Logística, portos, aeroportos e transporte, Outubro 2026

Incidentes

Campanha de n0n contra a cadeia marítima e logística

A campanha atribuída ao n0n foi o fato mais relevante do período para o setor. Em 12 de outubro de 2026, o grupo acrescentou 38 organizações de navegação, portos e logística ao seu site de vazamentos em um único lote. Coberturas diferentes ampliaram ou reinterpretaram o alcance para mais de 40 entidades, ao incluir autoridades portuárias, administradores de navios, companhias marítimas e fornecedores de tecnologia. A heterogeneidade dos alvos indica uma campanha desenhada para maximizar o impacto reputacional e a pressão por negociação, e não um ataque oportunista contra um único ator.

Entre os nomes aparecem pesos pesados da região, como Santos Brasil, Portonave e Superterminais. O Ransomware.live também registrou a T2S como suposta vítima ligada a operações de sistemas de terminais no Brasil. Essas fichas mencionam supostos scripts de banco de dados, arquivos EDI, registros operacionais e material interno de terminais, mas não constituem confirmação independente de acesso real. Para quem opera no setor, o ponto central é que os atacantes miram materiais que, se autênticos, podem afetar a integridade das operações, a troca documental e a visibilidade da carga. Ainda assim, o material público não permite concluir o que de fato foi roubado, o que foi exagerado e o que foi apenas listado para pressionar.

A dimensão temporal também importa. Várias coberturas indicaram um prazo limite de pagamento ou publicação para 19 de outubro de 2026. Isso se encaixa no padrão clássico de extorsão, em que o grupo fixa uma janela curta de pressão para forçar resposta antes que a equipe interna de resposta a incidentes, o jurídico ou a seguradora consolidem uma posição. No caso do n0n, essa pressão foi reforçada pela amplitude setorial da lista e pela possibilidade de o acesso não ter sido direto, mas sim via um fornecedor compartilhado. Se essa hipótese estiver correta, o impacto da campanha não se mede apenas por uma empresa comprometida, mas pela capacidade de um terceiro expor vários clientes de uma vez.

Várias fontes apontaram a possibilidade de uma cadeia de suprimento ligada à CyberLogitec ou a outro fornecedor de tecnologia marítima, mas nenhuma tratou isso como fato comprovado. Ainda assim, do ponto de vista defensivo, a hipótese é plausível o suficiente para justificar controles imediatos, como revisão de acessos de terceiros, rotação de credenciais compartilhadas, segregação de ambientes, validação da integridade de interfaces EDI e controle rígido de sessões remotas. O risco desse tipo de campanha não é só a intrusão inicial, mas a propagação lateral administrativa. Uma credencial de suporte, uma console compartilhada ou um túnel VPN persistente pode transformar um incidente pontual em exposição sistêmica.

Quanto ao impacto, o material disponível não confirma interrupção operacional nem criptografia nas organizações citadas. Isso não reduz a gravidade do episódio. No ecossistema marítimo, até uma reivindicação não verificada pode gerar custos de resposta, pressão contratual e trabalho forense para demonstrar ausência de comprometimento ou delimitar o alcance. Além disso, se os atores publicarem trechos críveis de documentos internos, o dano reputacional pode bastar para afetar relações com clientes, agentes e autoridades. Por isso, a leitura para CISOs do setor não deve se concentrar apenas em "houve ransomware?", e sim em "qual exposição permitiu ao atacante tornar a ameaça crível?"

Brasil: Santos Brasil, Portonave, Superterminais e T2S

O Brasil foi o país latino-americano mais visível no lote marítimo do n0n. As fontes coincidem ao apontar Santos Brasil, Portonave e Superterminais, e alguns registros acrescentaram a T2S como organização ligada a sistemas de terminais. Em vários casos, as fichas falam em bancos de dados de sistemas operacionais de terminais, arquivos EDI operacionais, registros de interfaces e documentação interna de análise de brechas. O conteúdo descrito é consistente com uma campanha voltada a extrair ou simular a extração de material de alta sensibilidade operacional, documentação que poderia facilitar fraude, extorsão secundária ou engenharia social contra funcionários do porto e seus parceiros.

O mais importante, porém, é a prudência metodológica. Nenhuma das organizações mencionadas confirmou publicamente uma intrusão no material revisado para este relatório. As entradas do Ransomware.live e as notas de veículos especializados são úteis como sinais de alerta, mas não substituem uma confirmação técnica ou institucional. Para um CISO brasileiro do setor, isso implica duas frentes simultâneas de ação, uma de verificação interna para decidir se há comprometimento real, e outra de contenção reputacional para responder a consultas de clientes, alfândega, seguradoras e imprensa sem expor informação sensível demais.

Do ponto de vista operacional, o Brasil ocupa uma posição crítica porque combina volume de comércio exterior, diversidade de operadores privados e ecossistemas complexos de integração tecnológica. Terminais, operadores portuários e sistemas de suporte costumam depender de integrações com companhias marítimas, despachantes, agências marítimas e plataformas de troca de dados. Essa rede de dependências torna especialmente sensível qualquer ameaça que combine acesso a dados, credenciais de suporte ou arquivos EDI. Se os materiais descritos pelos atacantes forem autênticos, o risco não seria apenas a perda de confidencialidade, mas também a possibilidade de manipulação de processos, atrasos na liberação documental e maior superfície para fraude de carga.

Há também uma leitura geopolítica e de cadeia de suprimentos. A repetição de empresas brasileiras na lista pode indicar que o mercado regional está sendo observado não como um conjunto de alvos isolados, mas como um nó de alto valor dentro de uma cadeia internacional. A presença de operadores de terminais e portuários no mesmo lote sugere que a extorsão pode estar mirando um ecossistema compartilhado de ferramentas, suporte e acesso remoto, o que exige dos CISOs brasileiros pensar além do perímetro local. Controles de terceiros, gestão de identidades privilegiadas e rastreabilidade de sessões de suporte são, nesse contexto, tão importantes quanto a segmentação de redes OT.

Equador: Transportes Jiménez e Reyes Jim Rey S.A.

No Equador, o caso visível do período foi a Transportes Jiménez e Reyes Jim Rey S.A., empresa de transporte terrestre de carga atribuída pelo Ransomware.live e pela DeXpose ao grupo Emperador. Aqui a fonte traz um dado concreto, uma exfiltração estimada de 501 MB, com documentos financeiros, contábeis e bancários entre os materiais supostamente extraídos. Esse tipo de conteúdo, se autêntico, aponta para um incidente de extorsão com forte componente de risco financeiro e de privacidade, já que combina dados operacionais com registros que podem facilitar fraude, usurpação de identidade comercial ou pressão sobre a direção.

Ao contrário da campanha marítima do n0n, neste caso a fonte sugere uma exfiltração mais contida e uma reivindicação direta do grupo Emperador. A DeXpose indicou ainda que os atacantes ameaçaram publicar informações de clientes e funcionários se não houvesse uma resolução. No entanto, a cobertura não apresentou confirmação da empresa nem evidência independente do acesso. Portanto, o ponto sólido não é a intrusão em si, mas a existência de uma reivindicação de extorsão com volume de dados declarado e uma narrativa de pressão voltada a forçar negociação.

Para o setor de transporte terrestre, esse tipo de incidente tem implicações específicas. Diferentemente de um porto ou terminal, onde a continuidade depende de sistemas industriais e de gestão de pátio, o transporte de carga terrestre costuma se apoiar em um equilíbrio delicado entre documentação, rastreabilidade, despacho e coordenação com clientes. Um vazamento de documentos financeiros ou bancários pode afetar liquidez, relacionamento com fornecedores e capacidade de faturamento. Além disso, a exposição de informações de clientes e funcionários pode gerar risco legal e de fraude. Em empresas médias ou familiares, a tentação de negociar rapidamente costuma ser alta, o que torna ainda mais importante ter procedimentos predefinidos para extorsão digital.

Paraguai: Tape Ruvicha e a reivindicação de Qilin

No Paraguai, a DeXpose informou que o Qilin reivindicou um ataque contra a Tape Ruvicha e ameaçou publicar dados se as negociações não começassem. O material revisado não traz confirmação da própria empresa, de um órgão oficial paraguaio nem evidência técnica independente. Isso significa que, na perspectiva estrita deste relatório, o caso deve ser entendido como uma afirmação do ator malicioso ou de uma fonte de acompanhamento, e não como um comprometimento verificado. Ainda assim, sua inclusão é útil porque mostra que a pressão sobre a região não se limita a transporte e logística. Os atores continuam mirando empresas de setores ligados a cadeias de suprimentos, distribuição e suporte econômico.

Para o Paraguai, a lição é preventiva. Quando uma empresa local aparece em um leak site ou em uma publicação de extorsão, o desafio não é apenas forense, mas também de comunicação e continuidade. A direção precisa saber o que dizer a parceiros, como preservar evidências, como decidir se há obrigação de notificação e como medir a exposição de terceiros. Mesmo que o caso não esteja confirmado, o fato de o ator ter escolhido esse nome já pode gerar consultas externas. Por isso, a coordenação precoce entre cibersegurança, jurídico, comunicação e continuidade do negócio é fundamental.

Leitura regional do mês

A dispersão geográfica dos casos do período é tão importante quanto seu conteúdo. O Brasil aparece com força na campanha marítima do n0n, o Equador registra uma reivindicação de extorsão com 501 MB supostamente extraídos e o Paraguai soma uma reivindicação atribuída ao Qilin. O padrão sugere que os atacantes não estão operando por país, mas por valor de rede e capacidade de monetização. Em outras palavras, o mapa de risco está sendo definido mais pela centralidade da empresa em sua cadeia de suprimentos do que pela geografia em si.

Isso tem consequências diretas para CISOs de transporte, portos e logística. A proteção não pode se basear apenas em blindar o ativo principal, ela precisa se estender à rede de parceiros que torna a operação diária possível. No setor, o acesso remoto de fornecedores, as trocas EDI e a exposição de sistemas de suporte são vetores tão críticos quanto o e-mail ou a VPN corporativa. Se o adversário conseguir acessar um fornecedor que administra sistemas compartilhados, a vítima real pode ser uma lista de empresas, e não uma única organização.

Países

Brasil

Brasil concentrou a maior visibilidade do período na cadeia marítima e logística. A presença de Santos Brasil, Portonave, Superterminais e T2S no mesmo universo de reclamações é significativa porque aponta para uma exposição que afeta tanto terminais de contêineres quanto operadores portuários e sistemas de terminais. No plano setorial, o Brasil aparece como um mercado grande e altamente integrado, com múltiplas dependências cruzadas entre operadores privados, navios, fornecedores de tecnologia e parceiros de serviço. Essa complexidade amplia o impacto de qualquer incidente de extorsão, mesmo quando o comprometimento não é confirmado publicamente.

O ponto mais relevante para a defesa é a possível exposição de arquivos EDI e de material operacional. No contexto portuário, esses documentos não são acessórios, eles sustentam o fluxo de carga, a validação documental e a coordenação entre os atores. Se um grupo ameaça publicar material desse tipo, o dano potencial não se limita à reputação. Pode incluir pressão comercial, revisão de contratos, perda de confiança na integridade dos processos e mais consultas regulatórias. Por isso, no Brasil, o foco deve estar na higiene de acessos de terceiros, na segmentação de credenciais e no monitoramento de anomalias em sistemas de suporte e de terminais.

Também vale destacar um detalhe: a abundância de nomes não significa necessariamente múltiplas intrusões independentes. É possível que várias entidades apareçam pela mesma via de acesso ou que o grupo tenha reutilizado informações parciais para construir uma narrativa mais ampla. Do ponto de vista da resposta, isso exige uma investigação orientada por padrões compartilhados, como fornecedores, versões de software, acessos remotos persistentes, credenciais reutilizadas e dependências de TI operacional. Se um operador brasileiro detectar um comprometimento, a pergunta correta não é só "o que foi levado?", mas "quais outros clientes ou parceiros compartilham a mesma superfície?".

Equador

O Equador registrou o caso visível de Transportes Jiménez y Reyes Jim Rey S.A., uma empresa de transporte de carga terrestre que, segundo as fontes, foi reivindicada por Emperador. A menção a 501 MB de dados e a presença de documentos financeiros, contábeis e bancários elevam o interesse do caso, porque sugerem um padrão de extorsão em que o ativo mais valioso não é a disponibilidade de um sistema de despacho, mas a confidencialidade de informações econômicas sensíveis. Se os dados forem reais, o impacto pode se estender a fraude, chantagem comercial e conflitos contratuais.

A lição para o Equador é que a ciberextorsão sobre transporte terrestre não depende necessariamente de grandes infraestruturas nem de tecnologia complexa. Uma empresa de carga pode ser valiosa para um atacante porque concentra documentos, rotas, dados de clientes, faturamento e evidências de operação. Por isso, a defesa deve incluir backups verificados, segmentação de acessos administrativos, proteção reforçada de diretórios documentais e procedimentos de resposta que não dependam da disponibilidade imediata dos sistemas internos. A resiliência, nesse tipo de empresa, costuma ser tão importante quanto a prevenção.

Paraguai

O Paraguai aparece no período por meio da reivindicação de Qilin contra Tape Ruvicha. Embora o material não traga confirmação independente, o caso continua útil para entender a pressão que grupos de extorsão exercem sobre empresas médias e grandes da região. A ausência de confirmação pública não elimina o risco reputacional: o simples fato de ser citado em uma publicação adversária pode obrigar a companhia a revisar seus controles, sua postura jurídica e sua narrativa externa.

Para o mercado paraguaio, a mensagem é clara: a resposta à extorsão não pode ser improvisada. É preciso haver um processo prévio para avaliar evidências, decidir sobre notificação, preservar artefatos e coordenar porta-vozes. Além disso, empresas com relações transfronteiriças devem assumir que uma reclamação visível na internet pode cruzar fronteiras contratuais rapidamente. A disciplina na gestão de incidentes e a comunicação antecipada com clientes e parceiros são tão importantes quanto a higiene técnica.

México

O México não concentrou em outubro um incidente pontual equivalente aos casos brasileiros ou equatorianos neste relatório, mas aparece nas cifras regionais de contexto. Uma cobertura que resume dados de ransomware indicou que o país registrou 60 organizações de infraestrutura crítica vítimas entre 1 de janeiro de 2025 e 21 de setembro de 2026. A cifra não se refere exclusivamente a outubro, mas reforça uma realidade conhecida: o México segue entre os territórios latino-americanos com maior exposição em setores sensíveis.

A leitura para transporte e logística é que o país continua sendo um alvo de alto valor por tamanho de mercado, volume transfronteiriço e diversidade de operadores. Sem necessidade de atribuir incidentes concretos de outubro ao México, o dado comparativo sugere um ambiente em que a preparação setorial precisa ser contínua. Para CISOs mexicanos, isso implica priorizar visibilidade sobre ambientes legados, inventário de terceiros, endurecimento de acessos remotos e exercícios de resposta à extorsão com envolvimento de jurídico, continuidade e operações.

Chile e o restante da América Latina

O Diário Financiero informou, com base na Entel Digital, que transporte e logística concentraram 27,8% dos ataques de ransomware registrados na América Latina entre janeiro de 2025 e setembro de 2026. Esse número não deve ser lido como uma fotografia exclusiva de outubro, mas como um sinal estrutural do peso do setor na região. A explicação é consistente com a dinâmica de negócios, margens apertadas, operações 24/7, alta dependência de terceiros e baixa tolerância à interrupção.

A comparação regional também ajuda a entender por que campanhas de extorsão do tipo n0n ganham tração. Quando um grupo consegue publicar um lote amplo de empresas de transporte, portos e logística, sabe que está atingindo um setor que valoriza muito a reputação de conformidade e a continuidade do fluxo. Mesmo sem criptografar sistemas, a ameaça de exposição pode ser suficiente para acionar negociações ou pressão na mídia. Por isso, a defesa setorial na América Latina precisa deixar de tratar a extorsão como um evento isolado e passar a considerá-la um risco operacional recorrente.

Tendências e implicações regionais

A primeira tendência do período é a consolidação da extorsão em lote. Em vez de atacar uma empresa e depois partir para a seguinte, os grupos publicam dezenas de nomes de uma vez, combinando pressão psicológica, ruído na mídia e suposta evidência documental. Essa estratégia funciona especialmente bem em setores em que as relações comerciais são interdependentes e em que a confiança de clientes e autoridades vale tanto quanto a disponibilidade dos sistemas. Em logística e transporte, a divulgação de nomes pode gerar impacto mesmo sem intrusão confirmada, porque a operação depende de credibilidade, licenças, documentos e prazos.

A segunda tendência é a centralidade do fornecedor. Embora este relatório não traga confirmação técnica de uma intrusão na cadeia de suprimentos, várias coberturas sugerem que o lote marítimo de n0n pode ter estado relacionado a um fornecedor de tecnologia marítima ou de serviços de TI compartilhados. Essa hipótese, correta ou não, reflete uma realidade que os CISOs já não podem ignorar: a superfície de ataque passa a se organizar cada vez mais em torno de fornecedores críticos, não apenas do perímetro corporativo. Em portos, terminais e empresas logísticas, os acessos de suporte, os links remotos e os sistemas EDI são tão sensíveis quanto um domínio interno.

A terceira tendência é a mistura de extorsão e exposição documental. Os atacantes parecem apostar que um conjunto de arquivos plausíveis, scripts, registros, bases de dados, EDI, documentos contábeis, tenha valor suficiente para forçar o pagamento ou, ao menos, ampliar a ameaça. O problema para as vítimas é que a verificação técnica leva tempo, enquanto a pressão da mídia é imediata. Daí a importância de contar com uma estratégia de crise pré-definida que inclua preservação de evidências, análise de escopo, comunicação externa e critérios claros sobre negociação.

A quarta implicação regional é regulatória. Embora a NVIC 02-26 da Guarda Costeira dos Estados Unidos não seja uma norma latino-americana, ela marca um padrão global para operadores marítimos e portuários que se relacionam com cadeias internacionais. A exigência de designar um responsável por cibersegurança, fazer avaliações e apresentar planos formais sugere para onde caminha a expectativa regulatória: menos improviso e mais governança demonstrável. Para as empresas da região que operam com parceiros internacionais, isso não é uma questão de conformidade cosmética; é um requisito de acesso a mercados e de continuidade comercial.

A quinta implicação é a persistência de vulnerabilidades exploradas ativamente em plataformas de orquestração e administração. O caso de CVE-2026-114625 em Arista VeloCloud Orchestrator on-premises é relevante porque atinge o coração da conectividade distribuída. Para redes logísticas com várias filiais, armazéns, terminais ou pontos de troca, a administração centralizada costuma ser indispensável. Se esse sistema cair em mãos erradas, o impacto pode escalar rapidamente. A inclusão da vulnerabilidade em KEV e a confirmação de exploração ativa deveriam levar as equipes a revisar não apenas o patch, mas o inventário completo de orquestradores, appliances e serviços remotos expostos.

Recomendações para CISOs

1. Mapear fornecedores críticos com foco em acesso, não só em contrato. Em portos, terminais e transporte, o fornecedor relevante não é apenas quem emite a fatura do software, mas quem tem acesso remoto, credenciais compartilhadas, suporte persistente ou visibilidade operacional. Esse mapeamento deve incluir quem acessa, de onde, com qual MFA, em que horário e com qual rastreabilidade.

2. Revisar e limitar acessos remotos de terceiros. A campanha da n0n volta a mostrar por que os acessos de suporte são um ponto de concentração de risco. Toda conexão persistente ou permanente que não seja essencial deve ser removida. Os acessos temporários precisam expirar, ser registrados e auditados.

3. Exigir MFA e rotação de credenciais compartilhadas. Se um ambiente de terminais ou logística ainda depende de credenciais compartilhadas com suporte, o risco é estrutural. A rotação periódica, a eliminação de contas genéricas e a autenticação multifator devem ser obrigatórias, não opcionais.

4. Separar ambientes operacionais, administrativos e de troca documental. Os sistemas EDI, portais de clientes, ferramentas de suporte e consoles de operação não devem compartilhar privilégios nem caminhos de acesso desnecessários. A segmentação reduz o valor de uma credencial roubada.

5. Preparar resposta específica para extorsão sem criptografia verificada. Muitas crises do setor não começam com uma ação de ransomware, mas com uma ameaça de publicação. A organização precisa saber como agir quando o único fato confirmado é que um ator publicou seu nome ou uma amostra de arquivos.

6. Verificar a autenticidade de qualquer evidência vazada antes de reagir publicamente. Nem toda amostra publicada por um ator corresponde a sistemas reais da empresa. A validação técnica deve vir antes de conclusões internas ou externas.

7. Atualizar de imediato plataformas de orquestração e administração expostas. O caso da Arista VeloCloud Orchestrator lembra que plataformas de gestão são tão críticas quanto os endpoints. A existência de exploração ativa exige inventário, priorização e correção rápida.

8. Exercitar cenários de continuidade com perda de EDI, e-mail e suporte remoto. Em logística e portos, a degradação parcial pode ser tão grave quanto a criptografia total. Os exercícios devem incluir operação manual, rotas alternativas e critérios de escalonamento.

9. Coordenar cibersegurança, jurídico, continuidade e comunicação antes do incidente. A resposta eficaz à extorsão exige decisões rápidas sobre notificação, preservação de evidências, negociação e mensagem externa. Fazer isso pela primeira vez durante a crise aumenta o dano.

10. Monitorar reputação digital e leak sites como parte da inteligência defensiva. Não para contar vítimas, mas para detectar cedo se a organização ou seus fornecedores aparecem citados. A inteligência externa deve ser integrada ao SOC e à equipe de crise.

Limitações e escopo

Este informe se baseia exclusivamente no material de research fornecido. Quando uma fonte descreve uma possível vítima, uma suposta exfiltração ou uma via de acesso não verificada, esse matiz é mantido e não é tratado como fato confirmado. Em particular, a campanha de n0n deve ser lida como um conjunto de alegações e sinais publicados por terceiros e pelo próprio ecossistema de monitoramento, não como uma série de intrusões confirmadas uma a uma. Da mesma forma, os números regionais de ransomware citados como contexto não se referem todos a outubro de 2026; alguns cobrem períodos mais amplos e entram apenas para comparação explícita.

Também não se deve confundir telemetria com incidente. As detecções, tentativas bloqueadas ou médias de vendor, quando aparecerem em fontes futuras, são ruído de fundo da internet filtrado por controles de segurança, não equivalem a comprometimento. Neste informe, elas não são usadas como contagem de vítimas nem como prova de aumento de risco. Além disso, a ausência de menção no material analisado não implica ausência de atividade real na região; significa apenas que isso não apareceu na base revisada para este período.

Por fim, a falta de confirmação pública em vários casos não deve ser interpretada como inocência técnica nem como encerramento do episódio. Em extorsão, a confirmação pode demorar dias ou semanas, e em muitos casos nunca chega a ser publicada. Por isso, a leitura correta para as equipes de segurança é agir sobre o risco potencial, não apenas sobre o impacto já demonstrado. Isso é especialmente verdadeiro em transporte, portos e logística, onde a dependência de terceiros, a pressão operacional e a necessidade de continuidade fazem com que uma ameaça de vazamento já seja, por si só, um evento operacional.

Perguntas frequentes

A campanha de n0n confirmou intrusão em todas as empresas listadas?

Não. O material revisado mostra alegações, listagens e ameaças de publicação, mas não confirma de forma independente intrusão ou interrupção em todas as organizações mencionadas. Para várias delas, a melhor leitura é que houve uma alegação pública ainda não verificada, não uma prova conclusiva de comprometimento técnico.

Houve um caso confirmado de criptografia no setor de transporte e logística de outubro?

No material analisado para este período não aparece uma criptografia confirmada para a campanha marítima de n0n. Há, sim, um caso alegado contra uma empresa de transporte no Equador, mas a fonte não permite concluir se houve criptografia, apenas que foi atribuída uma suposta exfiltração de 501 MB e uma ameaça de publicação.

O que um CISO deve fazer se sua empresa aparecer em um leak site?

Primeiro, validar internamente se existe evidência de acesso real. Depois, preservar artefatos, limitar mudanças que destruam evidências, revisar terceiros e acessos remotos, e acionar as áreas jurídica e de comunicação. A presença em um leak site pode ser só uma reivindicação, mas ainda assim exige resposta de crise.

A NVIC 02-26 afeta diretamente a América Latina?

Não como obrigação legal local, mas como referência de boas práticas para operadores com exposição internacional. Seu valor prático está em antecipar o nível de governança que provavelmente será exigido por parceiros, seguradoras e cadeias globais de suprimento a empresas marítimas e portuárias.

A ausência de CVEs no período significa menos risco?

Não. A ausência de CVEs no material revisado apenas significa que eles não foram registrados nesta base para o período. Isso não implica que não tenham existido vulnerabilidades críticas exploradas na região. O risco ainda depende da exposição real, da aplicação de patches e da superfície de terceiros.