Colômbia: cibersegurança em agosto de 2026

Ameaças e campanhas ativas na Colômbia

Ransomware na Colômbia: criptografia confirmada, exfiltração parcial e várias menções sem tipificação

O mês foi dominado por ransomware, mas o material não permite tratar todo o sinal como um único tipo de impacto. Houve 5 casos com criptografia de ativos confirmada, 2 com exfiltração sem criptografia, 2 que apareceram apenas em leak site e 57 em que a tipificação não pôde ser estabelecida com precisão.

O Ministério da Justiça se encaixa no primeiro grupo. Houve criptografia de arquivos, degradação de serviços e resposta de contenção, embora sem prova pública de roubo de dados. Em paralelo, o caso da PIO PIO atribuído a Majinahanashi aparece como exfiltração com ameaça de vazamento, e o registro de AuditTeam sobre uma entidade financeira segue no nível de menção em leak site.

A conclusão operacional é mais útil do que a etiqueta geral: na Colômbia, o ransomware de agosto combinou impacto operacional real com vários níveis de pressão extorsiva, e o material disponível não autoriza somar tudo como se fosse a mesma coisa. A atribuição, além disso, continuou aberta em vários casos.

Fraude e phishing na Colômbia: suplantação bancária, mensagens falsas e chamadas enganosas

A fraude digital ganhou densidade e visibilidade, com 12 fatos documentados em agosto. As modalidades incluíram mensagens de "pagamento pendente" ou "transferência pendente", falsos assistentes de segurança bancária, e-mails com intimações judiciais ou multas, ligações de supostos funcionários do banco e campanhas falsas de doação após o terremoto.

Os casos mais claros se concentraram em bancos e pagamentos. Bogotá emitiu alertas sobre suplantação de Bre-B, a prefeitura advertiu sobre assistentes virtuais falsos e o El Colombiano documentou golpes bancários por meio de supostas contas de segurança e créditos solicitados com pagamentos adiantados. Também houve alertas por falsos subsídios da Registraduría e por doações fraudulentas.

A leitura deixada pelo mês é direta: os atacantes exploraram momentos de urgência, migrações de clientes, mudanças de processo e canais de atendimento confusos. Isso faz com que a fraude não dependa apenas de volume, mas de oportunidade e contexto.

Campanhas e exploração técnica na Colômbia: o sinal de APT ou intrusão persistente ficou limitado

Além do ransomware e da fraude, o mês deixou um sinal técnico em vulnerabilidades e campanhas de intrusão, embora sem um corpo robusto de fatos que permita falar de uma APT focada na Colômbia. O alerta de SharePoint e os relatos sobre cPanel/WHM mostraram uma superfície de risco relevante para hosting, SaaS e infraestrutura compartilhada.

Também apareceu a campanha StrikeShark, identificada pela Kaspersky e citada em material regional, que incluiu a Colômbia entre os países afetados. No entanto, o material disponível não traz uma vítima local verificada neste período nem detalhe suficiente para transformar isso em uma campanha colombiana plenamente caracterizada.

Vulnerabilidades críticas com impacto na Colômbia

A tabela reúne os identificadores críticos citados no material do mês, mas só um deles aparece ligado diretamente a um alerta colombiano formal, o de SharePoint. Os demais servem como contexto técnico de exposição regional e de endurecimento de patches, não como incidentes locais confirmados.

Regulação e conformidade na Colômbia

A Colômbia fechou agosto com uma frente regulatória ativa, embora mais concentrada que em julho. Foram seis movimentos documentados, ante dezoito no mês anterior, com prioridade para alívios a consumidores financeiros, identidade digital, IA, dados pessoais e a organização das finanças abertas.

A Superintendência Financeira foi a entidade mais visível do mês. Reforçou a atenção a consumidores afetados pelo desastre, publicou a Circular Externa 007 com limites de prazo para refinanciamento e manteve o esquema de "Quejas exprés". A intervenção não é cibersegurança pura, mas integra o ambiente de resiliência financeira digital.

Em dados pessoais, a SIC manteve o foco no RNBD e no tratamento de biométricos. A ordem de encerramento sobre World Foundation e Tools for Humanity, junto com alertas sobre íris e suplantação, mostrou que a discussão regulatória já não gira apenas em torno do consentimento, mas da eliminação efetiva de dados sensíveis e da prova técnica de conformidade.

Em IA, o mês deixou um sistema normativo em construção, com projetos de lei, críticas à viabilidade regulatória e debate sobre vigilância algorítmica, biometria e decisões automatizadas. Não é uma frente fechada, mas já é um vetor de conformidade que começa a se cruzar com fraude, identidade e auditoria de modelos.

Setores mais afetados na Colômbia

O setor público foi o principal alvo do impacto em agosto, com o Ministério da Justiça como incidente central e sinais adicionais em segurança pública, continuidade de serviços e gestão documental. O efeito não foi apenas técnico, também foi administrativo, com reencaminhamento de solicitações, canais alternativos e reconstrução de antecedentes.

Bancos e serviços financeiros surgiram como o segundo grande foco, não por um grande incidente de intrusão, mas pela intensidade das fraudes. Os alertas sobre suplantação bancária, Bre-B, falsos assistentes e migrações de clientes mostram uma superfície de risco muito explorada, em que a engenharia social continua mais rentável do que a exploração técnica complexa.

Telecomunicações e infraestrutura digital trouxeram dois tipos de sinal. Um foi de continuidade, com a falha massiva da Movistar e o alerta da CRC sobre possíveis interrupções para ISPs pequenos. O outro foi técnico, com o alerta de BGP e a vulnerabilidade crítica no cPanel/WHM, que afetam o núcleo da conectividade e da hospedagem.

Também houve presença regulatória e de proteção de dados, especialmente em entidades supervisionadas, fintechs e tratamentos biométricos. A combinação de setores não é acidental: o mês mostrou que o risco colombiano cruza documentos, identidade, pagamentos, conectividade e serviços de governo com bem menos separação do que normalmente se assume.

Tendências e sinais a monitorar na Colômbia

O contraste mais claro em relação ao mês anterior foi a alta de ransomware e fraude. Ransomware passou de 30 casos em julho para 66 em agosto, enquanto fraude e phishing subiram de 1 para 12. Já os movimentos regulatórios caíram de 18 para 6, o que indica um mês mais dominado por incidentes e campanhas do que por produção normativa.

A comparação também mostra que o país não mudou de mapa de risco, e sim de intensidade. Os mesmos setores seguiram presentes, mas o setor público foi mais atingido e o sistema financeiro ficou mais exposto a fraudes. Ao mesmo tempo, a presença de apenas uma CVE crítica mencionada não reduz o risco técnico, porque o material de agosto mostrou exploração ativa em infraestrutura amplamente implantada.

Outro sinal a monitorar é a convivência entre recuperação e exposição. O MinJusticia seguiu restaurando serviços, mas, ao mesmo tempo, persistiram alertas sobre identidade, dados biométricos, finanças abertas e exploração de plataformas. Isso obriga a olhar para a resiliência como um problema de processo, e não só de perímetro.

Por fim, agosto deixou um alerta sobre dependência de terceiros. O caso do Ministério da Justiça envolveu a equipe DART da Microsoft e o BID na recuperação, enquanto em telecomunicações e hosting surgiram riscos ligados a provedores pequenos, infraestrutura compartilhada e painéis de controle expostos. Esse é o tipo de superfície que mais cresce quando a digitalização acelera sem que a maturidade operacional acompanhe.

Recomendações para equipes de segurança na Colômbia

Primeiro, revisar a exposição de serviços remotos e a higiene de contas privilegiadas. O mês mostrou que o ransomware continua entrando por credenciais, acessos expostos e plataformas de administração remota. MFA resistente a phishing, fechamento de RDP desnecessário e segmentação real não são opcionais.

Segundo, reforçar os controles sobre e-mail, SMS, chamadas e mensageria. As campanhas de fraude exploraram falsificação bancária, mensagens de pagamento pendente, falsos assistentes e intimações judiciais. Vale elevar filtros, detectar domínios parecidos, ativar validações fora de banda e treinar os usuários com exemplos locais, não genéricos.

Terceiro, proteger dados sensíveis e biométricos com foco em rastreabilidade. O caso da íris em Cartagena, a discussão sobre a SIC e as obrigações de identidade digital indicam que o problema não termina na coleta de dados, mas em provar por que eles foram coletados, quem acessou, quando foram eliminados e como responder diante de uma reclamação.

Quarto, preparar continuidade específica para sistemas documentais e trâmites cidadãos. O MinJusticia mostrou que um SGDEA fora do ar pode obrigar a reconstruir processos, reabrir fluxos manuais e sustentar o atendimento por canais alternativos. Os planos de negócio deveriam contemplar esse tipo de degradação, não apenas a queda total do site.

Quinto, priorizar a aplicação de patches em painéis de hosting, SharePoint e componentes de borda. Os alertas sobre CVE-2026-50522 e CVE-2026-65643 confirmam que uma vulnerabilidade bem posicionada pode virar uma porta de entrada crítica. Se um serviço público ou um fornecedor terceirizado depende desses produtos, a janela de exposição precisa ser tratada como urgente.

Perguntas frequentes

O que explica agosto ter tido mais ransomware e menos regulação na Colômbia?

Agosto foi dominado por um caso forte de ransomware no Ministério da Justiça e por várias campanhas e relatos associados, enquanto a produção normativa caiu em relação a julho. A comparação entre as duas seções mostra mais pressão operacional e menos atividade regulatória, embora com continuidade em identidade digital, dados e finanças abertas.

Qual é a diferença entre os casos de ransomware confirmados e as menções em leak site?

Em agosto houve 5 casos com criptografia confirmada, 2 com exfiltração sem criptografia e 2 apenas mencionados em leak site. Essa distinção importa porque um leak site não comprova, por si só, impacto operacional nem exfiltração verificável. A seção de ameaças e a de incidentes separam esses níveis para não misturar extorsão com disrupção real.

Como o caso do Ministério da Justiça se relaciona com o alerta de SharePoint na Colômbia?

Eles se relacionam pela superfície técnica e pelo momento. O Ministério da Justiça sofreu um ransomware com serviços degradados, enquanto a COLCERT emitiu um alerta sobre SharePoint Server e o material internacional apontou exploração ativa de uma falha crítica. A tabela de vulnerabilidades e a de incidentes mostram que os dois temas coincidiram no mesmo mês.

Quais setores devem ser observados com mais atenção pelas equipes de segurança na Colômbia?

O setor público, pelo impacto direto do ransomware no MinJusticia, e o setor financeiro, pela escalada da fraude bancária e da falsificação de Bre-B. Também devem receber atenção telecomunicações, hosting e serviços digitais, porque o mês deixou sinais sobre continuidade, BGP, painéis de controle e provedores expostos.

Quais controles concretos ficaram mais urgentes depois de agosto?

MFA resistente a phishing, fechamento de acessos remotos desnecessários, correções rápidas em SharePoint e cPanel/WHM, monitoramento de falsificação bancária por SMS e chamadas, e planos de continuidade para SGDEA e outros sistemas documentais. Essas prioridades decorrem das seções de incidentes, ameaças, vulnerabilidades e recomendações.

O indicador de apenas um CVE crítico significa que não houve outras vulnerabilidades graves na região?

Não. Significa que, no material analisado para a Colômbia durante agosto, foi registrado apenas um CVE crítico dentro do escopo do relatório. A seção de limitações esclarece que um valor baixo ou zero em um indicador não equivale à ausência regional de risco, e sim à falta de registros verificados nesse corpus.

Limitações do material

O relatório foi construído exclusivamente com os fatos fornecidos para a Colômbia em agosto de 2026, mais um fato de meses anteriores usado apenas como contexto comparativo. A janela temporal dos indicadores foi a declarada no início, com 122 fatos datados em agosto, 1 de meses anteriores usado só para comparação e 2 sem data confirmada excluídos das contagens.

Um indicador em 0 ou sem detalhamento, especialmente em CVEs, não significa ausência de vulnerabilidades ou exploração na região. Significa que esse dado não ficou registrado no material analisado para este período. O mesmo vale para categorias em que o material não permitiu confirmar se houve criptografia, exfiltração ou apenas menção em leak site.

A leitura não incluiu telemetria agregada, como volume de tentativas bloqueadas, porque o material não trouxe cifras desse tipo. Também não foram usados como respaldo tendências baseadas apenas em conteúdo patrocinado, comunicados comerciais ou publicações de consumo sem comprovação primária.

Ficaram fora dos indicadores os fatos sem data confirmada e qualquer material não incluído na lista de fontes disponíveis para citação. As referências a redes sociais, quando apareceram no arquivo, só foram usadas se o fato também estivesse sustentado por uma fonte permitida e verificável dentro do corpus.