Situación Nacional de Ciberseguridad - Junio 2026 - Brasil

Incidentes relevantes no Brasil

Sistema nacional de alertas da Defesa Civil

Em 20 de junho, o sistema de alertas por celular da Defesa Civil foi desativado temporariamente depois do envio de uma mensagem não autorizada classificada como "Alerta Extremo". A Reuters informou que o aviso, com a palavra "misanthropy", foi transmitido remotamente para múltiplos estados e que o caso foi encaminhado à Polícia Federal. Bloomberg e Bloomberg Línea acrescentaram que a suspensão ocorreu por volta de 1h30 da madrugada e que o governo ainda não havia definido data para restabelecer a plataforma. A CNN traçou a propagação inicial do Paraná para São Paulo e Rio de Janeiro, enquanto The Next Web indicou que o mesmo conteúdo chegou depois a pelo menos sete estados.

O ponto mais relevante do incidente não foi apenas a intrusão, mas o vetor de confiança comprometido. O sistema foi desenhado para levar mensagens de risco automaticamente a qualquer pessoa em áreas potencialmente afetadas. A Exame explicou esse funcionamento normal e, justamente por isso, uma emissão não autorizada altera a lógica de todo o sistema. O episódio deixou um sinal claro sobre a dependência do Brasil de um esquema de comunicação de emergência que precisa de redundância, controle de acesso forte e verificação operacional contínua.

MHE9 Logística Ltda, ameaça atribuída a Gunra

A Dexpose informou em 12 de junho que o grupo Gunra afirmou ter atacado a MHE9 Logística Ltda, uma empresa de logística com sede no Brasil, e ameaçou publicar um dump completo de dados se não fossem iniciadas negociações. A peça não mostrou confirmação pública da empresa afetada, mas registrou uma lógica clássica de dupla extorsão, com pressão para forçar contato e elevar o custo reputacional.

iFood, violação confirmada de dezembro de 2025 divulgada em junho

A HackRead reportou em 4 de junho que o iFood confirmou uma violação ocorrida em dezembro de 2025 que expôs dados de aproximadamente 1,2 milhão de usuários. As informações comprometidas incluíram nomes, telefones, endereços e CPF, embora não senhas, dados bancários nem cartões de crédito. A empresa disse ter agido conforme a regulamentação da ANPD e decidiu não notificar individualmente os usuários, alegando que o evento não representava risco ou dano relevante sob os critérios regulatórios aplicáveis.

Governo federal e exposição acumulada de incidentes

A Folha de S.Paulo, citando o GSI, informou que os sistemas do governo federal brasileiro registraram 6.774 incidentes cibernéticos até o início de junho. Não se trata de uma única campanha, mas de um termômetro institucional que reforça o quadro geral do mês. Em paralelo, várias fontes do ecossistema de segurança listaram organizações brasileiras em portais de vazamento ou em radar de ransomware, o que sugere uma exposição distribuída entre ministérios, empresas privadas e entidades de serviços.

Ameaças e campanhas ativas no Brasil

Ransomware e extorsão

O fenômeno dominante do mês foi ransomware e extorsão. O radar semanal de Daniel Donda, referente ao período de 15 a 22 de junho, listou cinco organizações brasileiras entre 100 afetadas globalmente. Nela aparecem Editora Irmãos Vitale, Super Finishing, mupras.com, coemi.com.br e saude.mt.gov.br, associadas a Payload, WorldLeaks, Krybit e LockBit5. Embora várias entradas se apoiem em publicações de portais de vazamento e não em comunicados das vítimas, o padrão é compatível com campanhas voltadas a gerar pressão por meio da exposição pública de dados.

Outro caso apontado no mês foi o de Gunra contra MHE9 Logística Ltda. A isso se somam referências externas a uma vítima brasileira no BreachSense, META, vinculada à BravoX, embora a cobertura disponível não tenha permitido consolidar esse dado como confirmação direta. O ponto editorial relevante é outro, o ecossistema de extorsão não deu trégua em junho e atingiu setores distintos, da educação e manufatura à logística e saúde ocupacional.

O Brasil também apareceu em análises de contexto que não reportam um incidente pontual, mas indicam uma tendência de mercado. A Dinamio lembrou que, em março de 2026, o país ocupou o oitavo lugar global entre os mais impactados por ransomware, com 1,8% dos ataques reportados mundialmente. O Valor Econômico, por sua vez, reproduziu dados da SonicWall e falou em crescimento de 25% nos ataques de ransomware no Brasil. Em termos operacionais, isso sugere um ambiente em que as equipes de defesa precisam lidar ao mesmo tempo com campanhas ativas e com uma base ampla de exposição tecnológica.

Fraude e phishing

O único caso desta categoria no material do mês foi a referência do G1 a 553 milhões de tentativas de phishing no Brasil durante 2025, citando dados da Kaspersky. O texto não descreve um ataque pontual de junho, mas um nível estrutural de pressão que continua afetando usuários e pequenas e médias empresas. O mesmo conteúdo afirma que 43% dos ataques cibernéticos mapeados na América Latina tiveram como alvo as PMEs, dado útil para entender o perfil da vítima mais provável na região.

APT, intrusão e abuso de infraestrutura

Não houve no material consolidado uma campanha APT clássica com atribuição forte para o Brasil durante junho. Houve, sim, abuso de infraestrutura pública crítica, sobretudo no caso do sistema de alertas da Defesa Civil, que pode ser lido como intrusão, desvio de mensagens e sabotagem de confiança. Tecnicamente, o dano não veio por criptografia nem por exfiltração massiva confirmada, mas pelo uso malicioso de um canal estatal de emergência.

Vulnerabilidades críticas com impacto no Brasil

A leitura operacional desta tabela é direta. As falhas críticas do mês não se limitaram a um único fabricante nem a um único tipo de ambiente. Houve exposição em rede, colaboração, ERP, proteção de endpoints e controladores de domínio. Para o Brasil, onde convivem setores com níveis diferentes de maturidade, a prioridade não é "monitorar CVEs" em abstrato, mas identificar quais plataformas estão realmente implantadas e quais têm exposição à internet ou privilégios elevados.

Regulação e compliance no Brasil

Junho registrou dois movimentos regulatórios claramente documentados e vários instrumentos administrativos de suporte. A Anatel instituiu a Política de Governança de Inteligência Artificial por meio da Resolução Interna nº 554, o TSE aprovou a Resolução nº 23.763 sobre Política de Segurança da Informação, o CJF publicou disposições sobre comunicação de incidentes e LGPD, e a Secretaria de Governo Digital divulgou um guia para avisos de privacidade alinhados à normativa brasileira. Soma-se a isso a Resolução nº 806 da ANAC sobre aeronaves não tripuladas, que não é uma norma de cibersegurança em sentido estrito, mas integra o marco de controle tecnológico setorial.

O outro documento-chave foi o "Guia de Referência para Prevenção e Resposta a Ransomware" publicado por Gov.br. Seu valor prático está em organizar uma resposta que muitas organizações ainda improvisam, especialmente quando o ataque atravessa as fronteiras entre TI, jurídico, privacidade e continuidade operacional. O fato de esse material ter surgido no mesmo mês de uma onda de extorsão e de uma intrusão no sistema de alertas públicos não é casual. Mostra que o Estado brasileiro tenta estabelecer uma base metodológica para resposta e prevenção.

A relevância jurídica do mês também apareceu no comentário da Dolutech sobre CVE-2026-20253. A fonte lembra que uma exploração bem-sucedida de Splunk que armazene dados pessoais pode acionar obrigações de notificação sob a LGPD perante a ANPD. Esse tipo de observação é importante porque transforma uma vulnerabilidade técnica em uma questão de compliance, especialmente em organizações que concentram logs, monitoramento e dados sensíveis.

Setores mais afetados no Brasil

Os setores com fatos documentados durante junho foram ao menos oito. O sinal mais forte apareceu no setor público, pelo incidente de Defesa Civil e pelo radar de ransomware que inclui saude.mt.gov.br. Também houve atividade em educação, com Editora Irmãos Vitale; em manufatura, com Super Finishing; em serviços empresariais, com mupras.com; em logística, com MHE9 Logística Ltda; e em saúde, tanto pelo contexto de ransomware regional quanto pela referência à META como fornecedora de saúde ocupacional em uma fonte agregadora.

A distribuição setorial não mostra uma frente única em crise, mas uma propagação transversal. Isso é típico de ambientes em que a extorsão busca oportunidades de pagamento rápido ou de máxima visibilidade, e em que ataques a sistemas públicos ou de alerta geram impacto desproporcional em relação ao esforço técnico necessário. No caso do Brasil, além disso, o setor público não foi apenas vítima, também foi emissor de novas normas e guias, o que cria uma dupla carga sobre as equipes de segurança: responder a incidentes e, ao mesmo tempo, implementar novos controles e políticas.

A leitura setorial também acende um alerta sobre PMEs e fornecedores intermediários. O material do mês insiste que o phishing e outros vetores de entrada seguem atingindo empresas pequenas e médias, enquanto o ransomware explora superfícies expostas como RDP, VPN, RDWeb e credenciais comprometidas. Em outras palavras, a vulnerabilidade não está confinada a grandes corporações nem ao Estado. Ela se distribui por toda a cadeia de serviços.

Tendências e sinais a monitorar no Brasil

Não há baseline comparativo do mês anterior, porque este é o primeiro período arquivado com este formato de indicadores para o Brasil. Ainda assim, o recorte de junho permite identificar sinais que merecem acompanhamento em julho.

Primeiro, a exploração de sistemas de alerta e notificação pública. O caso da Defesa Civil mostrou que um sistema de emergência pode virar vetor de pânico se não estiver corretamente autenticado e segmentado. Se o incidente se confirmar como intrusão ou abuso de plataforma, o país terá de revisar arquitetura, validação de mensagens e procedimentos de contingência.

Segundo, a combinação entre ransomware e setores de serviço. As ocorrências observadas em junho não se limitaram a um setor, mas abrangeram educação, logística, manufatura, saúde ocupacional e setor público. Essa diversidade dificulta respostas verticais e empurra para controles transversais, sobretudo em identidade, backup e exposição de serviços remotos.

Terceiro, o cruzamento entre vulnerabilidades críticas e compliance. As fontes do mês mostram que uma exploração real pode gerar obrigações regulatórias imediatas. Isso é especialmente relevante em ambientes que processam dados pessoais, onde o tempo de resposta já não se mede só em horas técnicas, mas também em prazos de notificação e gestão jurídica.

Quarto, a ausência de trégua nas campanhas de extorsão. O mês deixou sinal suficiente para considerar que os grupos ativos seguirão pressionando vítimas brasileiras enquanto encontrarem sistemas expostos, credenciais reutilizadas ou controles fracos.

Recomendações para equipes de segurança no Brasil

1. Revisar os canais de alerta público e os mecanismos de autenticação de mensagens, com testes de comutação, registros de integridade e procedimentos de desligamento seguro.
2. Priorizar patches para CVE-2026-20245, CVE-2026-20253, CVE-2026-46817, CVE-2026-41091 e CVE-2026-41089, conforme a exposição real no inventário.
3. Auditar acessos remotos, especialmente RDP, VPN e serviços semelhantes, com foco em MFA, controle de contas privilegiadas e encerramento de acessos órfãos.
4. Verificar cópias de segurança offline ou imutáveis e testar a restauração, não apenas a existência do backup.
5. Revisar o tratamento de dados pessoais em ferramentas de observabilidade, SIEM e logging, porque uma intrusão nessas plataformas pode acionar obrigações de notificação.
6. Endurecer e-mail, navegadores e filtros anti-phishing para usuários de PMEs e de terceiros, que seguem sendo uma via recorrente de entrada.
7. Mapear a superfície de extorsão por fornecedor, porque vários incidentes do mês apontam para empresas de médio porte com exposição limitada, mas alto impacto operacional.
8. Cruzar continuidade de negócio, jurídico e privacidade em um mesmo playbook, especialmente em setores públicos e regulados.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para junho de 2026 e sem acesso à internet. Várias referências do mês vêm de coberturas jornalísticas ou agregadores que atribuem os fatos a portais de vazamento, por isso nem sempre foi possível converter cada sinal em confirmação direta da vítima ou do impacto.

Também há diferenças entre fontes quanto ao alcance exato de alguns incidentes, em particular o episódio de Defesa Civil e a quantidade de mensagens ou estados afetados. Para evitar afirmações excessivas, foram consolidados apenas os dados que aparecem repetidos ou respaldados pelas fontes disponíveis no corpus. Quando uma peça jornalística descreveu uma atribuição como provável ou presumida, essa condição foi mantida na leitura editorial.

A seção de vulnerabilidades críticas reúne apenas CVEs mencionados explicitamente nas fontes do período. Não foram adicionadas falhas extras nem inferidos produtos não citados. A mesma cautela foi aplicada aos casos de ransomware, em que algumas entradas do radar ou de agregadores foram tratadas como atribuições de fonte e não como confirmações absolutas.