Brasil: situación de ciberseguridad, septiembre 2026

Amenazas y campañas activas en Brasil

Ransomware y extorsión en Brasil

La actividad de ransomware y extorsión en Brasil siguió alta, pero el material del mes muestra una mezcla de cifrado confirmado, leaks y reclamos no verificables. El único caso con cifrado de activos confirmado en el material del período fue el de incidentes judiciales y de servicios, mientras que la mayoría de los demás eventos quedaron como reclamos de grupo o listados en sitios de filtración sin prueba independiente completa.

Entre los casos con sola mención en leak site aparecen K3G Solutions Brazil, Camorim Serviços Marítimos y la Receita Federal, todos con distintos grados de verificación y con el matiz de que la fuente no siempre precisa si hubo cifrado. En K3G Solutions, por ejemplo, el material habla de amenaza de publicación y de exfiltración estimada, pero no de cifrado confirmado por la víctima.

También hubo registros de extorsión contra organizaciones de manufactura, tecnología, transporte y educación, pero en varios casos la evidencia pública quedó limitada a trackers o agregadores. Para este informe, eso se traduce en una foto clara de presión extorsiva, pero no en una suma homogénea de impactos técnicos.

Fraude, phishing e identidad sintética en Brasil

El frente de fraude fue uno de los más densos del mes, sobre todo en el sistema financiero. Pix concentró múltiples señales, desde alteración de QR y código copia y pega en tiendas virtuales hasta nuevas reglas del Banco Central para marcar CPFs y CNPJs sospechosos, rechazar operaciones asociadas y notificar al usuario. En paralelo, la justicia y la policía siguieron documentando esquemas con uso de credenciales, sitios falsos y suplantación de identidad.

La novedad más clara fue la consolidación de deepfakes y clonación de voz como herramientas de fraude. El material habla de robo de R$ 80 mil mediante reconocimiento facial engañado por IA, de campañas que ya representan 1 de cada 15 fraudes detectados en Brasil en 2026 y de pérdidas estimadas en R$ 1,8 mil millones entre julio de 2025 y abril de 2026. Todo eso ubica a la identidad sintética como un riesgo operativo y financiero de primera línea.

También hubo campañas de phishing más clásicas, pero más articuladas. El caso del examen falso para la policía, que usó la marca Cebraspe para ejecutar pagos fraudulentos vía Pix, ilustra una combinación de ingeniería social, suplantación institucional y abuso de la confianza en APIs o validaciones automáticas.

APT, intrusión asistida por IA y hacktivismo en Brasil

No hubo un gran caso de APT estatal clásico en el material de septiembre, pero sí varias campañas con rasgos de intrusión persistente, uso de tooling automatizado e impacto sobre infraestructura pública. La más visible fue la operación de SEO poisoning contra dominios .gov.br, atribuida a un actor chino-parlante, que comprometió servidores públicos y usó su autoridad de buscador para redirigir tráfico a apuestas y phishing.

En paralelo, Unit 42, Cloud Security Alliance y otras fuentes describieron campañas en América Latina con apoyo de IA, tunneling, RATs personalizados y proxies SOCKS5, con foco financiero en Brasil. El caso CL-CRI-1163, en particular, involucró phishing con adjunto de currículum, RATs y SockTz para crear un proxy SOCKS5 inverso. El material no lo presenta como APT estatal, pero sí como intrusión organizada y sostenida.

Hubo además señales de hacktivismo o abuso de infraestructura pública en sentido amplio. La campaña Gambling Goblin contra sitios .gov.br no buscó espionaje ni cifrado, sino manipulación de reputación y monetización por apuestas, con impacto directo en la superficie pública brasileña.

Vulnerabilidades críticas con impacto en Brasil

El patrón técnico de septiembre fue claro: casi todo lo crítico llegó con explotación activa o con inclusión en KEV. Eso hace que la prioridad de parcheo en Brasil no dependa solo de severidad teórica, sino de exposición real y de la presencia de infraestructura con borde expuesto, identidad en la nube, acceso remoto o software de colaboración y comercio.

Regulación y cumplimiento en Brasil

Brasil mostró en septiembre una agenda regulatoria intensa, con dos frentes principales: activos virtuales y fiscalización de plataformas digitales. El Banco Central publicó las Resoluciones BCB 587, 588 y 589, que endurecieron el régimen de Pix, el reporte al Coaf y la relación con prestadores no autorizados de activos virtuales. La implementación, además, quedó escalonada, con partes que entran en vigor en octubre de 2026 y otras que se proyectan para 2027.

El efecto regulatorio más visible fue sobre fraude y trazabilidad. Las nuevas reglas permiten marcar CPFs o CNPJs sospechosos, rechazar operaciones asociadas y exigir a los participantes conservar fundamentos y notificar al usuario. En paralelo, se amplió la comunicación automática sobre transferencias con billeteras autocustodiadas y se avanzó con restricciones a instituciones que operen con contrapartes no autorizadas.

La ANPD también movió piezas. Abrió consulta pública sobre el reglamento de fiscalización y el proceso administrativo sancionador, convocó audiencia pública y siguió aplicando medidas sobre plataformas como Discord. El marco del ECA Digital aparece como telón de fondo, porque la autoridad de datos ya actúa sobre servicios y plataformas con probables impactos en menores y protección de datos.

La lectura de cumplimiento es que Brasil está empujando a sus regulados hacia mayor trazabilidad, documentación de decisiones y respuesta más rápida a incidentes. Eso vale para bancos, fintechs, exchanges, plataformas digitales y, de forma creciente, para organismos públicos con servicios expuestos.

Sectores más afectados en Brasil

El sector público fue el que más sintió el mes en términos de interrupción y exposición. Justicia, agencias federales, plataformas de datos y órganos con infraestructura compartida concentraron los hechos más sensibles. No se trata solo del número de eventos, sino de su capacidad para suspender plazos, bloquear audiencias, sacar sistemas del aire o exponer credenciales y datos personales.

El sector financiero siguió como blanco estructural, tanto por fraude como por explotación técnica. Pix, bancos, fintechs, BRB, BRBJUS y los casos de deepfake muestran que el dinero sigue siendo el incentivo más fuerte y el canal de extracción más rápido. Además, la carga regulatoria cayó justamente sobre ese ecosistema, señal de que el regulador percibe una tensión sostenida entre innovación, disponibilidad y control del fraude.

En transporte y logística hubo menos casos, pero no menos relevancia. Águia Branca mostró que un incidente en el canal de venta ya alcanza para activar notificación, contención y revisión de accesos. En salud, el panorama fue más de continuidad operativa y extorsión que de exposición masiva, aunque el historial de Brasil en el sector y la mención de incidentes en clínicas y hospitales indican una superficie persistente.

Tendencias y señales a monitorear en Brasil

La comparación con agosto muestra una suba fuerte en incidentes sin tipificar, un descenso en fraudes o phishing documentados y una caída en movimientos regulatorios, pero con más CVEs críticos mencionados. Esa combinación sugiere que septiembre no fue un mes de menor riesgo, sino de mayor materialización operacional y técnica en algunas verticales concretas.

La amenaza predominante cambió de "sin clasificar" en agosto a "incidentes" en septiembre. Ese giro importa porque indica que el mes dejó más hechos con impacto verificable y menos ruido de reclamos sin tipificación. En otras palabras, el material de septiembre permite ver mejor dónde duele el riesgo, aunque no necesariamente indique que el ecosistema sea menos hostil.

También vale seguir dos señales. La primera es la convergencia entre fraude financiero e identidad sintética, que ya no aparece como tendencia de laboratorio sino como conducta instalada en campañas reales. La segunda es la relación entre explotación de CVEs críticos y exposición de servicios de borde, identidad y colaboración, un patrón que puede seguir afectando a gobierno, telecom y sector financiero.

En el plano regional, Brasil continúa apareciendo como el principal polo de presión de amenazas en América Latina. Eso no significa que todo pase en Brasil, sino que una porción desproporcionada de la actividad, sobre todo financiera y de extorsión, sigue concentrándose allí.

Recomendaciones para equipos de seguridad en Brasil

1. Priorizar la contención de identidad y acceso en sistemas judiciales, financieros y de gobierno. Si hubo acceso a credenciales o indisponibilidad de servicios, el foco inmediato debe estar en reseteo, revocación, trazabilidad y monitoreo de sesión.

2. Revisar reglas de fraude en canales de pago, especialmente Pix, QR y transferencia con autenticación reforzada. El material del mes muestra abuso de marcas de sospecha, cuentas falsas, clonación de voz y manipulación de recibos y comprobantes.

3. Acelerar el parcheo de las CVEs críticas listadas por CTIR Gov y de las vulnerabilidades con explotación activa confirmada por KEV. Las superficies más expuestas son correo, firewall, acceso remoto, colaboración y software self-managed.

4. Revisar la exposición de terceros y la gobernanza de plataformas externas. Los casos BRBJUS y Águia Branca muestran que la dependencia de proveedores o ambientes ajenos puede convertir una indisponibilidad técnica en un incidente operativo y reputacional.

5. Reforzar detección de fraude con señales no biométricas. El mes dejó claro que la biometría facial sola no alcanza frente a deepfakes, face swap y clonación de voz.

6. Mantener procedimientos de notificación y evidencia listos para ANPD, Banco Central y autoridades sectoriales. El costo de la demora ya no es solo reputacional, también puede convertirse en incumplimiento regulatorio.

7. Validar controles de SEO poisoning, hardening web y monitoreo de integridad en sitios públicos o de alta reputación. La campaña contra .gov.br mostró que un sitio comprometido puede ser usado como infraestructura de distribución y monetización.

Preguntas frecuentes

¿Qué cruce deja septiembre entre justicia, fraude y continuidad operativa en Brasil?

El mes conectó dos planos que suelen analizarse por separado: interrupción de servicios y fraude económico. El TJMT perdió disponibilidad y credenciales, mientras el BRBJUS sufrió indisponibilidad con desvío de fondos. Ambos casos muestran que una brecha técnica en Brasil puede terminar afectando procesos judiciales y dinero al mismo tiempo.

¿Cómo se relacionan las nuevas reglas del Banco Central con los fraudes por Pix y deepfakes?

Las nuevas resoluciones del Banco Central apuntan a marcas de sospecha, trazabilidad de CPFs y CNPJs y más control sobre transferencias con autocustodia. Eso responde a un fraude que ya usa deepfakes, clonación de voz, QR alterados y credenciales robadas, por lo que regulación y técnica quedaron acopladas en el mismo frente.

¿Qué vínculo hay entre las CVEs críticas y los sectores más golpeados del mes?

Las vulnerabilidades críticas afectaron justo las superficies que más aparecen en los incidentes brasileños: correo, acceso remoto, identidad, colaboración y servicios públicos expuestos. El caso más claro fue GitLab, con explotación activa, mientras CTIR Gov priorizó fallas de Cisco y Microsoft que pueden impactar gobierno, finanzas y operación crítica.

¿Por qué el reporte separa ransomware, extorsión y simple mención en leak site?

Porque no significan lo mismo. En septiembre hubo un caso con impacto operativo confirmado, varios reclamos de extorsión y varias menciones en sitios de filtración sin confirmación pública. Mezclarlos borraría diferencias importantes para un CISO, sobre todo cuando la fuente no precisa si hubo cifrado o solo publicación del reclamo.

¿Qué sectores deberían seguir más de cerca la agenda de cumplimiento?

Finanzas, sector público y plataformas digitales deberían seguirla de cerca. El Banco Central endureció Pix y el control sobre activos virtuales, mientras la ANPD amplió fiscalización sobre plataformas y aplicó medidas sobre servicios con impacto en menores. Eso obliga a bancos, fintechs, exchanges y organismos con datos sensibles a coordinar legal, seguridad y operaciones.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para septiembre de 2026 y con los hechos fechados dentro de esa ventana. Los hechos de meses anteriores se usaron solo como marco comparativo cuando el material lo permitió, y los hechos sin fecha confirmada quedaron excluidos de los indicadores del período, aunque pudieron citarse como contexto cualitativo.

Un valor cero o una ausencia en la tabla no significa que el hecho no haya existido en Brasil o en la región, sino que no apareció en el material analizado para este mes o no pudo confirmarse con la evidencia disponible. Esto es especialmente importante para CVEs, porque el conteo refleja solo lo registrado en el corpus, no la totalidad de vulnerabilidades explotadas en el país.

La telemetría agregada de intentos, bloqueos o promedios semanales de vendors se excluyó del volumen de incidentes y solo puede mencionarse como ruido de fondo de internet, no como impacto confirmado. También quedaron fuera como base de conteo las cifras de material promocional, publirreportajes y algunos comunicados comerciales, aunque sí pudieron servir como contexto si estaban corroborados por fuentes más sólidas.

Por último, la sección regulatoria incorpora decisiones, consultas y resoluciones que estaban en la ventana temporal, pero no asume que toda afirmación secundaria de prensa sea equivalente a una norma ya publicada. Cuando el material no permitió determinar si hubo cifrado, exfiltración o solo reivindicación en leak site, se indicó explícitamente esa limitación en vez de forzar una tipificación.