Paraguai: cibersegurança em outubro de 2026

Incidentes relevantes no Paraguai

Prefeitura de Assunção e WhatsApp de Atendimento ao Cidadão

A Prefeitura de Assunção confirmou o acesso não autorizado à sua conta oficial de WhatsApp de Atendimento ao Cidadão, perdeu temporariamente o controle da linha e pediu que ninguém respondesse mensagens nem abrisse links enviados por esse número. O caso é o incidente mais claro de comprometimento de conta institucional do mês e se conecta com a campanha mais ampla de roubo de WhatsApp observada no Paraguai.

A fonte não publicou indicadores técnicos, domínios nem hashes, então o peso do fato está na confirmação institucional do comprometimento e na resposta pública. Em termos operacionais, o principal impacto foi de suplantação e de risco de fraude derivado, não de indisponibilidade de infraestrutura crítica.

UNA, Corte Suprema e o e-mail intimidador

A Universidade Nacional de Assunção e a Corte Suprema reagiram a um e-mail intimidador que acionou protocolos de segurança, inspeções e suspensão temporária de atividades presenciais no campus. A Polícia preservou cabeçalhos digitais e analisou links associados, mas o material não confirma uma intrusão em sistemas internos nem execução maliciosa na infraestrutura afetada.

A relevância do episódio está na resposta coordenada entre forças públicas, universidade e Poder Judiciário. Também mostra uma modalidade de pressão por e-mail que exigiu gestão de crise imediata, sem que a evidência pública permitisse ir além da investigação preventiva.

Justiça Eleitoral e suspensão preventiva de sites em PHP

O Tribunal Superior de Justiça Eleitoral suspendeu temporariamente sites e sistemas desenvolvidos em PHP depois de avisos do CERT-PY sobre duas vulnerabilidades críticas. A medida foi preventiva e temporária, e se apoiou em relatórios internacionais sobre exploração ativa de CVE-2026-109618 e CVE-2026-109619.

Não há evidência no material de comprometimento confirmado no ambiente eleitoral paraguaio, mas há um sinal claro de exposição técnica suficiente para justificar a contenção. A rapidez da resposta contrasta com outros casos do período em que o dano já estava consumado.

DNIT, suplantação institucional e página falsa de leilões

A DNIT alertou sobre um site falso de leilões que usava sua imagem institucional para pedir dados pessoais. O órgão esclareceu que não administrava nem respaldava esse portal, o que coloca o caso no terreno de phishing e suplantação de marca, não em uma brecha interna confirmada.

O caso importa porque amplia o mapa de abuso de identidade institucional para além do WhatsApp. Também reforça o padrão de outubro, que combinou fraude por canais digitais, mensagens enganosas e exploração da confiança pública.

Ameaças e campanhas ativas no Paraguai

Ransomware e extorsão no Paraguai

A campanha de ransomware e extorsão deixou oito casos no período, mas em cinco deles a fonte não permitiu determinar se houve criptografia, exfiltração ou apenas menção em um site de vazamentos. Essa ambiguidade é central para ler o mês, porque o material disponível mistura declarações de atores, registros de inteligência e confirmações parciais sem prova técnica pública de impacto.

O caso mais claro de criptografia confirmada não está detalhado no material com o mesmo nível de evidência que outros relatos, enquanto MyM ODONTOCLINICA S.A. e Tape Ruvicha aparecem como reclamações atribuídas a grupos de ransomware, sem validação independente da vítima. Alianza Paraguay também figura em um registro de inteligência, mas a própria fonte esclarece que não confirma detalhes de intrusão, exfiltração nem impacto operacional.

MyM ODONTOCLINICA S.A. e Emperador

DeXpose, Yazoul Security e Ransomware.live atribuíram a Emperador uma reclamação contra MyM ODONTOCLINICA S.A., com suposta exfiltração de 2,9 GB e referência a documentos financeiros, dados pessoais e dados de clientes. Nenhuma dessas fontes confirmou de forma independente a intrusão, a criptografia ou a exfiltração em termos verificáveis.

A leitura prudente é que se trata de uma menção em leak site com possíveis dados expostos, mas não de um caso confirmável de impacto operacional no Paraguai. A fonte mais detalhada segue sendo declarativa e não probatória.

Tape Ruvicha e Qilin

Qilin reivindicou um ataque contra Tape Ruvicha e ameaçou divulgar informações sensíveis caso negociações não fossem iniciadas. O material disponível não traz confirmação independente da organização afetada nem evidência de exfiltração ou criptografia.

Por isso, este episódio deve ser lido como uma alegação de extorsão atribuída ao ator, não como uma violação verificada. É um sinal útil para acompanhamento, mas ainda não um fato plenamente tipificado com impacto comprovado.

Alianza Paraguay e ddosecret

Um registro da Dark Eye atribuiu a ddosecret uma reivindicação contra Alianza Paraguay, classificada dentro do setor financeiro, sem detalhar valor, volume de dados, criptografia nem confirmação do comprometimento. A fonte não traz elementos para distinguir se o caso envolveu criptografia, exfiltração ou mera publicação de uma reclamação.

Em termos de inteligência de ameaças, isso serve como indício de interesse de atores sobre o setor financeiro paraguaio. Em termos de incidente, o material segue insuficiente para ir além de uma observação cautelosa.

Fraude e phishing no Paraguai

A fraude documentada no período teve duas frentes: o engano com imagens geradas por inteligência artificial para tentar abrir contas digitais no Banco Atlas e a fraude ligada a uma oferta falsa de créditos para pessoas registradas no Informconf. A isso se somou o alerta da DNIT sobre a página falsa de leilões.

Não há aqui uma campanha única, e sim um padrão de engenharia social que explora a confiança em canais digitais, redes sociais e mensagens de aplicativos. A diferença entre os casos está no objetivo final, abrir uma conta, cobrar um adiantamento ou pedir dados pessoais, mas a lógica de manipulação é a mesma.

APT e hacktivismo no Paraguai

O mês teve um sinal de natureza estatal com a declaração conjunta do MITIC e do Governo dos Estados Unidos sobre operações cibernéticas maliciosas vinculadas à República Popular da China e dirigidas contra instituições do Estado paraguaio. O material não traz IoCs nem atribuição técnica detalhada, mas eleva o tom geopolítico do debate nacional.

Não aparece no período uma campanha atribuível a hacktivismo local com evidência pública suficiente. O peso do mês nesse eixo ficou concentrado na comunicação institucional sobre ameaças estatais e na resposta defensiva do setor público.

Vulnerabilidades críticas com impacto no Paraguai

As duas falhas são críticas e permitem execução remota de código sem autenticação em instalações PHP que atendem solicitações web. O dado operacional mais relevante para o Paraguai não é só a existência do bug, mas a decisão preventiva da Justiça Eleitoral de desativar sistemas até avaliar o risco.

Regulação e conformidade no Paraguai

O Paraguai viveu em outubro um mês de forte tração regulatória, com foco em proteção de dados, criptoativos, cadeia de suprimentos e supervisão institucional. A regulamentação da Lei N.º 7593/2025 continuou pendente, enquanto o MITIC afirmou que a norma passará a vigorar plenamente em 27 de novembro de 2027 e que a versão final do projeto será apresentada para observações.

A discussão não foi apenas técnica. ABC Color e Última Hora registraram dúvidas sobre a localização institucional da autoridade de dados dentro do MITIC, o eventual conflito entre supervisão e digitalização estatal e o uso da lei para negar informação pública. Também foi mencionado que a norma prevê uma agência especializada com autonomia funcional e status de direção nacional.

A regulação tributária também ganhou espaço. A DNIT lembrou a obrigação de informar criptoativos pelo sistema Marangatu e sobre o RUC, enquanto a Câmara Paraguaia de Fintech questionou o alcance operacional da resolução. Esse frente normativo convive com o caso da página falsa de leilões, que mostra como a identidade institucional pode ser usada para extrair dados pessoais fora dos canais oficiais.

No setor financeiro, o BCP alertou sobre a Broker Mercosul, não autorizada como corretora, e detalhou um esquema que usava sites e Telegram para prometer ganhos e exigir depósitos adicionais. Esse aviso, junto de outros esclarecimentos do supervisor sobre fraudes e riscos tecnológicos, reforça que a proteção do usuário ficou como prioridade regulatória visível ao longo do mês.

Setores mais afetados no Paraguai

O setor financeiro foi o mais atingido em volume e variedade de ocorrências, embora nem tudo tenha sido incidente técnico em sentido estrito. Nesse grupo estiveram o caso da Broker Mercosul, a fraude ligada a contas bancárias, a ameaça à Alianza Paraguay e o foco regulatório sobre criptoativos. O setor reuniu estafa, pressão regulatória e exposição a reclamações de ransomware, o que explica seu peso no mês.

O setor público também teve forte presença. A Municipalidad de Asunción, a DNIT, a Justiça Eleitoral, o MITIC e o próprio Poder Judiciário apareceram em fatos distintos, com diferentes graus de impacto. Em alguns casos houve comprometimento confirmado de contas ou portais; em outros, apenas resposta preventiva, alertas regulatórios ou comunicação institucional sobre ameaças.

Educação e Justiça compartilharam o mesmo episódio por meio da UNA e da Corte Suprema. Embora o caso tenha começado como uma ameaça por e-mail, terminou em suspensão de atividades, patrulhamento e denúncias formais. Esse cruzamento entre setores mostra que a gestão de crise digital no Paraguai não se limita a uma única frente.

Saúde, agro e serviços especializados apareceram com menor volume, mas não com menor relevância. As reclamações atribuídas à MyM ODONTOCLINICA S.A. e a supostos bancos de dados ligados ao SENAVE e ao Ministério da Saúde, embora não confirmadas, colocam esses setores no radar de monitoramento.

Tendências e sinais a monitorar no Paraguai

A comparação com setembro mostra menos fatos no total, menos incidentes sem tipificação, menos ransomware como eixo primário, menos fraude e menos movimentos regulatórios. A queda numérica não deve ser lida como relaxamento do risco, porque a ameaça predominante passou de ransomware para não classificado e a proporção de confirmação direta segue limitada. Em outras palavras, o mês foi menos ruidoso, mas não necessariamente mais seguro.

A principal tendência de baixa foi o ransomware. Ele passou de 19 de 63 fatos em setembro para 8 de 48 em outubro, com menor densidade de reclamações e mais material ambíguo. O contraponto é que o mês deixou vários claims sem validação técnica suficiente, o que sugere um ambiente em que o ruído de inteligência de ameaças pesa mais do que a confirmação pública do dano.

O segundo sinal foi a consolidação do WhatsApp como vetor de suplantação. O padrão não é novo, mas neste mês houve mais evidência institucional, mais cobertura local e um caso confirmado em uma municipalidade. Se essa dinâmica persistir, vale tratar a mensageria como superfície operacional de fraude, e não como um simples canal de suporte.

Em vulnerabilidades, outubro foi mais severo que outros meses pela combinação de exploração ativa global e resposta local preventiva. O Paraguai não ficou isolado, e a atuação da Justiça Eleitoral mostra que os alertas internacionais já estão se traduzindo em contenção doméstica. É um sinal positivo de maturidade defensiva, embora ainda dependente da velocidade com que os avisos sejam recebidos.

Em comparação com setembro, também caiu a pressão regulatória quantificada, mas subiu a densidade do debate institucional. A discussão sobre dados pessoais, cadastro eleitoral, cadeia de suprimentos e criptoativos deixou menos anúncios e mais atrito sobre desenho, escopo e autoridade competente.

Recomendações para equipes de segurança no Paraguai

Fortaleçam os controles de recuperação de contas em canais de mensagens. O padrão observado no WhatsApp mostrou que o correio de voz, os códigos de verificação e a engenharia social seguem como os pontos de entrada mais exploráveis. Em empresas e órgãos públicos, vale revisar a política de redefinição, ativar a verificação em duas etapas e remover dependências desnecessárias do voicemail.

Apliquem segregação rigorosa entre contas institucionais e pessoais. O caso da Prefeitura de Assunção mostra que um único número comprometido pode virar vetor de falsificação de identidade e fraude contra terceiros. As equipes que gerenciam o atendimento ao cidadão devem ter fluxos alternativos, alertas de anomalia e mensagens pré-aprovadas para conter rapidamente o abuso.

Corrijam o PHP sem demora e priorizem a exposição web externa. As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 foram exploradas ativamente e levaram a uma desconexão preventiva no âmbito eleitoral paraguaio. Se não for possível aplicar o patch de imediato, convém reduzir a exposição temporária, revisar os frontais públicos e validar o inventário real de aplicações PHP.

Revisem os procedimentos de resposta a ameaças por e-mail e anexos. A UNA e a Corte Suprema precisaram agir com inspeções, preservação de cabeçalhos e verificação coordenada com forças públicas. Esse tipo de incidente exige protocolos claros de preservação de evidências, comunicação interna e escalonamento com o cibercrime.

Reforcem a verificação de marca e identidade para sites e campanhas falsas. A DNIT, o BCP e outras entidades ficaram expostas a falsificações de identidade ou tentativas de golpe usando seus nomes. Um programa de monitoramento de typosquatting, contas falsas e páginas espelho deve fazer parte da operação padrão de segurança e comunicação.

Perguntas frequentes

O que mudou entre a pressão de ransomware e a de WhatsApp no Paraguai durante outubro?

A pressão de ransomware caiu em volume em relação a setembro, mas a manipulação via WhatsApp ganhou peso operacional porque afetou usuários, comércios e uma municipalidade. A leitura cruzada da seção de ameaças e da de incidentes mostra um mês menos centrado em extorsão por vazamento e mais em suplantação de identidade.

Qual é a relação entre as vulnerabilidades de PHP e a resposta da Justiça Eleitoral paraguaia?

A Justiça Eleitoral desativou temporariamente sites e sistemas após alertas sobre CVE-2026-109618 e CVE-2026-109619, enquanto PHP e organismos internacionais confirmavam exploração ativa. A tabela de vulnerabilidades e a seção de incidentes mostram que a reação foi preventiva, não uma admissão de intrusão.

Quais setores paraguaios ficaram mais expostos a fraude e extorsão ao mesmo tempo?

O setor financeiro foi o mais exposto porque recebeu golpes, alertas regulatórios e reclamações de ransomware no mesmo mês. A seção de setores e a de ameaças mostram, além disso, que o setor público e o comércio também lidaram com suplantação institucional e fraude digital.

Como se conectam a regulação de dados pessoais e os alertas sobre páginas falsas ou afiliações sem consentimento?

A lei de dados e sua regulamentação pendente tratam de consentimento, uso do cadastro e retificação de informações, enquanto a DNIT e outras coberturas mostraram páginas falsas e riscos de uso indevido de dados. A seção regulatória e a de fraude apontam para o mesmo problema, a gestão de identidade e de consentimento em canais digitais.

Que leitura operacional o mês deixa para equipes que administram portais públicos?

Essas equipes devem assumir que um aviso de vulnerabilidade, uma ameaça por e-mail ou uma suplantação de marca podem acionar resposta pública em questão de horas. A combinação entre Justiça Eleitoral, UNA, Corte Suprema e Municipalidade de Assunção mostra que a continuidade operacional depende tanto da aplicação de patches quanto da coordenação de crise.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para outubro de 2026. A janela temporal dos indicadores é de 48 fatos datados de outubro de 2026, e a base de todos os indicadores é essa mesma série. Não foram usadas fontes fora da lista permitida nem a internet aberta.

Um indicador em zero, especialmente em CVEs ou em qualquer categoria não observada, significa que não ficou registrado no material analisado do período, e não que não tenha existido no Paraguai ou na região. O mesmo se aplica à ausência de certas tipologias ou setores em alguns módulos: descreve cobertura documental, não inexistência do fenômeno.

O relatório exclui como evidência telemetria agregada, tentativas de ataque, bloqueios automáticos e médias de vendor que não constituem incidentes. Também deixa de fora fontes não permitidas, como redes sociais de consumo e publicações que não estão na lista de fontes habilitadas. Quando o material atribui uma alegação sem confirmação independente, ela é apresentada como tal, e não como brecha verificada.