Brasil: cenário de cibersegurança, agosto de 2026

Ameaças e campanhas ativas no Brasil

Ransomware e extorsão simples

Foram 17 casos com ransomware ou extorsão como eixo principal em agosto, mas a fonte só permitiu tipificar com clareza uma minoria. Em dois casos, houve exfiltração sem criptografia documentada, em dois apareceu apenas menção em site de vazamento e, em 13, não foi possível determinar o impacto exato com o material disponível.

Essa divisão importa porque impede tratar todo o bloco como se fosse a mesma coisa. Não é igual um site listado por um ator, um roubo de dados sem criptografia ou um ataque com indisponibilidade confirmada. No Brasil, as três modalidades coexistiram, com predominância de sinais preliminares sobre confirmações completas.

Grupo Rái e LockBit 5.0

A LockBit 5.0 reivindicou o Grupo Rái no início do mês, e diferentes agregadores o exibiram como data leaked ou como vítima listada em leak site. O material recuperado não permitiu confirmar com certeza o dano operacional, então o caso deve ser lido como uma reivindicação de extorsão com evidência pública parcial.

A relevância do caso não está só na empresa afetada, mas na persistência da LockBit 5.0 como ator visível no Brasil. A cobertura do mês voltou a mostrar que o país segue entre os mercados mais atacados por operadores de ransomware com foco em publicação de dados.

Mobilemed e Kazu

A Mobilemed foi reivindicada pela Kazu como vítima no setor de saúde, com versões que falam em exfiltração e resgate exigido, mas sem confirmação oficial da empresa. Algumas coberturas tratam o episódio como um ataque com possível impacto amplo sobre imagens médicas e diagnósticos, enquanto outras se limitam a reproduzir a reivindicação do ator.

Aqui, a taxonomia é decisiva. A evidência disponível permite falar em uma reivindicação de ransomware e, em certos registros, em exfiltração alegada, mas não em criptografia confirmada. Para o relatório país, isso obriga a manter o caso na categoria de extorsão com impacto não verificável em detalhe.

Intranet Gov Brasil e The Gentlemen

A Intranet Gov Brasil foi listada pela The Gentlemen em leak sites e em agregadores de incidentes como vítima reivindicada. Não houve confirmação pública do governo federal nem das empresas estatais mencionadas no material, por isso o caso segue como menção em leak site sem corroborção corporativa.

Mesmo assim, a reivindicação importa pelo tipo de ativo visado, um portal e uma rede interna de serviços públicos. O surgimento desse nome ao lado de outras campanhas contra órgãos municipais confirma que o setor de governo seguiu na mira de grupos de extorsão לאורך todo o mês.

Fraude e phishing

O mês mostrou uma expansão clara da fraude, com nove casos documentados e um forte viés para bancos, pagamentos e falsificação de identidade. O golpe da falsa central bancária, a engenharia social contra clientes de bancos, os deepfakes aplicados à verificação de identidade e a manobra sobre TAG desenham uma mesma linha de abuso: explorar confiança, urgência e automação.

Também apareceram fraudes sobre criptoativos e meios de pagamento, com o Banco Central acelerando controles para limitar o abuso de transferências e com a PF desarticulando redes de fraude eletrônica. A leitura operacional é que o ataque à identidade e à sessão de pagamento pesou mais do que a intrusão clássica.

APT, hacktivismo e infraestrutura crítica

O Brasil não registrou no material uma campanha APT local única que dominasse o mês, mas apareceu afetado pelo contexto da Lazarus, pelo advisory sobre Siemens S7 e pela discussão sobre infraestruturas críticas. A isso se somaram iscas de desinformação e campanhas de interface pública, como as tentativas contra portais de Rondônia e o site de Flávio Bolsonaro.

Em energia, água, governo e telecomunicações, o risco esteve mais associado à exposição e ao reconhecimento do que a sabotagem confirmada. A ameaça de fundo foi a combinação de superfícies expostas, software crítico desatualizado e campanhas oportunistas que buscam credenciais, acesso remoto ou visibilidade pública.

Vulnerabilidades críticas com impacto no Brasil

A leitura de vulnerabilidades do mês foi enxuta, mas relevante. O material trouxe quatro CVEs críticos mencionados, e os quatro têm sinal de exploração ativa ou impacto operacional direto. Isso não significa que não existam outras falhas relevantes fora do material, apenas que o corpus de agosto priorizou essas quatro como sinal verificável.

Regulação e compliance no Brasil

Em agosto, o Brasil reforçou uma agenda regulatória voltada a dados, fraude e supervisão de plataformas. O caso mais visível foi a sanção da ANPD à ByteDance, sinal de que o regulador já não se limita a advertências pedagógicas e está disposto a aplicar multas altas e ordens concretas de eliminação de dados.

Ao mesmo tempo, o Banco Central avançou com a Resolução BCB nº 584, que amplia as regras antifraude para ativos virtuais e fixa retenção cautelar de 24 horas para certas transferências. Também surgiram prazos de autorização para prestadoras de serviços de ativos virtuais, com vencimento em outubro de 2026 e entrada em vigor operacional de partes do marco em janeiro de 2027.

No Pix, o regulador aprofundou sua intervenção com um score centralizado de probabilidade de fraude, rastreamento da rota do dinheiro e medidas cautelares adicionais, incluindo a restrição de novas chaves em casos de risco. Essa arquitetura regulatória não é cosmética, porque responde a fraudes já observadas e à necessidade de coordenar bancos, registradoras e sistemas de pagamento.

A ANPD também continuou ampliando sua frente de compliance. Publicou seu relatório semestral de agenda regulatória, revisou regulamentos de fiscalização e sanções, regulamentou relatórios de transparência e manteve o monitoramento sobre plataformas e ferramentas de IA para proteger menores. Em paralelo, Senado e Câmara seguiram discutindo textos sobre proteção de dados, segurança pública e transparência algorítmica.

Setores mais afetados no Brasil

O mês atingiu ao menos sete setores, mas não de forma uniforme. O setor financeiro foi o mais pressionado em intensidade e variedade, com fraude bancária, Pix, pagamentos com cartão, open finance, criptoativos e operações policiais contra redes de lavagem de dinheiro. Governo e administração pública seguiram muito expostos, tanto por vazamentos quanto por campanhas de extorsão e defacement.

Saúde e farmacêuticas também tiveram peso próprio. SISVISA, Mobilemed e o caso da Bahia sobre dados de saúde mostram que a informação sanitária segue sendo um alvo atrativo, tanto por sua sensibilidade regulatória quanto por seu valor para extorsão. A lógica é conhecida, mas o mês confirmou que continua ativa.

Telecomunicações, logística e serviços digitais somaram incidentes ou sinais de risco. LATAM, Uber Freight, Vivo e diversos provedores de plataformas refletem um padrão comum, a dependência de identidades, acessos remotos, dados de clientes e cadeias de terceiros. A superfície é fragmentada, mas o vetor se repete.

Em energia e utilities, o material não mostrou incidentes OT confirmados no Brasil, mas trouxe alertas sobre infraestrutura crítica, campanhas contra PLC Siemens S7 e referências ao risco setorial. Isso basta para sustentar vigilância alta, embora não para transformar o vertical em foco de incidentes confirmados no mês.

Tendências e sinais a monitorar no Brasil

A comparação com o mês anterior mostra menos ransomware como eixo principal, de 25 para 17 casos, e menos incidentes sem tipificação, de 10 para 6. Em paralelo, subiram com força as fraudes e o phishing documentados, de 0 para 9, e caíram os movimentos regulatórios, de 13 para 11. A mudança mais importante é qualitativa: o mês deixou de ser dominado por ransomware e passou a combinar fraude, regulação e vazamentos.

Esse deslocamento importa porque sugere uma diversificação do risco visível. Em julho, o relato estava mais concentrado em sequestro de sistemas; em agosto, a agenda se moveu para proteção de dados, identidade, pagamentos, ativos virtuais e controle de plataformas. O ransomware não desapareceu, mas perdeu centralidade relativa diante de outros vetores.

Outro sinal claro é a consolidação da fraude como problema transversal. A combinação de engenharia social, deepfakes, portais falsos, contas de passagem e ataques a registradoras revela uma profissionalização do ecossistema criminoso. O Banco Central e a PF reagiram com ferramentas mais duras, o que provavelmente vai empurrar mais controles de comportamento e rastreabilidade.

Em vulnerabilidades, o mês mostrou menos CVEs críticos mencionados do que em julho, de 5 para 4, mas todos com peso operacional real. A presença repetida de exploração ativa e de patches urgentes em software de uso amplo indica que o risco técnico segue muito concentrado em produtos de borda, plataformas web e componentes de identidade e acesso.

Recomendações para equipes de segurança no Brasil

Priorizaría cinco frentes. Primeiro, bancos, fintechs e PSPs devem revisar antifraude em Pix, controles de identidade, monitoramento de transferências e detecção de mudanças de titularidade ou contas de passagem. O mês mostrou que a fraude está migrando para fluxos automatizados e coordenados, não só para golpes isolados.

Segundo, as organizações que trabalham com dados sensíveis, sobretudo saúde, educação e governo, deveriam reforçar segmentação, cópias de segurança e controle de exposição pública. Os casos de SISVISA, Mobilemed e portais municipais mostram que a superfície de vazamento não depende apenas de ransomware, mas também de configurações fracas e repositórios acessíveis.

Terceiro, vale revisar a priorização de patches nos quatro CVEs críticos do mês, com foco especial em produtos expostos à internet. Apache Tomcat, LoadMaster, Windows AFD e JCE concentram o tipo de exploração que mais rapidamente vira incidente real quando a exposição é pública.

Quarto, as equipes de compliance devem tratar a nova onda regulatória como um problema de segurança, e não só jurídico. A ANPD e o Banco Central estão pressionando controles sobre transparência, retenção, rastreabilidade, consentimento e reporting, então privacidade, fraude e cibersegurança já operam como um único bloco de gestão.

Quinto, vale revisar a cadeia de terceiros. Várias notícias do mês se apoiaram em fornecedores, registradoras, plataformas de nuvem, serviços de fidelidade e software de terceiros, o que obriga a auditar acessos, contratos, logging e capacidade de resposta compartilhada.

Perguntas frequentes

O que mais mudou entre julho e agosto no Brasil: ransomware, fraude ou regulação?

Em agosto, o peso relativo do ransomware caiu em relação a julho, enquanto cresceram os casos de fraude e phishing e houve uma leve queda no número de movimentos regulatórios. A mudança mais visível foi a virada para pagamentos, identidade e dados pessoais, algo que fica claro ao cruzar os indicadores do período com a seção de tendências.

Qual setor ficou mais exposto por incidentes confirmados e por quê?

O setor financeiro foi o mais exposto pela variedade de fatos, seguido por governo e saúde. A combinação de TAG, Pix, criptomoedas, Operação Klonen, LATAM Pass, SISVISA e Mobilemed mostra que a pressão não veio de um único vetor, mas de várias frentes que tocaram pagamentos, identidade e dados sensíveis.

Os 4 CVEs críticos do mês significam que houve quatro incidentes no Brasil?

Não. Eles indicam que quatro vulnerabilidades críticas foram mencionadas no material analisado, várias delas com exploração ativa, mas não que cada uma tenha gerado um incidente brasileiro separado. A tabela de vulnerabilidades e a seção de limitações deixam claro que a ausência de mais CVEs no mês não implica ausência regional.

Quão confirmado ficou o caso Intranet Gov Brasil?

Ele ficou como uma alegação de leak site, sem confirmação pública do governo brasileiro nem das entidades técnicas citadas. Isso o diferencia de ICN, em que houve confirmação de ataque com criptografia, e de outros casos em que o material permite apenas uma atribuição preliminar.

Qual foi o principal sinal regulatório para bancos e fintechs?

O principal sinal foi o aprofundamento do controle sobre fraude, Pix e ativos virtuais. O Banco Central avançou com score de probabilidade de fraude, rastreamento do dinheiro e retenção cautelar em cripto, enquanto a ANPD seguiu endurecendo sanções e transparência. As duas agendas aparecem separadas no corpo do relatório, mas convergem em compliance operacional.

Houve atividade em infraestrutura crítica brasileira sem incidentes OT confirmados?

Sim. Houve alertas e sinais de exposição, sobretudo em energia, água e controle industrial, mas sem um incidente OT brasileiro confirmado no material. O risco ficou documentado por advisories internacionais e pela cobertura local, então a vigilância precisa ser mantida mesmo sem registro de dano operacional OT consumado no mês.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para o Brasil em agosto de 2026. A janela temporal dos indicadores inclui 76 fatos datados de agosto de 2026 e 2 fatos de meses anteriores usados apenas como marco comparativo, não como volume do mês. Não foi usado internet nem material externo.

Os indicadores da tabela são reproduzidos exatamente como foram fornecidos e descrevem o que ocorreu no país, não o processo de pesquisa. Um valor zero, especialmente para CVEs ou categorias comparativas, significa que esse elemento não apareceu no material analisado para o período, não que não tenha existido no Brasil ou na região.

Também foram excluídos da contagem os números de telemetria agregada, como tentativas de ataque, bloqueios, varreduras e médias semanais de vendors, porque não são incidentes com impacto confirmado. Quando esses números são mencionados no relatório, isso ocorre apenas como contexto e sempre identificando a fonte e a janela de medição.

Foi dada prioridade a fontes primárias, como órgãos oficiais, CSIRTs, avisos técnicos dos vendors afetados e comunicados regulatórios. Ficaram fora do uso narrativo principal as fontes promocionais, patrocinadas ou de baixa verificabilidade como base única de tendência, e os fatos sem data confirmada não entraram nas contagens. Quando uma notícia dependia apenas de um leak site ou de um agregador, ela foi tratada como alegação não confirmada.