Peru: panorama de cibersegurança, ago. 2026

Ameaças e campanhas ativas no Peru

A pressão criminosa de agosto foi explicada mais pela combinação de extorsão, fraude e engenharia social do que pela exploração de vulnerabilidades técnicas. O ransomware continuou como eixo principal, mas o phishing e a falsificação de identidade ganharam visibilidade em bancos e meios de pagamento.

Ransomware e extorsão no Peru

O mês registrou 25 casos com ransomware ou extorsão como eixo primário, sendo 5 com cifragem confirmada, 7 apenas mencionados em leak site e 13 em que o material não permite determinar o impacto exato. Essa distribuição importa porque nem todos os casos implicam a mesma gravidade operacional.

No extremo mais sensível está o caso com cifragem confirmada, que no material do mês não aparece acompanhado de confirmação pública robusta da vítima. No outro extremo estão as entradas de leak site, nas quais o dado disponível é a alegação do ator e a publicação na plataforma de extorsão.

Kazu contra o setor de saúde

Kazu mostrou uma concentração clara em saúde. Em 23 de agosto, publicou várias vítimas sanitárias em um único dia, entre elas o Centro Médico Especializado OSI, e os relatórios técnicos descreveram uma campanha ampla contra hospitais, clínicas, telemedicina e software clínico. Para o Peru, isso deixa um alerta concreto sobre fornecedores de saúde e cadeias de suprimento de dados médicos.

O material não permite afirmar que a OSI sofreu cifragem de ativos. Permite dizer que houve alegação de dados médicos sensíveis e ameaça de divulgação, com estimativas de resgate em algumas bases de monitoramento.

Qilin contra manufatura e serviços

Qilin manteve a pressão sobre a Movitecnica e outros alvos regionais, com o caso peruano situado em manufatura. As fontes consultadas apontam dados publicados no leak site e o uso de dupla extorsão, com indícios de arquivos roubados que incluiriam credenciais.

A leitura operacional é que Qilin seguiu atacando organizações médias, com uma mistura de exfiltração e pressão reputacional. Não há elementos no material para afirmar interrupção de serviços no caso peruano.

Killsec e o transporte

Killsec reivindicou a Global Go, uma empresa de transporte, e os agregadores a classificam como incidente de data breach ou data leaked. Embora não haja confirmação pública da organização, o caso é útil para entender como o transporte também aparece exposto a campanhas que buscam monetizar informações internas ou credenciais.

A evidência não permite afirmar cifragem. O que se observa é a publicação em sites de vazamento e a continuidade da reivindicação em várias bases de ameaças.

Fraude digital e phishing em bancos

O Banco da Nação alertou sobre chamadas e mensagens fraudulentas com spoofing telefônico, enquanto a Infobae descreveu identidades sintéticas, deepfakes e fadiga de senhas como técnicas recentes de fraude digital em bancos do país. A face mais visível foi a falsificação de entidades, a manipulação do identificador de chamada e a tentativa de capturar chaves ou códigos de segurança.

Esses casos não são ransomware, mas compartilham o objetivo de acessar contas e esvaziar fundos. A combinação de IA, engenharia social e canais de mensagens ampliou a superfície de fraude sobre usuários e comerciantes.

Exposição de dados e brechas sem tipificação

A Kambista notificou uma possível exposição de dados sensíveis em sua infraestrutura em nuvem, embora tenha dito não ter encontrado evidência de exfiltração no momento do aviso. Esse tipo de caso entra na zona de incidentes sem tipificação porque não se verifica uma brecha consumada nem uma interrupção operacional.

O vazamento de dados de inteligência policial no Telegram e a circulação prévia de "Dirin leaks" também ficaram como sinal de exposição, mas sem um novo hack confirmado em 2026 segundo a própria PNP citada pela imprensa.

Vulnerabilidades críticas com impacto no Peru

Não houve CVEs críticos mencionados no material analisado para agosto de 2026. Isso não significa ausência de vulnerabilidades exploradas na região, apenas que nenhuma foi documentada nas fontes revisadas para este informe.

Regulação e conformidade no Peru

Agosto foi um mês de forte atividade regulatória. A SBS, o INACAL, a OSIPTEL, a SUSALUD, o Indecopi e a PCM avançaram em privacidade, continuidade, identidade, notificação, governança digital e proteção ao consumidor. O padrão confirma uma regulação que cresce mais rápido do que a lei-quadro de cibersegurança.

A SBS avançou em várias frentes. Entre elas estão a otimização da autorização de novas empresas financeiras e de seguros, a mudança do regulamento de notificação via caixa eletrônica, ajustes em limites de dinheiro em espécie e controles de risco, além de novas regras sobre acesso temporário ao histórico de crédito para entidades em trâmite. Também foram divulgadas propostas ligadas a open finance e a pagamentos previdenciários com carteiras digitais e aplicativos.

O eixo mais relevante para a segurança da informação foi o open finance. A Ozone API, com base na Resolução SBS N° 01747-2026, descreveu um modelo com políticas aprovadas pelo conselho, avaliação prévia de riscos, monitoramento contínuo de terceiros, contratos com cláusulas mínimas e relatórios periódicos à SBS. Em paralelo, a reforma de autorização de entidades financeiras introduziu pré-qualificação, prazos máximos e acesso controlado a relatórios de crédito consolidados durante a tramitação.

O INACAL aprovou a NTP-ISO/IEC 29100:2026, sobre privacidade, e a NTP-ISO/IEC 27031:2026, sobre preparação de TIC para continuidade dos negócios. São referências técnicas, não obrigações penais ou regulatórias por si só, mas indicam com clareza a direção de projetos de conformidade e resiliência.

A SUSALUD e o MINSA reforçaram o padrão de confidencialidade clínica após o caso Clínica Delgado. A OSIPTEL, por sua vez, determinou que a reativação do serviço móvel depois do roubo de celulares só ocorra após verificação de identidade, medida voltada a conter suplantações e fraudes associadas à recuperação de linhas.

Em consumo e privacidade, o Indecopi sancionou o Interbank por ligações spam e o BCP por violar a privacidade de um consumidor com comunicações de cobrança a terceiros. São decisões fora do campo estritamente cibernético, mas ajudam a ler o mês: a conformidade sobre tratamento de dados, contato comercial e consentimento permanece sob escrutínio contínuo.

Setores mais afetados no Peru

Saúde e finanças foram os setores mais sensíveis do mês, não apenas pela quantidade de ocorrências, mas pela gravidade do dano potencial. Saúde reuniu uma punição exemplar por confidencialidade, denúncias de ransomware contra um fornecedor especializado e o pano de fundo de vazamentos de dados médicos que continuam aparecendo no debate público.

Em finanças, a pressão não veio de um único incidente, mas de uma soma de fraude digital, phishing, mudanças regulatórias e alertas sobre identidade. A banca tradicional enfrentou spoofing, chamadas falsas, multas por comunicações não consentidas e campanhas que exploram deepfakes e identidades sintéticas. A SBS respondeu com regras mais rígidas sobre terceiros, risco operacional e acesso a informações sensíveis.

Transporte e manufatura também entraram no radar da extorsão. Global Go e Movitecnica mostram que os grupos de ransomware não ficaram restritos ao setor financeiro ou de saúde, e seguiram buscando organizações com dados comercializáveis e capacidade de pressão reputacional. Nos dois casos, o sinal público veio sobretudo de leak sites e agregadores especializados.

O setor público teve sua própria camada de exposição, com vazamentos de informação de inteligência policial e debate sobre capacidades institucionais frente ao cibercrime. Embora o material não confirme um novo ataque contra a DIRIN em agosto, ele mostra que os dados circulam e continuam exploráveis em canais abertos ou semipúblicos.

Tendências e sinais a monitorar no Peru

A comparação com julho mostra aumento claro na atividade verificada, de 47 para 64 fatos, com queda nos incidentes sem tipificação e forte alta em fraude, phishing e regulação. A ameaça predominante não mudou, segue sendo ransomware, mas o mês ficou muito mais concentrado em extorsão publicada, fraude financeira e normas de compliance.

A mudança mais visível está na regulação. Sair de 1 para 15 movimentos regulatórios em um mês não indica só mais boletins, mas também um Estado e supervisores mais rápidos na construção de regras para identidade digital, open finance, continuidade e tratamento de dados. Em paralelo, o avanço de normas técnicas sugere uma padronização crescente da linguagem de privacidade e resiliência.

Também mudou a composição da fraude. De 2 casos documentados em julho para 8 em agosto, a expansão foi puxada por campanhas de spoofing, falsificação de bancos e narrativas de deepfakes e identidades sintéticas. Isso aponta para um cenário em que o risco operacional se concentra mais em autenticação, atendimento ao cliente e recuperação de contas do que em malware puro.

Em ransomware, o volume se manteve em 25 casos, mas com outra visibilidade pública. Agosto trouxe mais sinais de leak site e extorsão do que de criptografia confirmada. É uma diferença importante para equipes de resposta, porque a pressão midiática e jurídica pode existir mesmo quando a interrupção não fica comprovada.

Recomendações para equipes de segurança no Peru

Os times de segurança devem priorizar controles sobre identidade, canais de atendimento e terceiros. O mês mostrou que o ataque mais caro nem sempre começa com malware, mas com uma chamada, um link ou uma credencial reutilizada.

Primeiro, vale reforçar a verificação fora de banda para operações sensíveis, recuperação de contas, mudanças de dados pessoais e reversão de acessos. Os casos de spoofing e de acesso remoto no EsSalud mostram que a engenharia social ainda basta para comprometer fundos ou habilitar transferências.

Segundo, saúde e finanças precisam de procedimentos específicos para dados sensíveis. Na saúde, a confidencialidade clínica deve ser tratada como controle operacional de primeira ordem, com rastreabilidade de acessos, validações de ordem judicial e manejo rigoroso de prontuários. No setor financeiro, o foco deve estar em autenticação baseada em risco, monitoramento de sessões e proteção contra fadiga de MFA.

Terceiro, os programas de terceiros precisam incluir monitoramento real e cláusulas claras. O marco de open finance e a reforma da SBS sobre novas entidades apontam para um ambiente em que a troca controlada de informações será mais frequente, mas também mais exposta a falhas de fornecedores, integrações frágeis e uso indevido de dados temporários.

Quarto, vale diferenciar resposta a ransomware de resposta a exposição. A menção em um leak site não prova criptografia, mas exige revisão de credenciais, tokens, acessos remotos e possíveis vazamentos de informação. Se houver também publicação de dados, a gestão jurídica e de comunicação passa para a primeira linha.

Perguntas frequentes

O que mudou mais no Peru entre agosto e julho: a fraude ou a regulação?

A regulação mudou mais. Em agosto, foram documentados 15 movimentos regulatórios, contra 1 em julho, enquanto os casos de fraude ou phishing subiram de 2 para 8. A combinação sugere mais resposta institucional e, ao mesmo tempo, mais atividade criminosa visível, como se vê em Regulación y cumplimiento en Perú e Tendencias y señales a monitorear en Perú.

Os casos de ransomware do mês sempre implicaram criptografia de sistemas?

Não. O material distingue 5 casos com criptografia confirmada, 7 apenas mencionados em leak site e 13 em que não é possível determinar o impacto exato. Por isso, uma denúncia de ransomware no Peru não equivale automaticamente a interrupção operacional. A tipificação aparece em Indicadores del período en Perú e Amenazas y campañas activas en Perú.

Quais setores ficaram mais expostos pela combinação de incidentes e normas?

Saúde e finanças foram os mais expostos. Saúde concentrou a multa à Clínica Delgado e o caso OSI atribuído a Kazu, enquanto finanças reuniu spoofing, fraude digital, mudanças na SBS e sanções por contato comercial indevido. A leitura cruzada está desenvolvida em Sectores más afectados en Perú e Regulación y cumplimiento en Perú.

Houve vulnerabilidades críticas exploradas no Peru durante agosto?

Nenhuma CVE crítica foi mencionada no material analisado. Isso não significa que não tenham existido vulnerabilidades exploradas na região, apenas que elas não apareceram documentadas nas fontes do mês. O detalhe está em Vulnerabilidades críticas con impacto en Perú e em Limitaciones del material.

Qual caso de agosto teve maior peso para saúde e privacidade?

O da Clínica Delgado, porque combinou uma multa da SUSALUD com o debate público sobre confidencialidade médica, dados sensíveis e obrigações de consentimento. Ao mesmo tempo, o caso OSI adicionou pressão por ransomware e possível vazamento de dados médicos. Os dois fatos se complementam em Incidentes relevantes en Perú e Amenazas y campañas activas en Perú.

O que um SOC peruano deveria observar depois de ler este relatório?

Deveria observar autenticação, contas privilegiadas, recuperação de linhas ou contas, uso de software de acesso remoto e exposição em leak sites. Também deve acompanhar a mudança normativa sobre terceiros, privacidade e continuidade. A resposta prática está resumida em Recomendaciones para equipos de seguridad en Perú, cruzada com os casos de EsSalud, Banco de la Nación e SBS.

Limitações do material

Este informe foi construído exclusivamente com o material fornecido para o Peru e agosto de 2026. A janela temporal dos indicadores inclui 66 fatos datados em agosto de 2026 e exclui 1 fato posterior ao período. Os fatos sem data confirmada não foram contabilizados.

Um indicador em 0, em particular o de CVEs críticos, significa que ele não apareceu no material analisado deste mês, não que não tenham existido vulnerabilidades críticas na região. O mesmo se aplica a qualquer categoria não observada: a ausência no relatório não equivale à ausência do fenômeno.

A base de cálculo dos indicadores é de 64 fatos verificados do período, e a ameaça predominante foi ransomware, com 25 de 64 fatos. Também foram excluídas 2 cifras de telemetria agregada, que correspondem a tentativas ou bloqueios automatizados e não a incidentes com impacto confirmado.

Ficaram fora do corpo, como evidência primária, as redes sociais de consumo e as publicações patrocinadas ou comerciais, salvo quando a informação foi corroborada por fontes permitidas e relevantes. Quando uma fonte era apenas uma alegação de leak site ou um relato não confirmado, o informe a tratou como tal e não a elevou a confirmação independente.