Qilin e a exploração de Fortinet mantêm pressão

Cadeia de ataque e TTPs

A cadeia de ataque atribuída a Qilin no material consolidado segue um padrão repetido. Primeiro vem o acesso inicial. As fontes não apontam um único método, mas um padrão híbrido, com campanhas de phishing, credenciais roubadas, serviços remotos expostos e exploração de appliances de borda. No caso da Fortinet, Scrutex.ai, Paubox e Viakoo colocam CVE-2024-21762 e CVE-2024-55591 como as portas de entrada mais relevantes. A primeira permite execução remota de código sobre SSL VPN. A segunda facilita o bypass de autenticação. Juntas, abrem caminho para automatizar intrusões em larga escala contra firewalls FortiGate e FortiProxy que seguem expostos ou desatualizados.

Depois da entrada, as fontes descrevem reconhecimento interno e movimento lateral. O LinkedIn, em análise sobre Qilin publicada em 9 de junho de 2026, menciona RDP, SMB e WMI como mecanismos usados para expansão dentro da rede. A ProvenData acrescenta autenticações anômalas de VPN ou RDP, atividade de domínio admin a partir de estações não administrativas, acessos massivos ao LSASS correlacionados com movimento lateral, remoção em lote de cópias de sombra e encerramento simultâneo de serviços como sinais de alto valor. O objetivo final é chegar a sistemas de maior alcance, principalmente hipervisores VMware ESXi, porque a cifragem do hipervisor derruba várias cargas de trabalho de uma só vez.

A extorsão acontece em dois planos. O técnico, com cifragem multiplataforma em Windows, Linux e ESXi. E o de pressão pública, com roubo prévio de dados, ameaça de publicação ou venda, contato por e-mail e chats Tor, e aumento do preço após 72 horas, segundo o material sobre Qilin no LinkedIn. Esse componente de dupla extorsão explica por que os sites de vazamento de dados são parte central do ecossistema. O dano não se mede apenas pela indisponibilidade, mas também pelo risco de exposição e pela monetização secundária da informação.

FortiBleed introduz uma segunda camada tática. Não se trata apenas de explorar uma vulnerabilidade no perímetro, mas de comprometer credenciais em massa para depois reutilizá-las. A Bitsight fala em hashes SHA-256 herdados e cracking offline com 45 GPU. The Hacker News descreve uma estratégia automatizada em duas fases, primeiro testando combinações conhecidas de usuário e senha, depois observando passivamente o tráfego de autenticação que atravessa o firewall para coletar novas credenciais. A Devel Group acrescenta o uso de FortiGateSniffer, uma ferramenta em Go que abusa do comando diagnose sniffer packet, e a criação de contas administrativas fantasmas com nomes que imitam componentes legítimos da Fortinet.

A relação entre Qilin e Fortinet também é estrutural. A cobertura da Fortinet, da CISA, do Centro Canadense para a Cibersegurança e da Arctic Wolf mostra que o problema se espalhou além de um caso pontual. Há credenciais comprometidas, configurações expostas, firewalls sem patches e ecossistemas de acesso inicial que são vendidos ou compartilhados. Isso ajuda a explicar por que grupos distintos, inclusive alguns ligados entre si como The Gentlemen e Securotrop, acabam convergindo para a mesma superfície de ataque.

Impacto regional

Panorama regional

O material disponível não permite reconstruir uma métrica única para toda a América Latina, mas deixa claro um padrão homogêneo de pressão. O Chile aparece como o caso mais bem medido, com 8,8 trilhões de tentativas de ciberataque em 2025 e 58 incidentes registrados em apenas seis meses de 2026. O Brasil surge como um dos focos regionais de vítimas de ransomware e de exposição a campanhas de phishing e comprometimento de sistemas públicos. Paraguai e Bolívia aparecem em painéis de acompanhamento de ransomware, embora com menos detalhes públicos sobre os nomes das organizações afetadas. Em paralelo, Colômbia e Peru não têm fatos verificáveis adicionais no material fornecido, o que não significa ausência de risco, apenas falta de evidência consolidada neste corpus.

Argentina

Não há fatos verificáveis adicionais na pesquisa para a Argentina. O material não traz vítimas, campanhas ou atribuições confirmadas para o país dentro do corpus fornecido.

Chile

O Chile concentra a maior densidade de dados e, por isso, funciona como o melhor termômetro do fenômeno. A SEK, segundo G5 Noticias, registrou 58 incidentes com impacto ou exposição sobre organizações chilenas entre janeiro e junho de 2026. Desses casos, 18 foram publicações em sites de vazamento de ransomware e 40 publicações em fóruns de cibercrime da dark web. A proporção importa porque mostra que o problema já não se limita a tentativas ou detecções, mas inclui exposição pública efetiva de dados e processos de extorsão que terminam em leak sites. Além disso, as publicações em DLS cresceram 50% em relação ao mesmo período de 2025.

Qilin foi o ator mais visível nesse subconjunto. A G5 Noticias atribui ao grupo 11 das 18 publicações de ransomware em DLS, ou 61% do total. A leitura da La Tercera segue na mesma direção: o Chile foi identificado como um dos países onde atuam grupos internacionais de sequestro de dados e roubo de credenciais que atingiram o setor público, infraestrutura crítica, serviços financeiros e grandes empresas. O próprio texto menciona Qilin como um RaaS especializado em campanhas automatizadas e no abuso de configurações de nuvem mal gerenciadas, além de The Gentlemen como outro ator ativo no Chile, com foco em dupla extorsão.

O mapa da Ransomware.live acrescenta contexto operacional. A página do Chile registra 74 vítimas associadas a organizações do país, todas agregadas a partir de publicações em DLS. Entre as vítimas atribuídas a Qilin em 2026 estão Valbifrut, Graneles de Chile, NOI Hotels, SAAM Towage, Calidra e Comercial Echave Turri Limitada. A data de descoberta desses casos se concentra entre janeiro e maio de 2026, o que reforça a ideia de atividade contínua e não de um evento isolado. Ao mesmo tempo, a Ransomware.live aponta outros atores como LockBit5, Incransom e Anubis, confirmando que o ambiente local está fragmentado entre várias famílias e marcas de extorsão.

Também há sinais setoriais. O resumo do relatório da SEK, citado por G5 Noticias, coloca o governo como principal alvo, com 10 incidentes combinados, seguido por finanças com 8, educação com 6, saúde com 6 e energia ou mineração com 5. Isso não apenas identifica setores de maior valor, como ajuda a inferir onde estão os sistemas expostos e onde o impacto tende a ser mais severo em caso de cifragem ou exfiltração. A presença da NOI Hotels amplia o alcance para turismo e hospitalidade, um segmento crítico pela dependência de disponibilidade operacional e proteção de dados de hóspedes.

Uma referência da Care Telecom menciona uma clínica no Chile entre as 15 novas vítimas reivindicadas por Qilin em uma janela de 72 horas durante a primeira semana de junho de 2026. A fonte não identifica a clínica por nome, então não é possível avançar além da inferência de exposição do setor de saúde. Ainda assim, o dado se encaixa no padrão regional mais amplo, no qual Qilin mira organizações que nem sempre têm controles robustos sobre acessos remotos, segmentação ou recuperação após incidentes.

Paraguai

O Paraguai aparece no corpus de duas formas. A primeira é institucional. A Check Point Research relata exploração ativa de CVE-2026-50751 em gateways de acesso remoto e indica que ao menos um caso esteve ligado a atividade de ransomware de Qilin. No trecho indexado do relatório, o próprio nome Paraguai aparece nesse contexto, embora o material não permita atribuir uma vítima concreta nem determinar se o país foi afetado pela mesma campanha ou se aparece apenas como referência dentro do documento.

A segunda aparição é operacional. O painel da Ransomware.live para o México inclui uma entrada associada a Qilin em que a Healthcare S.A. é mencionada como vítima e descrita como empresa de origem paraguaia fundada por uma família, com data de descoberta do caso em 15 de junho de 2026. O material não esclarece se o incidente afetou operações no Paraguai, no México ou em uma estrutura corporativa transnacional. O verificável é a presença da entidade no tracker e sua associação com Qilin.

A Legal-ISAC, por sua vez, mostra em seu painel RansomWatch ao menos uma vítima associada a Qilin no Paraguai, classificada no setor de tecnologia da informação. Isso confirma que o país já aparece nos radares de acompanhamento de ransomware com atividade atribuída ao grupo. A esse nível se soma uma publicação não confirmada no Instagram que descreve um ataque contra os sanatórios privados Migone, Grupo Británico e Reyva, com interrupções em prontuários, agendamentos e faturamento. Essa informação não foi corroborada por fonte institucional, então deve ser tratada como indício, não como fato consolidado.

A Tribuna Paraguay informou ainda um ciberataque por ransomware atribuído por um grupo que se autodenomina CyberTeam contra a InfoCheck, vinculada à Equifax Paraguay. Essa peça aparece como confirmada no corpus, embora não estabeleça relação com Qilin. O quadro paraguaio, portanto, mostra atividade de ransomware no país, mas não permite afirmar que toda essa atividade pertença ao mesmo ator.

Bolívia

A Bolívia aparece com menos volume, mas com bastante clareza temática. A Scrutex.ai informa que Qilin liderou as publicações em seu leak site na semana analisada, com 25 vítimas, equivalentes a 13% do total. Dentro desse universo, a Bolívia figura entre os países com uma a três organizações afetadas, sem que o relatório publique nomes concretos. O mesmo levantamento posiciona Qilin como um ator que explora principalmente vulnerabilidades de borda, ferramentas de gestão remota e hipervisores, e destaca explicitamente as falhas da Fortinet CVE-2024-21762 e CVE-2024-55591 como portas de entrada.

O valor dessa menção não está só na presença da Bolívia, mas na semelhança técnica com o que foi visto no Chile e no restante da região. A Scrutex.ai cita PRODAFT e ReliaQuest para afirmar que dezenas de milhares de dispositivos Fortinet permaneceram expostos meses depois da correção. Se o perímetro continua aberto, o efeito de arrasto sobre países com menor visibilidade pública fica difícil de medir, mas não por isso menos real. A Orbital Laika reforça essa leitura ao mencionar de forma explícita ameaças na Bolívia no contexto do relatório global FortiGuard da Fortinet.

O material ainda traz duas publicações no LinkedIn que afirmam, sem confirmação, que Krybit teria afetado a Agência de Infraestrutura em Saúde e Equipamento Médico da Bolívia, a AISEM. Ambas descrevem uma interrupção de infraestrutura de saúde e equipamentos médicos, mas não há comunicado oficial nem detalhes técnicos do vetor de acesso. Por isso, devem ser lidas como sinais de possível exposição, não como atribuição fechada.

Peru

Não há fatos verificáveis adicionais na pesquisa para o Peru. O corpus não traz vítimas confirmadas, incidentes atribuídos nem dados técnicos específicos para o país.

Colômbia

Não há fatos verificáveis adicionais na pesquisa para a Colômbia. O material não contém vítimas nem campanhas confirmadas associadas ao país dentro das fontes consolidadas.

Brasil

O Brasil aparece como o outro grande ponto de referência regional, ao lado do Chile. A La Tercera, citando o estudo da Fortinet, informa que o país concentrou cerca de 30% das vítimas de ransomware da região e registrou 309 milhões de tentativas de phishing em 2025, o equivalente a 588 ataques por minuto. O dado vem acompanhado de uma afirmação mais ampla no mesmo texto: o Brasil é um dos países onde atuam grupos internacionais de sequestro de dados e roubo de credenciais que atingem o setor público, infraestrutura crítica, serviços financeiros e grandes empresas.

Na dimensão técnica, a Check Point Research publicou uma campanha de phishing no Brasil que abusa do agente legítimo NinjaOne para instalar um agente assinado em máquinas corporativas, usando portais em português e ligações telefônicas de engenharia social. Embora o caso não esteja diretamente ligado a Qilin, ele confirma que o país sofre uso intenso de acesso remoto legítimo para comprometer endpoints. No mesmo relatório, a exploração ativa de CVE-2026-50751 aparece com um caso vinculado a Qilin, reforçando a leitura de que o grupo acompanha de perto falhas de acesso remoto.

A compilação da CM Alliance traz outro elemento. Em 22 de junho de 2026, o Brasil investigava um possível ataque cibernético contra o Defesa Civil Alerta, plataforma da Secretaria Nacional de Proteção e Defesa Civil, depois que avisos extremos falsos foram enviados a milhares de celulares e o sistema foi temporariamente desconectado. A fonte não atribui o evento a Qilin, mas o insere em um mês de junho particularmente ativo para incidentes de alto impacto no país.

No recorte de ransomware, a Red Piranha posiciona o Brasil em um relatório semanal no qual The Gentlemen lidera a atividade global e Qilin ocupa o segundo lugar. O mesmo documento descreve Securotrop, marca afiliada a Qilin, e registra atividade no Brasil e no Chile. Somam-se a isso as informações da Care Telecom, que menciona uma empresa do setor alimentício no Brasil entre as supostas vítimas reivindicadas por Qilin em uma janela de 72 horas na primeira semana de junho. A referência não é confirmada, mas se encaixa no padrão regional de expansão dos leak sites.

Estados Unidos

Não há fatos verificáveis adicionais na pesquisa para os Estados Unidos dentro deste bloco regional. Há uma referência indireta relevante, porém: vários dos análises técnicas de Qilin e FortiBleed citam campanhas ou grupos de vítimas em firmas jurídicas e consultorias dos Estados Unidos, mas o corpus aqui fornecido não desenvolve um bloco por país com eventos específicos para essa jurisdição.

Indicadores técnicos

Não foram publicados IOCs clássicos, como hashes, domínios, IPs ou caminhos de arquivo, no material consolidado. Há, sim, indicadores comportamentais, versões vulneráveis e artefatos operacionais relevantes para defesa e hunting.

Análise para equipes de segurança

A prioridade defensiva que emerge do material é clara. O acesso inicial continua sendo o ponto de ruptura, e nesta campanha ele está fortemente ligado ao perímetro. Se uma organização expõe FortiGate, FortiProxy ou gateways de acesso remoto sem endurecimento suficiente, a superfície fica alinhada ao padrão visto em Qilin e no ecossistema FortiBleed. O fato de CISA, o Centro Canadense para a Cibersegurança e outros times nacionais terem emitido alertas em janelas próximas mostra que o problema já ultrapassou uma vulnerabilidade isolada.

No plano operacional, o primeiro passo é abandonar a ideia de que o firewall ou a VPN são apenas pontos de trânsito. No material revisado, esses equipamentos aparecem como objetos de comprometimento, de persistência e de coleta de credenciais. A Devel Group descreve contas administrativas fantasmas. The Hacker News fala em um ataque automatizado que primeiro testa credenciais e depois captura o tráfego de autenticação. A Bitsight acrescenta que o roubo pode ser sustentado fora de linha por meio de cracking de hashes. Em consequência, o hardening precisa contemplar não só correção, mas também higiene de contas, troca de segredos e revisão de configuração histórica.

A próxima camada é a detecção. A ProvenData aponta um conjunto útil de sinais: autenticações anômalas de VPN ou RDP em horários, locais ou dispositivos incomuns, atividade de domínio admin a partir de hosts não administrativos, acessos massivos ao LSASS, remoção em lote de cópias de sombra, encerramento coordenado de serviços e cargas de drivers fora da linha de base do endpoint. Em redes com Fortinet, a Devel Group recomenda procurar execuções anômalas de diagnose sniffer packet e auditar contas com nomes feitos para parecer suporte legítimo. Se a equipe de monitoramento não enxerga esses eventos, o primeiro objetivo deve ser habilitar telemetria suficiente para capturá-los.

Em mitigação, as fontes são bastante consistentes. Rotação imediata de senhas de administração e VPN, ativação obrigatória de MFA, atualização do FortiOS para a versão mais recente disponível, fechamento da administração externa sempre que possível e restrição a hosts confiáveis. Quando viável, a administração externa deve ser eliminada por completo. O Centro Canadense para a Cibersegurança e a própria Fortinet, segundo a cobertura do The Hacker News, também sugerem encerrar sessões administrativas e de VPN comprometidas e assumir que credenciais anteriores podem ter sido reutilizadas de incidentes passados. Essa hipótese é central porque o FortiBleed não depende de um único vetor, mas do acoplamento entre exposição técnica e credenciais já vazadas.

Para o Chile, a leitura de risco é ainda mais urgente. Os 58 incidentes entre janeiro e junho de 2026 e a alta de 50% nas publicações em DLS em relação ao mesmo período de 2025 mostram continuidade do problema. A combinação de setores-alvo, Governo, Finanças, Educação, Saúde e Energia ou Mineração, sugere que o adversário sabe onde maximizar o efeito operacional e reputacional. Para organizações dependentes de hipervisores ESXi, a defesa deve incluir segmentação, privilégio mínimo sobre ferramentas administrativas e planos de restauração testados. Qilin mira cifrar hipervisores porque isso acelera o dano a múltiplos sistemas. Se o ESXi não estiver protegido, o restante da contenção chega tarde.

Limitações do material

O corpus disponível permite montar uma linha técnica e regional sólida, mas não autoriza fechar várias atribuições específicas. As menções à ATCOM Chile, à clínica no Chile, à empresa alimentícia no Brasil, à AISEM na Bolívia, à Healthcare S.A. no Paraguai e aos sanatórios privados paraguaios aparecem em fontes de confiabilidade distinta, várias delas com linguagem de atribuição não confirmada. Por isso, não são tratadas aqui como incidentes plenamente verificados.

Também não há IOCs clássicos publicados nas fontes consolidadas. Não foram fornecidos hashes, endereços IP, domínios de C2 nem URLs de DLS com valor operacional direto para caça técnica. O que existe são nomes de ferramentas, comandos abusados, famílias de vulnerabilidades e contas fraudulentas observadas pelos pesquisadores citados.

Outra limitação é o desbalanceamento geográfico. O Chile concentra a evidência mais forte e quantificável. O Brasil aparece com bastante contexto, mas com menos atribuição direta a Qilin em incidentes concretos. Paraguai e Bolívia contam com sinais de exposição e acompanhamento em plataformas de inteligência, embora sem a mesma densidade de detalhes. Argentina, Peru, Colômbia e Estados Unidos não trazem fatos verificáveis adicionais dentro do bloco regional solicitado.

Por fim, a informação sobre FortiBleed é abundante, mas heterogênea nas estimativas de alcance, com números que vão de mais de 30.000 a 86.644 dispositivos FortiGate comprometidos. Essa dispersão não invalida a campanha, mas exige tratar os números como estimativas de diferentes equipes de pesquisa, e não como um total único consolidado.