Ransomware na América Latina, Agosto de 2026

Ameaças e campanhas ativas

Agosto exibiu um ecossistema de ransomware e extorsão dominado por campanhas multialvo, com forte presença de sites de vazamento e um subgrupo de incidentes em que o material permite distinguir entre criptografia, exfiltração ou mera publicação da vítima.

Ransomware e extorsão com impacto confirmado ou provável

Qilin foi o ator mais visível na Argentina durante o mês, com o Sanatorio Modelo de Caseros, INMAC Ingeniería y Arquitectura e o caso de Tecno Acción no ambiente de acompanhamento de incidentes. No Sanatorio Modelo de Caseros, há indícios de criptografia e disrupção operacional em uma fonte, mas outras fontes se limitam ao claim de leak site e à categoria de breach não confirmada. Esse contraste é típico de agosto: o material confirma a pressão extorsiva antes do detalhe técnico completo.

DragonForce protagonizou uma campanha com foco regional que deixou Criba como vítima na Argentina e outra publicação no Brasil. Em Criba, existe uma estimativa concreta de dados vazados, o que desloca o caso da mera menção para a exfiltração com pressão de publicação. O grupo também aparece como um dos atores que mantêm presença sustentada na América do Sul, segundo a análise citada pela Security Arsenal.

The Gentlemen continuou ativo em vários países e verticais, com peso em manufatura, construção, serviços profissionais, saúde e transporte. Na região, sua relevância não se limita às vítimas do mês. O quadro comparativo o posiciona como um dos atores mais prolíficos da América do Sul no primeiro semestre de 2026, e o material técnico sobre sua cadeia de ataque descreve abuso de perímetros expostos, reconhecimento de rede e evasão de EDR.

CoinbaseCartel, BLACKWATER e Kazu completam o quadro com vítimas em transporte, seguros, saúde e serviços profissionais. Nem todos os casos permitem afirmar criptografia. Em vários, o sinal real é a publicação em leak site e a ameaça de difusão. Em outros, há descrições de dados subtraídos ou de vazamento quantificado. Essa mistura confirma que o valor da extorsão já não depende só de bloquear sistemas, mas de tornar crível o claim.

Fraude e phishing documentados

Os 25 casos de fraude ou phishing documentados no período confirmam que a atividade maliciosa não se limitou ao ransomware. O material disponível não concentra esses eventos em uma única campanha regional, mas os apresenta como parte do mesmo clima de risco, com técnicas de engano, acesso inicial e abuso de credenciais que podem alimentar depois um incidente de extorsão.

Para equipes defensivas, essa categoria é importante porque costuma ser o elo anterior à intrusão. O mês mostra repetidamente cadeias que começam com acesso remoto, exposição de firewall ou credenciais comprometidas. Embora o relatório separe fraude e phishing de ransomware, a convivência de ambos os eixos no mesmo período sugere uma superfície de entrada comum e reutilizável.

APT e hacktivismo

No material de agosto, não aparece um bloco claro de APT ou hacktivismo com vítimas latino-americanas confirmadas dentro do escopo deste relatório. Há referências externas a campanhas e alertas em outros contextos, mas elas não constituem sinal suficiente para classificar uma tendência regional deste período sob esse eixo. O foco verificável do mês segue sendo ransomware e extorsão.

Vulnerabilidades críticas

O material do período menciona 16 CVEs críticos, mas não permite montar uma lista completa de exploração confirmada em vítimas latino-americanas com o mesmo nível de detalhe para todos os casos. A presença de CVEs no insumo não equivale, por si só, a atribuição nem a impacto bem-sucedido na região.

O sinal mais útil aqui é o da superfície de perímetro. O material insiste no abuso de VPN, firewalls e acessos remotos, e The Gentlemen aparece associado a um CVE específico em Check Point. Isso não significa que todos os casos do mês se expliquem pelo mesmo vetor, mas mostra que a exposição de perímetro continua sendo um ponto de entrada especialmente lucrativo para gangues RaaS.

Regulação e conformidade

Agosto registrou poucos movimentos regulatórios rígidos no material verificado, mas o impacto sobre a conformidade não foi nulo. Houve apenas um movimento regulatório documentado no mês, ante três no mês anterior, o que sugere uma agenda mais silenciosa em normas ou comunicados formais e maior peso de incidentes operacionais.

O caso da Oldelval é o mais claro neste capítulo, porque houve uma comunicação à CNV e a empresa informou sobre o incidente, o alcance sobre sistemas administrativos e a continuidade do transporte de crude. Esse tipo de notificação importa tanto para a conformidade quanto para o manejo de crise, já que estabelece um relato corporativo inicial e reduz o espaço para interpretações especulativas.

No setor de saúde, o material também aponta tensões de conformidade, ainda que nem sempre a partir de comunicados regulatórios formais. Sanatorio Modelo de Caseros e Instituto Ferrero de Neurología y Sueño aparecem no entorno de leak sites e de trackers de brechas. Quando as confirmações públicas não chegam, a pressão regulatória costuma migrar para auditorias internas, obrigações de notificação e revisão de contratos com terceiros.

Países mais afetados na América Latina

A distribuição geográfica do mês mostra concentração na Argentina e no Brasil, com México, Chile, Peru e Colômbia presentes como parte do contexto comparativo e da cobertura de vítimas regionais, embora este informe considere apenas os fatos datados de agosto de 2026.

Argentina

A Argentina foi o país com maior densidade de fatos verificáveis no período. Ali aparecem Criba, Flecha Bus, AMCA, Sanatorio Modelo de Caseros, Tecno Acción, INMAC Ingeniería y Arquitectura, Oldelval e Instituto Ferrero de Neurologia y Sueño, com uma mistura de setores que vai de construção e transporte até saúde, seguros e energia.

O ponto central do caso argentino não é só o volume, mas a variedade. O país concentrou vítimas reivindicadas por Qilin, DragonForce, CoinbaseCartel, BLACKWATER, Kazu e, de forma circunstancial, referências a The Gentlemen e INC RANSOM no entorno de Oldelval. Essa diversidade de atores indica que não há uma única porta de entrada nem um único setor vulnerável.

Também há um padrão de transparência desigual. Oldelval ofereceu um relato corporativo mais claro que outros casos, enquanto em Sanatorio Modelo de Caseros e Criba predominam trackers de brechas e publicações de leak site. Para as equipes locais, isso obriga a combinar monitoramento de reputação, hardening perimetral e protocolos de resposta que não dependam de um terceiro confirmar o incidente.

Brasil

O Brasil aparece principalmente como contraparte regional de campanhas que também atingiram a Argentina. The Gentlemen e DragonForce concentraram publicações na América do Sul, e o material do mês confirma presença de vítimas no Brasil dentro das mesmas janelas analisadas. Além disso, a cobertura comparativa do semestre segue apontando o país como um dos mais expostos da região.

A importância do Brasil em agosto não se resume ao número de eventos. O relevante é que ele surge como uma jurisdição com densidade suficiente de atores, leak sites e vítimas publicadas para sustentar campanhas contínuas. Na prática, isso faz do país um grande termômetro da atividade regional de ransomware.

México

O México não concentra fatos datados dentro do bloco principal de incidentes do período no mesmo nível que a Argentina, mas o material disponível o mantém entre os países com ampla exposição histórica. Para agosto, o contexto comparativo segue mostrando um mercado muito atacado, com setor público, saúde, manufatura e serviços empresariais entre os alvos recorrentes.

A leitura útil para o mês é que a superfície mexicana continua ampla, embora boa parte dos registros históricos sem data confirmada tenha ficado fora dos indicadores. Isso impede misturar volume histórico com volume do mês. Ainda assim, o ecossistema mexicano segue como referência regional para o monitoramento de ransomware pela quantidade de vítimas reivindicadas publicamente em fontes de acompanhamento.

Chile

O Chile aparece como país de referência para a expansão de Qilin e The Gentlemen no marco comparativo, e como território onde outros grupos também mantiveram atividade em meses anteriores. Em agosto, o material não traz um bloco tão amplo de incidentes datados quanto o da Argentina, mas confirma que a ameaça continua transversal em tecnologia, energia e saúde.

A importância do Chile está no tipo de alvo, mais do que em um único número. Quando os atores de ransomware conseguem aparecer em verticais sensíveis ou de alto valor, o país passa a ser um ponto de interesse para campanhas regionais. Isso obriga a observar não só o volume visível, mas também a persistência dos mesmos grupos em diferentes jurisdições.

Peru

O Peru figura no material comparativo e em alguns eventos de meses próximos, especialmente pelo acompanhamento de saúde e setor público. Em agosto, o informe não registra uma densidade equivalente de fatos datados para igualar a Argentina, mas confirma que a região andina segue sob pressão de atores de extorsão.

A utilidade analítica do Peru neste mês é lembrar que os grupos estendem campanhas entre países e setores. Embora a maior parte da atividade verificável se concentre na Argentina e no Brasil, o padrão regional não deixa de fora o Peru nem suas verticais mais sensíveis.

Colômbia

A Colômbia aparece no arquivo como um país de atenção por incidentes em justiça e serviços públicos, embora boa parte desse material corresponda a semanas anteriores ou à cobertura comparativa. Para agosto, a mensagem de fundo é que o setor público continua sendo um alvo viável e que os incidentes de interrupção administrativa mantêm relevância política e operacional.

Outros países da região

Paraguai e Bolívia não mostram no material de agosto uma massa suficiente de fatos verificados para um capítulo próprio. O restante dos países latino-americanos também não apresenta, neste conjunto, um sinal específico que supere o nível de menção isolada. Isso não significa ausência de atividade, apenas ausência de material verificável dentro do escopo deste informe.

Tendências e sinais a monitorar

A principal tendência de agosto é o aumento da pressão extorsiva visível, não necessariamente o crescimento linear de todos os impactos técnicos. Em relação ao mês anterior, os fatos verificados subiram de 241 para 537, os casos com ransomware ou extorsão como eixo primário passaram de 162 para 281, e os fatos de fraude ou phishing foram de 7 para 25. A mudança não é apenas quantitativa, também é de densidade documental.

O outro dado forte é a diversificação de setores. O mês anterior já mostrava oito setores com pelo menos um fato documentado, e agosto mantém esse número sem mudanças. Longe de indicar estagnação, isso mostra uma constância preocupante: não há uma vertical dominante exclusiva, mas uma dispersão contínua sobre construção, saúde, transporte, manufatura, serviços profissionais, seguros, energia e administração pública.

O terceiro sinal é técnico. A alta de 1 para 16 CVEs críticos mencionados mostra que o material de agosto traz mais referências à exploração de vulnerabilidades e ao abuso de perímetro. The Gentlemen, em especial, volta a aparecer associado a gateways VPN, firewalls, ferramentas remotas e à CVE-2026-50751. Essa combinação sugere que o hardening de perímetro segue sendo uma linha de defesa de alto retorno.

Também vale observar a mudança na proporção entre claims e confirmações. Embora 85% dos fatos contem com confirmação direta da fonte, a maior parte do dano técnico ainda fica, às vezes, entre o leak site e a verificação independente. Para a inteligência defensiva, isso exige trabalhar com três camadas simultâneas, monitoramento de publicações, verificação institucional e avaliação do provável impacto operacional.

Recomendações para equipes de segurança

A primeira medida é endurecer imediatamente qualquer exposição de VPN, firewall ou acesso remoto. O material do mês e a análise técnica sobre The Gentlemen apontam que o perímetro exposto continua sendo uma rota lucrativa de intrusão. Autenticação forte, revisão de regras expostas, inventário de serviços remotos e correção acelerada devem entrar na fila mais curta de trabalho.

A segunda prioridade é ampliar a capacidade de detectar exfiltração cedo. Vários casos do mês se sustentam em claims de leak site ou em filtragens parciais. Isso exige monitorar movimentos anômalos para serviços de armazenamento, domínios de file-sharing e contas externas fora do padrão, além de aplicar alertas para grandes volumes de saída em servidores administrativos e estações de usuários privilegiados.

A terceira é reforçar a resposta a credenciais comprometidas. The Gentlemen, segundo o material, abusa de reconhecimento de rede, elevação de privilégios e ferramentas para neutralizar defesas de endpoint. Um plano de resposta útil deve incluir redefinição massiva de credenciais, invalidação de tokens, revisão de contas de serviço e verificação de acessos administrativos persistentes.

A quarta medida é separar continuidade operacional de disponibilidade administrativa. Oldelval mostrou que um incidente pode não interromper o processo físico principal e, ainda assim, afetar sistemas administrativos críticos. Organizações de energia, saúde, logística e transporte devem ter procedimentos manuais e de contingência para faturamento, turnos, despacho, rastreabilidade e coordenação interna.

A quinta é formalizar a vigilância sobre leak sites e trackers de brechas. Em agosto, vários casos só ficam visíveis porque um grupo os publica ou porque um agregador os indexa. Isso não substitui a detecção interna, mas ajuda a ganhar tempo. Vale estabelecer processos de triagem com limites claros para diferenciar claim, filtragem, exfiltração e criptografia confirmada.

O que um CISO deve priorizar nesta semana?

Deve priorizar perímetro, credenciais e monitoramento de exfiltração, porque esses três frentes aparecem repetidamente por trás das campanhas do mês. Se a organização tem exposição remota, deve revisar patches e autenticação. Se depende de continuidade operacional, deve testar contingências manuais. Se já foi citada em um leak site, a resposta precisa sair da observação e ir para a contenção.

Como reduzir o risco de virar apenas um claim em um leak site?

A chave é detectar antes da publicação pelo atacante. Isso exige segmentar acessos, limitar privilégios, revisar contas de terceiros, alertar saídas anômalas de dados e manter o inventário de ativos expostos atualizado. Quando a publicação já ocorreu, o foco deve passar para verificação forense, preservação de evidências e comunicação interna coordenada.

Perguntas frequentes

Qual foi a diferença prática neste mês entre criptografia confirmada, exfiltração e leak site?

A diferença foi central para interpretar agosto. Houve 26 casos com criptografia confirmada, 22 com exfiltração sem criptografia, 46 apenas mencionados em leak site e 187 que o material não permitiu classificar. Se for preciso mais detalhe, veja as seções Indicadores do período e Incidentes relevantes.

Quais atores marcaram mais o mês na América Latina?

Os grupos mais visíveis foram Qilin, The Gentlemen, DragonForce, CoinbaseCartel, BLACKWATER e Kazu. O sinal não vem de uma única fonte, mas do cruzamento entre Incidentes relevantes, Ameaças e campanhas ativas e Países mais afetados na América Latina, onde aparecem vítimas na Argentina, no Brasil e em outros países.

Quais setores ficaram mais expostos na região?

Saúde, construção, transporte, manufatura, serviços profissionais, seguros e energia aparecem repetidamente na amostra de agosto. Essa leitura vem do cruzamento dos incidentes por país com os casos de ransomware e com a tabela de indicadores, que mostra oito setores com pelo menos um fato documentado.

Houve vulnerabilidades críticas exploradas de forma clara na região?

O material menciona 16 CVEs críticos, mas só permite associar de forma explícita CVE-2026-50751 a uma campanha, no caso de The Gentlemen. Para o restante, a evidência do mês fala mais de exposição perimetral e abuso de acesso remoto do que de exploração fechada e confirmada de uma lista completa de CVEs.

Quão confiável é o volume do mês para medir o dano real?

É útil para medir sinal, não o dano total. O relatório trabalha com 537 fatos verificados em agosto e exclui 14 sem data confirmada, além de não somar telemetria agregada aos incidentes. A seção Limitações do material detalha por que uma cifra em 0 ou uma reivindicação em leak site não equivalem à ausência de atividade real.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido e com escopo geográfico na América Latina. A janela temporal usada para os indicadores foi a declarada no insumo, com 541 fatos datados em agosto de 2026, 61 de meses anteriores como marco comparativo e 14 sem data confirmada excluídos dos indicadores.

Um indicador em 0, especialmente em CVEs, significa que não foi registrado no material analisado e não que não tenham existido vulnerabilidades críticas exploradas na região. Do mesmo modo, uma menção em leak site nem sempre equivale a criptografia ou exfiltração confirmada. Quando o material não permitiu distinguir, manteve-se a categoria de tipificação não determinável.

Também ficaram fora do volume as cifras de telemetria agregada, porque correspondem a tentativas, bloqueios ou médias de vendors e não a incidentes com impacto confirmado. O mesmo vale para fatos sem data confirmada, que podem servir como contexto qualitativo, mas não entram nos indicadores do mês nem nas contagens de agosto.

Além disso, foram excluídas as fontes não contempladas na lista habilitada, as publicações em redes sociais de consumo quando não estavam expressamente validadas dentro da fonte disponível, e os comunicados comerciais ou materiais promocionais usados apenas como respaldo contextual em alguns casos. O resultado é uma visão útil para leitura operacional, mas necessariamente parcial em relação ao universo total de ransomware na região.