EUA: panorama de cibersegurança, agosto de 2026

Ameaças e campanhas ativas nos EUA

Ransomware e extorsão

Em agosto, o ransomware dominou como eixo principal, com 25 casos em 92 ocorrências e um grau de certeza muito desigual. Houve dois casos confirmados de exfiltração sem criptografia, quatro menções apenas em leak site e 19 situações em que o material não permitiu determinar se houve criptografia, exfiltração ou ambas.

Entre os casos mais bem definidos esteve a Boston Scientific, que não foi apresentada como ransomware na fonte principal, e sim como incidente de cibersegurança com interrupção operacional. No lado estritamente extorsivo, STORM, CoinbaseCartel, Global Secret Group, KRYBIT, Chaos, Metaencryptor, DragonForce, Emperador, Wallstreet, Falcon e Qilin ocuparam uma parte relevante do ruído do mercado criminal, embora nem todas as listagens tenham tido confirmação pública das vítimas.

Casos com exfiltração sem criptografia confirmada

O material permitiu isolar dois casos em que a extorsão foi descrita como exfiltração sem criptografia. Um foi o de mswalker.com, no qual a fonte de acompanhamento indicou cerca de 620 GB extraídos antes de qualquer menção a criptografia. O outro foi um cenário em que a própria cobertura descreveu a publicação de dados sensíveis sem conseguir sustentar que a criptografia tivesse sido o eixo.

Nessa categoria, o padrão operacional importa tanto quanto o volume. O objetivo não foi interromper um serviço, mas usar o roubo prévio para pressionar o alvo com a ameaça de publicação. Isso dificulta a detecção precoce, porque a empresa pode continuar operando enquanto o dano já está em curso.

Casos com menção apenas em leak site

Quatro fatos ficaram no nível de simples menção em leak site. Isso incluiu reivindicações de grupos como Chaos, STORM, CoinbaseCartel e outros sobre vítimas nos Estados Unidos, mas sem confirmação pública independente do alcance técnico ou do tipo de informação comprometida.

Esse subgrupo é importante porque mostra a distância entre a economia da extorsão e a visibilidade oficial. Um ator pode publicar um nome, uma amostra ou uma ameaça e, ainda assim, não haver, ao fim do período, validação suficiente para descrever o episódio como uma violação confirmada.

Fraude, phishing e account takeover

A atividade de fraude e phishing documentada foi baixa em volume absoluto, mas muito clara em sua orientação. Foram registrados quatro casos, dois deles centrados em chamadas fraudulentas ou spoofing para obter dados, e outros dois ligados a golpes impulsionados por IA e verificação fraca de identidade.

O padrão mais recorrente foi o uso de se passando por suporte ou por áreas de fraude para forçar mudanças de conta ou transferências. Esse esquema aparece tanto em materiais sobre instituições financeiras quanto em notas mais gerais sobre deepfakes e remessas, o que reforça que o vetor humano seguiu como uma porta de entrada relevante nos EUA.

APT, espionagem e hacktivismo

A parte de APT e espionagem foi marcada por Salt Typhoon, Lilac Typhoon e pela operação contra QTFY e suas plataformas QScan e QTRouter. Em telecomunicações, as fontes descreveram uma campanha ampla de espionagem com acesso a lawful-intercept, metadados e nós de ofuscação. No caso de QTFY, o foco foram órgãos federais, hospitais, energia e finanças.

Também houve material sobre a campanha iraniana contra água e sobre o alerta federal contra PLC Siemens S7. Esse frente não se encaixa totalmente em ransomware nem em fraude, porque trata de acesso remoto, reconhecimento e exploração de OT exposta, com possível impacto físico ou operacional em vez de monetário.

Casos com maior incerteza de tipificação

Dezenove fatos ligados a ransomware ou extorsão não permitiram determinar, com o material disponível, se houve criptografia, exfiltração ou apenas publicação em leak site. Essa ambiguidade não é trivial, porque muda a forma de priorizar resposta, notificação e comunicação externa.

Em termos operacionais, esse bloco exige cautela em qualquer leitura agregada. O mês teve mais atividade criminosa visível, mas também mais ruído documental. A leitura útil não é que houve mais dano em todos os casos, e sim que houve mais reivindicações, mais campanhas e mais visibilidade pública da extorsão.

Vulnerabilidades críticas com impacto nos EUA

A pressão técnica de agosto nos EUA foi explicada, em boa parte, pela inclusão de múltiplas falhas no catálogo KEV da CISA e por alertas conjuntos sobre exploração ativa. A combinação de Citrix NetScaler, VMware vCenter, Metabase, Windows, SharePoint, Cisco ASA/FTD e Zimbra mostrou que a exposição não ficou concentrada em uma única família de produtos.

Leitura técnica da tabela

O viés da CISA em agosto foi claramente operacional. Não se tratou apenas de publicar falhas, mas de definir prazos de remediação muito agressivos para agências federais e pressionar organizações privadas a assumirem exposição real. Metabase, NetScaler, vCenter e N-central aparecem como produtos de alta prioridade porque combinam superfície exposta, uso disseminado e exploração no mundo real.

Regulação e compliance nos EUA

A agenda regulatória de agosto nos EUA foi intensa e, em vários pontos, claramente mais dura. Foram onze movimentos documentados, com o sistema financeiro como principal foco, mas também com água, telecomunicações, privacidade infantil, troca de informações e cadeia de suprimento de energia no radar.

A OCC e a FDIC publicaram uma regra final conjunta sobre práticas inseguras ou não sólidas, com um limite material explícito para MRA e uma guinada para riscos financeiros materiais. Pode parecer um tema de supervisão bancária clássica, mas também afeta a forma como os bancos transformam achados de cibersegurança em medidas de compliance.

Em paralelo, a FTC manteve e detalhou o marco GLBA Safeguards Rule para instituições financeiras, enquanto o NIST publicou referências rápidas para levar o CSF 2.0 a controles concretos. Na prática, isso pressiona bancos, fintechs e fornecedores a documentar melhor seus controles, suas avaliações de risco e a supervisão de terceiros.

Movimentos regulatórios mais relevantes

Setor financeiro, privacidade e enforcement

O sistema financeiro foi o espaço em que regulação e cibersegurança mais se cruzaram. A FinCEN aplicou à UBS Financial Services uma multa histórica por violações da BSA, e, em paralelo, o debate sobre supervisão, risco material, fornecedores, autenticação e reporte de incidentes seguiu bastante ativo.

Também houve um acordo de 400 milhões de dólares entre o DOJ e TikTok / ByteDance por privacidade infantil, que, embora não seja um caso bancário, marcou o tom do enforcement contra grandes plataformas com operações nos EUA. Para equipes de compliance, agosto mostrou que a exposição não se limita a falhas técnicas, mas inclui gestão de dados, disclosure e governança de terceiros.

Água, energia e telecomunicações

O setor de água recebeu uma resposta regulatória e operacional relevante, com avisos conjuntos de agências federais, projetos legislativos e acompanhamento público de mais de 100 sistemas expostos. O setor de energia também ganhou peso com a ordem executiva 14420 sobre equipamento estrangeiro do sistema de energia em massa.

As telecomunicações continuaram no centro da espionagem, com Salt Typhoon ainda como pano de fundo. Embora boa parte do material tenha foco em campanhas de anos anteriores, agosto serviu para reabrir o debate sobre fornecedores estrangeiros, interconexões e exposição residual em redes críticas.

Setores mais afetados nos EUA

O sinal setorial do mês foi amplo, mas sem se dispersar. Saúde, manufatura, transporte, finanças e serviços públicos concentraram boa parte dos casos, com água e telecomunicações como frentes de infraestrutura crítica e serviços digitais como vetor indireto de exposição.

Saúde foi o setor sob maior pressão por ransomware e extorsão, mas também por incidentes de acesso não autorizado, alertas sobre dupla extorsão e vulnerabilidades que afetam a cadeia de fornecedores. A atividade de Medusa e Gunra reforçou o padrão de ataques a hospitais e organizações de saúde pública, enquanto STORM, CoinbaseCartel e outros grupos adicionaram volume.

Manufatura e transporte apareceram tanto em campanhas de ransomware quanto na exploração de CVEs e em incidentes operacionais. Nem sempre houve criptografia, mas houve divulgação de vítimas, pressão extorsiva e impacto em processos administrativos, logística e sistemas corporativos. Em alguns casos, como North Carolina Ports, o prejuízo foi mais de continuidade do que de confidencialidade.

Finanças e seguros mantiveram o peso regulatório mais visível. U.S. Bank negou comprometimento após uma alegação de LockBit, o FinCEN sancionou a UBSFS e a OCC e a FDIC alteraram o quadro de supervisão. Para as instituições financeiras, agosto não foi só um mês de incidentes, mas de redefinição das expectativas de controle.

Serviços públicos, sobretudo água, confirmaram que a exposição de OT segue sendo prioridade federal. A combinação de PLCs expostos, troca de credenciais e ataques em mais de um estado mostra que a resiliência de infraestruturas locais não é um tema isolado nem meramente técnico. A vulnerabilidade desses ambientes também se conectou a alertas legislativos e à pressão direta da CISA.

Tendências e sinais a monitorar nos EUA

A comparação com julho mostra melhora na qualidade do sinal, não uma redução do risco. Os fatos verificados subiram de 73 para 92, os incidentes sem tipificação caíram de 23 para 12 e a predominância passou de incidentes genéricos para ransomware. Isso sugere um mês com mais visibilidade analítica e mais campanhas criminosas bem documentadas.

O salto de 8 para 18 CVEs críticos mencionados é o sinal técnico mais forte do mês. Isso não significa que houve dez vezes mais vulnerabilidades exploradas no país, mas que o material analisado deu muito mais foco à exploração ativa, a KEV e aos prazos de correção. Para os defensores, agosto funcionou como um mês de pressão sobre a exposição conhecida.

A regulação também avançou de 7 para 11 movimentos documentados. Nem todos tiveram o mesmo impacto, mas mostraram convergência entre banca, água, privacidade, compartilhamento de informações e energia. Na prática, a leitura é que compliance deixou de ser tema lateral e passou a fazer parte da resposta de cibersegurança.

O que vale acompanhar em setembro é se a onda de publicações em leak sites vai se traduzir em mais confirmações públicas ou se a ambiguidade continuará predominando. Também é preciso observar o prazo da KEV para NetScaler, o comportamento real dos grupos que exploraram Metabase e se as medidas regulatórias para água e energia vão virar obrigações mais concretas para operadores e infraestruturas críticas.

Recomendações para equipes de segurança nos EUA

Os times de segurança nos EUA deveriam priorizar, ao mesmo tempo, correções e exposição externa. A combinação de Metabase, NetScaler, vCenter, N-central, SharePoint, Windows IKE e Zimbra exige uma campanha de remediação baseada em KEV, não em severidade teórica. Se o ativo está exposto à internet ou dá suporte a acesso remoto, ele precisa entrar no topo da fila.

Em saúde e serviços críticos, vale reforçar segmentação, MFA resistente a phishing e backups imutáveis. Os alertas sobre Medusa e Gunra voltam a mostrar abuso de RMM, movimento lateral com credenciais válidas e apagamento de cópias de segurança como padrão recorrente. Se esse trio não estiver contido, a resposta fica mais cara e mais lenta.

Organizações com terceiros de logística, analytics ou software de negócio precisam revisar permissões, tokens, contas de serviço e o monitoramento de acessos a plataformas compartilhadas. O caso ShipMonk, junto com a violação de fornecedores e a extorsão por leak site, mostra que uma exposição indireta pode acabar afetando clientes, reputação e notificações obrigatórias.

Em água, energia e manufatura, o mínimo operacional do mês é inventariar PLCs e ativos OT expostos, eliminar acessos diretos desnecessários e validar credenciais de fábrica ou compartilhadas. Os alertas federais sobre Siemens S7 e sobre sistemas de água deixaram claro que o problema não é abstrato, mas de superfície exposta, autenticação fraca e administração remota sem controle suficiente.

Perguntas frequentes

O que mudou entre julho e agosto nos EUA: subiu mais o volume ou a severidade?

Ambos subiram, mas a mudança mais clara foi na qualidade do sinal. Agosto registrou 92 fatos verificados, ante 73 em julho, os incidentes sem tipificação caíram e o predomínio passou a ransomware. Também cresceram muito os CVEs críticos mencionados e os movimentos regulatórios documentados.

Quais setores ficaram mais expostos nos EUA e por que isso importa ao cruzar com os CVEs?

Saúde, manufatura, transporte, finanças, água e telecomunicações concentraram boa parte dos fatos. Cruzar isso com os CVEs importa porque várias falhas exploradas atingiram justamente software de acesso remoto, virtualização, identidade e ferramentas de administração usados por essas mesmas indústrias.

Que prioridade prática Medusa e Gunra têm frente aos outros grupos de ransomware?

Medusa e Gunra devem ser tratados como prioridade alta porque o material oficial os vinculou a campanhas ativas contra saúde, infraestrutura crítica e ambientes corporativos, além de táticas de dupla extorsão, abuso de vulnerabilidades expostas e movimentação lateral. Os demais grupos adicionaram volume, mas com mais incerteza de tipificação.

O que significa a confirmação de mais de 100 sistemas de água atacados para um operador local nos EUA?

Significa que não se trata de um caso isolado nem apenas midiático. A CISA reconheceu uma cifra concreta de mais de 100 sistemas expostos atacados em julho, e os alertas federais seguiram pedindo segmentação, controle de PLC e eliminação de acessos diretos à internet. Para um operador local, o risco é operacional e regulatório ao mesmo tempo.

Qual é a diferença entre uma menção em leak site e uma violação confirmada nos EUA?

Uma menção em leak site é só uma reivindicação do ator ou do rastreador e não equivale, por si só, a uma violação verificada. Em agosto houve quatro menções desse tipo e dezenove casos em que a fonte não permitiu determinar o tipo de impacto. A distinção é chave para não reagir demais nem subestimar.

Anexo técnico: indicadores de comprometimento e TTPs

Os materiais do mês trazem TTPs e alguns sinais técnicos úteis, embora nem sempre IoCs clássicos. Em ransomware e extorsão, se repetem o abuso de RMM, PsExec, WMI, movimento lateral, exclusão de shadow copies, staging antes da criptografia e uso de credenciais válidas. Em OT, aparecem PLC Siemens S7 expostos à internet, porta 102, uso de snap7 e scripts de exploração gerados com IA.

No caso da Gunra, as fontes citam exploração da Fortinet, dump de credenciais, RDP, Impacket, exfiltração de dados locais e na nuvem, e criptografia com ChaCha20 e RSA-4096. No caso da Metabase, o vetor técnico mais citado foi o endpoint /api/session/reset_password ou rotas equivalentes de SQL injection não autenticada.

O material também menciona domínios e artefatos concretos em campanhas nem sempre estritamente americanas. Entre os mais claros estão models.litellm.cloud, M365-OWA[.]com e owa-ms365[.]com na campanha CaptiveCrunch, e os domínios QScan e QTRouter apreendidos pelo DOJ na operação contra hacking patrocinado pela China. Pelo valor de ameaça cruzada, esses elementos devem ser mantidos como referência operacional, embora nem todos correspondam diretamente aos EUA.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para os EUA e agosto de 2026. Os fatos de meses anteriores incluídos no arquivo foram usados apenas como referência comparativa e não foram contados como volume do mês. Também houve um fato sem data confirmada, que ficou excluído de todos os indicadores.

Um indicador em zero, especialmente em CVEs, não significa que não existam vulnerabilidades críticas na região, mas que elas não apareceram no material analisado para este período. Nesta edição, houve muitos CVEs críticos mencionados, mas a regra metodológica segue a mesma para qualquer nota futura.

A telemetria agregada, como tentativas de ataque, bloqueios ou varreduras, não foi usada como incidente nem como base de tendência. Quando houve cifras de detecção ou exploração em fontes de inteligência, elas foram tratadas sempre como contexto técnico ou aviso metodológico, e não como telemetria do país.

Também não foram usadas como evidência fontes fora da lista permitida, nem publicações em redes sociais ou conteúdo patrocinado não habilitado pela consigna. Quando uma fonte apresentou uma alegação não confirmada pela vítima ou por um regulador, ela foi tratada como tal e não como violação verificada.