Brasil: situação da cibersegurança, junho de 2026

Incidentes relevantes no Brasil

Defesa Civil Alerta e o falso alerta extremo

O incidente mais importante do mês foi a intrusão contra o sistema Defesa Civil Alerta. A fonte oficial do MIDR informou que a plataforma foi tirada do ar por volta das 01:30 de 20 de junho de 2026, após um envio remoto não autorizado de alertas extremos. Reuters, Agência Brasil, O Globo, Teletime e outros veículos coincidiram no núcleo do fato: houve uma mensagem falsa, a plataforma foi desativada preventivamente e a Polícia Federal abriu investigação. As diferenças entre as fontes estão no nível de detalhe, não na substância.

O relevante para uma equipe de segurança não é apenas que houve uma intrusão. O incidente mostrou que o risco não estava restrito a uma única jurisdição nem a um canal marginal. Foram relatadas mensagens em vários estados, ao menos oito capitais e milhares ou milhões de telefones, conforme a fonte consultada. Além disso, o uso da palavra "misantropia" e a distribuição por Cell Broadcast e SMS evidenciam comprometimento da cadeia de administração do sistema, não um simples problema de entrega de notificações. A posterior centralização do serviço em Brasília confirma que a arquitetura anterior era exposta demais.

Ajuste operacional do sistema de alertas públicos

O MIDR respondeu com uma reconfiguração de governança e acesso. Primeiro limitou o uso direto pelos estados, depois implementou um fluxo semiautomático com formulários e uma única autoridade habilitada para disparar alertas durante a etapa de contenção. Mais tarde, anunciou um esquema automático com VPN, contas Gov.br e verificação adicional por código. Essa sequência importa porque mostra como um incidente real acaba reescrevendo o processo operacional de uma plataforma crítica.

Em termos de segurança, o problema já não se limita ao vetor inicial de entrada. Também passam a ser escrutinadas a rastreabilidade de credenciais, o controle descentralizado do painel, o papel dos usuários regionais e a segregação entre teste e produção. O próprio fato de o sistema ter precisado ser retirado e depois reativado após novos testes confirma que o ataque atingiu um ativo sensível, e não uma superfície secundária.

Incidentes de segurança ligados a dados pessoais e pagamentos

Fora do caso dos alertas, o mês deixou outros sinais pontuais. O Banco Central confirmou um incidente de segurança ligado a acessos indevidos a um sistema administrado pela Polícia Civil do Maranhão, com exposição de dados de chaves Pix, incluindo nome, CPF, instituição, agência, conta e data de criação. As informações disponíveis esclarecem que não foram comprometidas senhas, saldos nem movimentações financeiras, o que limita o impacto, mas não o trivializa.

Também foi mencionado, em material de data não confirmada, uma campanha de ransomware ThreeAM contra WS Group Brasil com dupla extorsão e apagamento de cópias de sombra. Como a data não está confirmada, isso não entra na contagem mensal, embora ajude a contextualizar o interesse de grupos criminosos na infraestrutura corporativa brasileira.

Material complementar sobre iFood e Nissan

Dois fatos adicionais serviram de contexto, embora não dominem o balanço mensal. Por um lado, um relatório da WCYB Digital Radio indicou que o iFood teria comunicado uma exposição de dados de cerca de 1,2 milhão de usuários ligada a um incidente anterior. Por outro, a SecurityWeek informou uma brecha na Nissan Americas associada à exploração de CVE-2026-35273 em Oracle PeopleSoft, com possível impacto em funcionários do Brasil entre outros países. Em ambos os casos, o material é útil para leitura de tendência, mas a relação direta com o país pesa menos do que nos incidentes locais confirmados.

Ameaças e campanhas ativas no Brasil

Ransomware com criptografia confirmada

O único caso com criptografia de ativos confirmado no material do mês foi o da Secretaria de Estado de Saúde de Mato Grosso, associada à LockBit5. A combinação de fontes permite sustentar que houve exfiltração e criptografia de sistemas, configurando um esquema clássico de dupla extorsão. Não foram publicados IOCs verificáveis nem detalhes técnicos que permitam ir além da atribuição e do padrão geral do ataque.

Ransomware com exfiltração sem criptografia confirmada

Na categoria de exfiltração sem criptografia aparecem casos em que a fonte descreve o roubo ou a saída de dados, mas não o bloqueio operacional dos sistemas. A Coemi Imóveis figura entre eles por uma reivindicação da Krybit com ameaça de publicação de dados caso não fossem iniciadas negociações. A Meta, fornecedora brasileira de saúde ocupacional, foi listada pela BravoX com afirmação de exfiltração de informações sensíveis. A Editora Irmãos Vitale também se encaixa melhor nessa categoria, já que o material aponta vazamento de dados, sem documentação clara de criptografia. O traço comum é uma extorsão centrada na divulgação de informações, mais do que na indisponibilidade técnica.

Casos cuja tipificação não pode ser fechada com o material

Há nove casos em que a fonte não especifica se houve criptografia, exfiltração ou apenas inclusão em leak site. Isso inclui várias menções em radares semanais e agregadores de vazamentos, como ws.com.br, MHE9 Logística, Clínica Vida, Silmquinas e Equipamentos, sweetome.com e a referência a gov.br atribuída a APT73/Bashe. Nesses casos, convém ser rigorosos: a existência de uma publicação em um site de extorsão não equivale, por si só, a impacto operacional verificado.

Apenas menção em leak site

Em junho apareceu ao menos um caso que, por enquanto, fica apenas como menção em leak site. The Gentlemen incluiu a Mackay Sugar em seu site, mas ainda não havia liberado dados no momento do relatório citado. Essa diferença importa porque separa a publicação de um alvo da evidência de uma violação efetiva.

Fraude e phishing documentados

O mês também registrou cinco casos de fraude ou phishing documentados. Eles não formam o eixo dominante, mas se encaixam no pano de fundo de pressão sobre usuários e credenciais. Em um período em que se discutiram alertas falsos, credenciais clonadas e acessos indevidos a painéis, o componente de engenharia social não foi acessório. O material fornecido não permite construir uma campanha única de phishing, mas mostra um ambiente favorável à usurpação de identidade e ao abuso de confiança.

APT e hacktivismo

A única reivindicação que se aproxima de um eixo de APT ou ator híbrido é a menção de APT73, também identificado como Bashe, contra gov.br. A reivindicação apareceu em sites de extorsão e em relatórios de acompanhamento, mas sem confirmação oficial nem IOCs públicos. Em termos editoriais, isso obriga a tratá-la como uma afirmação do ator e não como um fato consolidado sobre intrusão efetiva.

Vulnerabilidades críticas com impacto no Brasil

O material analisado não registrou mais CVEs críticos com impacto documentado no Brasil durante junho. Isso não significa que não tenha havido exploração de outras vulnerabilidades na região, apenas que isso não apareceu no corpus usado para este informe.

Regulação e compliance no Brasil

ANPD e a frente sancionadora

A ANPD teve um mês movimentado. Concluiu o monitoramento de 56 agentes de tratamento, entre órgãos públicos e empresas privadas, sobre a figura do encarregado de dados, e encaminhou 21 organizações para avaliação por falta de resposta. Além disso, abriu um processo administrativo contra a Claro por supostas irregularidades no compartilhamento de dados pessoais com a Serasa. Esse expediente é relevante não só pelo caso em si, mas porque reafirma que a autoridade está disposta a transformar obrigações de governança em possíveis sanções.

Senado Federal e proteção de dados

A CCT aprovou um projeto que esclarece as atribuições da ANPD para fiscalizar medidas de segurança e aplicar penalidades quando um incidente resulte em vazamento de informações pessoais. A CDH, por sua vez, avançou com uma alteração ao Marco Civil da Internet para exigir notificação quando conteúdo for removido sem ordem judicial. Embora o tema não seja idêntico ao de cibersegurança operacional, ele impacta a gestão de abuso, a moderação e a rastreabilidade de decisões sobre plataformas digitais.

Marco Legal da Cibersegurança

Em 30 de junho, a CCT discutiu o PL 4.752/2025, que institui o Marco Legal da Cibersegurança e cria o Programa Nacional de Segurança e Resiliência Digital. A ABIN participou da audiência pública. O movimento não resolve por si só os problemas operacionais do mês, mas mostra que o sistema político brasileiro tenta construir uma arquitetura normativa mais coerente para enfrentar incidentes de alcance nacional.

Normas internas e gestão pública

A Enap aprovou a Resolução 96, que disciplina procedimentos internos para comunicação de incidentes de segurança, pedidos de acesso à informação e registro de compartilhamento de dados pessoais. Embora seja um ato interno, soma-se a um mês em que o Estado brasileiro colocou sob revisão seus próprios fluxos de reporte e custódia.

Setores mais afetados no Brasil

O setor público foi o mais visível em volume e intensidade. Não só pelo incidente do Defesa Civil Alerta, mas também pela acumulação de incidentes cibernéticos em órgãos e entidades federais, pelo caso Pix administrado por uma polícia civil estadual e pelas discussões regulatórias que tocaram dados pessoais e segurança institucional. O Estado apareceu ao mesmo tempo como vítima, regulador e operador de correção.

A saúde também teve destaque. A Secretaria de Saúde de Mato Grosso apareceu no ecossistema de extorsão do LockBit5, e a Clínica Vida foi listada em outro radar semanal. Isso reforça um padrão conhecido no Brasil e na região, a saúde combina alta sensibilidade operacional com pressão por continuidade, o que a torna especialmente atraente para extorsão.

Logística, serviços empresariais, educação, manufatura e serviços ao consumidor completam a distribuição observada. São setores distintos, mas compartilham uma exposição comum, a dependência de sistemas de autenticação, troca de dados e continuidade operacional. O fato de o material mostrar sete setores com ao menos um fato documentado indica um mês disperso, sem concentração em uma única vertical, embora com o setor público claramente à frente em relevância estratégica.

Tendências e sinais para monitorar no Brasil

Não há base comparativa do mês anterior neste formato, portanto não cabe inventar uma tendência de variação mês a mês. Ainda assim, junho deixou dois sinais que merecem acompanhamento. O primeiro é a fragilidade de sistemas de notificação pública com múltiplos canais e gestão descentralizada. O segundo é a persistência de leak sites como espaço de pressão reputacional, mesmo quando o impacto operacional não fica claramente comprovado.

Também vale acompanhar a evolução do hardening anunciado pelo MIDR. A migração para VPN, contas Gov.br e verificação adicional pode reduzir o risco, mas sua eficácia real vai depender de como as credenciais regionais forem administradas e de se a centralização reduz a superfície de ataque ou apenas desloca o ponto único de falha. Em paralelo, o front regulatório pode ficar mais rígido se o Senado transformar em norma o que em junho ainda era debate.

Em ransomware, o sinal mais útil não é um grupo específico, mas a variedade de setores atingidos e a frequência de menções com tipificação incompleta. Isso indica um ecossistema ativo, mais fragmentado do que espetacular, no qual a visibilidade pública vem tanto de leak sites e agregadores quanto de vítimas que confirmam incidentes.

Recomendações para equipes de segurança no Brasil

Primeiro, revisar a gestão de privilégios e a rastreabilidade de acesso em sistemas que distribuem alertas, notificações ou mensagens em massa. Se um painel pode ser acionado remotamente por contas regionais, o controle de sessão, a rotação de credenciais e a separação de funções precisam ser mensuráveis, auditáveis e submetidos a testes periódicos.

Segundo, endurecer o controle sobre fluxos de divulgação de dados pessoais e sobre operações de compartilhamento entre terceiros. Os casos de ANPD, Claro e Serasa mostram que o problema não está apenas no roubo externo de dados. Também há risco na forma como a informação é negociada, compartilhada e documentada dentro do ecossistema comercial.

Terceiro, tratar leak sites como sinal precoce, não como prova final. Se uma organização aparecer listada, vale validar o alcance real, os acessos comprometidos, a exfiltração e eventuais artefatos publicados antes de comunicar ou negar de forma categórica. A diferença entre "menção", "exfiltração" e "criptografia" muda o plano de resposta.

Quarto, priorizar patches para os dois vetores críticos citados no material, CVE-2026-35273 e CVE-2026-48907. Em ambos os casos, o valor operacional da correção supera claramente o custo de uma janela breve de manutenção. Em ambientes públicos e corporativos, a exposição de serviços de colaboração, ERP e componentes web pode abrir portas muito diferentes, mas igualmente danosas.

Quinto, ajustar os procedimentos de crise para que um falso alerta não se transforme em confusão operacional prolongada. O episódio de junho mostrou que a segurança técnica e a comunicação pública precisam estar alinhadas. Se não estiverem, o atacante ou o intruso não compromete apenas um canal, compromete também a confiança em toda a infraestrutura.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para junho de 2026 e com os fatos datados dentro dessa janela temporal. Os fatos sem data confirmada foram excluídos dos indicadores e só foram usados, quando cabível, como contexto qualitativo, com essa ressalva.

Um indicador em zero, especialmente em CVEs, significa que ele não foi registrado no material analisado para este período. Isso não implica que não tenham existido vulnerabilidades críticas exploradas no Brasil ou na região durante o mês, mas que elas não apareceram no corpus disponível para este relatório.

A cobertura também excluiu telemetria agregada, tentativas bloqueadas e médias de vendor que não constituem incidentes. Da mesma forma, não foram usadas como evidência publicações em redes sociais nem material promocional ou comercial fora das fontes permitidas. Quando uma fonte indicava um fato sem confirmação suficiente, ele foi tratado como atribuição ou contexto, não como incidente consolidado.

Por fim, o formato de indicadores não tem baseline comparativo prévio para o Brasil, então não foi construída uma evolução intermensal artificial. O resultado é um retrato de junho de 2026, não uma série histórica.