Ransomware na América Latina, Junho de 2026

Ameaças e campanhas ativas

Ransomware e extorsão simples

A carteira de grupos ativos em junho mostrou uma dinâmica dispersa, mas sustentada. TheGentlemen foi identificado pela Breachsense como o grupo mais ativo do mês, com 94 vítimas reivindicadas globalmente, e sua presença se cruza com os casos brasileiros de Silmquinas e Equipamentos e Mackay Sugar mencionados pela Kaseya. LockBit5 aparece no radar de Daniel Donda e na vitimização mexicana de idefeey.yucatan.gob.mx e sweetome.com. Krybit aparece de forma recorrente no Brasil, no Paraguai e no México. Também figuram Direwolf, Threeam, Gunra, Incransom, Stormous, Dragonforce e Killsec.

Em termos taxonômicos, o sinal dominante é a extorsão. O material permite distinguir um único caso com cifragem de ativos confirmada, o bloco sanitário paraguaio, e um caso de exfiltração sem cifragem no domínio mexicano impulso-store.com. Há ainda uma única menção de vítima em leak site sem dados publicados até agora, como o caso de Mackay Sugar apontado pela Kaseya. O restante, 53 ocorrências, não permite determinar com precisão se houve cifragem, vazamento ou ambos. Essa opacidade é um dado em si, em junho a visibilidade pública superou com folga a precisão técnica.

A presença do TheGentlemen é particularmente útil para ler o mês. A Breachsense o coloca no topo da atividade global e, em paralelo, a fonte da Kaseya mostra um comportamento clássico de leak site, no qual a vítima é nomeada antes da publicação de dados. Isso se encaixa numa estratégia de pressão em etapas. Primeiro, o nome é exposto. Depois, a reação é medida. Mais adiante, se a vítima não negociar, pode vir a publicação dos dados ou uma segunda onda de exposição.

Cifragem confirmada, exfiltração sem cifragem e mera menção

A distinção não é cosmética. Quando há cifragem confirmada, o impacto aparece em sistemas fora do ar, processos parados e recuperação técnica. Quando há exfiltração sem cifragem, o risco migra para conformidade, privacidade e extorsão por exposição. Quando há apenas menção em leak site, a organização já está sob pressão pública, ainda que não exista prova de vazamento. Junho foi dominado pelo terceiro cenário e, em menor medida, pelo segundo.

O caso paraguaio mostra o primeiro cenário de forma relativamente clara, porque as instituições precisaram voltar ao papel e operar manualmente. O de impulso-store.com mostra o segundo, com acesso a dados completos de clientes e compradores, além de designs e pedidos. O de Mackay Sugar mostra o terceiro. Essa sequência importa para qualquer CISO da região, porque obriga a ajustar indicadores de severidade. Um mesmo grupo pode estar negociando, vazando ou cifrando, dependendo do objetivo e da maturidade defensiva da vítima.

Fraude e phishing

Embora o foco do informe seja ransomware, o material incorpora um sinal pontual de fraude e phishing. A ITware Latam, com base no Reporte Fortinet 2026, indicou que o phishing representa 76% dos vetores de ataque apontados por organizações industriais da América Latina. A CronUp, por sua vez, relatou campanhas de infostealers distribuídos por falsas promoções do Spotify Premium e jogos pirateados. Esses elementos não são ransomware, mas fazem parte do ecossistema que alimenta acessos iniciais, roubo de credenciais e comprometimentos que depois podem derivar em extorsão.

A relação com ransomware é direta do ponto de vista operacional. As campanhas de phishing e as credenciais expostas continuam entre os acessos mais rentáveis para agentes que depois montam roubo de dados, persistência e movimento lateral. O arquivo de junho não documenta uma grande campanha isolada de fraude com vítimas corporativas confirmadas na América Latina, mas confirma que o phishing segue ocupando um lugar central na cadeia de ataque.

APT e infraestrutura crítica

Não há no material analisado uma campanha APT clássica atribuída com detalhamento suficiente para virar seção principal. Há, porém, uma leitura convergente sobre infraestrutura crítica e continuidade operacional. A Cyberix.cl relatou alertas de CSIRTs latino-americanos por uma escalada de ransomware voltada a comprometer serviços essenciais. O material da eSoft e da ColCERT reforça a ideia de intrusões mais silenciosas, com identidade comprometida e automação, enquanto o Banxico mostra a sensibilidade dos sistemas financeiros a qualquer interrupção.

Em outras palavras, junho não traz um grande caso APT clássico com atribuição formal, mas evidencia um ambiente de intrusão persistente em que o ransomware se comporta como ferramenta de pressão estratégica sobre setores essenciais. O resultado operacional pode se assemelhar ao de uma campanha de acesso prolongado, ainda que a lógica de monetização seja distinta.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado de junho. Isso não significa ausência de vulnerabilidades exploradas na região, apenas que o corpus disponível para este relatório não trouxe identificadores CVE críticos verificáveis.

Regulação e compliance

Junho também deixou um sinal regulatório que não dá para separar do movimento operacional. A ITware Latam informou que 89% dos líderes industriais entrevistados na América Latina esperam aumento nas regulações de cibersegurança nos próximos cinco anos. Não se trata de uma medida normativa concreta do mês, mas de uma percepção ampla o bastante para mostrar que o tema deixou de ser apenas técnico.

O caso do Banxico é o mais tangível em matéria de compliance e supervisão. A autoridade confirmou que os incidentes cibernéticos no sistema financeiro mexicano dobraram em 2026 em relação a 2025 e detalhou que o primeiro evento do ano foi ransomware. Isso coloca os agentes financeiros sob maior escrutínio em continuidade, reporte e resiliência operacional. A discussão pública gerada por esses dados pode se traduzir em exigências maiores de controle, segmentação e rastreabilidade.

No fundo, junho mostra uma convergência clara entre técnica e regulação. Quando um ataque obriga a voltar ao papel, ou quando um banco vê as transferências eletrônicas interrompidas, o problema deixa de ser apenas de segurança e passa a ser de governança corporativa, compliance e resiliência. Por isso, o foco regulatório da região não deveria se limitar à notificação de incidentes. Também deveria incluir tempos de recuperação, dependência de terceiros, gestão de identidades e testes realistas de continuidade.

Países mais afetados na América Latina

Brasil

O Brasil aparece como um dos eixos do mês. A Breachsense atribui 18 vítimas de ransomware em junho ao país, e Daniel Donda registra cinco organizações brasileiras em sites de extorsão. A isso se soma a reivindicação da Krybit contra a Coemi Imóveis e a menção à Mackay Sugar feita pela TheGentlemen. A diversidade setorial é ampla, com serviços empresariais, transporte e logística, saúde, manufatura e serviços ao consumidor.

O mais relevante não é só a quantidade de nomes, mas a persistência da exposição pública. O Brasil continua sendo um alvo rentável para grupos que operam leak sites, porque a escala da economia e a exposição digital de múltiplos setores ampliam o potencial de negociação. O material não permite avaliar quantos desses casos envolveram criptografia confirmada, mas mostra que o país concentrou uma parte importante da pressão do mês.

México

O México é o país com maior densidade de casos específicos no arquivo. O Ransomware.live registra vítimas como Copamex, csinsurance.mx, impulso-store.com, jktornel, idefeey.yucatan.gob.mx, ford.mx e acemacon.org, com vários grupos diferentes. O setor financeiro também ocupa lugar de destaque pela confirmação do Banxico sobre oito incidentes em 2026 até maio e pela referência ao ransomware LockBit contra um banco em janeiro.

A mistura de vítimas mostra uma superfície ampla, com indústria, seguros, comércio, educação, infraestrutura estatal e ecossistemas financeiros. O país não apresenta um único padrão de ameaça, mas uma multiplicidade de campanhas e grupos. Isso eleva a complexidade para as equipes de defesa, porque obriga a observar tanto serviços expostos quanto credenciais, provedores e superfícies de administração remota.

Paraguai

O Paraguai concentra o caso operacional mais forte do mês. Sanatórios e empresas de medicina privada precisaram voltar à operação manual, e a cobertura local descreve atrasos em atendimento, exames, pagamentos e admissão. O incidente também alcançou uma empresa industrial, a ERSA, atribuída à Krybit. Esse duplo foco, saúde e indústria, mostra que a extorsão não se limita a grandes economias nem a um único setor.

O país merece atenção especial porque o material mostra impacto funcional concreto. Quando a continuidade assistencial e os processos administrativos são afetados a ponto de voltar ao papel, a urgência deixa de ser preventiva e passa a ser de resposta. As fontes não permitem confirmar o alcance da exfiltração, mas verificam que o dano operacional foi significativo.

Colômbia

A Colômbia não traz neste arquivo uma vítima confirmada de ransomware comparável aos casos de Brasil, México ou Paraguai, mas oferece contexto-chave. A ERC Colombia, citada pela Infobae, reportou mais de 10 billones de tentativas de ciberataques no último ano e uma participação relevante em incidentes bem-sucedidos da região em maio. Além disso, apontou impacto em setores como saúde, educação, BPO e corporativo, o que coloca o país em um ambiente de pressão constante.

A relevância da Colômbia para este informe não está na quantidade de casos publicados, e sim na explicação do ambiente. Quando credenciais comprometidas, vulnerabilidades em aplicações e webshells aparecem como vetores recorrentes, a passagem de intrusão para extorsão fica mais curta. O custo médio de uma filtragem de dados mencionado pela ERC Colombia também ajuda a dimensionar por que o ransomware segue atrativo para os atacantes.

Chile

O Chile aparece no material de forma indireta, por meio da nota de El Heraldo de Puebla sobre uma campanha atribuída à Qilin que também teria afetado uma clínica chilena. No entanto, a própria fonte classifica essa atribuição como incerta. Por integridade editorial, este informe não transforma essa menção em caso confirmado de junho. O que ela deixa, porém, é um sinal, os setores de saúde da região seguem no radar de grupos internacionais.

Na prática, o Chile não soma aqui uma vítima verificável com a mesma força documental de outros países, mas faz parte do quadro regional de exposição. A leitura mais prudente é de vigilância, não de contagem.

Argentina

A Argentina não aparece no volume de incidentes confirmados de ransomware do mês com um caso individual claro dentro do arquivo, embora figure em material comparativo anterior sobre pressão de ciberataques por organização. Isso não permite inferir o volume de junho. Indica, porém, um ambiente regional em que as economias mais conectadas enfrentam exposição alta e constante.

Para efeitos deste informe, a Argentina fica como país sem vítima de ransomware claramente documentada no material de junho, mas dentro do grupo de jurisdições que precisam monitorar de perto a mesma combinação de phishing, credenciais comprometidas, leak sites e pressão sobre serviços essenciais.

Bolívia, Peru e Estados Unidos

Bolívia e Peru não apresentam no arquivo de junho vítimas de ransomware suficientemente detalhadas para uma leitura país a país. Há referências regionais, como a lista de vítimas da Krybit em que figura aisem.gob.bo, mas essa menção está em uma fonte de monitoramento que não desdobra um caso peruano comparável. Os Estados Unidos, por sua vez, aparecem apenas de forma lateral em material comparativo ou de contexto e não fazem parte do volume regional do mês.

Tendências e sinais a monitorar

Não há baseline comparativo arquivado para junho dentro deste formato de indicadores, então não cabe falar de variação mês a mês com uma métrica única do próprio relatório. Ainda assim, dá para ler uma tendência qualitativa a partir dos fatos disponíveis. A primeira é a consolidação dos leak sites como espaço central de pressão. TheGentlemen, Krybit, LockBit5, Direwolf, Threeam e outros grupos não apenas publicam vítimas. Eles constroem uma narrativa de coerção que mistura nome da organização, ameaça de vazamento e, em alguns casos, detalhes parciais sobre os dados.

O segundo sinal é a persistência de setores de alta sensibilidade. Saúde e finanças continuam no centro do dano operacional, mas junho também traz indústria, manufatura, logística, educação e infraestrutura pública ou mista. Isso sugere que os atacantes seguem buscando onde a interrupção das operações custa mais caro. A reação manual dos sanatórios paraguaios e a referência do Banxico a uma interrupção temporária de transferências são dois exemplos distintos da mesma lógica.

O terceiro sinal é que o acesso inicial segue sendo o grande habilitador. As fontes de contexto apontam para credenciais expostas, serviços remotos mal protegidos, exploração automatizada e phishing. Não é preciso um exploit sofisticado para transformar um ambiente amplo em um caso de extorsão. Em junho, várias partes do material sugerem justamente isso, intrusões apoiadas mais em abuso de identidade e superfície exposta do que em vulnerabilidades críticas com CVE explícito.

O quarto sinal é o peso crescente de grupos com atuação multirregional. Krybit aparece no Brasil, no Paraguai e no México. TheGentlemen lidera o mês em volume global e toca um caso brasileiro. LockBit5 reaparece no México e no radar semanal. Essa circulação reforça a ideia de que os incidentes latino-americanos não podem ser analisados como eventos isolados. Eles fazem parte de campanhas que cruzam países e setores com rapidez.

O quinto sinal é a opacidade técnica. Muitos relatórios publicam vítimas, mas não confirmam se houve criptografia, vazamento ou ambos. Para equipes de defesa, isso obriga a não confundir falta de detalhe com falta de risco. Um caso sem arquivo técnico ainda pode ter impacto legal, reputacional e operacional se a organização foi citada em um leak site ou se precisou manter serviços manuais por horas ou dias.

Recomendações para equipes de segurança

Primeiro, é preciso revisar a capacidade real de operar em modo degradado. O caso paraguaio mostra que o retorno ao papel não é metáfora, é necessidade operacional quando os sistemas caem. As equipes de segurança precisam validar quais processos críticos continuam funcionando sem as aplicações centrais, por quanto tempo essa operação se sustenta e quais dados mínimos precisam estar disponíveis para manter a continuidade.

Segundo, a prioridade deve estar na exposição de identidades e serviços remotos. O material comparativo e de contexto insiste em credenciais comprometidas, RDP, VPN e RDWeb expostos, além do crescimento do phishing. A defesa não pode depender só de EDR ou de controles de perímetro. É preciso MFA resistente a phishing, inventário de acessos remotos, segmentação de privilégios e revisão frequente de contas órfãs ou superdimensionadas.

Terceiro, leak sites devem ser tratados como uma fase operacional do incidente, não como uma simples publicação de imprensa. Quando um grupo cita uma organização, já está tentando alterar sua posição de negociação. As equipes precisam de um playbook específico para o momento em que a vítima aparece listada, mesmo que ainda não haja evidência de publicação de dados. Isso inclui coordenação jurídica, comunicação, retenção forense e decisão antecipada sobre notificação a terceiros.

Quarto, é necessário reforçar a separação entre TI, OT e sistemas clínicos ou financeiros, quando isso se aplicar. Embora o material de ITware Latam mostre melhora na segmentação em ambientes industriais, ainda há uma parcela relevante de organizações que relata intrusão em ambos os planos. Em saúde, finanças e infraestrutura mista, a segmentação não pode ser apenas lógica. Ela precisa incluir testes de contenção, rotas de emergência e controle de contas privilegiadas.

Quinto, a proteção de dados sensíveis que o atacante pode usar para extorsão sem criptografar precisa ser melhorada. O caso de impulso-store.com e a menção a Coemi Imóveis mostram que a pressão por vazamento segue rentável. Isso exige classificação da informação, criptografia em repouso e em trânsito, monitoramento de exfiltração e controles sobre repositórios documentais, ERP, CRM e pastas compartilhadas.

Sexto, inteligência sobre grupos e leak sites precisa entrar na rotina de monitoramento. Não basta vigiar IOC clássicos. Em junho, boa parte do sinal útil estava em nomes de vítimas, grupos que reivindicavam a ação e mudanças de narrativa em sites de extorsão. A visibilidade sobre esses espaços permite antecipar pressão reputacional e preparar a resposta antes que o incidente escale publicamente.

Sétimo, a cadeia de terceiros precisa ser revisada. O material do mês mostra uma região em que a superfície de ataque cruza setores e fornecedores. Organizações de medicina privada, indústrias, comércios e entidades públicas aparecem no mesmo mapa de risco. Isso obriga a exigir de terceiros controles mínimos de backup, segmentação e notificação, e a não delegar a continuidade de forma cega a fornecedores de software ou infraestrutura.

Limitações do material

Este informe cobre exclusivamente o material fornecido para junho de 2026 e usa como volume apenas os fatos datados dentro desse período. Os fatos de meses anteriores que aparecem no arquivo foram usados somente como referência comparativa, sempre com o mês explicitado no texto, e não integram os totais do mês. A janela temporal declarada para os indicadores é de 86 fatos com data em junho de 2026 e 7 fatos de meses anteriores como referência contextual, não como volume.

Um indicador em zero, em particular o de CVEs críticos, significa que eles não foram registrados no material analisado e não que não tenham existido vulnerabilidades exploradas na região. O mesmo se aplica a qualquer ausência de vítimas ou de setores na seção país: isso reflete apenas o que apareceu no corpus disponível, não a totalidade do fenômeno regional. Em especial, a tipificação de ransomware segue incompleta em muitos casos, porque o material informa nomes de vítimas ou de grupos, mas nem sempre confirma criptografia, exfiltração ou apenas menção em leak site.

Também ficaram fora dos totais as cifras de telemetria agregada, tentativas, bloqueios, varreduras e médias semanais de vendors. Esses dados servem como contexto, mas não são incidentes com impacto confirmado. Quando são mencionados neste informe, fica explicitado que se trata de tentativas ou bloqueios automatizados, não de intrusões verificadas. Da mesma forma, foram excluídas da evidência as redes de consumo e publicações patrocinadas que não constam na lista de fontes disponíveis para citação.

Por fim, a cobertura regional tem uma assimetria forte entre países. Brasil e México concentram a maior parte das menções operacionais verificáveis, o Paraguai oferece o caso mais claro de impacto funcional, e a Colômbia aporta principalmente contexto de pressão e exposição. Isso obriga a ler o mês como um sinal de risco alto, mas também como uma radiografia parcial, condicionada pela qualidade e pela granularidade das fontes disponíveis.