Situación Nacional de Ciberseguridad - Junio 2026 - México

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com fatos e fontes verificadas do período. São a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Resumo executivo do mês no México

Junho de 2026 deixou um sinal claro no México, o mês foi dominado por incidentes documentados, com 41 fatos verificados, e por uma pressão contínua de ransomware e extorsão, que concentrou 17 casos. O retrato não é o de um evento isolado, mas o de uma superfície de ataque ampla, com impacto visível em finanças, telecomunicações, manufatura, setor público e fornecedores de tecnologia.

O eixo financeiro foi o mais nítido para medir o dano. O Banxico informou oito incidentes cibernéticos em instituições do sistema financeiro até maio de 2026, o dobro de todo 2025, e também identificou famílias de ransomware como LockBit e Qilin em eventos concretos. A leitura técnica desses casos mostra um padrão misto, com ataques que afetaram transferências, canais eletrônicos e, em alguns casos, extração de informação hospedada em terceiros.

O mês também mostrou uma segunda camada de exposição, a de dados pessoais e credenciais. Houve vazamentos ligados ao registro de linhas celulares, a bases de dados supostamente associadas a órgãos educacionais, a ambientes estaduais e a domínios fraudulentos usados em campanhas ligadas à Copa do Mundo de 2026. Em paralelo, a Nissan Americas confirmou uma violação decorrente da exploração do Oracle PeopleSoft que alcançou operações no México, com exposição de dados de funcionários e ex-funcionários.

Na frente de exploração ativa, os alertas se concentraram em Cisco Catalyst SD-WAN, PostgreSQL Sidecar, FortiSandbox e Microsoft Defender. A Smartekh documentou campanhas ativas contra entidades governamentais no México e descreveu exploração ou evidência de abuso recente em várias CVEs de alto risco. O quadro geral é de alta pressão tática, com adversários combinando ransomware, vazamento de dados, cadeias de suprimento e aproveitamento rápido de vulnerabilidades recém-divulgadas.

Panorama nacional do mês no México

A leitura de risco para o México em junho de 2026 é alta. O volume é elevado e a severidade também, porque não se trata apenas de mais eventos, mas de ocorrências com capacidade real de interromper serviços financeiros, extrair informações sensíveis, pressionar com extorsão e forçar respostas regulatórias ou técnicas em setores críticos. A combinação de 41 incidentes documentados, 17 casos de ransomware ou extorsão, 4 casos de fraude ou phishing e 7 CVEs críticos mencionados desenha um mês de exposição contínua.

A tendência dominante foi o incidente operacional, não o boato nem a campanha abstrata. Houve evidência de comprometimento em bancos, em uma indústria papeleira, em telecomunicações, em órgãos públicos e em ambientes de fornecedores. Isso sugere que o adversário segue encontrando pontos fracos tanto na periferia tecnológica quanto em sistemas internos com dependência de terceiros. O dado de que 82 por cento dos fatos conta com confirmação direta de fonte reforça que o sinal é robusto, embora o material disponível também traga algumas menções incertas que obrigam a separar fatos verificados de afirmações não plenamente corroboradas.

O México também conviveu com uma discussão regulatória ainda incompleta. A Infobae informou que o país segue sem uma Lei Geral de Cibersegurança plenamente instalada e sem um CSIRT Nacional com capacidades robustas, enquanto o Executivo avançou com a Política Geral de Cibersegurança para a Administração Pública Federal. A isso se somou a exigência da CRT de vincular linhas celulares à CURP até 30 de junho, uma medida que impacta identidade digital e processos de autenticação em serviços massivos.

No contexto regional, o caso mexicano está entre os mais ativos da América Latina por volume de pressão e pela recorrência de ransomware. O país aparece em relatórios jornalísticos e técnicos como um dos ambientes mais atacados da região, com uma mistura de ataques oportunistas, campanhas preparadas e exploração de vulnerabilidades em componentes de uso amplo.

Indicadores do período no México

Incidentes relevantes no México

Banxico e o sistema financeiro mexicano

Banxico atualizou seu documento técnico sobre incidentes cibernéticos ocorridos em 2026 no sistema financeiro mexicano e deixou um retrato concreto da evolução do problema. Até 10 de junho, o banco central havia documentado oito incidentes em instituições financeiras entre janeiro e maio. Metade desse histórico já tinha dois nomes próprios de ransomware, LockBit e Qilin, enquanto os demais casos apontavam para violações em serviços de transferências, canais eletrônicos ou aplicativos de terceiros.

O valor do relatório não está apenas na contagem. Também está na tipologia. O primeiro evento, em janeiro, afetou transferências eletrônicas em um banco e foi contido sem perdas. O segundo, em fevereiro, comprometeu canais e pagamentos interbancários e resultou em uma perda de aproximadamente 91.7 milhões de pesos para a instituição. Em março e abril, surgiram incidentes em uma SOCAP e em uma Sofipo, o que confirma que a pressão não ficou restrita à banca tradicional. Em maio, Banxico acrescentou um caso em uma IFPE e outro banco com extração de informações em poder de terceiros, sem impacto sobre operações financeiras.

A leitura técnica é que a superfície crítica se deslocou entre ransomware, terceiros e serviços transacionais. Não houve um vetor dominante. Houve uma sequência de oportunidades exploradas por diferentes atores ou famílias de malware, e essa diversidade complica a resposta porque exige controles de continuidade, monitoramento de fornecedores e vigilância da integridade dos canais. Em paralelo, o debate público se consolidou em torno dos riscos em transferências, pagamentos e serviços digitais.

Vazamento de dados de telefonia móvel e pressão sobre o registro com CURP

Junho também deixou sinais de exposição massiva no ecossistema de telefonia móvel. A Infobae México informou que um vazamento atribuído a hackers expôs dados de 45,804 usuários de telefonia celular no México, incluindo nomes, números de telefone e RFC. A cobertura situou a maior parte do caso em Chiapas. A Moncloa, por sua vez, relatou cerca de 45,000 registros do cadastro de usuários de telefonia móvel, com impacto sobre a Movistar e vínculo com o PANAUT.

O pano de fundo regulatório veio de imediato. A CRT reiterou que as linhas celulares deveriam ser vinculadas a uma CURP até 30 de junho, ou ficariam bloqueadas. A DPL News informou que, em 12 de junho, 59.167 milhões de linhas estavam vinculadas de um total de 144 milhões, de modo que cerca de 85 milhões ainda não haviam sido registradas. Nesse clima, o vazamento ganhou relevância operacional, porque uma base de assinantes se cruza com autenticação, recuperação de contas e processos comerciais.

O episódio não foi isolado. Paralelamente, circulou material audiovisual e jornalístico sobre um suposto vazamento mais amplo de registros ligados ao mesmo ecossistema, embora parte dessas informações tenha sido apresentada com reservas ou como hipótese sobre intermediários. Para efeito deste informe, o verificável é a exposição confirmada de dezenas de milhares de usuários e a fragilidade do esquema de registro de linhas.

Copamex e a ameaça pública do DragonForce

Em 3 de junho, o DragonForce afirmou ter atacado a Copamex, descrita como uma empresa líder na fabricação de papel no México. O grupo ameaçou publicar dados sensíveis caso suas exigências não fossem atendidas. A fonte situa o caso no setor industrial, mais precisamente em papel e manufatura.

Não há no material disponível confirmação independente de impacto operacional, mas há uma declaração pública da quadrilha e uma ameaça explícita de vazamento. Esse formato importa porque revela a lógica de pressão: primeiro a atribuição, depois a advertência de publicação e, por fim, a eventual negociação. Em termos de risco, a Copamex entra na mesma família de fatos de outros casos de junho, nos quais extorsão e publicidade do ataque são parte central do dano.

Ford do México e a pressão do Krybit

Em 28 de junho, o Krybit afirmou ter comprometido a Ford Motor Company, S.A. de C.V., ou seja, a Ford do México. O DeXpose registrou a denúncia e a ameaça de publicar informações sensíveis caso não houvesse negociação. Uma análise posterior, de 30 de junho, indicou que a empresa não havia confirmado publicamente nenhuma brecha e que a suposta quantidade e natureza dos dados ainda não tinham verificação independente.

Isso deixa dois planos distintos. De um lado, o ator de ameaça reivindica uma intrusão e a usa como pressão. De outro, não há confirmação pública suficiente para tratar o caso como uma violação validada. Ainda assim, o episódio integra o conjunto de 17 casos de ransomware ou extorsão documentados no mês, porque a ameaça de vazamento já faz parte do padrão de coerção observado no México.

Nissan Americas e o efeito transfronteiriço do Oracle PeopleSoft

A Nissan Americas notificou uma brecha ligada à exploração da CVE-2026-35273 no Oracle PeopleSoft. O alcance incluiu operações nos Estados Unidos, Canadá, México e Brasil, com exposição de dados de funcionários e ex-funcionários, entre eles nomes, dados bancários, arquivos financeiros e fiscais e identificadores nacionais. A Devel Group esclareceu que a notificação oficial ocorreu em 25 de junho.

Embora a intrusão não se limite ao México, ela afeta diretamente pessoal e processos do país. O caso é relevante por dois motivos. Primeiro, pelo componente de software corporativo amplamente implantado. Segundo, pela natureza dos dados expostos, que pode alimentar fraude, falsificação de identidade ou campanhas posteriores de engenharia social. Em termos operacionais, trata-se de uma brecha de alto valor para atores que monetizam identidade e credenciais.

Campanhas contra o governo e exploração de vulnerabilidades

A Smartekh relatou campanhas ativas contra entidades governamentais no México e apontou exploração ativa da CVE-2026-20262 no Cisco Catalyst SD-WAN Manager. O aviso da Cisco também incluiu a CVE-2026-20245 e descreveu rotas anteriores de exploração em outras vulnerabilidades da mesma plataforma. O relatório ainda mencionou exploração limitada da CVE-2026-20253 no PostgreSQL Sidecar e provas de conceito para a CVE-2026-50656, RoguePlanet, no Microsoft Defender.

A relevância aqui não está apenas na lista de CVEs. Está no contexto de uso. Há campanha, há observação de exploração e há interesse em sistemas que podem servir de pivô dentro de redes administrativas. O dado ganha peso porque aponta para governo e para infraestrutura digital usada em ambientes com continuidade operacional sensível.

Cronologia resumida de fatos de alto impacto