Mercado Libre no site de vazamentos da Gentlemen

Linha do tempo da operação

Cadeia de ataque e TTPs

A cadeia técnica observável no material é incompleta, mas suficiente para inferir um padrão operacional. O primeiro bloco é a publicação ou reivindicação no leak site, acompanhada da ameaça de divulgar dados sensíveis. Isso já coloca o caso no terreno da extorsão com dados, mesmo sem evidência pública de cifragem efetiva. O segundo bloco, quando aparece, é a alegação de exfiltração de arquivos internos. Esse detalhe se repete em vários relatos sobre a Mercado Libre e em outros casos atribuídos ao mesmo grupo.

O que não aparece, pelo menos não de forma pública e verificável, é o vetor inicial de acesso. Não há confirmação de phishing, exploração de vulnerabilidade, credenciais roubadas, acesso via terceiros ou movimento lateral documentado neste caso. Também não há uma família de ransomware atribuída com validação independente. Por isso, qualquer leitura sobre a sequência completa precisa permanecer no campo das hipóteses apoiadas pelo comportamento geral do ator, e não como fato comprovado.

O material permite sustentar que The Gentlemen opera com lógica de dupla ou simples extorsão baseada em dados. InCyber afirma que o grupo promoveu campanhas em 2026 oferecendo até 97% da receita a afiliados sem necessidade de cifrar sistemas. Isso é coerente com a ausência de evidência pública de interrupção operacional na Mercado Libre. Em outras palavras, o incidente pode ter sido centrado em roubo e pressão, mais do que em indisponibilidade técnica visível.

A infraestrutura defensiva do grupo também faz parte de suas TTPs. NetSecOps e Cybersecurity News descrevem o uso de GentleKiller como um módulo para encerrar processos de EDR e antivírus, degradar a detecção e cegar ferramentas de segurança antes da fase de cifragem e extorsão. Cybersecurity News acrescenta que o grupo anunciou melhorias técnicas no locker, como desassociação de NTDLL, remoção de breakpoints de hardware e patching de ETW. Não existe um nexo forense publicado que comprove o uso específico dessas capacidades contra a Mercado Libre, mas elas ajudam a entender a maturidade do adversário.

No plano dos alvos, o padrão do grupo é agressivo e massivo. Ransomware.live e Scrutex mostram uma campanha com mais de 320 vítimas reivindicadas, mais de 1.570 vinculadas por um C2 comprometido e 40 publicações em quatro dias durante a semana de 12 de julho. Isso sugere uma operação de alta cadência, com forte dependência do leak site como mecanismo de validação, negociação e coação.

Impacto regional

Panorama regional

A Mercado Libre funciona como um ativo de alta centralidade no ecossistema digital latino-americano. O material a descreve como a principal plataforma de e-commerce e fintech da região, com integração de pagamentos e logística. Por isso, a aparição do caso no leak site do The Gentlemen vai além de uma possível brecha isolada e vira um evento de interesse regional. Mesmo sem confirmação pública de indisponibilidade, o simples apontamento de uma empresa desse porte afeta a percepção de risco na Argentina e em mercados onde a marca opera de forma transversal.

O dado regional mais importante não é uma queda de serviço, mas a combinação de três elementos, primeiro, a publicação da vítima no site do grupo, segundo, a falta de amostra pública que permita dimensionar o alcance, e terceiro, a continuidade aparente da Mercado Libre, Mercado Pago e outros serviços ao menos nos dias seguintes. Esse triângulo sugere uma operação orientada a extração e pressão, com impacto potencial em reputação, confiança e gestão de incidentes mais do que na continuidade visível da plataforma.

Também chama atenção o modo como o caso foi coberto por veículos da América Latina e de fora da região, com enfoques distintos. Alguns destacam a inclusão no leak site e a exfiltração de arquivos internos. Outros enfatizam a ausência de prova pública de uma intrusão bem-sucedida. PwdFortress, além disso, traz cifras atribuídas a coberturas especializadas sobre possível acesso a código-fonte e dados de cerca de 300 mil usuários, mas esses números continuam dependendo de reportagens secundárias e não de uma publicação forense primária. A leitura regional mais correta, portanto, é cautelosa, há uma reclamação de brecha e pressão extorsiva, mas não uma validação pública sólida do dano total.

Argentina

A Argentina é o país onde o caso fica melhor ancorado. Ransomware.live, Breach House, RecentBreaches, Galaxy Warden, Dexpose, HackerFeeds, BreachSense, Rankiteo, Fortuna y Poder, WCYB Digital Radio e Samithota convergem ao apontar que a Mercado Libre foi listada pelo The Gentlemen entre 6 e 7 de julho de 2026. O domínio citado é mercadolibre.com.ar e o contexto empresarial é claro, uma companhia argentina com alcance continental e serviços de pagamentos, comércio e logística profundamente integrados.

A tensão entre a reclamação pública e a falta de verificação operacional é o aspecto mais importante do caso na Argentina. Fortuna y Poder informa que, em 9 de julho, não havia evidência pública de intrusão bem-sucedida nem de impacto operacional, e que a empresa não tinha emitido comunicado oficial confirmando ransomware ou filtragem. Rankiteo reforça a mesma ideia ao indicar que o site seguia operando sem perturbações visíveis. Isso não descarta um acesso ou exfiltração, mas reduz a probabilidade de um impacto disruptivo amplo e visível no curto prazo.

Em paralelo, o perfil histórico do caso em RecentBreaches o classifica como severidade alta e o descreve como exfiltração de arquivos internos. Essa classificação, embora não equivalha a prova forense, mostra como o ecossistema de monitoramento de brechas tratava o evento em tempo real. A combinação de leak site, ausência de amostra pública, continuidade do serviço e possível filtragem parcial de código-fonte desenha um cenário de risco misto, em que confidencialidade e pressão reputacional pesam mais do que indisponibilidade.

Mercado Libre, Mercado Pago e Mercado Envíos são especialmente sensíveis porque uma intrusão de alcance parcial pode abrir espaço para fraude, engenharia social, abuso de informações operacionais ou reutilização de artefatos internos em campanhas posteriores. O material não demonstra que isso tenha ocorrido, mas mostra que o ator buscava monetizar a exposição de ativos de alto valor.

Estados Unidos

Na seção dos Estados Unidos do material não há uma nova vítima estadunidense vinculada ao caso da Mercado Libre. O que aparece são várias fontes, entre elas Breach House, RecentBreaches, Ransomware.live, Galaxy Warden, PwdFortress, Fortuna y Poder, Rankiteo, Scrutex, Cybersecurity News e WCYB Digital Radio, todas de circulação ou alcance internacional, que ajudam a reconstruir a cronologia e o enquadramento do incidente. Isso importa porque o caso não ficou restrito à imprensa local, mas foi absorvido rapidamente por agregadores e veículos de inteligência de ameaça com audiência global.

O ecossistema dos Estados Unidos também contribui para a narrativa de vitimização em massa do The Gentlemen. IntelFusions reporta 41 vítimas em um único dia. Cybersecurity News descreve 1.570 vítimas vinculadas pelo C2 comprometido. Dataminr, ainda que sobre TKMS/Atlas Elektronik, mostra o mesmo padrão operacional de reivindicação em leak site com grande volume de exfiltração e posterior contraste com a resposta da vítima. Tudo isso reforça a leitura da Mercado Libre como parte de uma campanha de pressão em escala internacional, e não como um caso isolado de mercado local.

Não foram identificados fatos verificáveis adicionais para Chile, Paraguai, Bolívia, Peru, Colômbia, Brasil ou México no material fornecido.

Indicadores técnicos

Não foram publicados IOCs técnicos verificáveis para este caso no material consolidado. Não há hashes, IPs, domínios de comando e controle, caminhos de malware, amostras ou assinaturas específicas associadas ao incidente da Mercado Libre que tenham sido confirmadas por uma fonte primária dentro da pesquisa. Essa ausência também é um dado operacional, porque limita a detecção retroativa baseada em indicadores e obriga a trabalhar com telemetria comportamental, registros de acesso e correlação de exfiltração.

O mais próximo de um indicador é o domínio afetado, mercadolibre.com.ar, mas ele identifica a vítima e não constitui um IOC útil para defesa. Por isso, qualquer caça a ameaças ou detecção deve se basear em padrões de atividade do ator, como publicações em leak sites, ameaças de extorsão, possível presença de ferramentas de evasão de EDR em ambientes afetados e eventos incomuns de saída de dados.

Análise para equipes de segurança

O caso deixa uma lição técnica bastante objetiva, quando um grupo de ransomware publica uma vítima em seu leak site sem acompanhar a reclamação com amostras públicas, o evento não deve ser tratado como ruído, mas também não como prova suficiente de comprometimento total. A resposta correta é assumir um cenário intermediário, possível exfiltração parcial ou total, verificação de acesso não autorizado, revisão de logs de autenticação, correlação de atividade de endpoints e validação de saídas de dados em janelas próximas a 6 e 7 de julho de 2026.

Em uma organização como a Mercado Libre, ou em empresas com superfície parecida, o foco deve estar em três camadas. A primeira é identidade, com revisão de contas privilegiadas, tokens, sessões, acessos remotos, MFA e credenciais de serviço. A segunda é detecção de exfiltração, com monitoramento de egressos anômalos, compressão e transferência fora do horário, uso de canais não habituais e correlação com eventos de arquivo. A terceira é resiliência operacional, segmentação, capacidade de isolar ambientes, verificação de integridade de pipelines de implantação e proteção de segredos, código-fonte e repositórios internos.

O material também sugere uma leitura do ator. The Gentlemen parece privilegiar a extorsão por dados e a visibilidade pública da vítima, mais do que a destruição ou a cifragem massiva visível. Isso obriga a não medir o impacto apenas pela disponibilidade. Uma empresa pode seguir operando normalmente e, ainda assim, ter sofrido exposição de código, chats internos, registros de usuários ou artefatos operacionais. É justamente essa zona cinzenta que esse tipo de grupo explora.

O vazamento do backend Rocket do próprio grupo é um insumo útil para defesa. O volume de mensagens, a exposição de ferramentas como EDRStartupHinder e gfreeze, e a descrição de GentleKiller como um killer de EDR ajudam a reforçar hipóteses de comportamento, não como IOC literal, mas como guia de detecção por técnica. Em ambientes corporativos, vale revisar alertas sobre encerramento anômalo de processos de segurança, alterações em ETW, manipulação de NTDLL, criação de processos suspeitos e mudanças súbitas na visibilidade do endpoint.

Do ponto de vista de priorização, a ameaça se coloca em nível alto de impacto reputacional e alto de risco de abuso secundário se de fato houve exfiltração de dados internos ou de código-fonte. Se a informação publicada por PwdFortress e outras coberturas sobre cerca de 300 mil usuários afetados for confirmada, o risco de fraude, phishing direcionado e exploração de informação de suporte seria relevante. Mas, enquanto isso não for validado por uma fonte primária ou por uma investigação forense, o mais responsável é trabalhar com o mínimo verificável, houve inclusão pública em um leak site, pressão extorsiva e ausência de detalhes técnicos oficiais.

Limitações do material

A principal limitação é a falta de uma confirmação forense independente sobre alcance e vetor de intrusão. Não há no material uma linha técnica validada que explique como ocorreu a entrada, quais sistemas foram comprometidos, quanto tempo os invasores permaneceram dentro do ambiente ou quais dados foram realmente exfiltrados. A evidência pública disponível se concentra no leak site e em agregadores de brechas, não em uma investigação pós-incidente publicada pela vítima.

Também não há amostras de dados, hashes, domínios de comando e controle, endereços IP, nomes de arquivos ou artefatos aproveitáveis. Isso impede a construção de IOCs concretos. Do mesmo modo, as afirmações sobre acesso a código-fonte, dados de usuários e possível impacto em cerca de 300 mil usuários aparecem em artigos secundários e estão marcadas pelo próprio material como derivadas de reportagens e declarações iniciais, não de uma auditoria forense independente.

A cronologia tem forte consistência entre as fontes, mas nem todos os carimbos de tempo são equivalentes. Ransomware.live, Breach House, RecentBreaches, HookPhish e HackerFeeds trabalham com janelas de descoberta e publicação, não com a hora forense do comprometimento. Essa diferença importa, porque a data de aparição em um leak site não prova o momento exato de acesso inicial nem a dimensão do roubo.

Por fim, o material disponível não permite confirmar se houve cifragem, se o incidente se limitou à exfiltração ou se foi uma combinação das duas coisas. A ausência de dados de amostra e a continuidade aparente dos serviços sugerem um evento de pressão e filtragem mais do que uma interrupção operacional visível, mas essa inferência continua provisória.