Setor público e órgãos governamentais, Junho de 2026

Incidentes relevantes

Brasil, Defesa Civil Alerta

O caso brasileiro foi, pelo alcance e pelo peso simbólico, o incidente mais relevante do mês. O MIDR informou uma invasão à Interface de Divulgação de Alertas Públicos do sistema Defesa Civil Alerta e detalhou 10 disparos indevidos entre 23h41 de 19 de junho e 1h23 de 20 de junho. A cobertura oficial e a jornalística convergem ao indicar um envio não autorizado, classificado como "alerta extremo", com mensagens que chegaram a milhões de pessoas em celulares de várias cidades e estados.

A resposta institucional foi rápida. O MIDR afirmou não ter encontrado evidências de dano estrutural ao sistema DCA, mas bloqueou todos os acessos externos à IDAP, suspendeu contas envolvidas e preservou logs para a Polícia Federal. A Reuters acrescentou que a investigação foi encaminhada à autoridade federal e que o governo trabalhava para restabelecer o sistema. Em paralelo, a discussão pública ganhou força porque os alertas chegaram à população durante a madrugada, com o som característico dos telefones e com uma mensagem que, segundo a cobertura, continha apenas a palavra "misantropia".

A relevância para o setor público é dupla. Primeiro, porque mostra que uma plataforma estatal centralizada de notificação pode ser transformada em vetor de desinformação operacional, mesmo sem destruição técnica do sistema. Segundo, porque expõe a dificuldade de sustentar a confiança da população quando um canal oficial emite mensagens inválidas em contextos de emergência. O episódio não se limita a um incidente de TI, mas a um problema de governança das comunicações públicas. Neste caso, a segurança do sistema e a credibilidade da mensagem ficaram entrelaçadas.

A cobertura posterior da UFJF destacou que o caso revelou uma vulnerabilidade real da arquitetura de alertas do Brasil e defendeu a necessidade de redundância com Cell Broadcast, SMS, rádio, TV, apps oficiais, sirenes e protocolos comunitários. Essa observação tem peso editorial porque conecta o incidente à resiliência institucional, e não a uma falha pontual isolada. A leitura operacional é clara, uma única via de notificação, se for comprometida ou manipulada, pode deixar o Estado sem capacidade de distinguir entre alerta legítimo e ruído malicioso.

Argentina, RENAPER e a rede atribuída a @Gov.eth

A Argentina concentrou durante junho várias referências a bases estatais e à sua monetização. Em 3 de junho, o El Estratégico reportou uma nova filtragem de dados do RENAPER a partir de atividade comercial que oferecia acesso público a uma API com dados de cidadãos argentinos. Embora o texto use formulações prudentes, o valor dessa peça é recolocar o registro de pessoas como alvo de alto interesse para mercados criminosos. Em 1º de junho, além disso, a mesma linha editorial mencionou a desarticulação de uma rede que comercializava dados pessoais do RENAPER e do PAMI por Telegram, com investigação iniciada em outubro de 2025 segundo a nota.

A cobertura da LV16 de 24 de junho acrescentou outra camada. No âmbito de uma megaoperação internacional, a Polícia Federal Argentina identificou e localizou na Espanha o suposto cibercriminoso conhecido como @Gov.eth, atribuído a operações entre 2024 e 2026 que afetaram órgãos públicos e empresas privadas. A nota aponta como principais alvos o RENAPER e a DNRPA, com vazamento e venda de bases pessoais, além de ataques a veículos de mídia nacionais. Esse caso, pela própria atribuição jornalística e pelo cruzamento com uma ação policial internacional, sugere uma economia de dados roubados que não depende de um único evento, mas de uma exploração contínua de órgãos com informação sensível.

O ponto crítico não é apenas o vazamento em si, mas sua transformação em mercado. As notas citadas mostram um ecossistema em que os dados do Estado são publicados, revendidos, reutilizados em fraudes e convertidos em insumo para novos ataques. Em um registro civil, isso afeta identidade, verificação e potencial acesso a outros serviços. Em termos de exposição, o RENAPER volta a aparecer como uma superfície estruturalmente atraente para os atacantes porque concentra valor de identidade, rastreabilidade e reutilização transversal.

Bolívia, AISEM e Krybit

Em 12 de junho, a Krybit publicou aisem.gob.bo, domínio associado à Agência de Infraestrutura em Saúde e Equipamentos Médicos da Bolívia, como vítima em sua lista pública de ataques. A DeXpose informou que o grupo afirmou ter atacado a agência e ameaçou vazar dados sensíveis caso suas condições não fossem atendidas. A Ransomware.live depois atualizou a ficha com estimativas de 97 funcionários e 121 usuários comprometidos, além de reiterar que se trata de uma entidade governamental boliviana de infraestrutura de saúde.

Aqui a tipificação exige cuidado. O material permite afirmar que houve reivindicação pública de ataque e ameaça de extorsão com possível publicação de dados, mas não especifica se houve criptografia de ativos. Por isso, o caso deve ser lido como extorsão ou ransomware com tipificação técnica incompleta, e não como incidente de criptografia confirmado. Essa distinção importa porque o risco operacional e o risco legal não são equivalentes. Uma publicação em leak site sem evidência de criptografia não implica interrupção de serviços, embora possa indicar exfiltração, pressão reputacional e negociação forçada.

A relevância setorial é alta porque a AISEM pertence à infraestrutura de saúde, um subsegmento que combina sensibilidade clínica, dependência de continuidade e capacidade limitada de absorção de crises. O ataque, ou ao menos sua reivindicação pública, insere junho em uma tendência já conhecida na região, a saúde pública continua sendo um alvo valioso tanto para extorsão quanto para exposição de dados.

Colômbia, Registraduría e o ecossistema FortiBleed

A Colômbia acumulou mais de uma frente no mês. Na véspera do segundo turno presidencial, a Mobile Time informou que o ColCERT alertou sobre uma campanha de phishing que se passou pela Registraduría Nacional del Estado Civil com pelo menos três e-mails maliciosos enviados entre 1º e 2 de junho. As mensagens conseguiram superar SPF, DKIM e DMARC e redirecionavam para o download de arquivos compactados com scripts maliciosos para roubar informações e credenciais. Isso coloca o e-mail institucional e a identidade digital como superfícies de ataque prioritárias em processos eleitorais.

A isso se somou o boletim PMU Ciber Electoral No. 005 do ColCERT, que informou a exposição de credenciais institucionais do Conselho Nacional Eleitoral e casos de suposta exposição de dados pessoais associados ao ecossistema eleitoral, comunicados aos responsáveis pelo tratamento e à Fiscalía e à Superintendencia de Industria y Comercio. O documento também esclareceu que, até 20 de junho, não foram registrados incidentes na infraestrutura eleitoral associados a DoS nem ao WAF durante o segundo turno. O sinal é importante porque separa ruído político de evidência técnica: houve preocupações e achados, mas não uma queda confirmada do sistema eleitoral como infraestrutura de votação.

Em paralelo, o ColCERT emitiu o alerta AL-20260619-101 sobre FortiBleed, uma campanha global de abuso massivo de credenciais que compromete a segurança de perímetro de dispositivos Fortinet FortiGate. O alerta focou no impacto sobre o setor público colombiano, enquanto outras coberturas técnicas descreveram a exposição de credenciais VPN de aproximadamente 73.000 dispositivos em escala global. O MuchoHacker.lol acrescentou que ao menos 27 organizações colombianas teriam ficado expostas, entre elas entidades públicas e de saúde, embora a fonte deixe claro que não há confirmação oficial individual de cada comprometimento. O vetor técnico é claro: credenciais de acesso remoto e firewall de perímetro, com possibilidade de movimentação lateral e comprometimento de redes internas.

Bogotá, Secretaria Distrital de Movilidad

Em 28 de junho, o MuchoHacker.lol reportou que um grupo de atacantes afirmou ter comprometido os sistemas da Secretaria Distrital de Movilidad de Bogotá e ter obtido dados de mais de 4,5 milhões de usuários, com possibilidade de modificar, registrar e apagar multas de trânsito. A peça, no entanto, faz questão de observar que se trata de afirmações dos atacantes e que não há confirmação oficial nem evidência independente da exclusão ou modificação de multas.

A amostra de dados analisada pelo site continha 238 objetos JSON com quatro infrações reais e uma estrutura detalhada por registro. Esse detalhe altera a leitura, porque já não estamos apenas diante de uma alegação de leak site, mas de uma amostra que parece conter parte de informação existente. Ainda assim, isso não permite confirmar alcance nem origem da brecha. Para o setor público, o ponto operacional é sensível: mobilidade urbana, multas e trâmites de trânsito são sistemas transacionais em que a confiança na integridade dos registros é tão importante quanto a confidencialidade.

México, acessos não autorizados e vazamentos ligados a serviços públicos

Embora o eixo temático do relatório seja o setor público na América Latina, o México trouxe casos que reforçam o padrão de pressão sobre órgãos estatais. O Diario El Independiente informou que, após um acesso não autorizado a informações de alguns comitês do programa La Escuela es Nuestra, a Agência de Transformação Digital e Telecomunicações ativou protocolos de cibersegurança, identificou a atividade irregular, conteve o evento e colocou em andamento monitoramento permanente e novos controles. A nota não detalha número de registros afetados nem o alcance exato das informações consultadas, mas confirma a resposta institucional.

Além disso, a TV Azteca divulgou uma denúncia sobre um suposto vazamento massivo no sistema de saúde mexicano, com uma base que conteria cerca de 1,7 milhão de prontuários clínicos eletrônicos. A peça não traz um posicionamento oficial detalhado da Secretaria de Saúde sobre o alcance, então deve ser tratada como denúncia e não como brecha verificada. O Moncloa.com, por sua vez, informou o vazamento de dados de 45.000 usuários da Movistar México, adicionando pressão ao ecossistema de serviços críticos e ao ambiente de identidade dos usuários.

Esses fatos não alteram o foco principal do relatório, mas mostram que junho não foi um mês isolado para a região. Em vários países, as entidades públicas e os programas sociais ficaram expostos ao menos em dois planos, o do acesso não autorizado e o do vazamento de dados.

Ameaças e campanhas ativas

Ransomware e extorsão

O mês registrou 11 casos com ransomware ou extorsão como eixo principal, e em todos eles a tipificação técnica disponível não permitiu separar com precisão criptografia, exfiltração ou mera reivindicação em leak site. Isso não enfraquece o sinal, mas exige uma classificação cautelosa. O material permite afirmar, porém, que a extorsão segue como uma forma muito ativa de pressão contra órgãos públicos e suas dependências associadas, sobretudo quando a informação tem valor de identidade, saúde ou mobilidade.

Na Bolívia, a Krybit publicou a AISEM e ameaçou vazar dados sensíveis. Nesse caso, a fonte não detalha se houve criptografia. Na Argentina, as menções a redes que comercializavam dados do RENAPER e do PAMI por Telegram sugerem monetização criminosa de informação estatal, ainda que a lógica de extorsão nem sempre esteja explicitada. Na Colômbia, a afirmação de que atacantes teriam apagado multas em Bogotá também se encaixa mais como narrativa de extorsão do que como incidente tecnicamente verificado. No México, a discussão sobre vazamentos em saúde e acessos não autorizados a programas públicos mostra como a pressão sobre órgãos estatais pode vir sem criptografia, mas com ameaça de publicação ou abuso de dados.

A leitura operacional para as equipes públicas é que o ransomware já não deve ser analisado apenas como criptografia de servidores. O ciclo completo inclui publicação de provas, pressão reputacional, ameaças de vazamento e uso de credenciais roubadas. O incidente pode não parar um sistema, mas pode degradar sua legitimidade e abrir uma negociação forçada. Essa é a forma mais frequente de dano em junho, ao menos segundo o material disponível.

Fraude e phishing

O caso mais claro foi a campanha que se passou pela Registraduría Nacional na Colômbia. O uso de e-mails que passam por filtros de autenticação e terminam em scripts para roubo de credenciais sugere uma operação bem estruturada, voltada tanto ao acesso inicial quanto à captura de identidade. O contexto eleitoral aumenta sua eficácia, porque os destinatários ficam mais atentos a mensagens urgentes e a processos de validação.

Também merece menção o ambiente de sites falsos e fraudes em torno da Copa do Mundo de 2026 no México, embora vários desses fatos tenham sido apresentados no material como telemetria ou contexto de outro período, e não como incidentes do presente relatório. A sinalização útil para o setor público é metodológica: quando uma campanha de fraude se apoia em identidade institucional, a fronteira entre engano ao cidadão e acesso a sistemas do Estado fica difusa. O mesmo padrão pode ser observado no RENAPER, em sistemas de saúde e em programas sociais.

A mecânica comum é a exploração da confiança. O e-mail falsificado, o domínio falso, o arquivo compactado com scripts, a página que simula um serviço ou um alerta estatal. Junho mostrou que a fraude já não é um problema exclusivamente financeiro. No setor público, ela serve para abrir portas, roubar credenciais e capturar dados que depois alimentam vazamentos ou extorsões.

APT, hacktivismo e pressão política

Neste eixo há menos certeza técnica, mas bastante ruído político. A cobertura argentina sobre @Gov.eth descreve um ator ou pseudônimo criminoso com atividade entre 2024 e 2026 contra órgãos públicos e empresas privadas. Não se trata de uma APT estatal, e sim de um cibercriminoso com foco em dados governamentais e meios de comunicação. A referência boliviana a uma "guerra cibernética" contra o governo também mostra como alguns discursos políticos tentam explicar a pressão digital em termos de hostilidade internacional sem apresentar rastreabilidade técnica verificável. Esse tipo de narrativa deve ser lido com cuidado, porque nem todo ataque midiático ou desinformação equivale a intrusão em sistemas.

A Colômbia oferece o melhor exemplo da mistura entre cibersegurança e disputa política. Os questionamentos sobre o sistema da Registraduría apareceram no contexto do preconteo eleitoral, mas o boletim oficial do ColCERT separou com clareza as preocupações políticas dos incidentes confirmados. No Brasil, o incidente da Defesa Civil teve uma possível dimensão de ataque hacker, mas a evidência publicada se concentra nas mensagens não autorizadas e na resposta do governo, não em atribuições sólidas a um ator estatal ou hacktivista.

Em junho, portanto, não houve uma APT regional claramente atribuída, mas sim um ambiente em que a pressão sobre órgãos públicos se mistura com disputas de legitimidade, desinformação e exploração de canais oficiais.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado de junho de 2026. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que este arquivo mensal não as documentou de forma verificável.

Regulação e compliance

O período registrou três movimentos regulatórios ou de compliance relevantes, embora nenhum deles, isoladamente, represente uma reforma ampla. O primeiro é a própria reação institucional do Brasil, com MIDR, Defesa Civil, Anatel e Polícia Federal atuando na investigação do incidente e na restauração do sistema. A sequência importa porque mostra coordenação entre órgãos diante de um evento que atinge infraestrutura pública crítica.

O segundo caso é a Colômbia. O ColCERT não apenas emitiu alertas, como também comunicou responsáveis pelo tratamento, a Fiscalía e a Superintendência de Indústria e Comércio em relação a casos de suposta exposição de dados pessoais no ecossistema eleitoral. Essa rastreabilidade é relevante para compliance, porque sugere que incidentes de cibersegurança já não são tratados só como questões técnicas, mas também como temas de proteção de dados, devido processo e supervisão administrativa.

O terceiro movimento aparece no México, onde a Agência de Transformação Digital e Telecomunicações ativou protocolos de cibersegurança após um acesso não autorizado a dados de alguns comitês de La Escuela es Nuestra. Embora o material não detalhe sanções nem mudanças normativas, ele evidencia uma institucionalidade que responde com contenção, monitoramento contínuo e novos controles. Para equipes de governo, isso indica que a maturidade regulatória já não é medida apenas pela existência de uma norma, mas pela capacidade de acionar resposta, preservar evidências e escalar para as instâncias competentes.

Países e subsegmentos mais afetados

Brasil

O Brasil registrou o incidente de maior alcance do mês. A afetação à Defesa Civil Alerta envolveu milhões de usuários e expôs um problema de resiliência na plataforma oficial de notificação de emergências. O dano foi operacional e reputacional ao mesmo tempo. Soma-se a isso o fato de a própria cobertura acadêmica posterior ter insistido que o episódio revelou uma vulnerabilidade real na arquitetura de alertas. No setor público, a conclusão é incômoda, mas clara, um sistema que comunica risco à população também pode ser explorado para semear confusão em escala massiva.

Argentina

A Argentina concentrou a pressão sobre registros de identidade, bases pessoais e forças de comercialização criminosa. O RENAPER aparece como alvo recorrente, e a DNRPA se soma no marco da atribuição a @Gov.eth. O subsegmento mais atingido é o de identidade cidadã e registros de veículos, duas áreas com alto valor de revenda e amplas possibilidades de uso fraudulento. A menção ao PAMI acrescenta a dimensão de saúde e benefícios, o que amplia o impacto potencial sobre idosos e beneficiários de programas sociais.

Colômbia

A Colômbia mostrou uma combinação de risco eleitoral, exposição de credenciais e superfície perimetral. A Registraduría e o CNE aparecem como nós críticos por sua ligação com processos democráticos. FortiBleed abriu outra camada de exposição em setores públicos e de saúde por credenciais VPN comprometidas ou potencialmente reutilizáveis. A Secretaría Distrital de Movilidad, por sua vez, representa um subsegmento de gestão urbana em que a integridade de bases de dados tem valor operacional direto.

Bolívia

Na Bolívia, o foco foi a agência de infraestrutura de saúde. A AISEM não é apenas um órgão administrativo, mas um ator que sustenta equipamentos e infraestrutura sanitária. Por isso, uma reivindicação de ataque ou uma ameaça de vazamento sobre essa entidade tem implicações maiores do que um simples leak de dados. O subsegmento de saúde pública volta a aparecer como um dos mais sensíveis da região.

México

O México trouxe evidências de acessos não autorizados em um programa social e denúncias de vazamento na saúde. O subsegmento de política social, por meio de La Escuela es Nuestra, e o de saúde pública, pela denúncia sobre AAMATES, mostram que a pressão sobre o Estado não se limita a órgãos centrais. Também se repete o padrão de vazamento sobre serviços de consumo, como Movistar, que embora não pertença ao vertical público, ajuda a entender o ambiente de exposição de credenciais e dados.

Tendências e sinais para monitorar

Não há base comparativa do mês anterior porque este é o primeiro período arquivado com este formato de indicadores para a América Latina. Ainda assim, o material permite identificar sinais que provavelmente vão continuar em julho.

O primeiro é a consolidação das superfícies de acesso remoto como alvo prioritário. FortiBleed e as referências a VPN na Argentina apontam para credenciais e perímetros como áreas de alto valor. Os atores criminosos nem sempre precisam de um exploit inédito se puderem reutilizar segredos válidos ou credenciais expostas. Essa economia do acesso segue sendo a forma mais lucrativa de atacar órgãos públicos.

O segundo sinal é a persistência do phishing direcionado à identidade institucional. O caso da Registraduría na Colômbia mostra que o e-mail continua sendo um vetor suficiente para comprometer usuários ou coletar credenciais, mesmo em contextos de autenticação reforçada. Se a mensagem parecer oficial e urgente, a taxa de sucesso sobe. Em campanhas eleitorais ou de serviços ao cidadão, essa urgência funciona como multiplicador.

O terceiro sinal é a expansão de ataques sobre sistemas de comunicação pública. O Brasil deixa um alerta muito concreto, os canais oficiais de aviso devem ser tratados como infraestrutura crítica de alta sensibilidade. Não basta proteger o backend. É preciso validar todo o circuito de emissão, as permissões, os acessos remotos e a redundância de canal.

O quarto sinal é a monetização contínua de dados de identidade. A Argentina volta a aparecer como um mercado de bases pessoais e registros com alto valor criminal. RENAPER, DNRPA e PAMI são superfícies que podem seguir aparecendo em vazamentos, revenda ou campanhas de fraude posteriores.

Recomendações para equipes de segurança

1. Revisar e limitar imediatamente as superfícies de acesso remoto, especialmente VPNs, firewalls de borda e consoles administrativas expostas à internet. FortiBleed e os casos associados ao perímetro mostram que credenciais válidas continuam sendo o principal atalho dos atacantes.

2. Fortalecer a validação de e-mails institucionais e as campanhas de conscientização em períodos eleitorais, de benefícios sociais ou de emergência. O phishing que imita a Registraduría mostra que SPF, DKIM e DMARC não bastam sozinhos quando o usuário final confia na narrativa da mensagem.

3. Separar com clareza a continuidade operacional do canal de comunicação pública. Plataformas como Defensa Civil Alerta precisam de autenticação, controle de privilégios, monitoramento de integridade e planos de contingência multicanal. A redundância deve ser funcional, não decorativa.

4. Aprimorar a resposta a vazamentos de identidade com playbooks que prevejam revogação, rotação de credenciais, alertas antifraude e coordenação com áreas jurídicas e de atendimento ao cidadão. Quando o dado é pessoal, a crise costuma se estender para além da infraestrutura.

5. Registrar evidências e preservar a rastreabilidade desde o primeiro minuto. Em junho, vários casos ficaram parcialmente tipificados porque as fontes ofereciam apenas reivindicações ou amostras parciais. As equipes públicas precisam de logs, cadeia de custódia e documentação clara para sustentar ou refutar atribuições.

6. Incorporar testes de resiliência específicos para sistemas de alto impacto social, como alertas de emergência, registros de identidade, trânsito, saúde e programas sociais. Não basta simular a queda de servidor. É preciso ensaiar desvio de canais, acesso indevido, publicação falsa e degradação de integridade.

7. Coordenar com proteção de dados e áreas regulatórias desde o início. Em vários fatos do mês, a resposta técnica e a notificação às autoridades de controle foram parte central do tratamento. No setor público latino-americano, a gestão do incidente já não termina no SOC.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para junho de 2026 e com o quadro comparativo anexo. A janela temporal dos indicadores inclui 133 fatos com data em junho de 2026, 3 fatos de meses anteriores usados apenas como comparação e 1 fato sem data confirmada, excluído dos indicadores. Não foram usadas fontes externas nem a internet.

Um indicador em 0, especialmente o de CVEs críticos, significa que não foram registrados CVEs críticos no material analisado, e não que não existam vulnerabilidades críticas exploradas na região. O mesmo vale para outras ausências: o que não aparece no arquivo não deve ser lido como inexistência de atividade, e sim como falta de documentação verificável neste período.

A taxonomia de ransomware e extorsão também é limitada pela própria evidência. Em 11 casos, a fonte não permite determinar se houve criptografia de ativos, exfiltração sem criptografia ou apenas menção da vítima em um leak site. Por isso, este relatório respeita essa ambiguidade e não força uma classificação artificial.

Ficaram excluídos dos indicadores os números de telemetria agregada, as tentativas ou bloqueios automatizados e as métricas semanais de vendors. Se algum desses números é mencionado na análise, isso ocorre apenas como contexto metodologicamente delimitado, nunca como incidente com impacto confirmado.

Também ficaram fora de uso as redes sociais de consumo e qualquer material não incluído na lista de fontes permitidas. Quando apareceram notas com afirmações frágeis, atribuições não confirmadas ou conteúdo baseado exclusivamente em declarações de atacantes, elas foram tratadas como tais e não como fatos fechados.

O resultado é um retrato fiel ao arquivo disponível, mas não exaustivo de toda a atividade regional. Junho deixou sinais muito claros sobre o setor público, embora várias peças ainda estejam abertas ou parcialmente confirmadas.