Situación Nacional de Ciberseguridad - Junio 2026 - Colombia

Ameaças e campanhas ativas na Colômbia

Ransomware e extorsão na Colômbia

A base do mês não foi um ransomware cifrador clássico, mas a extorsão com foco em roubo de dados, acesso remoto e pressão sobre vítimas corporativas. A Silent Ransom Group foi a referência mais útil para entender essa transição. Os relatos citados por SOSRansomware, Rescana, SocPrime e TechCrunch descrevem um modelo que prioriza vishing, phishing, acesso remoto legítimo, dispositivos USB e até a infiltração de pessoas que se passam por técnicos de TI para entrar fisicamente em escritórios.

No contexto colombiano, essa modalidade importa porque se encaixa em ambientes de serviços profissionais, BPO, educação, saúde e corporativo, os mesmos setores que a Semana identificou entre os mais afetados pela crise de maio e que seguiram aparecendo em junho como áreas de maior risco. Não há evidência no material de um evento de ransomware cifrador na Colômbia durante o mês, mas há pressão contínua sobre dados e credenciais que alimenta extorsão e fraude.

Fraude e phishing na Colômbia

A fraude foi o segundo grande eixo do período. A Superintendência Financeira lançou o microsite "Protégete de los fraudes", com foco em phishing, smishing e sinais de alerta ligados a operações financeiras digitais. A SIC, por sua vez, difundiu uma campanha diante do aumento da suplantação de identidade no país, apoiada em reclamações recebidas desde 2022.

A Lei 2573 de 2026 reforça esse frente ao exigir validação de identidade, rastreabilidade e mecanismos de resposta diante de suplantação, com efeitos diretos sobre bancos, fintechs, operadoras e comércios com competência creditícia. Em junho, já não se tratava apenas de alertar sobre o problema. O regulador passou a transformá-lo em uma obrigação de processo, evidência e resposta.

APT, hacktivismo e campanhas de exposição na Colômbia

Não houve material verificável suficiente para atribuir uma campanha APT clássica de alcance nacional em junho. Houve, porém, evidência de pressão voltada à exposição pública, suplantação e desinformação. O boletim eleitoral de ColCERT e Registraduría mencionou domínios e bots fraudulentos, narrativas manipuladas com inteligência artificial e achados de credenciais em fóruns clandestinos. É uma superfície em que hacktivismo e operação criminosa se cruzam sem necessidade de grande sofisticação técnica.

Essa mistura também aparece no vazamento de Defensores de la Patria. A disputa entre uma plataforma que nega a fuga e veículos que dizem ter verificado o acesso público aos dados deixa um terreno típico de campanhas de pressão digital, no qual a exposição de informações cumpre ao mesmo tempo uma função política, reputacional e operacional.

Vulnerabilidades críticas com impacto na Colômbia

Regulação e conformidade na Colômbia

Lei 2573 de 2026 e seu impacto na identidade digital na Colômbia

A Lei 2573 de 2026 foi a mudança regulatória mais sensível do mês em matéria de fraude e identidade. A norma desenvolve os direitos de habeas data, intimidade e bom nome diante da suposição de identidade, e obriga entidades financeiras, fintechs, SEDPE, teles e varejistas de crédito a implementar controles razoáveis e suficientes para verificar a identidade.

O ponto mais forte do regime é a carga dinâmica da prova. Se uma pessoa reclama por suposição de identidade, a entidade precisa demonstrar que seus controles funcionaram. Isso muda o eixo da discussão, já não basta ter procedimentos escritos, é preciso provar sua efetividade. Além disso, o material de Facephi, Cuatrecasas e DataCrédito Experian coincide ao apontar a ordem de mecanismos de suspensão de cobranças, correção de relatórios negativos e tratamento específico para vítimas de falsidade pessoal.

SIC e a campanha contra a suposição de identidade na Colômbia

A Superintendência de Indústria e Comércio lançou uma campanha para prevenir fraudes digitais e alertou para o aumento da suposição de identidade. A Cuatrecasas também relatou um projeto de resolução que altera o Título V da Circular Única, com novas regras sobre certificação de autorizações, bloqueio de informações, comunicação prévia ao reporte negativo, permanência de dados e reporte anual de reclamações.

A leitura prática para as entidades é direta. O cumprimento já não se limita à formalidade documental. Agora se espera capacidade de resposta a reclamações, rastreabilidade de autorizações e tratamento diferenciado para vítimas de fraude. O marco regulatório está se alinhando à pressão operacional do crime.

Saúde, transporte e administração pública na Colômbia

A Resolução 1058 de 2026 do Ministério da Saúde adotou a Política Nacional de Qualidade em Saúde 2026 a 2035 e definiu padrões para segurança do atendimento, proteção de dados e idoneidade técnica em serviços a distância. A Resolução 8150 da Superintendência de Transporte, por sua vez, vinculou o tratamento de dados sensíveis, como biométricos e audiovisuais, à Lei 1581 de 2012 e definiu obrigações do encarregado do tratamento.

Na Presidência, a Resolução 0419 incentivou o uso estratégico de dados, analytics, dados abertos e interoperabilidade. Juntas, essas medidas mostram uma administração pública que começa a organizar melhor o uso dos dados, mas também a reconhecer que esses dados exigem controles, rastreabilidade e limites mais explícitos.

Superintendência Financeira e controle interno na Colômbia

A Resolução 0877 de 11 de junho criou os cargos de Oficial de Segurança da Informação e Continuidade do Negócio, e de Oficial de Proteção de Dados Pessoais dentro da Superintendência Financeira. É um sinal de maturidade institucional, porque leva a discussão de segurança do plano técnico para o de governança corporativa e conformidade.

A mesma entidade lançou a ferramenta "Protégete de los fraudes", com orientações concretas para evitar phishing e smishing, e com referência expressa à denúncia por CAI Virtual ou Fiscalía quando a fraude se concretiza. A agenda financeira do mês combinou educação, desenho institucional e regulação preventiva.

Setores mais afetados na Colômbia

Os setores com fatos documentados em junho foram oito, mas a distribuição não foi igual. Saúde, educação, BPO e corporativo seguiram aparecendo como áreas de maior exposição, de acordo com a Semana. O setor público também ficou sob pressão pelas credenciais do ecossistema eleitoral, pela campanha FortiBleed e por diversas resoluções voltadas a melhorar controles e perfis de responsabilidade.

Em paralelo, o setor financeiro teve presença destacada do ponto de vista regulatório e fraudulento. A Lei 2573, a campanha da SIC e a ferramenta da Superintendência Financeira mostram que a fraude de identidade está atingindo em cheio essa vertical. Não é por acaso que o mês tenha deixado tantas peças sobre verificação de usuário, validação de operações e correção de relatórios.

A saúde merece uma menção à parte. De um lado, foi um dos setores citados nos relatórios regionais de incidência. De outro, a Resolução 1058 incorporou requisitos de segurança da atenção, dados e prestação remota. Isso sugere que a exposição não é apenas criminal, mas também regulatória e operacional. O setor precisa garantir ao mesmo tempo continuidade, confidencialidade e validade das informações clínicas.

O transporte e a administração pública fecharam a lista de áreas visíveis do período. O tratamento de biometria, audiovisuais e infraestrutura de vigilância, junto com o impulso ao uso estratégico de dados em entidades públicas, reforça a ideia de que os riscos de junho não se concentraram em um único vertical, mas circularam por camadas de gestão estatal e serviços críticos.

Tendências e sinais para monitorar na Colômbia

Não há baseline comparativo para este país, porque este é o primeiro período arquivado com este formato de indicadores. Por isso, não cabe inventar uma variação mês contra mês. Ainda assim, há sinais a acompanhar de perto a partir de junho.

O primeiro é o peso crescente da suplantação de identidade. A SIC, a Lei 2573, a Superintendência Financeira e a DataCrédito Experian apontam todos para a mesma direção. A validação de identidade deixou de ser um tema periférico e passou a ocupar o centro da conformidade antifraude.

O segundo é a persistência de campanhas de exposição de credenciais e vazamentos públicos. O caso CNE, o vazamento de Defensores de la Patria e os indicadores de comprometimento divulgados pelo CC-CSIRT sugerem que a frente de credenciais segue como uma porta de entrada relevante. Também indica que o mercado clandestino continua ativo e interessado em dados colombianos.

O terceiro é a exposição da borda tecnológica. FortiBleed e as referências a vulnerabilidades exploradas ativamente mostram que dispositivos perimetrais, sistemas de administração e plataformas amplamente implantadas continuam entre as prioridades dos atacantes. Isso vale tanto para o setor público quanto para empresas com baixa visibilidade externa de seus próprios ativos.

O quarto sinal é o aumento da pressão regional. A Semana e o Portafolio já colocam a Colômbia no grupo de países mais atacados da América Latina. Isso não é apenas uma estatística regional, também é um alerta sobre volume, atratividade para campanhas transfronteiriças e acúmulo de sinais adversos em setores com alta dependência digital.

Recomendações para equipes de segurança na Colômbia

Primeiro, revisar o controle de credenciais expostas, tanto em contas institucionais quanto em acessos de terceiros. Junho mostrou que os atacantes seguem explorando vazamentos e stealer logs como insumo operacional. Rotação, revogação e monitoramento de reutilização devem ficar como prioridade.

Segundo, reforçar o tratamento da identidade digital. As áreas de fraude, risco, compliance e cibersegurança deveriam trabalhar com métricas comuns sobre validação, rastreabilidade e resposta à falsificação de identidade. Se a entidade não consegue demonstrar controles, a nova arquitetura regulatória a deixa em posição frágil.

Terceiro, revisar a exposição de perímetro e de plataformas de administração. FortiBleed deixou um exemplo claro de como um fabricante amplamente implantado pode se tornar vetor de risco sistêmico. Convém inventariar interfaces expostas, hardening, MFA, segmentação de administração e critérios de atualização urgente.

Quarto, fortalecer a detecção de phishing, smishing e vishing. A campanha da Superintendencia Financiera e os relatórios sobre Silent Ransom Group mostram que o componente humano segue crítico. As equipes devem combinar treinamento com controles de e-mail, canais de mensagens e autenticação reforçada.

Quinto, formalizar a resposta a vazamentos com impacto regulatório. Não basta investigar o fato, é preciso preservar evidências, acionar a área jurídica e definir a comunicação externa. Em um mês como junho, com exposição pública de bases e debate sobre a autenticidade do vazamento, a velocidade de resposta importa tanto quanto a qualidade técnica.

Limitações do material

O relatório foi elaborado exclusivamente com o material fornecido. Não foram consultadas a internet nem fontes externas fora da lista autorizada.

Não há baseline comparativo para o mês anterior, por isso não foram construídas tendências quantitativas mês a mês. As comparações se limitam à leitura qualitativa do período e a referências regionais contidas nas fontes.

Parte do material aparece atribuída pela própria fonte ou com grau explícito de incerteza, por isso, nesses casos, a formulação foi mantida prudente e os fatos confirmados foram consolidados. Quando a fonte não permitiu validar um ponto, ele não foi tratado como certeza.

Anexo técnico: indicadores de compromisso e TTPs

O Boletim Informativo N.º 038 do CC-CSIRT indicou a existência de múltiplos indicadores de compromisso associados a campanhas de malware na Colômbia, e o boletim PMU Ciber Electoral 2026 N.º 005 enviou recomendações sobre rotação de credenciais, autenticação multifator e monitoramento reforçado diante de falsificação e exposição de contas. Além disso, o material consolidado sobre o Silent Ransom Group descreve TTPs de vishing, phishing, abuso de ferramentas de acesso remoto, uso de RMM, USB e acesso físico encoberto por falsos técnicos de suporte. No caso do FortiBleed, a fonte destacou exposição de interfaces de administração e abuso de credenciais em dispositivos Fortinet.