Uruguai: situação de cibersegurança, outubro de 2026

Ameaças e campanhas ativas no Uruguai

A atividade de ameaça mais visível do mês foi a fraude, seguida por reivindicações de ransomware sem validação independente. Em paralelo, a campanha local da Interpol sobre deepfakes e golpes com IA ajudou a enquadrar o tipo de engano que mais circulou na conversa pública uruguaia.

Ransomware e extorsão com tipificação indeterminável

Houve 3 casos com ransomware ou extorsão como eixo principal, mas o material não permitiu determinar com precisão se houve criptografia, exfiltração ou apenas menção em site de vazamentos. O exemplo mais claro foi o Punta Shopping, registrado por sites de monitoramento como vítima atribuída à Emperador, com um suposto arquivo de 1,6 GB e data de publicação anunciada.

A mesma cautela vale para a Asociación de Escribanos del Uruguay, vinculada em vários rastreadores à NightSpire ou Nightspire. As fontes citam reivindicações, nomes de vítimas e estimativas de contas comprometidas, mas não trazem confirmação independente de intrusão nem de exfiltração real. Em termos editoriais, o mês deixa alegações de vitimização, não uma violação verificada.

Fraude e phishing

A fraude manteve presença constante e de caráter eminentemente social. A Operación Pinterest explicou um golpe em redes sociais baseado em vendas falsas de móveis, enquanto outras coberturas descreveram falsificações de policiais ou de funcionários do Ministério do Interior para induzir empréstimos, transferências, saques e compra de bens de valor.

A campanha da Interpol e do Ministério do Interior sobre deepfakes se encaixa nesse padrão. Em outubro, o Uruguai aderiu ao alerta internacional sobre conteúdos sintéticos usados para golpes, falsificação de identidade e extorsão. O sinal não aponta apenas para crimes tecnológicos, mas para uma combinação de engenharia social, manipulação audiovisual e canais financeiros vulneráveis.

Sinais de ransomware em sites de vazamentos

O Punta Shopping aparece em registros de ransomware da EMPERADOR com uma reivindicação de dados pessoais e de clientes, mas a evidência disponível não confirma o ataque nem a autenticidade do arquivo. O mesmo ocorre com os rastros associados à NightSpire sobre a Asociación de Escribanos del Uruguay. São sinais que merecem acompanhamento, não fatos consumados.

A diferença entre um leak site e uma violação confirmada importa para a defesa e para a comunicação pública. Neste mês, o material sustenta reivindicações de atores e plataformas de monitoramento, mas não uma validação independente de criptografia, exfiltração ou impacto operacional sobre as organizações uruguaias mencionadas.

Vulnerabilidades críticas com impacto no Uruguai

As duas CVEs críticas do mês afetaram software amplamente implantado e explicam a maior parte da resposta preventiva no Uruguai. O impacto foi principalmente operacional e defensivo, com foco em atualização, isolamento temporário e verificação de exposição.

O alcance técnico foi amplo. Os avisos citados mencionam Apache com mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed, além de aplicações como WordPress, Drupal, Joomla e Moodle. As versões corrigidas foram PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

Regulação e compliance no Uruguai

Outubro registrou apenas um movimento regulatório documentado na contagem mensal, mas com efeito prático amplo. O Banco Central aprofundou as exigências de autenticação e monitoramento para operações eletrônicas, enquanto outras peças normativas e de governança continuaram a definir o perímetro de compliance.

A Circular 2.497 do BCU passou a valer em 1º de outubro e ampliou a autenticação reforçada para acesso a canais digitais, transferências ou pagamentos, compras não presenciais com cartão, solicitações de empréstimos e mudanças de dados sensíveis. Também passou a exigir alertas diante de tentativas de alterar senhas, PIN, e-mail, telefone e outros parâmetros operacionais ou de segurança.

A implementação não ficou no campo abstrato. O material citado pela imprensa e por análises jurídicas descreve controles sobre dispositivos desconhecidos, geolocalização, padrões suspeitos e operações incomuns, junto com exceções limitadas para casos pontuais. O sentido regulatório é claro: reduzir a fraude de canal e melhorar a rastreabilidade e a detecção precoce.

Em paralelo, o país seguiu avançando em governança e compliance em dados e inteligência artificial. O BCU aprovou um Marco de Governança para IA com inventário obrigatório de sistemas, rastreabilidade e controles de segurança, enquanto a URCDP reportou avanços de cooperação internacional em governança de dados. Não são fatos de incidente cibernético, mas integram o ambiente regulatório do mês.

Setores mais afetados no Uruguai

O mês atingiu ao menos 7 setores, com uma distribuição desigual. O setor público concentrou a maior visibilidade por causa do alerta de PHP e das suspensões preventivas, enquanto o financeiro, o varejo e os serviços digitais apareceram por incidentes, fraude e pressão de compliance.

O setor público foi o mais exposto à resposta defensiva. Portais de ministérios, a Justiça Eleitoral, serviços estatais e sistemas de compras públicas ficaram temporariamente fora do ar ou foram retirados de forma preventiva. Não houve confirmação pública de exploração, mas houve impacto operacional real e simultâneo sobre vários serviços.

O financeiro enfrentou duas frentes. De um lado, o BCU apertou autenticação e controles, com impacto sobre bancos, administradoras, casas de câmbio, empresas de transferência e plataformas de empréstimos. De outro, surgiu o caso da Nobilis Corredor de Bolsa, que notificou uma tentativa externa de acesso sem dano operacional declarado.

Varejo e e-commerce ficaram marcados pelo caso do Punta Shopping, enquanto telecomunicações e infraestrutura crítica apareceram por meio das interrupções da Antel, embora esses cortes não tenham origem cibernética. No nível dos serviços digitais, a dependência de PHP mostrou até que ponto uma falha global pode escalar para indisponibilidade local em órgãos e plataformas que operam sobre a mesma base tecnológica.

Tendências e sinais a monitorar no Uruguai

A comparação com setembro mostra uma queda em quase todos os indicadores de atividade verificada. Os fatos caíram de 67 para 41, os incidentes sem tipificação passaram de 11 para 2, o ransomware ou extorsão de 14 para 3, as fraudes ou phishing de 9 para 5 e os movimentos regulatórios de 9 para 1. O sinal do mês veio com menor volume, mas mais concentrado e mais claro em seu eixo principal.

A tendência mais importante é a passagem da confusão para a classificação. Em setembro, o material mostrava uma agenda mais dispersa, com mais fatos sem tipificação. Em outubro, por outro lado, a superfície de vulnerabilidades ficou claramente ordenada por PHP e pela resposta de órgãos públicos. Isso melhora a leitura defensiva, embora não reduza por si só a exposição técnica.

Também vale acompanhar de perto o vetor de fraude assistida por IA. A campanha da Interpol, os alertas do Ministério do Interior e os golpes com suplantação de autoridades indicam que o problema já não se limita ao phishing clássico. O risco combina voz, texto, imagem e pressão de tempo sobre vítimas que acabam autorizando transferências ou entregando ativos.

Em ransomware, o sinal a monitorar não é a contagem de publicações, mas a qualidade da evidência. Outubro deixou várias reivindicações de EMPERADOR e NightSpire/Nightspire, porém sem confirmação independente suficiente. Se em novembro aparecerem dados, criptografia ou exfiltração verificáveis, será necessário distinguir de imediato entre incidente operacional e mera reivindicação de vitimização.

Recomendações para equipes de segurança no Uruguai

A prioridade imediata para as equipes uruguaias continua sendo inventariar a exposição a PHP, validar versões e fechar brechas de atualização em serviços expostos à internet. Se não for possível corrigir de imediato, o ideal é isolar aplicações, reduzir a superfície de acesso e revisar se algum portal, plugin ou serviço legado ainda usa ramificações vulneráveis.

No setor público e entre fornecedores que prestam suporte ao Estado, a recomendação operacional é reforçar o controle de mudanças e os planos de continuidade. Outubro mostrou que a desconexão preventiva pode ser necessária, mas ela precisa vir acompanhada de comunicação interna, janela de manutenção, priorização de portais críticos e testes de restauração.

No setor financeiro, o foco deve estar em autenticação reforçada, notificações ao usuário e detecção de operações anômalas. A nova regulação do BCU já empurra nessa direção. Falta traduzi-la em controles efetivos sobre dispositivos desconhecidos, geolocalização, tentativas de alterar dados sensíveis e padrões de fraude de engenharia social.

Para fraude e falsificação de identidade, é preciso treinamento específico, e não apenas campanhas genéricas. Os casos do mês mostram que os atacantes exploram urgência, autoridade simulada e redes sociais. As equipes de atendimento, risco e operações deveriam contar com roteiros de verificação, dupla validação para transferências sensíveis e alertas sobre deepfakes ou chamadas manipuladas.

Perguntas frequentes

Qual foi a relação entre a vulnerabilidade do PHP e as quedas de sites estatais no Uruguai?

A relação foi direta na resposta preventiva, não em uma intrusão confirmada. O CERTuy alertou sobre duas CVEs críticas no PHP e vários órgãos derrubaram portais ou sistemas enquanto aplicavam patches. A cobertura oficial e a da imprensa coincide em que não houve confirmação pública de exploração no Uruguai.

Qual a diferença entre as alegações de ransomware de outubro e um caso de ransomware confirmado?

Em outubro houve 3 casos com ransomware ou extorsão como eixo principal, mas o material não permitiu determinar se houve criptografia, exfiltração ou apenas menção em sites de vazamento. Punta Shopping e a Associação de Escribanos aparecem em alegações de atores ou rastreadores, mas sem validação independente de comprometimento.

Como se cruzam a nova norma do BCU e as fraudes do mês?

Elas se cruzam no mesmo problema operacional, a autorização de pagamentos e mudanças sensíveis. O BCU exigiu mais autenticação, alertas e controle de dispositivos, enquanto os golpes do mês usaram pressão, falsificação de identidade e transferências para tirar dinheiro das vítimas. A regulação busca justamente endurecer esse trecho do processo.

Quais setores mostraram mais exposição em outubro, ao ler juntos os incidentes e as vulnerabilidades?

O setor público foi o mais visível pela queda temporária de portais e sistemas, seguido pelo financeiro, que combinou nova regulação com um incidente em uma corretora de bolsa. Varejo, telecom e serviços digitais também tiveram sinal, mas em menor intensidade e com nuances distintas entre falhas técnicas, fraude e alegações de ransomware.

O que uma equipe SOC uruguaia deveria observar depois deste mês?

Deveria observar exposição PHP, mudanças de versão, processos de atualização e qualquer tentativa de acesso a portais públicos ou serviços web expostos. Também convém refinar as detecções de fraude por engenharia social, revisar alertas diante de mudanças em dados sensíveis e tratar com cautela as publicações de leak sites, porque outubro mostrou muitas alegações e pouca confirmação.

Anexo técnico: indicadores de compromisso e TTPs

Não há IoCs públicos verificáveis, como hashes, domínios, IPs ou URLs maliciosas, associados de forma sólida a uma campanha específica no material de outubro. Há, porém, TTPs publicados por vendors: a Unit 42 e a Trellix associam a atividade à exploração de aplicações expostas, execução de comandos, web shells, staging de payloads e persistência em processos relacionados a PHP.

Limitações do material

Este relatório foi elaborado exclusivamente com os fatos datados de outubro de 2026 incluídos no material fornecido. A janela temporal declarada para os indicadores é de 43 fatos com data em outubro de 2026, e a base de cálculo dos indicadores é de 41 fatos verificados do período. As cifras de telemetria de vendors ficaram fora do volume porque representam exposição potencial ou detecção técnica, não incidentes com impacto confirmado.

Um indicador em 0, especialmente em CVEs ou em tipificações específicas, significa que não ficou registrado no material analisado deste mês, e não que o fenômeno não exista no Uruguai ou na região. Em particular, a ausência de uma tipificação precisa em ransomware não deve ser lida como ausência de atividade, mas como uma limitação da evidência disponível.

Também ficaram fora da análise quantitativa os fatos sem data confirmada, e não foram usadas fontes excluídas pela diretriz, como redes sociais de consumo ou publicações patrocinadas. Quando uma fonte jornalística reproduzia uma afirmação de um ator ou de um rastreador sem validação independente, ela foi tratada como atribuída e não como confirmação de comprometimento.