Bolívia: cibersegurança em agosto de 2026

Ameaças e campanhas ativas na Bolívia

Ransomware e extorsão, Consultores de Seguros

O único caso de ransomware ou extorsão com atribuição clara em agosto foi o de Consultores de Seguros, ligado a Qilin. O material não permite determinar se houve criptografia confirmada, exfiltração sem criptografia ou apenas menção em um leak site, por isso a classificação operacional segue em aberto.

O sinal mais sólido é a presença da vítima em rastreadores e sites do ecossistema de extorsão. Isso inclui BreachSense, ransomware.live, HookPhish, RecentBreaches, GalaxyWarden e HackerFeeds. Em todos os casos, o nível de confirmação pública da empresa não aparece no material, e a reivindicação segue dependendo da publicação do grupo ou de agregadores de inteligência.

Fraude e phishing, falsos gestores do BCB

O caso de fraude documentado no mês se concentrou na suplantação do Banco Central da Bolívia para oferecer créditos falsos. O caso combinou engenharia social, QR e mensageria instantânea, com um discurso de autoridade institucional pensado para acelerar depósitos e capturar dados pessoais.

Não houve um segundo caso de phishing com o mesmo nível de detalhe no material. A relevância operacional está no padrão, porque esse tipo de fraude se apoia em confiança pré-existente e em canais cotidianos. O BCB reagiu com uma denúncia penal e um alerta público, o que torna o incidente um sinal útil para o sistema financeiro e para equipes antifraude.

APT, hacktivismo e operações de desinformação, mini fazenda de bots

O caso Cerimedo não foi apresentado como uma APT clássica, mas sim como uma operação digital estruturada que merece monitoramento na categoria de desinformação e abuso de automação. A evidência pública fala de uma mini fazenda de bots, equipamentos sequestrados para perícia e recursos associados a campanhas políticas em redes.

Para a Bolívia, isso importa porque desloca o foco da intrusão técnica para a manipulação da conversa pública. Não há atribuição a um ator estatal nem uma cadeia de intrusão confirmada, então o fato deve ser lido como hacktivismo ou desinformação organizada apenas em sentido amplo, não como ciberespionagem comprovada.

Vulnerabilidades críticas com impacto na Bolívia

Não foram registrados CVEs críticos mencionados no material analisado para agosto de 2026. A ausência nesta tabela indica que não apareceram vulnerabilidades críticas exploradas ou citadas de forma verificável no corpus do mês, e não que elas não existam na região.

Regulação e compliance na Bolívia

Agosto foi mais ativo em regulação do que em evidências de exploração técnica. O fato central foi a aprovação, no Senado, do Projeto de Lei N.º 066/2025-2026 de Acesso à Informação, que seguiu para a Câmara dos Deputados. A isso se somam avanços da UIF diante do GAFI, debates sobre IA e investimentos e medidas pontuais do SIN para segurança digital.

Lei de Acesso à Informação e abertura do Estado

A Câmara de Senadores aprovou o projeto de Lei de Acesso à Informação e remeteu a iniciativa à Câmara dos Deputados. A proposta estabelece que a informação sob guarda do Estado será pública como regra geral e que qualquer pessoa poderá solicitá-la sem justificar os motivos.

O debate não ficou restrito ao rito legislativo. Soledad Chapetón explicou que a norma alcançaria instituições estatais, empresas públicas, universidades públicas e outras entidades que administram recursos públicos. Organizações da sociedade civil e do jornalismo pressionaram para que a tramitação seja simples e acessível, e pediram revisão dos artigos 8 e 9 por possíveis entraves burocráticos.

Duplo fator no SIN e suporte ao contribuinte

O SIN implementou autenticação em dois fatores para o Escritório Virtual Tributário e para a função de Terceiros Vinculados. A entidade afirmou que o mecanismo segue padrões globais de cibersegurança e serve para proteger informações e o patrimônio dos contribuintes.

A resposta institucional incluiu canais de suporte, linha gratuita e recomendações operacionais, como revisar o e-mail cadastrado, a pasta de spam e a disponibilidade da caixa de entrada. A ABI divulgou que apenas 1% dos usuários relatou dificuldades. Mais do que o dado de atrito, a mensagem do mês foi clara: o sistema tributário boliviano avançou para uma autenticação mais robusta.

UIF, GAFI e supervisão financeira

A UIF afirmou que a Bolívia está perto de sair da lista cinza do GAFI, depois de avançar na correção de falhas sobre lavagem de dinheiro e financiamento do terrorismo. O material situa esse progresso dentro de um monitoramento reforçado desde junho de 2025.

Esse contexto foi relativizado por uma nota de El Día, que citou a Fundação Milenio e lembrou problemas estruturais ligados ao crime organizado e à captura institucional. O contraste é útil: a melhora regulatória existe, mas opera sobre uma base ainda tensa. Em paralelo, a APS e o BID impulsionaram práticas para fortalecer a proteção do consumidor financeiro e modernizar a supervisão com foco preventivo.

IA, investimentos e agenda tecnológica

O ecossistema regulatório também se movimentou em torno da inteligência artificial. Houve referências a projetos de lei ligados à IA na Câmara dos Deputados e a uma proposta oficial de investimentos que a coloca entre os setores prioritários. Ainda não se trata de uma lei integral de dados pessoais nem de uma arquitetura normativa fechada, mas de um debate em desenvolvimento.

Uma análise especializada lembrou, além disso, que a Bolívia não tem uma lei abrangente de proteção de dados pessoais e que a privacidade é tratada sobretudo por meio de ação constitucional. Isso se encaixa no restante do mês: há intenção de ordenar o espaço digital, mas ainda não surgiu uma peça legislativa integral que feche a frente.

Setores mais afetados na Bolívia

O setor financeiro e de seguros concentrou a maior visibilidade, embora não necessariamente a maior gravidade técnica. Ali ficaram o caso da Consultores de Seguros, a denúncia do BCB por falsos créditos, o debate sobre pagamentos digitais e os sinais regulatórios da APS, da UIF e do BID. É o setor em que se cruzam extorsão, fraude, conformidade e confiança do usuário.

O segundo grande frente foi o estatal e tributário. O SIN teve papel central com a implementação do 2FA, os canais de suporte e a lógica de proteção do acesso à Oficina Virtual. Em paralelo, o debate sobre acesso à informação e os projetos regulatórios sobre IA reforçaram a ideia de uma administração pública mais digital e, ao mesmo tempo, mais exposta.

O terceiro eixo foi telecomunicações e infraestrutura digital, com ENTEL, AGETIC e ATT impulsionando o CSIRT Bolivia e o Bolivia Cibersegura 2026. Isso não significa incidentes massivos nesse setor, mas indica um papel estrutural. O quarto âmbito visível foi o ambiente político e midiático, marcado pela mini fazenda de bots associada ao caso Cerimedo, que abriu uma discussão sobre automação, manipulação e operações de influência.

Tendências e sinais a monitorar na Bolívia

A comparação com julho mostra menos fatos verificados, menos incidentes sem tipificação, menos ransomware e menos fraude ou phishing documentado. Também caíram os movimentos regulatórios e os setores tocados pelo sinal, mas a ameaça predominante seguiu a mesma: sem classificar. Isso sugere menos volume, não necessariamente menos complexidade.

A queda da fraude documentada, de 15 no mês anterior para 2 em agosto, não deve ser lida como encerramento do problema. Neste corpus aparece apenas um caso particularmente bem documentado, o dos falsos créditos do BCB, enquanto a maior parte do sinal mensal ficou concentrada em regulação e postura defensiva. A superfície de engano segue viva, só aparece menos no material capturado.

Em ransomware, a baixa é mais visível. No mês anterior houve 20 casos com ransomware ou extorsão como eixo primário e, em agosto, foram 11. Ainda assim, o material deste mês está muito concentrado em um único caso forte, o da Consultores de Seguros, com o restante distribuído entre trackers e fontes de inteligência. A redução de volume não elimina o valor do caso, porque confirma que o setor de seguros também figura na lista de pressão.

A linha regulatória merece acompanhamento porque a Bolívia está tentando organizar várias frentes ao mesmo tempo. Se o projeto de acesso à informação avançar na Câmara dos Deputados, se o 2FA do SIN consolidar adoção e se a UIF mantiver progresso com o GAFI, o país pode entrar em uma fase de maior maturidade procedimental. O risco é que a velocidade normativa nem sempre se traduza em capacidades técnicas equivalentes.

Recomendações para equipes de segurança na Bolívia

Revisar imediatamente as políticas de autenticação e acesso, especialmente em portais de contribuintes, sistemas financeiros e qualquer serviço que dependa de e-mail como segundo fator. O caso do SIN mostra que o 2FA já não é opcional na agenda pública, e também exige suporte operacional para não piorar a experiência de usuários legítimos.

Fortalecer os controles antifraude em canais de mensagens e redes sociais. O incidente do BCB confirma que a suplantação de marca institucional segue eficiente quando combina QR, pressão de tempo e promessas de crédito. Vale monitorar menções, contas falsas e fluxos de pagamento suspeitos com a mesma prioridade de um alerta técnico.

Para seguradoras e atores financeiros, revisar a exposição de credenciais reutilizadas e acessos expostos em ecossistemas de vazamentos. O caso Consultores de Seguros mostra que uma presença em sites de extorsão pode ser precedida por acúmulo de credenciais ou pela visibilidade externa de domínios e contas. A higiene de identidade e a segmentação de privilégios são a primeira linha de defesa.

Para instituições públicas e operadores críticos, consolidar procedimentos com o CSIRT e rotas de escalonamento claras. Bolivia Cibersegura 2026 e o papel da AGETIC sugerem que o país busca formalizar essa camada. Se as equipes não têm playbooks testados, a coordenação nacional demora demais quando o incidente já virou crise.

Perguntas frequentes

Qual combinação de fatos concentrou o risco mais visível na Bolívia neste mês?

Em agosto, coexistiram um caso de ransomware contra a Consultores de Seguros, uma fraude de falsos créditos com QR atribuída ao uso indevido da marca do BCB e o fortalecimento do CSIRT Bolivia. A leitura conjunta mostra pressão sobre finanças, fraude contra usuários e resposta institucional.

O caso da Consultores de Seguros envolveu criptografia, roubo de dados ou apenas exposição em um leak site?

O material não permite determinar isso com precisão. As fontes confirmam a atribuição à Qilin e a ameaça de divulgar dados, mas não esclarecem se houve criptografia, exfiltração sem criptografia ou apenas uma menção em sites de vazamento. A seção de ameaças distingue esse ponto.

Quais sinais regulatórios do mês afetam setores além do financeiro?

Além do avanço da Lei de Acesso à Informação, o SIN reforçou a autenticação digital e ENTEL, AGETIC e ATT impulsionaram a Bolivia Cibersegura 2026 com foco em CSIRT. Isso alcança o Estado, as telecomunicações e a infraestrutura crítica, não só bancos e seguradoras.

Por que a ausência de CVEs críticos não significa que não haja risco técnico?

Porque o indicador de 0 reflete apenas que não apareceram CVEs críticos no material analisado de agosto. Isso não significa ausência regional de vulnerabilidades exploradas. A seção de vulnerabilidades e a de limitações explicam esse ponto para não confundir cobertura com realidade operacional.

Quais setores devem priorizar medidas no próximo mês?

Finanças e seguros, pelo caso Qilin e pela fraude do BCB, e também o setor público, pelo avanço do 2FA no SIN e pela agenda de acesso à informação. Telecomunicações e infraestrutura digital devem manter a coordenação com o CSIRT e os testes de resposta.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para a Bolívia, período agosto de 2026, e só considera fatos datados dentro dessa janela para calcular indicadores. Dois fatos posteriores ao período foram excluídos, e não foi incorporada telemetria agregada, porque não se trata de uma contagem de incidentes.

Um indicador em 0, em particular CVEs críticos mencionados, significa que ele não apareceu no material analisado deste mês, não que não tenham existido vulnerabilidades críticas exploradas na região. O mesmo vale para as categorias que não conseguiram ser registradas com precisão operacional, como alguns casos de ransomware ou extorsão.

Também ficaram fora como evidência principal as publicações em redes sociais de consumo e as peças patrocinadas ou de tom promocional, embora algumas apareçam referidas no material de pesquisa. Quando foi citado material de blogs ou agregadores, isso serviu apenas para descrever o que essas fontes afirmaram, e não como confirmação independente. Os fatos sem data confirmada foram excluídos dos cálculos, embora neste corpus não tenha sido necessário recorrer a eles para os indicadores do mês.