Situación Nacional de Ciberseguridad - Junio 2026 - Perú

Ameaças e campanhas ativas no Peru

Ransomware e extorsão

O caso Nova contra a SUNASS foi um dos episódios mais claros de extorsão do mês. A Dexpose informou que o grupo afirmou ter comprometido a Superintendência Nacional de Servicios de Saneamiento e ameaçou publicar dados sensíveis se não houvesse negociação. O ponto relevante não é só a atribuição, mas o padrão de pressão pública, com comunicação direta a partir do leak site e ameaça de divulgação.

Um segundo caso de alto interesse foi a aparição da San Silvestre School no site de vazamentos da Krybit em 25 de junho. A Galaxy Warden indicou que o grupo afirmou ter exfiltrado arquivos internos da instituição educacional. O portal ransomware.live já a registra como vítima associada à Krybit e à Qilin, com um primeiro vínculo à Qilin em janeiro de 2026. Isso mostra continuidade do targeting sobre o setor educacional e reutilização de vítimas no ecossistema de vazamentos.

Também houve uma referência à Corporación Primax como vítima listada pela Aurora, embora essa menção tenha sido atribuída por uma fonte especializada e não tenha sido descrita com o mesmo nível de confirmação que os casos anteriores. Ainda assim, o fato se soma ao bloco de sinais que apontam para empresas grandes e com ampla presença operacional.

A Red Piranha, em seu relatório de 23 a 29 de junho, registrou quatro vítimas de ransomware no Peru durante essa semana. O dado confirma que não se tratou de casos isolados, mas de uma continuidade semanal na atividade de ransomware no país.

Fraude e phishing

A HP destacou para o mercado peruano os ataques de phishing impulsionados por inteligência artificial e as fraudes baseadas em deepfakes como riscos relevantes para 2026. A DPL News, a partir do Consumer Cybersecurity Survey 2025 da Bitdefender, apontou que mais de 28 milhões de peruanos estão expostos a golpes digitais. Entre as práticas mais frequentes aparecem a falsificação de identidade, sorteios ou promoções falsas, phishing por mensagens diretas e fraude potencializada por imagens ou vídeos gerados com IA.

Esse bloco não se traduziu em uma única campanha pública dominante em junho, mas em uma pressão sustentada sobre usuários e organizações. Para as equipes de segurança, o dado útil é que o material de referência já incorpora IA tanto do lado defensivo quanto do ofensivo, e isso altera a qualidade do engano e a velocidade de amplificação das mensagens maliciosas.

APT e hacktivismo

Não houve material verificável suficiente para identificar uma campanha APT formal no período. O único elemento com traços de hacktivismo ou ameaça organizada foi o caso da PNP, em que uma cobertura jornalística mencionou um grupo autodenominado Latam Fuckers oferecendo dados na dark web. No entanto, o material disponível não permite consolidar uma atribuição de campanha persistente com o rigor necessário para afirmá-la como tal.

Vulnerabilidades críticas com impacto no Peru

Regulamentação e compliance no Peru

Junho foi mais um mês de execução normativa do que de anúncio abstrato. A ANPD informou sanções a uma empresa por uso indevido de dados pessoais, com multas de até S/ 194 mil. Esse dado, por si só, já deixa clara a natureza dos descumprimentos que continuam gerando impacto econômico concreto no país.

A Lei N.º 29733 e a diretiva sobre oficial de dados pessoais seguiram pautando a agenda de compliance. A Garrigues informou que as entidades obrigadas tinham até 30 de junho de 2026 para se adequar à designação do oficial de dados pessoais, e que a exigência vale para empresas com faturamento anual acima de 2300 UIT que se enquadrem nos casos previstos pela diretiva. A consultoria também destacou que a ANPD publica desde abril uma lista de oficiais designados, o que adiciona uma camada de verificação pública.

A Reniec aprovou, por meio da Resolução Jefatural N.º 000065-2026/JNAC/RENIEC, sua Política e Objetivos Integrados de Qualidade, Antissuborno, Segurança da Informação, Governo e Proteção de Dados. Em termos de gestão interna, esse movimento sugere que a segurança deixa de ficar isolada em um silo técnico e passa a ser incorporada a estruturas mais amplas de governança corporativa e qualidade institucional.

A SBS também ganhou protagonismo. A Ecosistema Startup e o El Peruano mostraram que o regulador avançou com o esquema de Banking-as-a-Service e open finance, com a cibersegurança como requisito central. O regulamento de BaaS seria publicado em julho de 2026 e a norma geral de finanças abertas no início de 2027, com um ano de adequação e início formal das trocas em 2028. A abertura seria obrigatória, em um primeiro momento, para os quatro maiores bancos do país, e depois seria ampliada para outras instituições que demonstrem capacidade técnica, gestão de risco e controles robustos.

A Universidade Wiener reforçou esse enquadramento ao apontar que as circulares vigentes da SBS exigem sistemas robustos de gestão de riscos de segurança da informação. Em paralelo, o artigo da Stakeholders acrescentou que a Marsh propõe cinco pilares para responder ao aumento das ciberameaças: governança e cultura, gestão de ciber-riscos, controles, capacidade de resposta e continuidade do negócio. O conjunto desses sinais aponta para uma regulação que já não se limita à proteção de dados e começa a condicionar o acesso a ecossistemas financeiros abertos.

Setores mais afetados no Peru

O setor público concentrou parte dos sinais mais sensíveis do mês. A PNP foi o caso mais visível, com impacto potencial sobre dados pessoais de cidadãos e agentes, além de uma afetação operacional em seu site institucional. A SUNASS também apareceu no radar de extorsão por ransomware. Quando o material do mês destaca entidades públicas, o problema não é apenas técnico, mas de continuidade do serviço, reputação institucional e proteção de dados de terceiros.

A educação também ficou exposta. A San Silvestre School foi listada em um leak site de ransomware e, segundo a cobertura da Galaxy Warden, teria sofrido exfiltração de arquivos internos. O dado é relevante porque mostra que o interesse dos atacantes não se limita a órgãos com funções críticas do Estado; também alcança instituições educacionais com informações sensíveis de alunos, famílias e funcionários.

O sistema financeiro e os serviços digitais regulados apareceram mais pela via normativa do que por incidentes públicos concretos. A SBS colocou a cibersegurança como requisito para open finance e BaaS, o que significa que bancos, fintechs e provedores associados ficam sob uma exigência maior de preparação. Ao mesmo tempo, as referências da HP, DPL News e Stakeholders mostram que o mercado peruano enfrenta pressão crescente por phishing, deepfakes e fraude digital, o que obriga bancos e plataformas de atendimento a reforçar validações e monitoramento de canais.

Também houve sinais para energia e combustíveis, embora mais difusos. A Gestão mencionou finanças, mineração e energia como setores expostos, e a menção da Primax como suposta vítima de ransomware confirma que a superfície de risco inclui operadores com alta capilaridade logística. O material não permite medir a incidência por setor com precisão estatística além da já informada, mas marca uma convergência entre Estado, educação, finanças e empresas de grande escala.

Tendências e sinais a monitorar no Peru

Não há baseline comparativo porque este é o primeiro período arquivado com este formato de indicadores para o Peru. Isso impede estabelecer variações mês a mês em sentido estrito, mas permite identificar sinais estruturais do mês.

A primeira tendência é a normalização de incidentes com exposição pública. O país não apenas acumula ocorrências, como várias foram visíveis o suficiente para entrar na cobertura jornalística e em alertas oficiais. A segunda é a persistência do ransomware como forma de extorsão com foco em instituições e empresas de marcas conhecidas. A terceira é a maturação regulatória, com um Estado que endurece a conformidade em dados pessoais e prepara o terreno para open finance com requisitos explícitos de segurança.

Em paralelo, vale acompanhar dois frentes. Uma é a resposta institucional, porque o anúncio do simulado do CNSD e a publicação do alerta integrado mostram uma arquitetura de coordenação que pode ganhar frequência. A outra é a conformidade, já que o vencimento de 30 de junho para oficiais de dados pessoais e a implantação do esquema BaaS/open finance vão exercer pressão concreta sobre áreas jurídicas, de segurança e de arquitetura tecnológica.

Recomendações para equipes de segurança no Peru

1. Revisar acessos privilegiados e contas de terceiros, com foco em portais expostos a fornecedores e esquemas de integração externa. O caso Sismate mostrou que o risco não está só no sistema central, mas na cadeia de acesso.
2. Priorizar a proteção de dados pessoais e a validação de controles técnicos e organizacionais. A ANPD já está sancionando e o custo de não demonstrar medidas adequadas deixou de ser teórico.
3. Fortalecer mecanismos antiphishing com filtragem de e-mail, treinamento contextual e verificação fora de banda para operações sensíveis. O material do mês aponta campanhas mais críveis, com uso de IA e falsificação de identidade.
4. Preparar resposta específica para extorsão por ransomware, incluindo playbooks para leak sites, negociação legal, preservação de evidências e comunicação externa.
5. Inventariar dependências de fornecedores críticos e contratos com cláusulas de segurança, auditoria e notificação. Os eventos do mês mostram que o elo de terceiros pode desencadear incidentes de grande alcance.
6. Para instituições financeiras e fintechs, alinhar governança, risco e cibersegurança aos requisitos que a SBS já começa a definir para open finance e BaaS.
7. Validar backup, segmentação e restauração, especialmente em organizações educacionais e públicas, onde a continuidade operacional costuma ser afetada por intrusão e exfiltração.

Limitações do material

O presente relatório foi elaborado exclusivamente com o material fornecido para junho de 2026 e sem acesso à internet. Não foram incorporadas fontes externas, inferências não respaldadas nem dados ausentes na pesquisa.

Alguns fatos aparecem atribuídos pela fonte como não totalmente confirmados, em particular várias menções a leak sites, supostos volumes de dados e certas referências de mercado. Nesses casos, eles foram mantidos apenas como sinais de contexto e não como afirmações categóricas, quando o material não foi suficiente para validação direta.

Também não foram identificados CVEs críticos mencionados no período, nem havia IoCs ou TTPs publicados de forma explícita pelas fontes citadas. Por isso, não foi incluída uma seção técnica de indicadores de comprometimento.