de LockBit5, y Clínica Vida fue listada en otro radar semanal. Esto refuerza un patrón conocido en Brasil y en la región: la salud combina alta sensibilidad operativa con presión de continuidad, lo que la vuelve especialmente atractiva para extorsión.

Logística, servicios empresariales, educación, manufactura y servicios al consumidor completan la distribución observada. Son sectores distintos, pero comparten una exposición común, la dependencia de sistemas de autenticación, intercambio de datos y continuidad comercial. Que el material muestre siete sectores con al menos un hecho documentado habla de un mes disperso, sin concentración en una sola vertical, aunque con el sector público claramente arriba en relevancia estratégica.

Tendencias y señales a monitorear en Brasil

No hay baseline comparativo del mes anterior en este formato, por lo que no corresponde inventar una tendencia de variación intermensual. Sí puede decirse que junio dejó dos señales que merecen seguimiento. La primera es la fragilidad de sistemas de notificación pública con múltiples canales y administración descentralizada. La segunda es la persistencia de leak sites como espacio de presión reputacional, incluso cuando no se verifica con claridad el impacto operativo.

También conviene mirar la evolución del hardening anunciado por MIDR. El paso a VPN, cuentas Gov.br y verificación adicional puede reducir riesgo, pero su eficacia real dependerá de cómo se administren las credenciales regionales y de si la centralización reduce superficie o solo desplaza el punto único de fallo. En paralelo, el frente regulatorio podría volverse más exigente si el Senado convierte en norma lo que en junio todavía era debate.

En ransomware, la señal más útil no es un único grupo, sino la variedad de sectores atacados y la frecuencia de menciones con tipificación incompleta. Eso sugiere un ecosistema activo, más fragmentado que espectacular, donde la visibilidad pública proviene de leak sites y agregadores tanto como de víctimas que confirman incidentes.

Recomendaciones para equipos de seguridad en Brasil

Primero, revisar la administración de privilegios y la trazabilidad de acceso en sistemas que distribuyen alertas, notificaciones o mensajes masivos. Si un panel puede ser disparado de forma remota por cuentas regionales, el control de sesión, la rotación de credenciales y la separación de funciones tienen que ser medibles, auditables y sujetos a pruebas periódicas.

Segundo, endurecer el control sobre flujos de divulgación de datos personales y operaciones de compartición entre terceros. Los casos de ANPD, Claro y Serasa muestran que el problema no es solo el robo externo de datos. También hay riesgo en cómo se negocia, comparte y documenta información dentro del ecosistema comercial.

Tercero, tratar los leak sites como señal temprana, no como prueba final. Si una organización aparece listada, conviene validar alcance real, accesos comprometidos, exfiltración y eventuales artefactos publicados antes de comunicar o negar de manera categórica. La diferencia entre "mención", "exfiltración" y "cifrado" cambia el plan de respuesta.

Cuarto, priorizar parches para los dos vectores críticos mencionados en el material, CVE-2026-35273 y CVE-2026-48907. En ambos casos, el valor operativo de la corrección supera con claridad el costo de una ventana breve de mantenimiento. En entornos públicos y corporativos, la exposición de servicios de colaboración, ERP y componentes web puede abrir puertas muy distintas, pero igual de dañinas.

Quinto, ajustar los procedimientos de crisis para que una falsa alerta no derive en confusión operativa prolongada. El episodio de junio mostró que la seguridad técnica y la comunicación pública deben estar alineadas. Si no lo están, el atacante o el intruso no solo compromete un canal, también compromete la confianza en toda la infraestructura.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para junio de 2026 y con los hechos fechados dentro de esa ventana temporal. Los hechos sin fecha confirmada quedaron excluidos de los indicadores y solo se usaron, cuando correspondió, como contexto cualitativo con esa salvedad.

Un indicador en cero, especialmente en CVEs, significa que no fue registrado en el material analizado para este período. No implica que no hayan existido vulnerabilidades críticas explotadas en Brasil o en la región durante el mes, sino que no aparecieron en el corpus disponible para este informe.

La cobertura también excluyó telemetría agregada, intentos bloqueados y promedios de vendor que no constituyen incidentes. Del mismo modo, no se usaron como evidencia publicaciones de redes sociales ni material promocional o comercial fuera de las fuentes permitidas. Cuando una fuente señalaba un hecho sin confirmación suficiente, se lo trató como atribución o contexto, no como incidente consolidado.

Finalmente, el formato de indicadores no cuenta con baseline comparativo previo para Brasil, así que no se construyó una evolución intermensual artificial. El resultado es una foto de junio de 2026, no una serie histórica.