Mineração, metalurgia e recursos naturais, Ago/2026

Ameaças e campanhas ativas

A atividade ofensiva do mês se concentrou em ransomware e extorsão, com uma única menção a fraude ou phishing e sem material suficiente para sustentar uma narrativa de APT no eixo de mineração e energia. A forma do dano variou mais do que o nome do ator.

Ransomware e extorsão

Ransomware foi a ameaça predominante do período, com 26 de 60 fatos verificados. Dentro desse universo, só 3 casos mostraram criptografia de ativos confirmada, 6 ficaram na categoria de mera menção em leak site e 17 não permitiram determinar com precisão se houve criptografia, apenas exfiltração ou uma reivindicação sem impacto visível. Essa distribuição é chave porque evita ler todo ransomware como um fenômeno único.

Oldelval caiu no grupo de casos com impacto controlado e tipificação pública como ransomware, embora a empresa não tenha confirmado a autoria. Ecopetrol, por outro lado, é o caso mais claro de extorsão com tentativas de criptografia bloqueadas. Também aparece o incidente atribuído a uma multinacional francesa no Chile, reportado pela BioBioChile como uma campanha de ransomware com possível exfiltração e pressão por pagamento, embora a fonte não permita fechar autoria nem alcance técnico. Em todos os casos, a pressão pública sobre a vítima fez parte do ataque.

O mês também deixou um subtexto relevante para o setor extrativo. The Gentlemen, um grupo que opera como RaaS segundo várias coberturas e análises técnicas, apareceu vinculado a vítimas de hidrocarbonetos na Argentina e na Colômbia. Essa coincidência não prova uma campanha exclusiva contra o vertical, mas mostra afinidade por ativos em que continuidade operacional, reputação corporativa e conformidade regulatória pesam ao mesmo tempo.

A exfiltração sem criptografia merece tratamento separado porque é o modo de ataque que mais se parece com roubo silencioso. No caso da Ecopetrol, o valor do incidente esteve tanto no download não autorizado quanto na tentativa de criptografia fracassada. Na Oldelval, a pressão pública veio da reivindicação de um grupo, mas a empresa sustentou que não houve interrupção do transporte. Em ambos os casos, o controle de identidade e a restauração rápida de sistemas foram mais relevantes do que a detecção do malware em si.

Fraude e phishing

Apenas um fato do mês foi documentado dentro de fraude ou phishing. A fonte disponível indica que o phishing continua eficaz na América Latina e que, no setor de manufatura, uma alta proporção de empresas relatou ataques, mas esse material é telemetria de percepção e não um incidente do eixo de mineração e energia. Por isso, deve ser lido como sinal de contexto, não como evidência de uma campanha específica contra mineração ou recursos naturais.

A relevância para o vertical é indireta, mas real. Operadores de recursos naturais dependem de cadeias de e-mail, engenharia, manutenção e terceiros, onde o phishing segue funcionando como porta de entrada. Agosto não mostrou um caso emblemático desse tipo no eixo, mas o dado regional sugere que a higiene de identidade continua sendo um ponto de pressão para as empresas do setor.

APT e intrusão persistente

Não houve material suficiente para sustentar uma campanha APT identificada como tal no vertical durante agosto. O que apareceu foi persistência operacional na forma de intrusões com atribuição discutida, como Oldelval e Ecopetrol, e uma menção a origem estrangeira no caso argentino. Essa persistência não equivale a uma APT clássica, mas indica um ambiente em que o atacante tenta manter acesso, exfiltrar dados ou monetizar com baixa fricção.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado para agosto de 2026. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que nenhuma apareceu nas fontes coletadas para este relatório. Assim, a tabela permanece vazia e a leitura técnica deve se apoiar em acessos comprometidos, abuso de credenciais e exposição em nuvem, e não em uma lista de falhas publicadas.

Regulação e compliance

Agosto deixou um movimento regulatório claro e um precedente de compliance que vale mais pela forma do que pelo valor. A Oldelval informou o incidente como fato relevante à CNV, e a People of Internet destacou que a obrigação de transparência veio do regime de valores mobiliários, não de uma norma específica de cibersegurança para infraestrutura crítica. Esse detalhe importa porque define quem obriga a reportar e em que linguagem.

A CNV aparece, assim, como vetor de disclosure, e não apenas como reguladora financeira. A companhia detalhou que o incidente afetou sistemas administrativos, que o transporte de petróleo seguiu sem interrupções e que os sistemas foram restaurados. A cadeia de informação pública, neste caso, passou pelo mercado de capitais antes de chegar a uma autoridade setorial de cibersegurança. Para outros operadores de recursos naturais, essa sequência é um precedente de governança.

A Ecopetrol também mostrou um compliance mais amplo, embora de natureza distinta. A empresa reportou o incidente em documentação à SEC, comunicou revogação de acessos, denúncias à Fiscalía e trabalho com firmas especializadas e autoridades nacionais. A mensagem regulatória é que os incidentes em nuvem com impacto em contas e dados já não são tratados apenas como problema técnico, mas como exposição legal, bursátil e de governança corporativa.

No conjunto, o mês confirma que o compliance cibernético em recursos naturais está se deslocando para duas frentes. De um lado, disclosure perante mercados e órgãos de controle. De outro, rastreabilidade de acessos, resposta forense e capacidade de demonstrar que a operação crítica não parou. Quem não puder documentar esses dois planos ficará em desvantagem diante de reguladores, clientes e seguradoras.

Países e subsegmentos mais afetados

Os países com maior densidade de fatos relevantes no eixo foram Argentina e Colômbia, seguidos por sinais operacionais no Peru, Chile, Brasil e Venezuela. O peso não se explica pela quantidade bruta de incidentes comparáveis, mas pela sensibilidade dos ativos afetados e pela qualidade da evidência disponível em cada país.

Argentina

A Argentina concentrou o caso Oldelval, que domina a leitura do país em agosto. Trata-se da principal rede de transporte de petróleo ligada a Vaca Muerta, com cerca de 75% do cru do campo circulando por seus dutos, segundo a cobertura econômica. O incidente foi informado à CNV, afetou sistemas administrativos e não interrompeu o transporte de petróleo.

O mais marcante na Argentina não foi apenas o ataque, mas a forma como ele foi exposto. O fato passou pelo regulador de valores e foi repercutido por veículos especializados, de defesa, energia e economia. Além disso, a atribuição permaneceu em aberto entre The Gentlemen e outras hipóteses, incluindo uma menção isolada a incransom. Para um operador de infraestrutura crítica, esse nível de ruído informativo já integra o dano.

Colômbia

A Colômbia foi marcada pela Ecopetrol, uma companhia estatal cujo incidente envolveu nuvem corporativa, download não autorizado e uma tentativa de cifragem bloqueada. A empresa confirmou que não houve interrupção da produção, mas a exposição de dados de milhares de contas e de cerca de 15 empresas vinculadas faz do caso um dos fatos mais relevantes do mês para recursos naturais na região.

O país também trouxe a referência ao Ministério da Justiça como caso de ransomware, útil para entender o clima geral de exposição. Não se trata de um ativo de mineração ou energia, mas de um lembrete de que operadores críticos não trabalham isolados. A gestão de fornecedores, credenciais e acessos compartilhados segue como ponto de falha transversal.

Chile

O Chile apareceu em dois planos distintos. De um lado, a investigação jornalística sobre a empresa francesa afetada por ransomware e com filial em Quilicura mostrou possível exfiltração e pressão extorsiva. De outro, a Bloomberg reportou problemas de oferta de cobre por causa de tempestades e da paralisação de uma mina no Peru, com menção a operações mineradoras e logísticas chilenas afetadas pelo clima. Nenhum desses fatos equivale a um ciberincidente minerador chileno confirmado no material, mas ambos ajudam a dimensionar a fragilidade operacional do setor.

Peru

O Peru ganhou relevância por Las Bambas, onde a MMG retomou as operações em 21 de agosto após uma paralisação associada a um acidente de trabalho. A notícia é útil porque delimita o impacto sobre a oferta de cobre e evita uma leitura errada de ciberincidente. No material, não há evidência de um ataque informático à mina, apenas de uma interrupção operacional alheia à cibersegurança.

Brasil

O Brasil trouxe dois tipos de sinal. A telemetria da Fortinet, citada pela imprensa local, apontou quase 250 bilhões de ataques cibernéticos entre janeiro e julho e 69.000 ocorrências de cryptomining no país nesse período. Esse número é telemetria, não incidente com impacto confirmado, mas mostra pressão contínua sobre a infraestrutura tecnológica brasileira.

Além disso, uma nota especializada informou que as tentativas de cryptomining no Brasil superaram o total do ano anterior. Para o eixo de recursos naturais, isso importa porque a mineração ilícita de criptomoedas disputa capacidade de processamento, energia e visibilidade operacional, embora não implique por si só uma intrusão com dano confirmado ao setor extrativo.

Venezuela

A Venezuela foi atravessada pelo caso PDVSA e pelo contrato com a SLB. A cobertura da Reuters e de outras fontes afirmou que a companhia americana obteve acesso a dados de reservatórios para organizar e modernizar bases obsoletas após anos de abandono e um ciberataque recente. Não há um novo incidente documentado aqui, mas sim uma consequência estrutural da deterioração de sistemas e da necessidade de recuperar controle sobre informações críticas.

Tendências e sinais a monitorar

A principal tendência do mês foi a alta de ransomware e de incidentes não tipificados em relação a julho. O relatório comparativo mostra 26 casos com ransomware ou extorsão como eixo principal, ante 7 no mês anterior, e 26 incidentes sem tipificação, contra 8. Essa mudança não se explica apenas por mais ruído na cobertura. Ela indica uma ameaça mais visível, mais monetizável e mais difícil de classificar com precisão.

O segundo sinal é a queda do phishing documentado e a baixa presença de fraude. Passar de 4 para 1 caso de fraude ou phishing não significa que o vetor desapareceu, mas que perdeu centralidade no material do mês diante de campanhas de extorsão. Para a segurança defensiva, isso sugere uma conversa operacional menos focada no e-mail isolado e mais voltada a acessos persistentes, identidades e movimento lateral.

O terceiro sinal é a consolidação do disclosure regulatório como parte do incidente. A Oldelval mostrou que o fato relevante à CNV pode ser o mecanismo que organiza a narrativa pública. A Ecopetrol fez algo semelhante com a SEC, a Fiscalía e a comunicação corporativa. Isso obriga as equipes a preparar não só a contenção técnica, mas também uma cadeia de evidências pronta para reguladores e auditores.

O quarto sinal é a relevância crescente da nuvem. A Ecopetrol não foi atingida por um PLC exposto nem por uma terminal isolada, e sim por ambientes de armazenamento em cloud e contas de usuário associadas a várias empresas do grupo. Em mineração, metalurgia e recursos naturais, onde a narrativa de risco costuma se concentrar em tecnologia operacional, agosto lembrou que a camada corporativa continua sendo o alvo mais rentável para os atacantes.

O quinto sinal é que a ausência de CVEs críticos no material não melhora o cenário. Se o mês se organizou em torno de credenciais, acessos, exfiltração e RaaS, a defesa deve ler isso como um problema de identidade, segmentação e visibilidade de dados. Não apareceu uma vulnerabilidade estrela que explique tudo. O que apareceu foi uma maturidade ofensiva suficiente para explorar o que já existe dentro das redes.

Recomendações para equipes de segurança

A prioridade para equipes de segurança em mineração, metalurgia e recursos naturais deve ser reforçar o controle de identidade e a capacidade de recuperação, porque agosto registrou intrusões que avançaram sem a necessidade de uma vulnerabilidade crítica identificada publicamente. Os incidentes mais relevantes se apoiaram em acessos, nuvem, exfiltração e pressão extorsiva.

Primeiro, revisem os privilégios de contas administrativas e de terceiros. O mês trouxe sinais suficientes de abuso de permissões e de acessos comprometidos para tratar privilégios excessivos como risco operacional, não como mera higiene. Qualquer prestador com acesso desnecessário à produção, à nuvem ou a sistemas de suporte deve passar imediatamente por recertificação.

Segundo, fortaleçam a segmentação entre ambientes administrativos e operacionais. A Oldelval mostrou que um ataque pode ficar contido em sistemas administrativos, mas isso não torna o problema menor. A separação rígida entre transporte, controle industrial, ERP e serviços de identidade segue sendo uma das poucas barreiras capazes de impedir que uma intrusão corporativa vire operacional.

Terceiro, testem a revogação de acessos e a resposta à exfiltração. A Ecopetrol se destacou pela capacidade de bloquear a criptografia e revogar credenciais comprometidas. Essas ações não se improvisam durante o incidente. Elas precisam ser ensaiadas em simulações que incluam nuvem, repositórios documentais, contas de serviço e acessos de terceiros.

Quarto, preparem um pacote de divulgação regulatória antes do evento. O caso Oldelval mostra que a linguagem do relatório ao regulador, a cronologia e a evidência técnica importam tanto quanto a contenção. As equipes jurídica, de compliance e de segurança devem definir limites, modelos e responsáveis pela comunicação antes que o incidente aconteça.

Quinto, monitorem leak sites e canais de atribuição com critério. O mês trouxe grupos assumindo ataques e versões contraditórias sobre a autoria. Isso obriga a separar inteligência útil de propaganda dos atacantes. A atribuição pública só deve entrar em decisões operacionais quando houver corroboracão independente, não quando o grupo a reivindicar.

Perguntas frequentes

O que agosto juntou em Oldelval e Ecopetrol que não aparece em outros casos do mês?

Ambos os incidentes reúnem infraestrutura crítica, exposição pública e resposta regulatória, mas com impactos diferentes. A Oldelval relatou impacto em sistemas administrativos sem interromper o transporte de petróleo bruto, e a Ecopetrol confirmou acesso não autorizado e bloqueio da criptografia. A comparação é desenvolvida em Incidentes relevantes e Regulamentação e compliance.

Por que o relatório insiste em separar criptografia, exfiltração e leak site?

Porque agosto mostrou três impactos distintos dentro da mesma etiqueta ransomware. Houve criptografia confirmada em poucos casos, uma única menção pública em leak site em outros e várias situações em que o material não permitiu fechar a tipificação. Essa distinção está em Ameaças e campanhas ativas e nos Indicadores do período.

O que muda para um operador de recursos naturais se não houve CVEs críticos no material?

Muda o foco defensivo. Neste mês, o risco não veio de uma falha publicada, e sim de acessos, credenciais, nuvem e pressão extorsiva. Isso obriga a priorizar identidade, segmentação e recuperação em vez da busca por uma vulnerabilidade específica. O detalhe está em Vulnerabilidades críticas e em Tendências e sinais a monitorar.

Qual país ficou mais exposto pela combinação de cibersegurança e disclosure regulatório?

A Argentina, pelo caso Oldelval, porque o incidente chegou à CNV, foi reportado como fato relevante e ficou ligado à continuidade do transporte de petróleo. A Colômbia também teve um caso forte com a Ecopetrol, mas ali o foco esteve mais em exfiltração e bloqueio da criptografia do que em divulgação ao mercado de capitais. Ver Países e subsegmentos mais afetados.

A telemetria de cryptomining no Brasil conta como incidente do setor?

Não. São tentativas ou bloqueios automatizados, não intrusões com impacto confirmado, e por isso não entram no volume do mês. Ainda assim, servem como sinal de contexto para entender a pressão sobre a infraestrutura tecnológica e o consumo de recursos. A explicação metodológica aparece em Indicadores do período e Limitações do material.

Limitações do material

Este relatório foi construído exclusivamente com os fatos fornecidos para agosto de 2026 sobre mineração, metalurgia e recursos naturais na América Latina. A janela temporal dos indicadores inclui 64 fatos com data em agosto de 2026, 7 fatos de meses anteriores usados apenas como marco comparativo e 1 fato sem data confirmada, que foi excluído dos indicadores.

Um indicador em 0, em particular o de CVEs críticos, significa que não houve registro no material analisado, não que eles estivessem ausentes na região. A mesma lógica vale para outras categorias não observadas ou de baixo volume. A ausência no corpus não equivale à ausência real do fenômeno.

As cifras de telemetria agregada, como tentativas, bloqueios, varreduras e médias semanais de vendors, foram excluídas do volume de incidentes. Se forem mencionadas, é apenas como contexto e com a ressalva de que se tratam de tentativas ou bloqueios automatizados, não de intrusões com impacto confirmado. Também foram excluídas redes sociais de consumo e conteúdo patrocinado ou comercial que não estava habilitado como fonte primária para afirmações externas.

O material disponível privilegia fontes jornalísticas, relatórios técnicos e avisos corporativos ou regulatórios. Isso permite reconstruir com bastante clareza os casos Oldelval e Ecopetrol, mas deixa menos certeza sobre atribuições, volumes de exfiltração e tipificação fina em vários incidentes. Quando a fonte não permitiu fechar um dado, o relatório o diz explicitamente antes de superinterpretá-lo.