Situación Nacional de Ciberseguridad - Junio 2026 - USA

Ameaças e campanhas ativas nos EUA

Ransomware e extorsão nos EUA

A ameaça mais visível foi o Silent Ransom Group, que atuou como uma campanha híbrida de extorsão. O grupo não se apoiou em criptografia massiva de arquivos, e sim em roubo de dados e chantagem posterior. Essa mudança tática importa porque desloca o peso da resposta da recuperação técnica para a contenção da exposição, a rastreabilidade de acessos e a verificação de presença física nas sedes. O grupo também recorreu a ferramentas legítimas de acesso remoto e a sites de vazamento como mecanismo de pressão.

O setor jurídico foi o mais exposto, mas não o único. O material também menciona serviços financeiros, seguradoras e organizações profissionais. A tática física, na qual o operador se passa por suporte técnico, reduz alertas automáticos e explora atritos internos entre recepção, TI e usuários finais. Do ponto de vista defensivo, isso exige repensar o controle de visitantes, a validação de identidade e o manejo de dispositivos removíveis.

Fraude e phishing nos EUA

O único caso claramente enquadrado neste eixo foi a combinação de phishing, vishing e impersonação de pessoal de TI dentro da campanha do Silent Ransom Group. O grupo usou e-mails, ligações e engano presencial para obter acesso e, depois, exfiltrar dados em equipamentos corporativos de firmas americanas. No material fornecido, não houve outro caso de fraude financeira ou phishing em massa com confirmação suficiente para destaque separado.

APT e hacktivismo nos EUA

Não houve fatos suficientemente verificados no material de junho para atribuir campanhas APT ou hacktivistas com o mesmo nível de certeza do restante da nota. O sinal predominante de ameaça veio da extorsão, da exploração ativa e do endurecimento regulatório.

Vulnerabilidades críticas com impacto nos EUA

No material de junho, não aparecem quatro críticas com o mesmo nível de comprovação e detalhe técnico. Ainda assim, a soma dessas referências basta para mostrar um padrão: exploração ativa em software de transferência de arquivos, redes corporativas, e-mail e dispositivos móveis. A dispersão das superfícies obriga a tratar o mês como um sinal de pressão transversal, e não como um incidente isolado em um único fornecedor.

Regulação e conformidade nos EUA

A Casa Branca assinou em 22 de junho a ordem executiva Securing the Nation Against Advanced Cryptographic Attacks, identificada como EO 14412. O texto estabelece como política dos Estados Unidos migrar os sistemas federais para padrões de criptografia pós-quântica aprovados pelo NIST e apoiar os operadores de infraestrutura crítica nessa transição. OMB, por sua vez, traduziu essa política em M-26-15, com um esquema por fases que começa com estratégia e inventário em 2026 e se estende até a migração completa em 2035.

O ponto mais exigente está nos prazos. Os ativos federais de alto valor e os sistemas de alto impacto devem usar PQC para estabelecimento de chaves no máximo até 31 de dezembro de 2030, e para assinaturas digitais no máximo até 31 de dezembro de 2031. Além disso, cada agência deve designar um líder de migração, apresentar planos em 120 dias e alinhar sua execução com o NIST IR 8547. Para contratados, o FAR Council deverá propor uma regra em 180 dias que leve a exigência à contratação pública. Isso transforma a criptografia pós-quântica em uma obrigação de compra, não apenas em uma preferência técnica.

Em telecomunicações, a FCC aprovou duas novas regras que mudam a lógica de proteção do EAS e do WEA. Os operadores deverão trocar senhas padrão, aplicar atualizações de firmware com rapidez, segmentar os dispositivos e verificar a origem dos alertas antes de emiti-los. Isso não é um ajuste cosmético. O objetivo é impedir sequestros ou falsificação de alertas que podem gerar dano operacional e social imediato.

A outra frente da FCC foi a atualização do regime para cabos submarinos, a primeira desde 2001. As regras ampliam a supervisão sobre acordos de capacidade e clientes posteriores, restringem tecnologias e serviços vinculados a adversários estrangeiros e introduzem licenças diretas para SLTE. Também aparece um regime de isenção presumida para certos solicitantes que comprovem altos padrões de segurança e operação sem incidentes. A combinação de supervisão reforçada e isenções condicionadas mostra uma política mais granular do que em anos anteriores.

A regulação de privacidade também avançou. Massachusetts aprovou seu Consumer Data Privacy Act com direitos de acesso, correção, eliminação, portabilidade e exclusão de publicidade direcionada. A lei proíbe a venda de geolocalização precisa, limita o tratamento de dados sensíveis e prevê ação privada. Ao mesmo tempo, Minnesota se somou à oposição ao SECURE Data Act e o debate na Câmara federal mostrou uma divisão partidária clara sobre o alcance da preeminência federal em privacidade. O mês terminou assim com uma agenda de conformidade que vai de privacidade estadual a criptografia, passando por telecomunicações, IA e reporte de incidentes.

Setores mais afetados nos EUA

Os setores com fatos documentados foram sete, mas não receberam o mesmo nível de pressão. O segmento jurídico foi o mais atingido pelo Silent Ransom Group. O ponto é relevante, porque escritórios lidam com dados de alto valor, costumam operar com terceiros e dependem de respostas rápidas, o que torna cara qualquer intrusão que afete a confidencialidade.

O segundo bloco sensível foi infraestrutura crítica e telecomunicações. Aí se cruzam as mudanças da FCC sobre EAS, WEA e cabos submarinos com a reativação da CIRCIA. Na prática, o governo federal quer elevar o piso de controle em redes e serviços cuja falha teria impacto massivo, não só sobre seus operadores diretos, mas sobre a continuidade nacional.

Finanças e serviços profissionais também ficaram sob pressão, mais por conformidade do que por um grande caso de comprometimento. A vigência da regra da SEC de divulgação material, a vigência prática das emendas de S-P para certos assessores e a continuidade da FTC Safeguards Rule sustentam um ambiente de obrigações cruzadas. Para muitas empresas, o risco não é um único controle ausente, mas a coexistência de regras diferentes conforme o tipo de entidade, registro e cliente.

Tecnologia e software empresarial apareceram por exploração ativa de produtos específicos. SolarWinds, Cisco, Microsoft e Android somam um conjunto que obriga a priorizar patches e hardening sem esperar que uma intrusão se materialize internamente. Já água ou serviços públicos entrou pela via de relatos de vazamento, suficientes para mostrar que o setor continua no radar da extorsão, embora com confirmação limitada neste caso específico.

Tendências e sinais a monitorar nos EUA

Não há baseline comparativo para o mês anterior, porque este é o primeiro período arquivado com este formato de indicadores para USA. Isso impede afirmar uma variação estatística mês a mês. O que se pode dizer é que junho consolidou uma combinação especialmente densa de regulação e exploração ativa, com predomínio do eixo regulatório e vários incidentes de alta visibilidade em produtos empresariais.

A principal sinal a monitorar é se a pressão regulatória se traduz em execução real durante o segundo semestre. Em particular, será preciso acompanhar a entrega de planos PQC de agências em outubro de 2026, a proposta do FAR Council para contratistas e a capacidade dos operadores de EAS, WEA e cabos submarinos de ajustar controles sem degradar a disponibilidade. Em paralelo, a CISA seguirá impulsionando o esquema de reporte de incidentes sob CIRCIA, com impacto esperado sobre 16 setores.

A segunda sinal é tática. O Silent Ransom Group mostrou que a combinação de acesso humano, USB e suporte remoto legítimo segue vigente e é lucrativa. Se esse padrão se repetir, as organizações terão de reforçar controle de identidade, conscientização de recepção e validação de visitas físicas, não apenas EDR e MFA.

A terceira sinal é a exploração de produtos de alto uso. Serv-U, Exchange e Catalyst SD-WAN aparecem como lembrete de que os atacantes continuam priorizando ferramentas de borda ou de administração central. O risco para USA não está concentrado em um único fornecedor, mas na acumulação de superfícies expostas em e-mail, rede, transferência de arquivos e dispositivos móveis.

Recomendações para equipes de segurança nos EUA

Antes de tudo, priorizar o inventário criptográfico. A migração para PQC já não é uma discussão abstrata. Agências, contratados e operadores críticos precisam saber onde usam RSA, ECDH, ECDSA, DSA e outros algoritmos afetados, quais dependências de terceiros sustentam essas decisões e quais sistemas de alto valor dependem deles. Sem inventário, não há cronograma defensável.

Depois, reforçar os controles sobre acesso físico e suporte interno. O caso Silent Ransom Group obriga a revisar políticas de visitantes, dupla validação para pessoal de TI, manuseio de USB, uso de ferramentas RMM e procedimentos para reportar presença não anunciada em escritórios. O perímetro já não é só a rede.

Em seguida, acelerar a correção de produtos corporativos com exposição direta. Serv-U, Catalyst SD-WAN, Exchange e Android não devem ser tratados como tickets separados. O ideal é priorizar por exposição, privilégio e criticidade operacional. Onde houver administração remota ou e-mail corporativo, o tempo de exposição precisa cair ao mínimo.

Por fim, alinhar conformidade com operação. As novas regras da FCC, SEC, FTC e CIRCIA empurram legal, compliance, segurança e operação a trabalhar no mesmo painel. Se uma organização cai em várias jurisdições regulatórias, precisa de uma matriz única de obrigação, prazo e evidência.

Limitações do material

O informe foi construído exclusivamente com o material fornecido. Não houve uso de internet nem inclusão de fatos externos. Alguns elementos aparecem com confirmação parcial ou atribuídos pela fonte como incertos, por isso foram evitadas conclusões fortes sobre esses pontos. Isso afeta, por exemplo, a menção a possíveis explorações limitadas em Android e a publicação antecipada do rascunho do NIST sobre IoT.

Além disso, embora os indicadores do período registrem 15 incidentes documentados e 8 casos de ransomware ou extorsão, a pesquisa aprofundada consolidada oferece um subconjunto mais restrito de casos com detalhe suficiente para a narrativa editorial. Por essa razão, a nota aprofunda apenas os fatos melhor corroborados e não inventa incidentes adicionais para completar volume.

A cobertura também não inclui um anexo técnico de IoCs ou TTPs porque o material disponível não traz hashes, domínios, IPs nem uma lista pública de táticas e técnicas suficientemente explícita para essa seção. As tabelas e os gráficos se limitaram a informações verificáveis do período.

Gráficos