Situación Nacional de Ciberseguridad - Junio 2026 - Argentina

Módulos mensais de referência

Esses módulos são preenchidos automaticamente com fatos e fontes verificadas do período. Eles servem como leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Resumo executivo do mês na Argentina

Junho deixou dois sinais fortes para a Argentina. De um lado, o país registrou uma média de 2.470 ciberataques semanais por organização, segundo a Check Point Research citada pela imprensa local, com alta anual de 9%. De outro, o ransomware manteve pressão contínua e, no caso argentino, mostrou crescimento anual de 48%, com educação e governo entre os setores mais afetados. A leitura do mês não é abstrata, veio acompanhada de nomes próprios, vítimas visíveis e campanhas de extorsão com impacto local.

O frente mais barulhento foi o da extorsão. A LockBit 5.0 reivindicou um ataque contra o Sanatorio Delta, uma instituição privada de saúde, e ameaçou vazar dados sensíveis de pacientes. No fim do mês, a Incransom adicionou a GDN AR, a rede que opera o domínio gdnargentina.com, ao seu site de vazamentos e exigiu negociações sob ameaça de publicar informações supostamente roubadas. Os dois casos colocam a Argentina dentro do raio operacional habitual dos grupos de ransomware mais ativos e reforçam a exposição de saúde e varejo como alvos sob alta pressão operacional.

O mês também foi marcado por anúncios de grandes ciclos de correção dos principais fabricantes. A Microsoft publicou em junho correções para cerca de 200 vulnerabilidades, com entre 33 e quase 40 críticas, conforme a fonte, e pelo menos seis zero-days em diferentes coberturas. O Android, em paralelo, liberou um boletim com 124 vulnerabilidades, incluindo pelo menos uma falha de dia zero sob exploração ativa. Para ambientes argentinos com parques híbridos, estações de trabalho Windows, celulares Android e serviços expostos, o volume de falhas corrigidas em junho elevou o custo do atraso na gestão de patches.

A regulação também mexeu no cenário. A Disposição 1/2026 do Centro Nacional de Cibersegurança, divulgada em maio e analisada em junho, exige do Setor Público Nacional planos de contingência e continuidade operacional, CPDs alternativos, RTO e RPO definidos e testes periódicos de recuperação. Não é uma peça cosmética. Introduz uma obrigação técnica concreta sobre resiliência e continuidade para órgãos públicos, com um padrão de preparação mais próximo de uma estrutura de auditoria operacional do que de uma simples recomendação documental.

Em paralelo, o caso Gov.eth terminou de fechar uma trama que já vinha associada a vazamentos, acessos indevidos e ataques a órgãos e meios de comunicação da Argentina e de outros países. A prisão em Madrid de Matheo Enzo Torres Palacios, solicitada pela Justiça argentina, confirma a dimensão transnacional de alguns processos e deixa um dado incômodo para o país, o de milhões de registros e dados sensíveis que teriam ficado expostos em diferentes momentos da investigação. Junho foi, em suma, um mês de exposição simultânea em volume, extorsão e amadurecimento regulatório.

Ameaças e incidentes na Argentina

Sanatorio Delta e a reivindicação da LockBit 5.0

Em 18 de junho, a LockBit 5.0 listou o Sanatorio Delta como vítima em seu site de vazamentos. A empresa, uma instituição privada de saúde na Argentina, passou a ser associada a uma campanha de ransomware no formato clássico do grupo, extorsão, ameaça de publicação e pressão para forçar o pagamento. O relatório técnico citado pela Dexpose acrescenta que o grupo advertiu sobre a possível filtragem de dados sensíveis de pacientes caso a organização não atendesse às exigências.

O episódio não deve ser lido apenas como mais um incidente entre tantos registros em sites de extorsão. No setor de saúde, o tempo de resposta é crítico, e a perda de disponibilidade costuma ter impacto operacional direto. Um ataque desse tipo pode afetar agendamentos, prontuários, laboratório, admissão, faturamento e sistemas de comunicação interna. A ameaça pública de expor dados médicos também introduz uma segunda camada de dano, a reputacional, que na saúde tem efeitos comerciais e regulatórios de longo prazo.

Para a Argentina, o caso chega em um contexto de pressão generalizada sobre o setor. O dado de ransomware com alta de 48% na comparação anual e a menção específica a educação e governo como os segmentos mais atingidos não excluem a saúde, que historicamente aparece entre os alvos de maior valor operacional. A presença do Sanatorio Delta em um site de vazamentos reforça que o país não está recebendo apenas ruído de ecossistema, mas campanhas ativas com vítimas locais concretas.

GDN AR, Dorinka e a extorsão da Incransom

Em 29 de junho, a Incransom publicou em seu site de vazamentos um aviso contra a GDN AR, também identificada como Dorinka, a rede de supermercados com sede na Argentina que opera o domínio gdnargentina.com. O grupo afirmou ter realizado um ciberataque e ameaçou vazar dados sensíveis supostamente subtraídos caso a empresa não iniciasse negociações.

A diferença entre este caso e o da saúde está no setor, mas a lógica é a mesma. O varejo concentra dados pessoais, informações transacionais, credenciais de acesso a plataformas internas e, em muitos casos, dependências logísticas sensíveis. Uma extorsão com vazamento público pode afetar tanto a continuidade operacional quanto a relação com consumidores e fornecedores. Em redes com operação distribuída, além disso, o impacto costuma se espalhar por ambientes de lojas, depósitos e sistemas de terceiros.

A reivindicação da Incransom coincide com sinais em redes e canais de inteligência de ameaças que mencionam a rede como possível vítima na Argentina. Embora o material disponível não permita ir além da reivindicação pública do grupo, ele permite apontar uma tendência clara, o varejo argentino seguiu no radar da extorsão operada por grupos especializados em monetizar dados e pressão reputacional.

Gov.eth, prisão em Madri e a dimensão transnacional do caso

Junho também terminou com a detenção em Madri de Matheo Enzo Torres Palacios, identificado pela Justiça argentina como Gov.eth. A investigação foi conduzida pela Justiça federal argentina e pela Polícia Federal Argentina, com colaboração da Polícia Nacional da Espanha. Diferentes coberturas locais o vinculam a ataques cometidos entre 2024 e 2026 contra órgãos estatais, empresas privadas e veículos de comunicação da Argentina, Uruguai, México, Espanha e Estados Unidos.

O processo é relevante por dois motivos. Primeiro, porque abandona a ideia de um atacante isolado e mostra uma operação com alcance regional e objetivos diversos. Segundo, porque várias coberturas sustentam que o grupo ou os autores ligados a Gov.eth teriam obtido acesso a dados de milhões de pessoas na Argentina. Esse dado, ainda que apresentado em reportagens e publicações em redes sociais, dimensiona o potencial dano acumulado.

A investigação também se conecta ao debate sobre a exposição de órgãos públicos argentinos, entre eles o RENAPER e a DNRPA, além de veículos de imprensa e entidades privadas. Em junho, já circulavam alertas sobre um suposto vazamento de dados do RENAPER e sobre uma possível venda de bases de dados bancárias de uma entidade local. A prisão em Madri não apaga esse histórico, mas confirma que alguns casos não se encerram na publicação de um post ou de uma base de dados em um fórum, e terminam em cooperação policial internacional.

RENAPER sob alerta público e o problema da exposição de dados

Em 3 de junho, a VECERT Analyzer emitiu um alerta público sobre um suposto hacker que estaria oferecendo uma API com acesso a dados pessoais de cidadãos argentinos armazenados no RENAPER. O próprio alerta, segundo a Criptonoticias, classificou o estado do caso como não confirmado, embora tenha indicado haver evidências visíveis da atividade do atacante.

Essa combinação de cautela e evidência visível é típica de episódios em que a informação disponível ainda não permite validar o alcance real, mas já exige resposta. O material atribui à suposta atividade comercial do ator a oferta de acesso a milhões de registros pessoais e privados, com dados sobre famílias, endereços, telefones e identidade. Não é possível afirmar além do que foi verificado, mas fica claro que o interesse pelo cadastro de identidade argentino continua vivo para agentes de ameaça que buscam monetizar dados de alto valor.

A relevância do caso não está apenas na possível origem do vazamento, mas no que ele revela sobre a revenda de identidades, credenciais de acesso e bases de dados em mercados clandestinos. Em um país com forte uso de validação documental, banco digital, serviços remotos e sistemas públicos online, qualquer exposição desse tipo amplia o risco de fraude posterior, tomada de contas e campanhas de engenharia social.

Sem incidente confirmado, Copa 2026 já aponta a superfície de fraude na Argentina

Uma análise divulgada em junho sobre cibersegurança ligada à Copa FIFA 2026 indicou que, em mercados como Argentina, Uruguai e Paraguai, os ataques mais frequentes durante esses eventos incluem páginas clonadas para vender ingressos inexistentes, streaming ilegal que espalha malware, aplicativos maliciosos, phishing direcionado e fraudes em apostas online.

Não houve no material um incidente local confirmado para a Argentina associado ao torneio, mas houve um alerta operacional útil. Grandes eventos esportivos costumam ser usados como pretexto por campanhas oportunistas que misturam urgência, marca e escassez para enganar usuários. No caso argentino, onde a adoção de pagamentos digitais e a compra online de ingressos já estão consolidadas, as equipes de segurança e fraude deveriam tratar esses padrões como ameaças previsíveis, e não como surpresas sazonais.

Ransomware e extorsão na Argentina

O dado mais sólido do mês é o que confirma a pressão contínua sobre organizações argentinas. Segundo Check Point Research, citado por ITSitio e 100seguro.com.ar, o país registrou média de 2.470 ciberataques semanais por organização em 2026, com alta de 9% na comparação anual. No mesmo período, o ransomware avançou 48% ano a ano e, em maio, atingiu seu maior nível de expansão registrado em 2026. Educação e governo estiveram entre os setores mais afetados, e as coberturas também citam telecomunicações.

Esse retrato estatístico conversa com o que aconteceu em junho no nível dos casos. O LockBit 5.0 mirou uma instituição de saúde. O Incransom atacou uma rede de supermercados. Soma-se a isso o mapa do Ransomware.live, que em meados de junho contabilizava 158 vítimas associadas à Argentina. Não se trata de uma contagem oficial de incidentes nacionais, mas de um termômetro útil para medir a visibilidade pública de vítimas argentinas dentro do ecossistema global de extorsão.

O padrão tem dois componentes. Um, a pressão constante sobre organizações com superfície exposta, credenciais reutilizadas ou segmentação insuficiente. Dois, a monetização do vazamento como mecanismo de coerção. Os grupos já não dependem só da criptografia. A ameaça de publicação virou o principal mecanismo de negociação e, em muitos casos, o vetor que dá mais visibilidade ao incidente do que o próprio sequestro dos sistemas.

Nesse contexto, o dado de que a Argentina está entre os países latino-americanos com maior média de ataques semanais por organização, atrás de Colômbia, Brasil e México, é coerente com uma economia digital de alta exposição relativa. Isso não significa que o país lidere em maturidade ofensiva ou em dano total, mas indica que está plenamente na zona em que a frequência de tentativas e campanhas exige defesa contínua, e não atuação apenas por episódios.

Os setores afetados também ajudam a ler prioridades. Educação costuma exibir baixa tolerância a interrupções, recursos limitados e dependência de sistemas compartilhados. Governo administra grandes volumes de dados e serviços que precisam permanecer disponíveis. Saúde, embora não apareça na estatística setorial citada como uma das mais atingidas, mostrou em junho uma vulnerabilidade concreta com o Sanatorio Delta. Varejo e supermercados, por sua vez, são atraentes porque combinam volume de clientes, pagamentos, programas de fidelidade, logística e dados pessoais.

A discussão técnica sobre ransomware na Argentina não pode se limitar ao número de vítimas. Os grupos mais ativos operam em modelos de RaaS, o que reduz barreiras de entrada e acelera campanhas oportunistas. Ao mesmo tempo, o espaço de negociação ficou mais agressivo. Quando uma organização argentina aparece no site de um grupo, o dano reputacional pode vir antes mesmo de o alcance real do incidente ser confirmado. Essa assimetria exige playbooks legais, de comunicação e de continuidade já prontos, não apenas medidas de contenção forense.

Vulnerabilidades críticas com impacto na Argentina

Junho foi marcado pela pressão de correções em massa nos principais ecossistemas. Embora nem todas as falhas tenham afetado diretamente ativos argentinos, o impacto operacional em empresas e órgãos locais é evidente pelo uso disseminado de Windows, Android, Cisco SD-WAN e produtos de colaboração e e-mail. O problema não é só o volume, mas a combinação de criticidade, exploração provável e disponibilidade de dias zero.

O ciclo de Microsoft de junho é o mais volumoso dos que aparecem no material. Donweb.news e Infosertecla falam em 200 vulnerabilidades corrigidas, enquanto outras coberturas reportam 198, 206 e 604, somando problemas próprios e de terceiros. A diferença entre os números se explica por metodologias distintas, mas não muda o sinal principal, junho foi um mês de atualização em massa e de priorização urgente para administradores.

A Microsoft também corrigiu seis dias zero, com pelo menos uma exploração ativa antes do patch, segundo Donweb.news, e entre as falhas destacadas estão Windows BitLocker, Collaborative Translation Framework e Windows HTTP/2. O quadro operacional é claro, os ambientes que não aplicaram o ciclo de junho ficaram expostos a uma combinação de elevação de privilégios, acesso a dados criptografados, negação de serviço e execução remota de código.

Android adicionou uma segunda camada de exposição. O boletim de junho corrigiu 124 vulnerabilidades e, de acordo com o material, incluiu ao menos uma falha de dia zero sob exploração ativa. Para parques móveis corporativos, frotas de dispositivos gerenciados e BYOD, isso significa que a higiene de patches no Android já não pode ficar fora do mesmo circuito de priorização de Windows ou appliances de rede.

A Cisco, por sua vez, publicou um alerta específico sobre Catalyst SD-WAN, com a CVE-2026-20262 como ponto relevante. A vulnerabilidade no vManage, capaz de permitir escrita arbitrária de arquivos por um usuário autenticado, exige revisar exposição, acessos e possíveis indicadores de comprometimento. O valor do alerta é duplo, primeiro porque envolve infraestrutura crítica de rede, e segundo porque a própria fabricante incluiu passos de busca e remediação, o que sugere um nível especial de atenção.

Regulação e conformidade na Argentina

A Disposição 1/2026 do Centro Nacional de Cibersegurança é a peça normativa mais relevante do mês para o Setor Público Nacional. Segundo a análise da VCISO Latam e a cobertura da Segu-Info, a norma exige planos de contingência e continuidade operacional, CPDs alternativos, definição de RTO e RPO, e testes periódicos de recuperação de desastres. A Segu-Info também a apresenta como a primeira norma do CNC voltada a impor requisitos técnicos de continuidade e resiliência cibernética.

O ponto central é que o CNC deixa de ser uma referência declaratória e passa a aparecer como um regulador técnico com capacidade de fixar diretrizes obrigatórias para a Administração Pública Nacional em matéria de continuidade e segurança da informação. Para as equipes de governo, isso implica revisar não só se existem planos, mas se esses planos estão testados, documentados e alinhados a tempos de recuperação realistas.

Em termos de conformidade, a exigência de CPDs alternativos e de RTO/RPO explícitos muda o padrão de comprovação. Já não basta a existência formal de um documento de contingência. É preciso demonstrar que a organização sabe quanto tempo levaria para voltar a operar, quais processos prioriza, quais serviços sobem primeiro e como valida a integridade dos dados recuperados. A distância entre ter backup e conseguir restaurar passa a ser um ponto regulatório, não apenas técnico.

O material também deixa um sinal institucional relevante. O CNC apareceu em divulgação pública associada a congressos e conferências de junho, o que sugere um organismo com presença crescente no ecossistema local. Não há nas fontes desenvolvimento suficiente para afirmar mais sobre estrutura, atribuições ou alcance futuro, mas há base para sustentar que, em junho, começou a se consolidar como um ator normativo visível na discussão sobre resiliência pública.