Regulação e compliance na América Latina, out 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O material do mês não permite reconstruir com precisão uma campanha regional única de ransomware. Há seis casos em que ransomware ou extorsão aparecem como eixo principal, mas em cinco deles a fonte não especifica se houve criptografia e, em um, a criptografia de ativos foi confirmada. Essa diferença é operacionalmente relevante, porque o impacto sobre continuidade, recuperação e notificação muda de forma substantiva.

A leitura prudente é que o risco de extorsão seguiu presente na região, mas o corpus de outubro não documenta uma onda homogênea nem uma família de atores com atribuição clara. Para as equipes de defesa, isso exige manter separadas a prevenção de criptografia, a gestão de exfiltração e a resposta à pressão extorsiva, sem presumir que todas as variantes exigem o mesmo playbook.

Fraude e phishing

Fraude e phishing aparecem como uma ameaça mais concreta e melhor documentada em outubro. O caso do Banco de La Pampa mostrou uma trajetória clássica de engano telefônico, entrega de credenciais e transferência de fundos sem alertas suficientes. A cobertura destacou a falta de mecanismos para verificar identidade e detectar operações incomuns, o que torna o caso um exemplo útil para revisar controles de autenticação e monitoramento comportamental.

O caso do México, com o relatório sobre CyberCartel e as 43 credenciais de uma fintech, aponta para um problema distinto, a exposição de acessos reutilizáveis e a possível viabilização de operações indevidas. O material não confirma exploração efetiva, mas revela uma superfície de risco em que roubo de credenciais, validação de acessos e segmentação de sistemas financeiros deixam de ser temas teóricos.

No conjunto, os 13 casos de fraude ou phishing documentados mostram que a região segue enfrentando ataques de relativa baixa complexidade técnica, mas alto retorno econômico. A resposta não passa apenas por campanhas de conscientização. Também exige controles de autenticação reforçados, regras de monitoramento de transações, verificação por canal alternativo e registros auditáveis de alertas e decisões.

APT e hacktivismo

O material de outubro não traz evidências sólidas para sustentar uma campanha APT regional ou uma onda de hacktivismo com atribuição verificável no eixo de regulação e compliance. Há referências a atividades de monitoramento, fiscalização e sanção da ANPD, mas isso corresponde à atuação do regulador, não a uma ameaça técnica avançada. Portanto, não cabe inflar essa categoria com especulações.

O que o mês deixa é um alerta indireto. À medida que os reguladores exigem mais rastreabilidade, reportes antecipados e evidência de segurança, as organizações que não conseguem demonstrar controles ficam expostas a sanções, mesmo sem um grande incidente público por trás. O compliance, nesse contexto, se torna uma capacidade de defesa tanto diante do regulador quanto do atacante.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado do período. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que este corpus de outubro não documentou nenhuma com nível crítico ou com atribuição suficiente para incluí-la na tabela.

Regulação e compliance

Outubro foi, прежде de tudo, um mês de avanço regulatório. A maior parte das notícias verificadas do período correspondeu a regulação, com 185 fatos documentados. Esse número não deve ser lido como simples soma de boletins ou comunicados, mas como indicação de quantas vezes o ecossistema da América Latina precisou revisar regras, prazos, obrigações, sanções ou estruturas de supervisão.

Chile, a vigência da Lei N.º 21.719 e o relógio que segue correndo

O Chile concentrou uma das discussões regulatórias mais sensíveis do mês. O Senado aprovou um projeto que altera a Lei N.º 21.719 e propõe adiar sua entrada em vigor para 15 de outubro de 2027, embora o texto ainda precise concluir a tramitação na Câmara de Deputadas e Deputados. Até lá, a data legal continua fixada em 1º de dezembro de 2026.

O ponto central é que a norma não é apenas uma declaração de direitos. A Lei N.º 21.719 prevê acesso, retificação, supressão, oposição, portabilidade e bloqueio, além de deveres de informação, segurança e notificação de violações, e um regime de infrações e sanções. O adiamento, portanto, não elimina o trabalho de adequação. Apenas altera o calendário.

A cobertura do mês também expôs uma disputa institucional. Na tramitação, propôs-se ampliar de três para cinco os integrantes do Conselho Diretivo da futura Agência de Proteção de Dados Pessoais, e uma alternativa de entrada escalonada manteve em debate a possibilidade de adiar por um ano as competências de fiscalização e sanção. Essa combinação sugere que o debate chileno não é apenas sobre datas, mas sobre governança e capacidade real de supervisão.

Para compliance, a leitura é clara. Não convém assumir que o adiamento já está fechado nem, no extremo oposto, adiar toda a preparação até uma sanção definitiva. A própria cobertura alertou que, enquanto o projeto não concluir sua tramitação legislativa, as organizações não deveriam presumir que o prazo de adequação foi automaticamente estendido até 2027.

Brasil, fiscalização ativa e ajustes na linguagem regulatória

O Brasil teve um mês de alta atividade regulatória, com um contraste útil entre sanção concreta e preparação estrutural. A ANPD concluiu o caso de Feira de Santana com medidas corretivas, atualizou seu Glossário com termos associados a regulamentos específicos e divulgou uma versão em inglês da LGPD após a Lei n.º 15.352/2026. É uma combinação que mostra tanto enforcement quanto maturação institucional.

O caso de Feira de Santana é especialmente importante porque a autoridade não se limitou a apontar a infração. Impôs ações concretas, desde a nomeação de um encarregado de dados até a elaboração de políticas de privacidade, do plano de resposta a incidentes e dos relatórios de impacto. Também informou que mantém atividades de monitoramento, fiscalização e sanção contra empresas e plataformas, com o objetivo de conduzir os regulados à conformidade.

Em paralelo, o Senado brasileiro registrou como em tramitação o PL 5.648/2026, e a ficha oficial da PEC 17/2019 a mostra aprovada pelo Plenário e remetida à Câmara dos Deputados. Essa coexistência de iniciativas, uma mais voltada a processos políticos e outra a direitos fundamentais, indica que a discussão sobre dados e acesso à informação segue avançando em várias camadas institucionais.

O sinal regulatório brasileiro não se limita à privacidade. Ele também mostra a ANPD ajustando definições e ferramentas para um ambiente em que incidentes de segurança, transferências internacionais e encarregados do tratamento exigem precisão terminológica. Esse trabalho de linguagem importa porque, na prática, define obrigações e reduz zonas cinzentas de compliance.

Argentina, a CNV entra de vez em cibersegurança para PSAV

A Argentina deu um dos passos regulatórios mais claros do mês ao aprovar a Resolução Geral 1172/2026 da CNV. A norma altera as Normas da CNV e incorpora obrigações de cibersegurança para os provedores de serviços de ativos virtuais, com exigências de políticas, procedimentos e controles baseados em risco, governança, avaliações periódicas, auditorias de ciberresiliência e proteção da informação dos usuários.

A mudança é relevante porque não trata a cibersegurança como uma obrigação externa ou setorial difusa, mas como parte do regime de supervisão do mercado. A resolução também unifica o capítulo aplicável aos PSAV e integra o regime previamente regulado pela RG 1058/2025 e por critérios interpretativos anteriores. Isso facilita a leitura jurídica, mas ao mesmo tempo eleva a barra de implementação para os regulados.

A norma exige ainda que os PSAV informem imediatamente fatos relevantes como perdas superiores a 15% do patrimônio líquido, incidentes de cibersegurança, interrupções de sistemas ou a decisão de encerrar atividades. E, para os PSAV de categoria 4, separa claramente ativos próprios e de clientes, ao mesmo tempo em que proíbe o custodiante de usar por conta própria os ativos ou fundos de seus clientes.

A leitura de compliance aqui é dupla. Por um lado, a CNV está alinhando suas normas a riscos tecnológicos reais. Por outro, está pressionando os provedores a documentar sua segurança de forma auditável. Não basta ter controles. É preciso poder comprová-los.

México, supervisão financeira e controle de menores em ambientes digitais

O México somou vários movimentos regulatórios que não pertencem exatamente ao mesmo expediente, mas compartilham um eixo de endurecimento da supervisão. A CNBV realizou a segunda avaliação de 2026 para a certificação em prevenção de lavagem de dinheiro e financiamento ao terrorismo, com 977 pessoas, enquanto uma cobertura especializada atribuiu às regras mexicanas de segurança financeira exigências como notificação imediata de incidentes, testes de penetração independentes e planos de remediação com prazos concretos.

Além disso, a Suprema Corte confirmou, segundo a cobertura disponível, a faculdade da CONDUSEF de sancionar entidades financeiras por descumprimentos ligados ao Registro de Despachos de Cobrança e a relatórios mensais de reclamações. Essa combinação aponta para um ecossistema em que a supervisão já não se limita a solvência ou conduta comercial, mas se estende à rastreabilidade de incidentes e a deveres de reporte.

No frente digital e de proteção de menores, o mês deixou um pacote normativo separado, com o decreto de ambientes digitais seguros para crianças e adolescentes e várias coberturas sobre suas implicações. Embora esse eixo não seja o foco principal deste relatório, ele confirma que a agenda regulatória mexicana está combinando proteção de usuários, controle de plataformas e exigências operacionais para intermediários financeiros e digitais.

Guatemala, cibersegurança como prioridade legislativa

A Guatemala acrescentou um sinal legislativo claro com a iniciativa 6347 de lei de cibersegurança. A proposta foi incluída na agenda do Congresso para seu primeiro debate, depois de receber parecer favorável com modificações em uma comissão e de ter sido devolvida em abril de 2026 para nova análise nas comissões de Assuntos de Segurança Nacional e de Economia.

O Congresso também prevê instalar uma mesa técnica com representantes do setor bancário e dos proponentes para incorporar observações antes de dar continuidade à tramitação. Essa decisão é importante porque mostra que o texto não é discutido de forma abstrata, mas com participação de atores afetados pela futura obrigação regulatória. A proposta busca fortalecer a capacidade estatal de prevenir, detectar e responder a ameaças digitais.

O material disponível menciona, além disso, a possível criação do Conselho Nacional de Cibersegurança, da Direção Nacional de Cibersegurança e do Centro de Resposta a Incidentes de Cibersegurança da Guatemala, sempre como parte da proposta e não como instituições já operacionais. Por isso, convém ler esse conteúdo como desenho legislativo e não como implementação concluída.

Peru, setor financeiro e regras de pagamentos abertos

O Peru trouxe uma frente regulatória centrada em finanças abertas e pagamentos digitais. A SBS publicou o primeiro bloco normativo do Sistema de Finanças Abertas e abriu consulta pública sobre o projeto de regulamento. Em paralelo, o BCRP aprovou o regulamento do serviço de aceitação de pagamentos para fortalecer os pagamentos digitais e proteger os fundos dos comerciantes.

Embora este relatório se concentre em regulação e compliance de cibersegurança e dados, o ponto é evidente. Um sistema de finanças abertas bem desenhado exige controles sobre APIs, permissões, consentimento e rastreabilidade, embora o corpus não detalhe neste mês um desenvolvimento técnico equivalente ao de outros países. O sinal do Peru é de arquitetura regulatória em construção, ainda em fase de definição e comentários.

Paraguai, Paraguai e os debates sobre dados pessoais

O material disponível sobre o Paraguai é mais escasso em volume verificável para este mês, mas mostra uma conversa pública em expansão sobre regulamentação de dados pessoais e usos indevidos. As coberturas listadas indicam que a lei de dados pessoais já é mencionada em debates sobre acesso à informação, filiação fraudulenta e blindagem de autoridades, embora em vários casos o detalhe fornecido não permita transformar essas notas em fatos regulatórios fechados do período.

Isso não significa ausência de agenda, mas falta de confirmação suficiente no material fornecido para este relatório. Em termos de compliance, convém tratar isso como um sinal de debate político e social em curso, mas não como uma mudança normativa consolidada dentro do corpus analisado de outubro.

Países mais afetados na América Latina

Argentina

A Argentina esteve entre os países com maior densidade de fatos verificáveis pela combinação de regulação, sanção e fraude documentada. A CNV deu o passo mais concreto ao incorporar obrigações de cibersegurança para PSAV por meio da RG 1172/2026, com foco em governança, controles baseados em risco, auditorias e reporte de incidentes relevantes. Esse movimento é estrutural e muda o padrão de supervisão para o setor de ativos virtuais.

Em paralelo, o caso do Banco de La Pampa confirmou que a frente judicial e de defesa do consumidor também está ativa. A multa por phishing não apenas pune um fato isolado, como também sugere que o sistema espera das entidades capacidade de detectar operações incomuns e alertar diante de padrões anômalos. Para as equipes locais, isso transforma a prevenção a fraudes em uma obrigação transversal, e não em uma tarefa restrita à área de canais digitais.

A Argentina também aparece no radar pela discussão de regras de mercado e dados associadas ao open banking, embora boa parte desse material pertença ao marco comparativo de meses anteriores. Em outubro, a mensagem relevante é que a regulação financeira está integrando de forma mais direta a dimensão tecnológica e de segurança.

Brasil

O Brasil foi o país com o sinal institucional mais forte do mês em matéria de proteção de dados. A ANPD não apenas encerrou o caso de Feira de Santana com sanções e medidas corretivas, como também manteve uma agenda de atualização normativa e de glossário que busca esclarecer obrigações para os regulados e profissionalizar a fiscalização. Esse conjunto deixa uma marca clara sobre o que o regulador espera: resposta rápida, documentação e controles verificáveis.

A dimensão brasileira não se limita ao caso municipal. A atualização da LGPD em inglês e a referência a regulamentos sobre comunicação de incidentes, encarregado do tratamento e transferência internacional mostram uma institucionalidade que tenta acompanhar mudanças normativas recentes. Também pesa o fato de o Senado manter outras iniciativas de alcance mais amplo, de direitos fundamentais a possíveis exigências para processos políticos.

Pelo volume e pela profundidade, o Brasil provavelmente foi o país em que a conformidade precisou mostrar com mais força evidências concretas ao longo do mês. A diferença em relação a outras jurisdições é que aqui a sanção não aparece como ameaça potencial, e sim como resultado já consumado.

Chile

O Chile teve uma das discussões regulatórias mais importantes do mês por causa do adiamento da Lei N.º 21.719. O Senado aprovou o projeto que empurra sua entrada em vigor para 15 de outubro de 2027, mas a tramitação continua aberta e a data legal vigente ainda é dezembro de 2026. Essa situação cria uma janela de incerteza que afeta decisões de implementação, orçamentos e cronogramas de adequação.

O conteúdo verificado também indica que a norma prevê direitos dos titulares, deveres de segurança e notificação de vulnerações, além de um regime sancionatório. Por isso a discussão não é menor. O eventual remanejamento de datas não elimina a necessidade de desenhar processos, matrizes de risco e mecanismos de resposta.

O Chile também aparece com debate sobre a composição da futura agência e sobre a possibilidade de separar no tempo as competências de fiscalização e de sanção. Em termos operacionais, isso obriga as organizações a não superestimar nem subestimar a prorrogação até que o texto se converta efetivamente em lei.

México

O México combinou supervisão financeira e controle de plataformas com um tom de maior exigência regulatória. A CNBV realizou sua segunda avaliação de certificação PLD/FT de 2026, enquanto a cobertura citou exigências técnicas relacionadas a incidentes, testes de penetração e remediação. A Suprema Corte também confirmou, segundo a cobertura disponível, a competência sancionatória da CONDUSEF sobre certas obrigações operacionais do sistema financeiro.

Embora parte do conteúdo disponível sobre o México pertença a outros eixos regulatórios, a leitura para este informe é que o país está levando as entidades a profissionalizar evidências, rastreabilidade e controle de incidentes. Não se trata apenas de cumprir formulários, mas de demonstrar capacidade operacional diante de eventos de segurança e conduta.

Guatemala

A Guatemala ganhou visibilidade com a reativação legislativa da iniciativa 6347 de cibersegurança. A inclusão em pauta para o primeiro debate, a mesa técnica com o setor bancário e o trabalho prévio das comissões mostram que o debate já não está em fase preliminar, mas em discussão legislativa com atores afetados.

A iniciativa busca fortalecer a resposta estatal diante de ameaças digitais e, segundo a cobertura, contempla novas estruturas como CONCIBER, DICIBER e CRIC-GT. Como isso ainda faz parte da proposta, a análise prudente é acompanhar como o texto evolui e qual alcance ele acaba tendo na relação entre setor público, bancos e resposta a incidentes.

Peru

O Peru mostrou um sinal importante em finanças abertas e regulação de pagamentos, com a SBS abrindo consulta e publicando o primeiro bloco normativo do sistema. Embora o material de outubro seja mais normativo do que sancionatório, a direção é clara: o país se prepara para um esquema de troca de dados financeiros que exigirá mais controle de identidade, consentimento e rastreabilidade.

O país também mantém atividade de normas e alertas técnicos de segurança digital em outras frentes, embora vários fatos provenham de material sem data confirmada e, por isso, não entrem no volume do período. Para este informe, a leitura é que o ecossistema peruano segue ajustando a camada regulatória, não a encerrando.

Colômbia

A Colômbia aparece com menor densidade de fatos verificados em outubro dentro deste eixo, embora persistam discussões sobre open finance, regulação de APIs e governança de dados no sistema financeiro. Grande parte do material correspondente pertence ao marco comparativo de setembro, por isso não deve ser contado como volume de outubro.

O sinal útil é que o país continua em um trânsito regulatório rumo a maior interoperabilidade e a mais controles sobre dados e terceiros. Não há neste corpus um movimento tão contundente quanto no Chile, no Brasil ou na Argentina, mas há uma direção consistente.

Paraguai

O Paraguai teve presença mais qualitativa do que quantitativa no material disponível. As coberturas mencionadas falam de debates sobre proteção de dados, acesso à informação e uso da lei para fins políticos ou administrativos, mas sem uma peça regulatória verificável forte o suficiente para marcar um fato do período.

Por isso, o país fica como um sinal de atenção, e não como um eixo com volume comparável ao de outros mercados. Para uma leitura mensal estrita, isso importa, porque evita super-representar conversas públicas que ainda não se traduziram em mudanças normativas confirmadas.

Tendências e sinais a monitorar

A comparação com o mês anterior mostra uma queda forte do volume total verificado, de 849 para 392 fatos, mas não uma redução equivalente da intensidade regulatória. Na prática, a regulação segue como eixo predominante, embora tenha caído de 403 para 185 fatos documentados. A mudança não sugere desativação, e sim uma seleção mais focalizada do material que entrou no corpus de outubro.

A comparação também mostra um movimento relevante nas ameaças. Os casos de fraude ou phishing caíram de 159 para 13, enquanto os casos com ransomware ou extorsão como eixo primário subiram de 1 para 6. Essa variação, com base em material verificado do período, exige não ler outubro como um mês de menor risco, mas como um mês de composição distinta. Mais do que fraude massiva, o corpus mostrou sanções, ajustes normativos e alguns eventos de extorsão com tipificação parcial.

A outra mudança relevante é que os incidentes sem tipificação subiram de 19 para 26. Isso costuma refletir limitações do material, não necessariamente um aumento real do risco operacional. Em um relatório de conformidade, essa diferença importa porque evita superinterpretar a métrica e lembra que a linguagem das fontes nem sempre permite classificar cada caso com exatidão.

O sinal mais sensível a monitorar para novembro é a velocidade com que essas discussões viram implementação. O Chile pode converter, ou não, o adiamento de sua lei em um fato legal. O Brasil pode aprofundar sua agenda de fiscalização. A Argentina precisa mostrar se a RG 1172/2026 se traduz em controles efetivos em PSAV. E o México seguirá ajustando sua arquitetura de supervisão financeira e digital.

Recomendações para equipes de segurança

As equipes de segurança e compliance devem sair de outubro com três prioridades claras. A primeira é revisar o mapa de obrigações regulatórias por país e garantir que a interpretação jurídica não fique concentrada em um único time. O mês mostrou que privacidade, cibersegurança e supervisão financeira avançam juntas, e uma mudança em uma norma pode afetar ao mesmo tempo processos de incident response, auditoria e atendimento ao cliente.

A segunda prioridade é fortalecer a rastreabilidade. Os casos do Brasil e da Argentina mostram que o regulador e o juiz esperam evidências das medidas adotadas, não apenas políticas escritas. Vale revisar quem assina os planos de resposta, como os incidentes são documentados, quais alertas ficam registrados e quais evidências permanecem disponíveis para auditoria ou sanção. Se o controle existe, mas não pode ser comprovado, o risco de descumprimento continua aberto.

A terceira prioridade é validar a camada de autenticação e fraude. O caso do Banco de La Pampa e a cobertura sobre credenciais no México reforçam que a engenharia social segue entrando por usuários e acessos fracos. A resposta deve incluir monitoramento de comportamento, alertas por origem da sessão, verificação reforçada em operações sensíveis e mecanismos de escalonamento que não dependam da intuição do operador.

Também convém atualizar os cronogramas de adequação legislativa. No Chile, não presumir uma prorrogação até que ela esteja sancionada; no Brasil, revisar as obrigações decorrentes da LGPD e das resoluções e guias da ANPD; na Argentina, mapear a RG 1172/2026 para PSAV e seus novos deveres de reporte; no México, revisar os impactos da supervisão da CNBV e da CONDUSEF. Não é necessária uma megainiciativa regional para melhorar. É preciso organizar país por país.

Por fim, as equipes devem separar seus playbooks por tipo de evento. O mês deixa claro que nem todo incidente é ransomware, nem todo problema de privacidade é uma violação tecnológica e nem toda infração regulatória nasce de um ataque. Essa distinção melhora a resposta, evita sobrerreação e ajuda a alocar melhor os recursos jurídicos, técnicos e operacionais.

Perguntas frequentes

Quais países concentraram os sinais mais fortes de regulação e compliance em outubro?

Chile, Brasil, Argentina e México concentraram a maior parte das novidades verificáveis do mês. O Chile discutiu o adiamento de sua lei de proteção de dados, o Brasil sancionou uma prefeitura e atualizou materiais da ANPD, a Argentina incluiu cibersegurança aos PSAV e o México reforçou a supervisão financeira e sancionatória.

O adiamento chileno da Lei 21.719 já está em vigor?

Não. O Senado aprovou o projeto que adia a entrada em vigor para 15 de outubro de 2027, mas o texto ainda precisa concluir a tramitação na Câmara de Diputadas e Diputados. Enquanto isso não ocorrer, a data legal segue fixada em 1º de dezembro de 2026, segundo a cobertura incluída no relatório.

O que muda para os provedores de serviços de ativos virtuais na Argentina?

A Resolução Geral 1172/2026 da CNV exige políticas, procedimentos e controles baseados em riscos, governança, avaliações periódicas, auditorias de ciberresiliência e medidas para proteger as informações dos usuários. Além disso, eles devem comunicar imediatamente incidentes de cibersegurança, interrupções operacionais e outros fatos relevantes.

O que o caso de Feira de Santana ensinou sobre sanções por proteção de dados?

Que o regulador pode passar da fiscalização a um processo sancionador em poucas horas e exigir medidas concretas. A ANPD do Brasil aplicou advertência, publicização da infração e medidas corretivas, além de reconhecer seis infrações à LGPD pela exposição de dados sensíveis de 1.241 pessoas.

O relatório encontrou CVEs críticos em outubro?

Não. O indicador de CVEs críticos é zero no material analisado do período. Isso não significa que não haja vulnerabilidades críticas exploradas na região, apenas que este corpus de outubro não documentou nenhuma com esse nível de certeza ou com referência suficiente para incluí-la.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para outubro de 2026 e com os fatos do bloco de marco comparativo apenas quando serviram para contrastar a evolução mês a mês. A janela temporal declarada para os indicadores inclui 392 fatos com data em outubro de 2026, 55 fatos de meses anteriores como marco comparativo, 8 fatos sem data confirmada excluídos dos indicadores e 1 fato posterior ao período também excluído.

A leitura de zero em um indicador não significa ausência na região. Em particular, o dado de CVEs críticos igual a 0 apenas indica que não foram registrados no material analisado do período, e não que não tenham existido vulnerabilidades críticas exploradas na América Latina. O mesmo vale para qualquer outra categoria que não tenha aparecido no corpus com evidência suficiente.

A telemetria agregada não foi utilizada porque o material não trouxe cifras desse tipo para o período. Também não foram contabilizados como incidentes as tentativas bloqueadas, os escaneamentos ou as detecções automatizadas, porque não são equivalentes a intrusões verificadas. Quando houve ransomware ou extorsão, a taxonomia foi mantida separada entre criptografia confirmada, exfiltração sem criptografia e casos não determináveis.

Ficaram excluídos da base de indicadores os fatos sem data confirmada e os fatos posteriores ao período. Também foram evitadas fontes não permitidas por instrução, como publicações em redes sociais de consumo ou material promocional inadequado para sustentar tendências. Nos casos em que a cobertura jornalística ou secundária não permitia corroboração suficiente, o relatório optou por atribuir a afirmação à fonte e manter o grau de incerteza.

Marcadores de monitoramento

Anexo técnico: indicadores de comprometimento e TTPs