Panorama de cibersegurança na América Latina, Set. 2026

Ameaças e campanhas ativas

Ransomware e extorsão

A campanha de ransomware e extorsão mais consistente do mês foi a Panzer, com a K3G Solutions Brazil como a vítima melhor documentada e exfiltração estimada em 300 GB, segundo trackers especializados. Em paralelo, a Titan publicou a Grupo Hospifar S.R.L. em um leak site, e a Qilin manteve atividade visível contra o Sanatorio Modelo de Caseros, embora esse último caso não tenha saído do terreno de reivindicação disputada.

A região também registrou atividade ligada à Emperador contra o Poder Judicial de Jujuy e reivindicações da Incransom sobre a Diarco, mas ambos com verificação incompleta. A diferença entre publicar uma vítima e comprovar impacto segue central. Em setembro, a maioria dos casos regionais de ransomware ficou em alguma posição intermediária entre a menção em leak site e a confirmação parcial de exfiltração.

Fraude e phishing

Fraude e phishing foram a verdadeira massa crítica do mês. O BCRA alertou sobre campanhas de falso investimento que imitam bancos, carteiras digitais e órgãos públicos, e pedem credenciais ou tokens. Ao mesmo tempo, a imprensa regional mostrou avanço no uso de deepfakes, suplantação de identidade e clonagem de voz para golpes bancários e familiares, com destaque para Argentina e Brasil.

Também houve sinais técnicos mais específicos. A Casbaneiro permaneceu ativa contra usuários de instituições financeiras na Argentina, no Peru, na Colômbia e no México, com cadeias de infecção por PDF malicioso, loaders e geofencing. Na Argentina, o uso de IA para imitar vozes e rostos já aparece como recurso operacional da fraude, e não só como curiosidade mediática.

APT e espionagem

O sinal mais claro de APT no mês veio da ESET Research com SparroWocky, uma backdoor usada pela FamousSparrow contra alvos governamentais na Argentina, no Equador, na Guatemala, em Honduras, no Panamá, no Peru, em Porto Rico e na Venezuela. O interesse do caso está na persistência e na amplitude regional do targeting, com mecanismos pensados para reduzir a pegada e dificultar a resposta.

Esse padrão convive com outro, mais amplo, de ataques com ferramentas de IA observados pela Unit 42 em organizações da América Latina. O material não permite transformar isso em um único evento, mas sim em um sinal de maturidade ofensiva: abuso de ferramentas legítimas, persistência em Windows e campanhas que misturam espionagem, fraude e preparação de acesso.

Vulnerabilidades críticas

No material analisado, foram registrados 2 CVEs críticos mencionados. Isso não significa ausência de outras vulnerabilidades relevantes na região, mas apenas que só duas apareceram com identificação explícita no corpus do mês.

O fato de apenas dois CVEs terem sido mencionados no material não deve ser lido como sinal de baixo risco de vulnerabilidades na região. O mês foi marcado por outras prioridades editoriais e regulatórias, e o corpus de pesquisa não traz uma lista exaustiva de exploração técnica. O que ele mostra é que, quando surge uma vulnerabilidade crítica, o foco recai sobre produtos de gestão remota e de e-mail, duas superfícies historicamente sensíveis para a cibersegurança corporativa.

Regulação e compliance

Setembro confirmou que a regulação já não é pano de fundo, mas a principal ameaça do mês em volume documental. O dado de 322 fatos regulatórios entre 851 verificados no período mostra uma região ativa na produção normativa, em consultas públicas, reformas de fiscalização e ajustes de compliance. Isso não significa menos risco, e sim mais obrigações e mais rastreabilidade exigida das equipes.

A Argentina concentrou boa parte da agenda com a Comunicação A 8473 do BCRA, que formaliza um score de risco de fraude para transferências imediatas e obriga bancos e PSP a usá-lo na alta, no monitoramento e na revisão de cadastro. O BCRA também divulgou alertas sobre golpes que usam seu nome para falsos investimentos e avançou em um esquema mais amplo de prevenção com informação pública e perfis de risco. Para o setor financeiro, a mensagem é clara: o controle antifraude virou peça estrutural do compliance.

Em paralelo, o Poder Executivo enviou ao Congresso um projeto de segurança nacional que incorpora cibersegurança e infraestrutura crítica. A iniciativa se soma a discussões anteriores sobre modernização do Estado, serviços públicos digitais e soberania de dados. A linha comum é um Estado que busca organizar seus ativos digitais, classificar o que é crítico e definir responsabilidades de segurança com mais precisão.

O Brasil mostrou outra face da mesma tendência. A ANPD realizou audiência pública, abriu consulta pública sobre fiscalização de plataformas digitais e publicou orientações sobre incidentes de segurança e documentação. A TI Inside e a RNP lembraram o prazo de até três dias úteis para comunicar incidentes da LGPD, e o caso TikTok consolidou uma lógica sancionatória mais intensa. O efeito para empresas regionais é inequívoco, a governança documental importa tanto quanto o controle técnico.

Países mais afetados na América Latina

Argentina

A Argentina foi o país com maior densidade de sinais combinados em setembro. Houve casos de ransomware ou pedidos de extorsão, campanhas de fraude bancária, um salto regulatório do BCRA e um projeto nacional que incorpora cibersegurança à arquitetura de segurança do Estado. O quadro geral não mostra um único ponto de ruptura, mas a sobreposição de riscos financeiros, judiciais e de infraestrutura crítica.

Em ransomware, os nomes mais visíveis foram o Poder Judicial de Jujuy, Diarco, Librería Santa Fe, Sanatorio Modelo de Caseros, o Ministério da Educação e a empresa Tecno Acción, embora nem todos com o mesmo nível de confirmação. Na fraude, a referência dominante foi o ecossistema de transferências, wallets e suplantação de identidade, reforçado pelo uso crescente de IA em golpes e pelo endurecimento do BCRA. O país termina o mês com muita regulação e muita exposição, uma combinação que obriga a afinar resposta e compliance ao mesmo tempo.

Brasil

O Brasil concentrou a agenda mais madura em regulação e a evidência mais clara de incidente confirmado. A ANPD foi o eixo de fiscalização, com audiência pública, consulta pública e discussão sobre transparência e sanções. A CAPES confirmou um incidente na Plataforma Meus Dados e o CTIR Gov publicou um alerta por vulnerabilidade crítica. Soma-se a isso o caso TikTok, que continuou definindo o tom da proteção de menores e do poder de intervenção do regulador.

Na frente criminal, o Brasil também apareceu na campanha Panzer contra K3G Solutions e em sinais de ransomware ligados a setores industriais e de serviços. O país fechou o mês como o melhor exemplo de uma região em que regulação, fiscalização e incidentes reais avançam em paralelo, não em sequência.

Bolívia

A Bolívia teve um sinal mais restrito, mas nem por isso menor. A Câmara Nacional de Indústrias informou um ataque à sua página oficial no Facebook, com impacto temporário na comunicação institucional, e Entel, AGETIC e ATT impulsionaram o Bolivia Cibersegura 2026 para fortalecer a resposta a incidentes. Além disso, foram divulgados dados sobre tentativas de ciberataque ao setor bancário, embora esse número corresponda a telemetria e não a intrusões confirmadas.

A leitura do país aponta para consolidação de capacidades, não para um único incidente grande. O eixo de risco está na maturação institucional da resposta e na necessidade de profissionalizar CSIRTs setoriais e canais de notificação.

Peru

O Peru aparece mais em chave regulatória do que de incidentes. O fim do prazo para designar Oficiais de Dados Pessoais em empresas médias, conforme a Lei 29733, mostra um cronograma de adequação que segue em curso. Também houve sinais de atividade criminal regional com Casbaneiro contra usuários do país, embora o caso tenha sido reportado em um contexto multinacional e não como incidente local isolado.

Para as empresas peruanas, o mês reforça uma leitura de compliance gradual e de exposição regional à fraude financeira. A continuidade entre regulação de dados e fraude digital é mais forte do que em outros países do bloco andino.

Colômbia

A Colômbia teve mais visibilidade pela campanha de Casbaneiro, que mirou usuários de instituições financeiras no país, e pela discussão legislativa sobre um novo projeto de proteção de dados que endureceria sanções e ampliaria alcances territoriais. O material não traz incidentes confirmados com a mesma granularidade de Argentina ou Brasil, mas indica uma pressão regulatória clara e exposição a fraude bancária transfronteiriça.

A combinação de IA, phishing e mudanças normativas sugere que o país entra em uma fase de maior alinhamento regional com modelos de proteção mais rígidos. A prioridade operacional está em identidade, monitoramento e resposta a suplantações de alto realismo.

México

O México manteve uma agenda forte em pagamentos, autenticação e prevenção de fraude, embora com menos incidentes confirmados no material do mês. O Banxico manteve consultas públicas e a cobertura do setor financeiro continuou marcando o endurecimento dos controles sobre cartões, pagamentos e câmaras de compensação. Na área criminal, Casbaneiro também mirou usuários mexicanos, reforçando a leitura de um vetor financeiro regional compartilhado.

O país aparece menos como cenário de incidentes pontuais e mais como um mercado em que convergem regras de autenticação, vigilância de pagamentos e pressão para combater a fraude. O retrato de setembro é o de um ecossistema financeiro que segue fechando brechas de identidade.

Paraguai

O Paraguai seguiu avançando nas discussões sobre infraestrutura crítica e proteção de dados. O material disponível aponta para uma arquitetura normativa que ainda está em consolidação, com foco em serviços essenciais e no regime de dados pessoais. Não houve incidentes confirmados de peso comparáveis aos da Argentina ou do Brasil, mas há um sinal de construção regulatória contínua.

Para a análise regional, o Paraguai importa porque mostra o tipo de base legal que outros países ainda discutem. Sua relevância é menos midiática e mais estrutural.

Chile

O Chile aparece no material principalmente como país comparativo em leis de proteção de dados e debates sobre adiamentos regulatórios. Não houve fatos incidentais relevantes dentro do recorte temático deste relatório para setembro, ao menos no corpus fornecido. Isso não significa ausência de risco, mas ausência de fatos suficientemente verificáveis na cobertura incluída.

Equador

O Equador teve um avanço legislativo em cibersegurança e uma referência operacional na campanha SparroWocky, da FamousSparrow, que afetou órgãos governamentais no país. O dado mais sólido não é uma grande violação pública, e sim a confirmação de que a região andina continua no radar de APTs com foco em governos.

O país combina discussão normativa com exposição a espionagem digital. Nesse sentido, o material o coloca mais perto de uma frente de defesa estatal do que de um ecossistema de fraude em massa.

Tendências e sinais a monitorar

A comparação com agosto mostra menos fatos verificados no total, mas mais atividade de fraude e mais incidentes sem tipificação. Os 851 fatos de setembro caem ante os 902 do mês anterior, e os movimentos regulatórios também recuam de 410 para 322. No entanto, a fraude e o phishing documentados saltam de 85 para 190, e os incidentes sem tipificação sobem de 48 para 61. O sinal é claro: menos ruído regulatório que em agosto, mas mais pressão real em fraude e mais casos que ainda não podem ser fechados tecnicamente.

Em ransomware, a variação é mínima, de 41 para 40 casos com extorsão como eixo principal. Isso indica estabilidade, mais do que queda. O que muda é a composição: mais denúncias envolvendo organizações da região, mais dificuldade para distinguir criptografia, exfiltração ou simples publicação em um site de vazamentos, e mais necessidade de validar cada caso antes de assumir impacto. A região segue como alvo rentável para extorsão, mas o valor operacional está cada vez mais na exfiltração e na pressão reputacional.

A outra mudança forte é a fraude. O salto de 85 para 190 casos documentados não se explica apenas por maior cobertura, mas por uma maior sofisticação do engano e pela incorporação de IA em deepfakes, clonagem de voz e roteiros de phishing mais persuasivos. O material da Argentina, do Brasil e da cobertura regional coincide em que a fraude já não depende de erros evidentes. A autenticação social e a verificação humana precisam ser reforçadas tanto quanto o controle técnico.

A regulação também não desaparece, embora caia em volume. Pelo contrário, o mês mostrou uma transição da produção normativa geral para a fiscalização concreta. A ANPD no Brasil e o BCRA na Argentina estão em uma etapa de implementação e controle, não apenas de anúncio. Isso é um sinal relevante para as equipes de segurança e jurídicas, porque obriga a produzir evidência, e não só políticas.

Recomendações para equipes de segurança

A prioridade imediata é revisar os controles antifraude nos canais de pagamento e transferência, sobretudo onde há fluxos de alta frequência, abertura de novos clientes e operações sensíveis por home banking ou carteiras digitais. O material do mês mostra que o fraude já combina suplantação, IA e exploração de falhas de processo. Por isso, o controle precisa cobrir identidade, comportamento, validação e resposta ao usuário.

Em segundo lugar, vale endurecer a disciplina de resposta a leak sites e a reclamações não corroboradas. Nem toda listagem equivale a uma intrusão confirmada, e setembro trouxe vários exemplos em que a diferença entre menção, exfiltração e criptografia muda por completo a prioridade do caso. Uma equipe que monitore esses sinais deve classificar por grau de certeza, setor, tipo de evidência e possível impacto sobre dados regulados.

Em terceiro lugar, os setores regulados, especialmente finanças, saúde e governo, devem revisar suas obrigações de notificação e de documentação probatória. O Brasil já opera com prazos curtos e exigências de registro, enquanto a Argentina acrescenta score de risco, perfis de transferência e uma agenda de infraestrutura crítica. Se uma equipe não consegue reconstruir uma linha do tempo técnica e uma linha de decisão de negócio, está um passo atrás do que o mês começa a exigir.

Em quarto lugar, é preciso ajustar os controles diante do fraude assistido por IA. Isso inclui verificação por segundo canal, limites à confiança em áudios ou vídeos, treinamento em deepfakes e procedimentos claros para rejeitar pedidos urgentes que cheguem por mensagens ou ligações não verificadas. O material do mês mostra que o engano já não depende de erro de ortografia nem de mensagens mal formuladas.

Por fim, em organizações com exposição a serviços essenciais ou infraestrutura crítica, convém testar continuidade e segmentação com mais frequência. Cyber.ar 26 e Guardião Cibernético 8.0 mostram que a região já trata subestações, energia, saúde e redes como alvos reais. Os exercícios precisam validar recuperação, não apenas a existência de backups.

Perguntas frequentes

Por que setembro teve mais fraude que ransomware no material analisado?

Porque o mês reuniu 190 casos de fraude ou phishing documentados, contra 40 casos com ransomware ou extorsão como eixo primário. Além disso, Argentina e Brasil concentraram muitas sinais de suplantação, deepfakes e golpes bancários. A seção de Indicadores e a de Ameaças e campanhas ativas mostram isso com clareza.

Quais países concentram o sinal mais relevante do mês?

Argentina e Brasil concentram a maior densidade de fatos verificáveis. A Argentina lidera em fraude, regulação bancária e reclamações de ransomware. O Brasil lidera na fiscalização de dados, no incidente confirmado na CAPES e na atividade da ANPD. Para uma leitura detalhada, veja Países mais afetados na América Latina e Regulação e conformidade.

Qual é a diferença entre uma vítima publicada em um leak site e um caso confirmado?

Uma publicação em leak site pode ser apenas uma alegação de extorsão. Um caso confirmado exige evidência adicional de impacto, idealmente da própria organização ou de fontes técnicas sólidas. Em setembro, vários casos da Argentina ficaram nessa zona cinzenta, por isso o relatório distingue alegação, exfiltração e criptografia em Ameaças e campanhas ativas.

O que mudou na agenda regulatória argentina em relação ao mês anterior?

O BCRA avançou da discussão antifraude para a implementação de scores de risco e perfis para transferências, enquanto o Executivo enviou ao Congresso um projeto de segurança nacional que incorpora cibersegurança e infraestrutura crítica. A comparação com agosto está desenvolvida em Indicadores do período e Tendências e sinais a monitorar.

Houve vulnerabilidades críticas publicadas no mês?

Sim, o material analisado menciona 2 CVEs críticos, CVE-2026-76461 e CVE-2026-84869. Isso não significa ausência de outras falhas na região, apenas que só essas duas foram explicitadas no corpus do mês. Veja a tabela de Vulnerabilidades críticas para o detalhamento e a fonte associada.

O que um time financeiro da região deveria priorizar depois deste mês?

Deveria priorizar antifraude em transferências, verificação reforçada de identidade, resposta à suplantação de marca e monitoramento de extorsão em leak sites. O material mostra uma alta em phishing com IA e uma regulação mais exigente sobre evidência e rastreabilidade. As recomendações operacionais estão em Recomendações para equipes de segurança.

Limitações do material

Este relatório usa exclusivamente os fatos fornecidos para setembro de 2026 e seu marco comparativo. Os 851 fatos verificados do período são a base de todos os indicadores do mês, enquanto 132 fatos de meses anteriores foram usados apenas como comparação e nunca como volume do período. Também ficaram excluídos 4 fatos sem data confirmada e 8 fatos posteriores ao período.

Um ponto importante é que um indicador em zero, especialmente em vulnerabilidades, significa que ele não apareceu no material analisado, não que não tenha existido na região. Neste caso, houve 2 CVEs críticos mencionados, mas isso não permite inferir a totalidade de vulnerabilidades exploradas na América Latina durante o mês. O mesmo critério se aplica a outros campos: ausência no corpus não equivale a ausência real.

A janela temporal de indicadores incluiu 856 fatos com data em setembro de 2026, 132 de meses anteriores como marco comparativo, 4 sem data confirmada excluídos e 8 posteriores excluídos. O material também contém 5 cifras de telemetria agregada, que são tentativas ou bloqueios automatizados e não incidentes com impacto confirmado. Essas cifras foram mantidas fora do volume do mês.

A qualidade da atribuição varia conforme o caso. Em vários fatos, sobretudo em ransomware e vazamentos, o corpus inclui fontes de acompanhamento de leak sites, trackers de brechas ou notas secundárias que não equivalem a confirmação oficial. Quando o material não permite distinguir criptografia, exfiltração ou simples menção, este relatório o assinala explicitamente. Também foram excluídas fontes não permitidas pela diretriz, como redes sociais de consumo ou publicações que não integram a lista autorizada.