Paraguai: situação da cibersegurança, junho de 2026

Incidentes relevantes no Paraguai

Sanatórios e medicina privada, impacto operacional por ransomware

O caso mais sensível do mês foi o ataque que afetou sanatórios e empresas de medicina privada no Paraguai. A cobertura de La Tribuna e El Nacional descreve paralisação de sistemas, operação manual e atrasos na admissão, em exames, consultórios, pagamentos e no atendimento ao segurado. Também são mencionadas instituições específicas, entre elas Migone, Grupo Britânico, Las Lomas, Santa Clara e Reyva. O valor analítico do caso não está apenas na atribuição ao ransomware, mas na degradação do serviço clínico, que obriga a redesenhar processos em tempo real e expõe os prestadores a uma tensão direta entre continuidade operacional e manejo de informações clínicas.

A fonte pública não confirma pagamento de resgate nem vazamento consumado de dados no momento da nota. O que fica claro é que o impacto operacional foi suficiente para obrigar a reinstalação de procedimentos manuais. Na saúde, esse tipo de interrupção produz efeitos que vão além da tecnologia, altera registros, tempos de espera e, potencialmente, a rastreabilidade dos atendimentos.

Enrique Remmele S.A.C.I. e Krybit

Em 17 de junho de 2026, Malware.news e ransomware.live registraram a Enrique Remmele S.A.C.I. como vítima de Krybit. As informações públicas disponíveis apontam para uma fase inicial de documentação, o portal de acompanhamento indica Paraguai como país e a mesma data de 17 de junho como estimativa do ataque, com algumas credenciais de terceiros comprometidas, mas sem inventário completo do dano. Não há no material um detalhamento fechado sobre o tipo de exfiltração nem sobre um ciframento confirmado neste caso.

O relevante para o informe nacional é que a ERSA aparece como uma vítima industrial com exposição pública em um grupo de ransomware que já operava como RaaS e com técnicas de dupla extorsão. Para o Paraguai, isso acrescenta um sinal de risco sobre manufatura e indústria de processo, onde indisponibilidade e pressão reputacional costumam andar juntas.

Grupo Riquelme e Nightspire

Em 25 de junho de 2026, DeXpose reportou que Nightspire afirmou ter atacado o conglomerado paraguaio Grupo Riquelme. Ransomware.live data o caso em 13 de junho e detalha categorias de informação supostamente comprometidas, como bases de dados, dados bancários e financeiros, registros contábeis, informações de clientes, recursos humanos e dados de aplicações empresariais críticas. Breachsense acrescentou que o vazamento atribuído chega a 133 GB, embora esse dado não comprove por si só o conteúdo exato nem a magnitude do dano operacional.

Neste incidente, a fonte permite situá-lo com clareza na lógica de extorsão sobre dados. O que ela não permite é confirmar de forma conclusiva se houve ciframento de ativos ou se o foco esteve na ameaça de divulgação. Por isso, para fins analíticos, o caso deve ser lido como extorsão com exposição potencial de múltiplas camadas de informação corporativa.

Reconhecimento facial em Assunção, petição à CIDH

EFF, TEDIC e CEJIL apresentaram uma denúncia à Comissão Interamericana de Direitos Humanos contra o Estado paraguaio pela negativa em entregar informações sobre sistemas de reconhecimento facial usados como vigilância em massa. A petição foi formalizada em 19 de junho, segundo El Notariado, e a EFF descreve que o caso gira em torno de câmeras instaladas desde 2019 em Assunção e da falta de acesso a protocolos de uso e tratamento de dados biométricos.

Embora não se trate de um incidente de ciberintrusão, é um fato de segurança e governança digital com impacto direto sobre privacidade e controle democrático. O caso evidencia que o debate de cibersegurança no Paraguai já não passa apenas por malware ou fraude, mas também por transparência estatal, biometria e direitos fundamentais.

IRS, alteração de registros e fraude informática

O relatório de Auditoria Interna do IPS documentou um esquema de alteração de registros no sistema REI para ocultar dívidas patronais e transferi-las para identidades fictícias ou falecidas. O material disponível descreve uma manipulação interna de dados e não uma intrusão externa clássica, mas constitui um caso de fraude informática com impacto patrimonial. O padrão é diferente do ransomware, embora o efeito sobre a integridade da informação seja semelhante no que diz respeito à confiança e à rastreabilidade.

Para a leitura nacional, o caso funciona como lembrete de que os riscos de segurança não vêm apenas de fora. A manipulação de sistemas internos por usuários com acesso também pode produzir dano material, fraude e problemas de controle.

Ameaças e campanhas ativas no Paraguai

Ransomware e extorsão: criptografia confirmada

Em junho foi possível confirmar a criptografia de ativos em três casos no país, mas apenas um deles foi descrito com clareza operacional suficiente no material, o ataque contra sanatórios e empresas de medicina privada, que deixou sistemas paralisados e obrigou a operação manual. O quadro é compatível com criptografia ou indisponibilidade severa provocada por ransomware, embora a fonte pública não traga detalhes forenses sobre o payload nem sobre a recuperação.

Para não superdimensionar o que não foi comprovado, convém separar esse caso de outros em que a fonte apenas descreve uma reivindicação em portal de vazamentos ou uma ameaça de divulgação. No ambiente paraguaio de junho, essa distinção pesa porque a leitura de risco muda bastante conforme houve criptografia, exfiltração ou só publicação da vítima.

Ransomware e extorsão: exfiltração ou pressão sobre dados sem criptografia determinável

Grupo Riquelme se encaixa melhor nessa categoria. Nightspire afirma o ataque e a exposição de dados sensíveis, e ransomware.live lista categorias comprometidas. Ainda assim, o material não deixa fechado se a operação incluiu criptografia de sistemas, apenas exfiltração ou uma combinação dos dois. Algo parecido ocorre com ERSA, onde a visibilidade pública está centrada na reivindicação de Krybit, no alerta de publicação de dados e na ficha da vítima em sites de monitoramento, mas não em um postmortem técnico completo.

Esse detalhe é importante para equipes de defesa e de compliance. Nem todo caso listado por um grupo em seu portal significa, necessariamente, perda de disponibilidade. Às vezes a pressão recai sobre confidencialidade e negociação, não sobre a operação. Em outros, como no setor privado de saúde, o dano operacional ficou visível desde o início.

Ransomware e extorsão: apenas menção em leak site

O material de junho também traz casos em que o sinal público é principalmente uma menção em sites de vazamento ou de inteligência de ameaças. Isso não equivale, por si só, a confirmação de impacto total, mas credencia o interesse do ator e uma exposição que pode evoluir. No informe nacional, essa categoria serve para não misturar fatos já verificados com campanhas que ainda estão em fase de reivindicação.

Fraude e phishing

O material documenta três casos de fraude ou phishing no período. O mais claro é o esquema interno detectado no IPS, no qual dados foram manipulados para transferir dívidas e criar aparência de regularidade. Embora não seja phishing em sentido estrito, trata-se de fraude documentada com uso indevido de sistemas. Além disso, a informação técnica sobre Krybit descreve phishing direcionado como vetor de acesso, mas isso aparece como característica do ator e não como um incidente local independente no Paraguai.

APT, espionagem ou hacktivismo

Não houve no material do mês um caso paraguaio claramente tipificado como APT ou hacktivismo com impacto confirmado. O eixo dominante de ameaça continuou sendo ransomware, extorsão e fraude interna. Isso não significa ausência de risco de espionagem ou ativismo, apenas que o conjunto de fatos verificados não foi suficiente para sustentar uma tipificação nesse sentido.

Vulnerabilidades críticas com impacto no Paraguai

Regulamentação e compliance no Paraguai

Junho foi especialmente ativo em regulação. O país já conta com a Lei 7593/2025 sobre Proteção de Dados Pessoais, com vacatio legis até novembro de 2027, e isso continuou gerando análises sobre adequação interna, consentimento, transparência, proporcionalidade e avaliações de impacto. O ponto crítico não é apenas jurídico, mas operacional: quais sistemas usam dados sensíveis, como a finalidade é documentada e quem tem acesso a tratamentos automatizados.

Em paralelo, foi documentado um projeto de lei sobre propaganda eleitoral nas redes sociais que proíbe microtargeting baseado em perfis ideológicos ou filiações políticas sem consentimento e cria um registro obrigatório de contas para publicidade política digital. Também foi relatado que legisladores impulsionam uma estratégia para regular IA e regulamentar a lei de dados, com classificação por níveis de risco, proibição de vigilância biométrica indiscriminada e um registro público de sistemas de IA. Isso mostra uma agenda que tenta fechar várias lacunas ao mesmo tempo, embora ainda no nível de desenho.

A frente de ativos digitais também avançou. A Revista Plus e a Atlas21 informaram sobre trabalhos regulatórios para aplicar normas do mercado de capitais a ativos digitais e sobre novas obrigações de reporte para transações em bitcoin e outras criptomoedas acima de 5.000 dólares anuais. A InfoNegocios, por sua vez, destacou que o Paraguai segue sem uma lei fintech nem um marco integral único para ativos digitais, o que obriga a operar com regras parciais de várias autoridades. O cenário resultante é de maior supervisão, mas ainda fragmentada.

A denúncia da EFF, TEDIC e CEJIL à CIDH pelo uso secreto de reconhecimento facial acrescenta uma dimensão diferente. Não se trata apenas de compliance, mas de governança democrática de tecnologias de vigilância. Para organizações que trabalham com biometria, videovigilância ou análise automatizada, a mensagem é clara: o período de transição regulatória já não é teórico.

Setores mais afetados no Paraguai

O sinal setorial do mês se concentrou em saúde privada, indústria, serviços jurídicos ou de compliance, e na área pública ligada à vigilância e à gestão de dados. A saúde privada foi o setor com maior impacto operacional visível. O motivo é evidente: um sistema clínico fora do ar afeta agendamento, prontuários, admissão, cobranças e atendimento. Nesse tipo de ambiente, a continuidade digital não é uma comodidade, faz parte do serviço.

A indústria aparece pelo caso da ERSA e também pela exposição de conglomerados como o Grupo Riquelme. A preocupação ali passa por disponibilidade, segredos comerciais, contabilidade, dados de clientes e continuidade de processos administrativos. A lógica da extorsão é diferente, mas igualmente sensível. Se um grupo empresarial opera várias linhas de negócio, um único incidente pode atingir mais de uma frente operacional.

O setor público também figura, embora por outros motivos. O IPS não foi uma intrusão externa documentada, mas um caso de manipulação interna de registros. Ainda assim, o dano é comparável em termos de integridade da informação e de confiança institucional. A denúncia sobre reconhecimento facial, por sua vez, abre uma frente de privacidade e vigilância estatal com efeitos transversais para toda a administração.

O conjunto dos fatos mostra ainda uma relação cada vez mais estreita entre tecnologia, regulação e serviços ao público. Saúde, finanças, vigilância, consumo e criptoativos aparecem conectados pela necessidade de regras claras, rastreabilidade de acesso e resposta a incidentes. Não se trata de setores isolados, mas de camadas sobrepostas de uma infraestrutura digital que ainda está amadurecendo.

Tendências e sinais a monitorar no Paraguai

Não há base comparativa mês a mês porque este é o primeiro período arquivado com esse formato de indicadores para o Paraguai. Por isso, não cabe inventar uma taxa de aumento ou queda em relação a maio. Ainda assim, junho deixou uma combinação de ransomware em operação, extorsão de dados e expansão regulatória que merece acompanhamento em julho.

O primeiro sinal a monitorar é a saúde privada. Se persistirem incidentes com operação manual, isso significa que a resiliência e os planos de recuperação ainda não absorvem a carga de ataques desse tipo. O segundo é indústria e conglomerados. A exposição de ERSA e Grupo Riquelme sugere que os atacantes seguem encontrando valor em companhias com várias unidades de negócio e dados financeiros ou trabalhistas de alto impacto.

O terceiro é a maturação da agenda normativa. A Lei 7593/2025, as iniciativas sobre IA, a regulação de propaganda eleitoral e as regras sobre ativos digitais apontam para uma aceleração real da conformidade. Para as equipes de segurança, isso muda o foco, já não basta responder a incidentes, também é preciso documentar tratamentos, acessos, monitoramento e uso de biometria.

O quarto sinal é a tensão entre vigilância e privacidade. O caso da CIDH pode virar referência regional se avançar. Se isso ocorrer, o Paraguai terá de revisar não só a legalidade da implementação, mas também a transparência e a avaliação de impacto de tecnologias de reconhecimento facial.

Por fim, convém acompanhar a evolução técnica de Krybit e Nightspire. O material de junho descreve grupos com RaaS, dupla extorsão, uso de ferramentas legítimas, abuso de RDP e, no caso de Nightspire, uma técnica de intrusão que chega a explorar CVE-2024-55591 em alguns cenários. Isso não significa que o Paraguai esteja sendo alvo de uma campanha única, mas mostra que o país enfrenta atores que combinam acessos oportunistas e pressão pública.

Recomendações para equipes de segurança no Paraguai

1. Priorizar a continuidade operacional em saúde, indústria e serviços com atendimento ao público. Se um ransomware obriga a operação a migrar para o modo manual, a organização já chegou tarde ao plano de resposta. É preciso testar recuperação, segmentação e restauração com exercícios reais.
2. Revisar acessos remotos, RDP e ferramentas legítimas de administração. Os atores observados no material usam software de acesso remoto, administração e exfiltração que pode passar despercebido se não houver controle fino de comportamento.
3. Fortalecer o controle de identidades e privilégios internos. O caso do IPS mostra que a ameaça também pode vir de dentro, com usuários que alteram dados, saldos ou rastreabilidade.
4. Preparar inventários de dados sensíveis e tratamentos automatizados. A Lei 7593/2025 e o debate sobre IA, biometria e vigilância exigem saber quais dados são processados, com qual base legal e quem acessa.
5. Revisar o uso de biometria e videovigilância com critérios de minimização, transparência e avaliação de impacto. O caso de reconhecimento facial diante da CIDH pode elevar o padrão esperado para entidades públicas e privadas.
6. Segmentar sistemas clínicos, contábeis e de atendimento ao cliente. A combinação de criptografia e extorsão faz com que uma única indisponibilidade afete várias funções críticas ao mesmo tempo.
7. Monitorar superfícies expostas em serviços de borda e aplicações públicas. O material técnico sobre ransomware em junho insiste em vetores como phishing direcionado e exploração de serviços expostos sem patch.
8. Alinhar segurança com conformidade regulatória em ativos digitais e pagamentos. As novas regras de reporte cripto e as isenções fiscais para PSAV e fintech implicam processos documentais e controles de rastreabilidade que não devem ficar fora da área de segurança.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para o Paraguai em junho de 2026. Não houve acesso à internet nem a fontes externas fora da lista autorizada. A janela temporal dos indicadores inclui 66 fatos com data em junho de 2026, 3 fatos de meses anteriores usados apenas como marco comparativo e 1 fato sem data confirmada, que foi excluído dos indicadores.

Um ponto metodológico-chave é que um indicador em zero, em especial o de CVEs se esse tivesse sido o caso, significa apenas que não houve registro no material analisado, e não que não exista atividade ou exploração crítica na região. Neste mês, o indicador de CVEs críticos mencionou 1 caso, portanto a ausência de outros nomes não deve ser interpretada como ausência de vulnerabilidades no Paraguai ou na América Latina.

Também é preciso distinguir entre incidentes e telemetria. A cifra de 734,5 milhões de tentativas de ciberataques citada por La Nación e atribuída à Fortinet corresponde a tentativas ou bloqueios automatizados de 2025, e não a incidentes com impacto confirmado em junho de 2026. Por isso, ela não integra o volume do mês nem serve para medir sozinha o dano real.

Em relação às fontes, foram excluídas redes sociais de consumo, conteúdo patrocinado e notas cujo valor era principalmente promocional. Quando uma afirmação dependia apenas de material com atribuição incerta, ela foi tratada como tal e não como certeza. O relatório prioriza fatos confirmados, comunicados do próprio veículo ou do rastreador técnico, e documentação regulatória ou institucional disponível no arquivo fornecido.