Mineração, metalurgia e recursos naturais, Out 2026

Ameaças e campanhas ativas

A ameaça ativa mais visível do mês foi a extorsão, mas com um grau importante de incerteza sobre o impacto real. Em paralelo, houve sinal de phishing e fraude documentado, e atividade APT ou de intrusão com participação assistida por IA, embora nenhuma dessas linhas estivesse claramente ancorada ao vertical extrativo em todos os casos.

Ransomware e extorsão, Grupo Industrial Tauro

O único caso de metalurgia com reivindicação direta de ransomware foi o do Grupo Industrial Tauro. A fonte mais concreta, Dexpose, informou que Lamashtu anunciou um ataque e ameaçou publicar dados se suas exigências não fossem atendidas. Ransomware.live e Darkfield replicaram a alegação, mas nenhuma das fontes apresentou evidência técnica independente nem confirmou a criptografia de ativos.

BreachSense acrescentou um ponto relevante ao indicar registros de contas e credenciais associadas ao domínio grupotauro.com observados em brechas externas. Isso pode sugerir uma higiene de identidade fraca ou exposição prévia de credenciais, mas não basta para afirmar comprometimento da vítima. Na classificação deste relatório, o caso fica como uma alegação de extorsão com tipificação indeterminável.

A leitura operacional é que esse tipo de campanha busca capitalizar a visibilidade pública de uma empresa industrial e a pressão reputacional gerada por um leak site. Para o setor, o principal risco não é só a possível perda de informações, mas a interrupção da confiança com clientes, fornecedores e reguladores se a empresa não tiver uma postura clara de resposta e validação.

Ransomware e extorsão, Warlock e a cadeia SharePoint

O outro eixo de extorsão do mês foi Warlock, também identificado pela fonte como Storm-2603. A SC Media informou que os atacantes exploraram vulnerabilidades do Microsoft SharePoint instaladas localmente para obter acesso inicial e desativaram softwares de segurança em 40 hosts em cerca de duas horas antes de implantar ransomware. A WaterISAC acrescentou que os administradores de água deveriam tratar como potencialmente comprometidos os servidores SharePoint locais expostos à internet antes de receberem correção.

A SECPod vinculou essa atividade à cadeia ToolShell de quatro vulnerabilidades do Microsoft SharePoint Server local, entre elas CVE-2025-53770, descrita como execução remota de código não autenticada com CVSS 9.8. Aviatrix e CyberScoop trouxeram contexto tático, persistência prévia, mapeamento de domínio, criação de contas de serviço não autorizadas e possível uso da mesma cadeia ToolShell ou de vulnerabilidades recentes. Nenhuma dessas peças identifica uma vítima mineira ou metalúrgica latino-americana específica, mas o vetor é muito relevante para operadores industriais com SharePoint exposto.

A implicação não é teórica. Muitas organizações do vertical usam SharePoint para intranet, documentação de fornecedores, solicitações de mudança e fluxos administrativos. Se um atacante obtém acesso inicial por ali, pode se mover para e-mail, identidade e sistemas de gestão, mesmo sem tocar de início a rede OT. Esse ponto de entrada se encaixa na preocupação da WaterISAC e no caráter de infraestrutura híbrida que domina os grandes operadores.

Ransomware e extorsão, a menção à Cotesma

Um terceiro elemento do mês foi a publicação sobre um suposto ataque do Qilin contra a Cotesma, no Chile, difundida por TweetThreatNews. A peça indicava criptografia não autorizada e disrupção operacional, mas não houve confirmação oficial da empresa nem de uma autoridade chilena, e o caso não foi vinculado especificamente à mineração ou a recursos naturais.

Do ponto de vista metodológico, esse tipo de registro deve ser tratado com cautela. O material disponível não basta para elevá-lo de categoria nem para integrá-lo como incidente confirmado do vertical. Serve, sim, para lembrar que repositórios de supostos leaks ou publicações não validadas podem amplificar ruído e ser confundidos com sinal se não forem contrastados com fontes primárias.

Fraude e phishing

A evidência documentada de fraude e phishing foi limitada no material analisado, com três casos no total segundo os indicadores do período. O conteúdo de referência não detalha esses episódios um a um dentro do vertical extrativo, mas confirma que a tática continuou aparecendo no mês.

A ausência de mais detalhes não significa que o risco tenha caído. Em ambientes de mineração, metalurgia e recursos naturais, o phishing costuma mirar identidade, compras, fornecedores e acesso remoto. Quando também há operações em campo, contratados e comunicações distribuídas, uma campanha de fraude pode abrir caminho para roubo de credenciais, desvio de pagamentos ou acesso lateral a plataformas administrativas.

APT, automação e intrusão assistida por IA

A CrowdStrike publicou informações sobre uma campanha de agentes de IA que teria afetado ao menos 15 entidades de saúde na Argentina, com extração de credenciais e registros médicos. Crypto Briefing e Becker's Hospital Review repercutiram a descoberta como uma operação com participação humana limitada. A Security Boulevard, por sua vez, reportou atividade atribuída à VAPOR PANDA contra instituições governamentais da América Latina com implantação de BLOODALCHEMY, embora sem identificar vítimas públicas.

Não há nessas peças uma relação direta com mineração ou metalurgia, mas há um sinal claro de para onde se movem as operações avançadas. Se atores com suporte de IA conseguem aumentar escala, velocidade e persistência, o mesmo modelo pode acabar afetando fornecedores de energia, logística ou administração pública ligada a concessões e licenças. O risco para o vertical está na cadeia de entorno, não apenas no perímetro principal.

Vulnerabilidades críticas

As vulnerabilidades críticas mencionadas em outubro atingiram principalmente softwares de colaboração, acesso remoto e aplicações expostas, com várias famílias sob exploração ativa. O valor para o vertical está na exposição de terceiros e em sistemas que costumam conviver com a operação industrial, mesmo quando não fazem parte do núcleo OT.

Essas vulnerabilidades não devem ser lidas como uma lista de vítimas do vertical, mas como superfícies que podem viabilizar intrusão em empresas industriais, operadoras de serviços e contratadas. Em um cenário em que a operação depende de e-mail, gestão documental, acessos remotos e portais internos, a demora na aplicação de patches ou a exposição à internet continua sendo uma via de entrada prioritária.

Regulação e conformidade

O componente regulatório do mês se concentrou no Chile e na discussão sobre infraestrutura crítica. A disputa entre empresas de energia e mineração e a autoridade de cibersegurança mostra que a conformidade deixou de ser apenas documental e passou a envolver dependência operacional e enquadramento legal do serviço.

A Tercera informou que Sierra Gorda, Zaldívar, Antucoya e Centinela contestaram a aplicação da categoria regulatória. A Enex afirmou à Corte de Apelações de Santiago que seus processos são físicos e mecânicos, enquanto a Esmax reconheceu sua condição de prestadora de serviços essenciais, mas rejeitou a categoria mais rígida de Operador de Importância Vital. O Fundo complementou a discussão com a posição da autoridade, que destacou o peso da telemetria, dos pagamentos por RFID e das plataformas de despacho.

O sinal de conformidade é duplo. De um lado, há pressão para que atores do setor se integrem a marcos de segurança mais exigentes. De outro, as próprias empresas seguem discutindo o alcance dessa obrigação. Para as equipes de segurança, isso significa preparar evidências técnicas de dependência digital, testes de continuidade e argumentos de criticidade baseados em processos reais, e não apenas no rótulo regulatório.

Países e subsegmentos mais afetados

A distribuição geográfica do mês não foi uniforme. México, Chile, Colômbia e Costa Rica concentraram os fatos mais diretamente ligados ao vertical ou ao seu entorno operacional, enquanto Argentina e Panamá apareceram em material contextual sobre exposição regional e campanhas com possível impacto na cadeia de terceiros.

México

O México concentrou o caso mais claro do mês em metalurgia, com a denúncia da Lamashtu contra a Grupo Industrial Tauro, em Monterrey. Embora não tenha havido confirmação independente da intrusão, o simples fato de uma fabricante de aço aparecer em um leak site já obriga a revisar postura de identidade, exposição de ativos e resposta à extorsão.

O material disponível não permite atribuir um impacto operacional concreto, mas permite situar o México como um dos mercados em que a extorsão digital tenta atingir a indústria pesada. A relevância não é apenas nacional, porque uma fabricante de aço se insere em cadeias regionais de suprimento e manutenção que atravessam fronteiras.

Chile

O Chile foi o país com maior densidade regulatória e de compliance. Ali se cruzam a discussão sobre infraestrutura crítica, a menção a mineradoras em litígios, a referência a uma cifra de ransomware no relatório da Secure Soft citado por La Verdad e o surgimento de um suposto caso de Qilin contra a Cotesma, embora sem confirmação oficial.

O ponto central no caso chileno é que o setor de mineração já não aparece apenas como alvo potencial de extorsão, mas como ator em uma conversa sobre obrigações de cibersegurança. A autoridade e as empresas discutem o papel dos sistemas de telemetria, dos pagamentos e da automação, o que sugere uma maturidade regulatória maior do que em outras jurisdições da região.

Colômbia

A Colômbia trouxe o caso mais visível de mineração ilegal com uso de conectividade via satélite. A operação em Antioquia mostrou como a infraestrutura de comunicação pode ser incorporada por estruturas criminosas para sustentar produção ilícita em territórios remotos. Não houve um evento cibernético clássico, mas houve uma relação direta entre conectividade e exploração de recursos naturais.

Esse padrão é importante para o setor formal. A mineração, legal ou ilegal, depende de comunicações, energia e rastreabilidade. Quando essas capacidades são instaladas em áreas de difícil acesso, a linha entre logística produtiva e apoio criminal pode ficar difusa. Para o controle de riscos, isso obriga a integrar segurança física, telecomunicações e monitoramento de terreno.

Costa Rica

A Costa Rica apareceu na operação da INTERPOL contra crimes ambientais, com a apreensão de cianeto e mercúrio usados na extração ilegal de ouro. Embora o fato não seja um incidente digital, ele fala da cadeia de insumos que cerca a mineração ilegal e da importância de rastrear rotas, compras e logística.

Em um relatório setorial de cibersegurança, essa referência não é decorativa. Ela serve para lembrar que os recursos naturais estão expostos a redes híbridas de contrabando, comunicação e coordenação, nas quais ferramentas digitais podem apoiar tanto o abastecimento quanto a evasão de controles.

Argentina e o restante do entorno regional

A Argentina aparece no material de forma contextual, com a referência da CrowdStrike a pelo menos 15 entidades de saúde afetadas por uma campanha assistida por IA. Não é um fato do vertical extrativo, mas é um sinal da proximidade do risco avançado com a região. A TN e outros materiais de contexto reforçam que os ambientes industriais latino-americanos seguem sob pressão alta e diversificada.

Neste mês, os subsegmentos mais visíveis do vertical foram metalurgia, combustíveis e mineração informal. A grande mineração formal aparece mais no plano regulatório e de compliance do que como vítima técnica confirmada. Isso não reduz o risco, mas muda a leitura: a frente mais visível é a dependência de serviços digitais, terceiros e continuidade operacional.

Tendências e sinais a monitorar

A principal comparação com o mês anterior é que o volume verificável caiu de 49 para 40 fatos, mas a ameaça predominante passou de 22 para 14 fatos sem classificação. Isso sugere menos ruído total, embora ainda haja muita incerteza de atribuição. Não há sinal de alívio estrutural, há, isto sim, uma fotografia mais enxuta e com maior concentração em casos pontuais.

A primeira tendência a acompanhar é a de ransomware com tipificação incompleta. Em setembro, havia o mesmo nível de casos com ransomware ou extorsão como eixo primário que em outubro, oito em ambos os meses, mas em outubro apenas um pôde ser vinculado a criptografia confirmada. O restante ficou na zona cinzenta, o que exige leitura cuidadosa de leak sites e de alegações de terceiros.

A segunda sinalização é a exploração de software de uso transversal. Outubro somou dois CVE a mais mencionados que o mês anterior e mostrou atividade ativa em Ivanti, Plex, PHP, Zimbra e SharePoint. Para o setor industrial, a lição não muda: acessos remotos, portais internos e ferramentas colaborativas seguem como via de entrada preferencial.

A terceira tendência é regulatória. O Chile avança em uma discussão cada vez mais concreta sobre quais ativos do vertical devem ser tratados como críticos e quais obrigações de cibersegurança cabem a eles. Essa discussão tende a ganhar peso em outros países da região se a dependência de telemetria, automação e serviços digitais continuar crescendo.

A quarta sinalização é a convergência entre conectividade e economias ilícitas. O caso de Antioquia e a apreensão de insumos na Costa Rica mostram que conectividade via satélite, equipamentos autônomos e redes de coordenação também fazem parte do problema de recursos naturais. Para as equipes de segurança, isso abre uma frente de monitoramento que não se limita a endpoints ou servidores.

Recomendações para equipes de segurança

As equipes de segurança do setor devem priorizar medidas que ataquem o vetor mais visível do mês, a combinação de extorsão, exposição de terceiros e dependência de serviços digitais. Não é preciso esperar uma intrusão confirmada para agir sobre essas superfícies.

Primeiro, revisar com prioridade os acessos remotos e as plataformas de colaboração expostas. Os alertas sobre Ivanti, SharePoint, PHP, Plex e Zimbra mostram que softwares de uso comum podem virar porta de entrada. Se a organização usa alguma dessas plataformas ou depende de fornecedores que as operam, vale validar correção, exposição externa, autenticação multifator e segmentação de privilégios.

Segundo, fortalecer a resposta a reclamações de ransomware sem confirmação técnica completa. O caso Tauro mostra que um leak site pode pressionar mesmo sem evidência pública de criptografia. As áreas jurídica, de comunicação e de segurança devem combinar com antecedência como validar, negar ou limitar uma reclamação, como preservar evidências e como responder a ameaças de divulgação de dados.

Terceiro, auditar fornecedores e contratados que sustentam operações industriais, logísticas ou administrativas. A maior parte dos pontos de entrada do mês não está no núcleo produtivo, mas em serviços adjacentes. Em mineração, metalurgia e energia, isso inclui manutenção, ERP, telemetria, despacho, gestão documental e suporte remoto.

Quarto, reforçar controles sobre comunicações em campo e ativos autônomos. O uso de internet via satélite em mineração ilegal na Colômbia não é um caso isolado de segurança física, mas um sinal de que as comunicações distribuídas também fazem parte do risco. Onde houver links satelitais, rádios, painéis solares ou equipamentos autônomos, deve haver inventário, monitoramento e rastreabilidade.

Quinto, preparar evidências para discussões regulatórias. O caso chileno mostra que a classificação de infraestrutura crítica depende de demonstrar interdependência entre redes digitais e operação física. Isso exige diagramas reais, testes de continuidade, registros de telemetria, mapas de serviços e documentação do impacto potencial em caso de queda de sistemas.

Sexto, monitorar identidades expostas e credenciais em brechas externas. O achado da BreachSense sobre contas e credenciais vinculadas a grupotauro.com, embora não comprovado como parte do ataque, sugere que listas de credenciais seguem sendo uma fonte de risco para a indústria. Convém revisar reutilização de senhas, MFA, detecção de anomalias e políticas de rotação.

Perguntas frequentes

O que une o caso do Grupo Industrial Tauro à discussão regulatória no Chile?

Os dois casos mostram dependência de sistemas digitais em ambientes industriais, embora um seja uma denúncia de extorsão no México e o outro uma disputa regulatória no Chile. Tauro expõe o risco de ransomware ou leak site, enquanto o Chile coloca no centro telemetria, pagamentos e despacho como parte da operação crítica.

Por que uma mineração ilegal na Colômbia aparece em um relatório de cibersegurança?

Porque o material mostra que conectividade e energia autônoma também sustentam economias extrativas ilícitas. Em Antioquia, a antena via satélite não foi um detalhe incidental, mas uma peça de comunicação operacional com líderes. Isso cruza segurança física, telecomunicações e controle territorial.

Quais vulnerabilidades as equipes do setor deveriam priorizar neste mês?

As que o material identifica como sob exploração ativa e que costumam coexistir com a operação industrial, como Ivanti Connect Secure, SharePoint local, Zimbra, PHP e Plex. A prioridade prática surge do cruzamento entre a seção de vulnerabilidades e os incidentes de extorsão, porque vários vetores de entrada são transversais.

O mês mostrou mais ransomware confirmado ou mais denúncias sem validação?

Mostrou mais denúncias sem validação. Houve oito casos com ransomware ou extorsão como eixo principal, mas apenas um teve criptografia de ativos confirmada e sete ficaram sem tipificação determinável com o material. Isso obriga a tratar os leak sites como sinais de risco, e não como prova automática de impacto.

Qual país concentrou a maior densidade de sinais ligados a recursos naturais?

O Chile, pela combinação de disputa regulatória, menção a companhias de mineração e debate sobre infraestrutura crítica. O México contribuiu com o caso da Tauro, a Colômbia com o uso de conectividade na mineração ilegal e a Costa Rica com a apreensão de insumos para extração ilícita. Cada país entrou com uma parte diferente do mapa.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para outubro de 2026 e com a janela temporal declarada para os indicadores. Não foram usadas fontes externas nem conteúdos fora da lista habilitada, e os fatos de meses anteriores só foram considerados na comparação já entregue pelo insumo.

Um indicador em zero não significa ausência regional do fenômeno. Em particular, se um item de vulnerabilidades críticas ou de incidentes não apareceu no material analisado, isso apenas indica que não ficou registrado nesta amostra, não que não tenha ocorrido na América Latina.

A categoria de ransomware e extorsão foi tratada com a taxonomia solicitada pelo instrutivo. Quando a evidência não permitiu distinguir entre criptografia de ativos, exfiltração sem criptografia ou apenas menção em leak site, foi indicado expressamente que a fonte não especificava o impacto. Não foram acrescentadas hipóteses técnicas sem respaldo no material.

Também não foram incorporadas como incidentes as cifras de telemetria agregada. Quando houve uma referência contextual, ficou claro que se tratava de tentativas, bloqueios ou medições de vendor, e não de intrusões com impacto confirmado. Permaneceram excluídas de qualquer contagem as publicações que não estavam na lista de fontes disponíveis ou que dependiam de redes sociais de consumo.