México e Brasil sob campanhas ativas de ransomware

A Palo Alto Networks Unit 42 informou duas campanhas ativas contra organizações na América Latina. Uma mirou o setor de transporte no México e alcançou também ministérios do governo federal mexicano e serviços municipais de água no México e no Equador. A outra se concentrou no setor financeiro do Brasil. Em paralelo, outros relatórios de inteligência descreveram atividade de ransomware na região, com o México entre os países mais afetados.

¿Qué detectó Unit 42 en México y Brasil?

A Unit 42 observou servidores web vulneráveis já reportados, phishing com tema de emprego, ferramentas personalizadas de acesso remoto e um proxy SOCKS5 baseado em Go com nomes de arquivo iterativos. Também documentou acesso inicial por meio de um anexo de phishing com tema de currículo em fevereiro de 2026. A atividade foi atribuída ao cluster CL-CRI-1163, sem que o resumo disponível a apresentasse como atribuição definitiva a uma família específica de ransomware.

A Cloud Security Alliance ampliou essa leitura e apontou dois clusters separados, mas com sobreposição tática, CL-CRI-1131 e CL-CRI-1163. Segundo a nota técnica, o primeiro afetou transporte no México, ministérios federais mexicanos e uma empresa municipal de água no Equador, enquanto o segundo se concentrou no setor financeiro do Brasil com iscas de currículo. A CSA Labs acrescentou que ambos os clusters usavam modelos de linguagem comerciais como apoio operacional durante as intrusões.

A Machine Speed coincidiu que CL-CRI-1131 e CL-CRI-1163 empregavam modelos de linguagem comerciais dentro da cadeia de ataque. Essa iniciativa também situou as campanhas contra organizações de transporte, ministérios federais e serviços de água no México e no Equador, além de entidades financeiras no Brasil. A CSA recomendou a organizações de governo, transporte, água e serviços financeiros nesses países que revisem indicadores de comprometimento, como domínios de C2, endereços IP e hashes de arquivos publicados pela Unit 42 contra sua própria telemetria.

¿Qué muestran los otros reportes sobre ransomware en la región?

O restante dos relatórios mostra um mercado regional mais amplo e com vários atores em atividade. A Insomnia informou uma campanha atribuída com alta confiança ao BlackCat/ALPHV, com vítimas em 22 países e técnicas como spearphishing, exploração de infraestrutura exposta, uso de contas válidas, exfiltração para armazenamento em nuvem, criptografia de dados e desfiguração externa.

A análise indicou ainda que as campanhas observadas contra o BlackCat/ALPHV afetaram saúde, energia, manufatura, jurídico e SaaS. O acesso inicial variou entre spearphishing, exploração de appliances de borda sem correção e credenciais válidas compradas ou roubadas.

No plano regional, El Economista citou um relatório da SCILabs que registrou 290 ataques de ransomware entre janeiro e junho de 2026 na América Latina, ligados a 50 variantes diferentes. O mesmo relatório apontou alta de 25,5% em relação ao período anterior e mostrou que o México concentrou 17,93% da atividade regional, o equivalente a cerca de 52 casos, atrás do Brasil.

A SCILabs também detalhou que o setor de serviços concentrou 19,66% dos incidentes, cerca de 57 casos, seguido por governo, com 11,72%, e manufatura, com 8,28%. Entre as variantes, The Gentlemen ficou como a mais ativa na América Latina, com pelo menos 49 ataques, à frente de Qilin, com 46, e LockBit 5.0, com 43.

A BlackFog acrescentou um caso pontual de impacto em governo local, com um incidente de ransomware contra o município de San Luis Potosí, no México, no qual foi confirmada a exfiltração de informações de funcionários antes de uma tentativa de extorsão. Em outra frente, a Acronis apontou o The Gentlemen como o grupo mais ativo em julho de 2026, com 162 vítimas conhecidas, seguido por Qilin, com 128, um salto em relação a junho.

Também apareceu um ator emergente. A Darkfield documentou o Vexy Ransomware e registrou a Engefitas, uma empresa brasileira ligada a setores industriais, como vítima no vertical de energia e utilities. O perfil indicou que o Vexy havia somado oito vítimas públicas entre 3 e 6 de setembro de 2026 e que seu foco em energia e utilities no Brasil merece monitoramento pelas implicações para infraestrutura crítica.