Telecom e ISPs: agosto de 2026

Ameaças e campanhas ativas

A foto do mês mostra três grandes famílias de ameaça, ransomware/extorsão, espionagem e disrupção da disponibilidade. Em telecom e ISP da América Latina, nenhuma delas apareceu de forma pura. As campanhas se misturaram com reclamações em leak site, investigações em andamento e falhas de conectividade sem atribuição fechada.

Ransomware e extorsão

O mês fechou com 17 casos com ransomware ou extorsão como eixo primário, mas a taxonomia interna é fragmentada e convém não misturar impactos distintos. Houve um caso com criptografia confirmada, o Ministério da Justiça da Colômbia. Houve outro com exfiltração sem criptografia, também na Colômbia, em que a declaração oficial indicou que não havia sido encontrada evidência de roubo no momento do corte informativo, embora uma fonte de monitoramento independente tenha reconhecido criptografia de arquivos. E houve várias reclamações em leak site, nas quais o impacto verificável não passou da menção pública da vítima.

Nessa última categoria entram Grupo Rái e Intranet Gov Brasil, além de outros onze casos cuja tipificação não foi determinável com o material. Para a prática de segurança, isso significa que o risco de extorsão segue alto, mas o dado mais útil não é a etiqueta geral e sim o grau de evidência sobre criptografia, vazamento ou simples publicação. Um leak site não equivale automaticamente a indisponibilidade, e uma indisponibilidade não prova por si só exfiltração.

O principal sinal operacional é que o ransomware continuou sendo uma ameaça transversal, mas com impactos muito distintos. Em telecom e conectividade, isso exige respostas diferenciadas. Se houver criptografia, a prioridade é recuperação e preservação forense. Se houver exfiltração, a prioridade é contenção jurídica, notificação e monitoramento de abuso posterior. Se houver apenas menção em leak site, a prioridade é validação, busca por persistência e prevenção de escalada reputacional.

Fraude e phishing

O material do mês registrou apenas um caso documentado de fraude ou phishing, e ele não pertence ao núcleo do vertical telecom/ISP, mas ao ambiente regional mais amplo. Essa baixa presença não deve ser lida como ausência de pressão fraudulenta sobre os operadores. Em vez disso, sugere que, em agosto, o relato público foi capturado por intrusão, extorsão e disponibilidade, não por campanhas de falsificação.

Do ponto de vista operacional, isso não relaxa a frente de abuso de identidade, SIM swap ou fraude de suporte. Apenas indica que o material analisado não mostrou volume suficiente para transformá-lo em uma tendência central do informe. Como leitura de prioridade, as equipes de telecom devem seguir cuidando dos canais de atendimento, de reset de credenciais, dos portais de usuário e dos fluxos de autenticação, ainda que neste período a evidência jornalística tenha apontado para outro lado.

APT e ciberespionagem

A frente mais sensível de APT esteve no Chile. A associação de Lilac Typhoon com atividades de ciberespionagem em redes de Entel, Movistar e Telmex, somada à referência a ShadowPad e à necessidade de análise forense e endurecimento de acessos remotos, desenha uma campanha mais próxima da persistência do que do golpe visível. As fontes não confirmam exfiltração massiva, mas descrevem um padrão compatível com infraestrutura de espionagem.

A relevância estratégica desse sinal é alta porque uma operadora concentra metadados, rotas, inventário técnico e visibilidade potencial sobre serviços de terceiros. Se um ator consegue se mover dentro desse ambiente, o valor do acesso vai além do roubo de arquivos. Pode permitir o acompanhamento de comunicações, pivô para fornecedores, observação de administração remota e preparação de ações futuras. Por isso o caso chileno deve ser lido com lentes de resiliência de rede e de segurança nacional ao mesmo tempo.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado de agosto de 2026. Isso não significa ausência de vulnerabilidades críticas na região, mas sim que a cobertura revisada não trouxe identificadores CVE explícitos para este período. Assim, o foco técnico do mês esteve mais em campanhas, interrupções e reivindicações do que na exploração de falhas concretas documentadas com número.

Regulação e compliance

Agosto registrou cinco movimentos regulatórios documentados, e todos apontam, de um modo ou de outro, para a pressão sobre continuidade, investigação ou coordenação entre órgãos. Não formam uma agenda regulatória homogênea, mas mostram que telecom, conectividade e serviços digitais ficaram cada vez mais próximos da resposta estatal.

Na Colômbia, a CRC enquadrou o risco de interrupção para 57.000 usuários de internet fixa ligados a pequenos ISPs em uma controvérsia contratual entre TV Azteca e ATP. O ponto regulatório aqui não é uma sanção nem um procedimento formal de cibersegurança, mas o reconhecimento institucional de que uma dependência comercial pode transformar uma rede de acesso varejista em um problema de serviço em massa. Isso obriga a olhar para concentração de fornecedores e resiliência contratual.

Também na Colômbia, a Procuradoria-Geral atuou por causa da segurança da infraestrutura elétrica em Tolima após um atentado, embora sem atribuí-lo a ciberataques. O caso não é telecom em sentido estrito, mas importa para o setor porque a disponibilidade de serviços de conectividade depende de energia, backbones e do ambiente físico. Quando o Estado incorpora esse tipo de alerta ao seu radar, a mensagem para carriers e ISPs é que a resiliência já não se limita ao perímetro lógico.

O terceiro frente regulatória foi a resposta institucional ao ransomware do Ministério da Justiça da Colômbia. A coordenação com o COLCERT, o MinTIC, a equipe DART da Microsoft e aliados do BID mostrou um modelo de resposta mais amplo do que o de uma unidade isolada. Para os operadores de conectividade e as equipes de segurança, isso sugere uma expectativa crescente de cooperação entre setor público, times de resposta e fornecedores de tecnologia em incidentes de alto impacto.

Países e subsegmentos mais afetados

A distribuição geográfica de agosto não foi homogênea. Houve países com vários fatos de tipos diferentes e outros com um ou dois eventos muito concentrados. O padrão geral favoreceu Colômbia, Chile, Brasil e México como os nós mais visíveis da sinalização do mês em telecomunicações e provedores de conectividade.

Colômbia

A Colômbia foi o país com maior densidade operacional visível no mês. Ali convergiram o ransomware contra o Ministério da Justiça, o alerta alto do ColCERT, a disrupção de BGP, a falha massiva da Movistar e o aviso da CRC sobre risco de interrupção para pequenos ISPs. Essa acumulação mostra que o país não apenas sofreu incidentes, como também teve uma ampla conversa regulatória e jornalística sobre continuidade e resiliência.

O subsegmento mais exposto foi o de conectividade de varejo e serviços públicos digitais dependentes de rede. Não se observou uma campanha única contra telecom, mas sim múltiplos sinais de fragilidade em diferentes camadas. Para um operador ou provedor de internet, isso sugere que a preparação deve incluir enlaces, fibra, BGP, resposta a ransomware em sistemas de suporte e gestão da dependência contratual com atacadistas.

Chile

O Chile foi o centro da frente de espionagem em telecomunicações. O caso Entel, Movistar e Telmex, com investigação judicial e referências técnicas ao ShadowPad, colocou o país como uma das histórias mais sensíveis do mês. O valor do país no relatório não está em uma interrupção de serviço, mas na profundidade potencial do acesso e no impacto institucional do alerta.

O subsegmento mais afetado foi o de grandes operadoras de telefonia e internet. As fontes não confirmaram uma violação de dados, mas deixaram claro que o interesse do ator estaria na rede e em seus mecanismos de persistência. Para o Chile, agosto mostrou que a superfície de telecom pode ser alvo de inteligência estrangeira e que o dano reputacional começa antes de existir um vazamento público.

Brasil

O Brasil combinou dois tipos de sinal. Um foi o de ataque ou reivindicação sobre o Grupo Rái, uma empresa vinculada ao setor de comunicações. O outro foi o de maior volume de ataques cibernéticos ao setor de telecomunicações na telemetria citada por meios locais, com 2.927 ataques no período analisado pela Check Point, dado que deve ser lido como telemetria e não como incidentes confirmados.

O subsegmento aqui é duplo, empresas de comunicações e serviços corporativos de cibersegurança oferecidos por operadoras. A apresentação do novo SOC Agêntico da Vivo para clientes corporativos não é um incidente, mas sinaliza como as operadoras estão ampliando seu papel para serviços gerenciados de defesa. Esse movimento comercial responde a uma demanda real do mercado, mas não deve ser confundido com uma medição de risco do mês.

México

O México concentrou sobretudo eventos de disponibilidade. As quedas de gob.mx, as falhas de múltiplos ISPs e o caso da Telmex por roubo de cabo apontam para um ecossistema em que a conectividade de última milha e a infraestrutura física continuam sendo um ponto fraco. Não houve no material um ciberataque confirmado contra uma operadora mexicana com a mesma relevância do caso chileno ou colombiano.

O subsegmento mais visível foi o de consumidores finais e serviços públicos online dependentes de conectividade de terceiros. Isso deixa um sinal útil para o setor, a resiliência operacional de portais e serviços digitais deve ser projetada assumindo que a camada de rede também pode falhar por causas alheias ao próprio sistema. Para telecom e ISP, isso significa revisar redundância, monitoramento de enlaces e tempos de resposta comercial.

Tendências e sinais a monitorar

A comparação com o mês anterior mostra uma alta clara no volume de fatos verificados, de 67 para 122. Também cresceram com força os incidentes sem tipificação, de 17 para 45, o que sugere que agosto teve mais atividade, mas também mais ruído ou mais material ainda não encerrado pelas fontes. Essa combinação merece atenção porque nem sempre mais fatos significam mais clareza; às vezes, significam mais exposição sem atribuição definitiva.

O aumento de casos com ransomware ou extorsão, de 15 para 17, não é explosivo em termos absolutos, mas consolida a persistência dessa ameaça como uma das principais para o vertical. O que muda é a diversidade de sua manifestação. Em agosto, houve criptografia confirmada, exfiltração não encerrada e várias menções em leak site. Essa fragmentação dificulta a leitura tática, mas reflete melhor como operam hoje as campanhas de extorsão.

O movimento regulatório, que passou de 0 para 5, é talvez o sinal mais subestimado do mês. Quando reguladores, ministérios e órgãos de controle começam a intervir sobre continuidade, risco de corte ou coordenação de resposta, o efeito sobre telecom e ISP vai além do incidente pontual. Aumenta a expectativa de rastreabilidade, notificação e sustentação técnica diante da opinião pública.

Também vale observar a diferença entre ameaça predominante e volume total. Em julho, o quadro já era de sem classificar, mas sobre uma base menor. Em agosto, sem classificar alcançou 47 de 122 fatos. Isso sugere que o jornalismo e as fontes de monitoramento seguem registrando muitos eventos em que o impacto existe, mas a tipificação não fica fechada. Para equipes de segurança, o sinal prático é simples, não esperar a etiqueta perfeita para começar a conter, investigar e documentar.

Recomendações para equipes de segurança

As equipes de telecomunicações e ISPs na América Latina deveriam tratar agosto como um mês de teste de resistência, não como uma anomalia isolada. A combinação de espionagem, ransomware, disrupção física e risco contratual exige pensar a segurança em camadas, e não apenas em ferramentas de detecção.

Primeiro, é preciso revisar o acesso remoto e a persistência em ambientes de rede. O caso chileno aponta para uma infraestrutura de espionagem com possível uso de ShadowPad e presença prolongada. Isso pede inventário de equipamentos com administração remota, revisão das configurações de borda, rotação de credenciais, validação de MFA quando aplicável e auditoria de movimentos laterais nas redes corporativas e de operação.

Segundo, a continuidade operacional deve ser separada com clareza da classificação forense. Quando houver queda de conectividade, como no México ou na falha da Movistar na Colômbia, a equipe precisa identificar rapidamente se o evento é físico, de backbone, de roteamento ou de cibersegurança. Essa distinção não é cosmética, porque afeta a escalada interna, a comunicação aos clientes e a eventual obrigação de notificação.

Terceiro, a resposta a ransomware deve ser fortalecida com playbooks diferentes conforme o impacto. Se houver criptografia, a prioridade é restauração controlada e preservação de evidências. Se houver reivindicação em leak site, como nos casos brasileiros, a prioridade é validação, revisão de logs e monitoramento de possíveis publicações posteriores. Se houver apenas extorsão sem criptografia confirmada, a pressão legal e reputacional pode ser a primeira frente de dano.

Quarto, é necessário mapear dependências com terceiros e atacadistas. O alerta da CRC colombiana sobre 245 pequenos ISPs potencialmente afetados por uma disputa contratual mostra que o risco de concentração nem sempre vem de um ator malicioso. Vale revisar SLAs, dependências de capacidade, rotas de backup e mecanismos de comunicação com fornecedores upstream antes que o problema evolua para uma interrupção visível.

Quinto, a vigilância sobre infraestrutura física crítica também precisa aumentar. O roubo de cabo no México e os danos de fibra na Colômbia lembram que a segurança do setor inclui trechos físicos, emendas, cabeamentos e energia. Para operadoras grandes e pequenas, isso significa reforçar o monitoramento de campo, o inventário de ativos, a coordenação com contratados e a resposta rápida a cortes de última milha.

Perguntas frequentes

Que tipo de ameaça dominou o mês entre telecom, ISP e serviços digitais vinculados?

O sinal mais forte foi misto, com ransomware, espionagem e disrupções de conectividade coexistindo na região. A Colômbia concentrou o ransomware confirmado e vários eventos de continuidade, o Chile reuniu a frente de ciberespionagem em carriers e o México trouxe quedas de serviços e falhas de conectividade. A seção de Incidentes relevantes organiza esses casos por país.

Houve evidência sólida de uma brecha massiva confirmada em carriers chilenos?

Não houve uma brecha massiva confirmada no material analisado. As fontes sobre Entel, Movistar e Telmex falam em investigação por possível ciberespionagem, com suspeita de ShadowPad e acesso prolongado, mas sem lista verificada de dados roubados nem confirmação oficial de exfiltração. As seções de Incidentes relevantes e de Ameaças e campanhas ativas desenvolvem essa diferença.

Quais casos de ransomware tiveram impacto realmente verificável?

O caso mais sólido foi o do Ministério da Justiça da Colômbia, em que a própria entidade confirmou o ciframento de parte de sua infraestrutura e a degradação de serviços. No Brasil, houve alegações de ransomware contra Grupo Rái e Intranet Gov Brasil, mas o material não permitiu fechar o alcance real. A seção de Ameaças e campanhas ativas diferencia ciframento, exfiltração e leak site.

O que deve preocupar mais um ISP pequeno na região depois deste mês?

A dependência de terceiros e a fragilidade da última milha. O alerta da CRC colombiana mostrou que uma disputa contratual pode colocar em risco dezenas de milhares de usuários de pequenos provedores, sem necessidade de ciberataque. A isso se somam cortes físicos de fibra, como na Colômbia e no México. A seção de Países e subsegmentos mais afetados cruza os dois planos.

Foram registrados CVEs críticos explorados em agosto de 2026 para este vertical?

Não. O material analisado não mencionou CVEs críticos para telecomunicações ou provedores de conectividade em agosto de 2026. Isso não significa que não tenham existido vulnerabilidades exploradas na região, apenas que elas não apareceram com identificador CVE nas fontes revisadas. A seção de Vulnerabilidades críticas deixa esse ponto explícito.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para agosto de 2026 e com cinco fatos de meses anteriores usados apenas como referência comparativa, nunca como volume do período. A janela temporal dos indicadores é a declarada no início, e a base de todos os indicadores é de 122 fatos verificados do período.

Um indicador em 0, em especial o de CVEs críticos, significa que ele não apareceu no material analisado, não que não tenham ocorrido vulnerabilidades críticas na região. O mesmo vale para qualquer ausência de menção: a falta de dado não deve ser lida como ausência de fato. Em um mês com tanta tipificação incompleta, essa cautela é necessária para evitar uma reconstrução exagerada do risco.

Também ficaram fora da construção de tendência as fontes promocionais, os comunicados comerciais, as publicações em redes sociais de consumo e o material que não integrava a lista de fontes habilitadas. A telemetria agregada da Check Point, embora útil como contexto de exposição, não entrou no volume de incidentes porque corresponde a tentativas ou bloqueios automatizados, e não a intrusões com impacto confirmado.

Por fim, vários fatos permaneceram com confirmação parcial ou sem atribuição pública fechada, especialmente nos casos de leak site, interrupções de conectividade e reivindicações de ransomware. Quando o material não permite decidir entre criptografia, exfiltração ou apenas menção em portal do ator, o relatório preserva essa incerteza em vez de forçar uma classificação.