Brasil: situación de ciberseguridad, agosto 2026

Amenazas y campañas activas en Brasil

Ransomware y extorsión simple

Hubo 17 casos con ransomware o extorsión como eje primario durante agosto, pero la fuente sólo permitió tipificar con claridad una minoría. En dos casos se documentó exfiltración sin cifrado, en dos hubo sólo mención en leak site y en 13 no fue posible determinar el impacto exacto con el material disponible.

Ese reparto importa porque impide tratar todo el bloque como si fuera una misma cosa. No es lo mismo un sitio listado por un actor, que un robo de datos sin cifrado, o que un ataque con indisponibilidad confirmada. En Brasil convivieron las tres modalidades, con predominio de señales preliminares sobre confirmaciones completas.

Grupo Rái y LockBit 5.0

LockBit 5.0 reclamó a Grupo Rái a comienzos de mes y distintos agregadores lo mostraron como data leaked o como víctima listada en leak site. El material recuperado no permitió confirmar con certeza el daño operativo, así que el caso debe leerse como una reclamación de extorsión con evidencia pública parcial.

La relevancia del caso no está sólo en la empresa afectada, sino en la persistencia de LockBit 5.0 como actor visible en Brasil. La cobertura del mes vuelve a mostrar que el país sigue figurando entre los mercados más atacados por operadores de ransomware con foco en publicación de datos.

Mobilemed y Kazu

Mobilemed fue reclamada por Kazu como víctima en el sector salud, con versiones que hablan de exfiltración y rescate exigido, pero sin confirmación oficial de la empresa. Algunas coberturas lo presentan como un ataque con posible impacto amplio sobre imágenes médicas y diagnósticos, mientras otras se limitan a reproducir el reclamo del actor.

Aquí la taxonomía es clave. La evidencia disponible permite hablar de una reclamación de ransomware y, en ciertos registros, de exfiltración alegada, pero no de cifrado confirmado. Para el informe país, eso obliga a mantener el caso en la categoría de extorsión con impacto no verificable en detalle.

Intranet Gov Brasil y The Gentlemen

Intranet Gov Brasil fue listada por The Gentlemen en leak sites y en agregadores de incidentes como víctima reclamada. No hubo confirmación pública del gobierno federal ni de las empresas estatales mencionadas en el material, por lo que el caso se mantiene como mención en leak site sin corroboración corporativa.

Aun así, el reclamo importa por el tipo de activo apuntado, un portal y red interna de servicios públicos. La aparición de este nombre junto a otras campañas sobre organismos municipales confirma que el sector gobierno siguió en la mira de grupos de extorsión durante todo el mes.

Fraude y phishing

El mes mostró una expansión clara del fraude, con nueve casos documentados y un fuerte sesgo hacia banca, pagos y suplantación. El golpe de la falsa central bancaria, la ingeniería social sobre clientes de bancos, los deepfakes aplicados a verificación de identidad y la maniobra sobre TAG trazan una misma línea de abuso: explotar confianza, urgencia y automatización.

También apareció fraude sobre criptoactivos y medios de pago, con el Banco Central acelerando controles para limitar el abuso de transferencias y con la PF desarticulando redes de fraude electrónico. La lectura operativa es que el ataque a la identidad y a la sesión de pago pesó más que la intrusión clásica.

APT, hacktivismo e infraestructura crítica

Brasil no registró en el material una campaña APT local única que dominara el mes, pero sí apareció afectado por el contexto de Lazarus, el advisory sobre Siemens S7 y la discusión sobre infraestructuras críticas. A esto se sumaron señuelos de desinformación y campañas de interfase pública, como los intentos sobre portales de Rondônia y el sitio de Flávio Bolsonaro.

En energía, agua, gobierno y telecomunicaciones el riesgo estuvo más asociado a exposición y reconocimiento que a sabotaje confirmado. La amenaza de fondo fue la combinación de superficies expuestas, software crítico desactualizado y campañas oportunistas que buscan credenciales, acceso remoto o visibilidad pública.

Vulnerabilidades críticas con impacto en Brasil

La lectura de vulnerabilidades del mes fue acotada pero relevante. El material dejó cuatro CVEs críticos mencionados y los cuatro tienen rasgo de explotación activa o impacto operacional directo. Eso no significa que no existan otras fallas relevantes fuera del material, sino que el corpus de agosto priorizó estas cuatro como señal verificable.

Regulación y cumplimiento en Brasil

Brasil reforzó en agosto una agenda regulatoria centrada en datos, fraude y supervisión de plataformas. El caso más visible fue la sanción de la ANPD a ByteDance, que mostró que el regulador ya no se limita a advertencias pedagógicas y está dispuesto a aplicar multas altas y órdenes concretas de eliminación de datos.

Al mismo tiempo, el Banco Central avanzó con la Resolução BCB nº 584, que amplía las reglas antifraude a activos virtuales y fija una retención cautelar de 24 horas para ciertas transferencias. También aparecieron plazos de autorización para prestadoras de servicios de activos virtuales, con vencimiento de octubre de 2026 y entrada en vigor operativa de partes del marco en enero de 2027.

En Pix, el regulador profundizó su intervención con un score centralizado de probabilidad de fraude, rastreo de la ruta del dinero y medidas cautelares adicionales, incluida la restricción de nuevas claves en casos de riesgo. Esta arquitectura regulatoria no es cosmética, porque responde a fraudes ya observados y a la necesidad de coordinar bancos, registradoras y sistemas de pago.

La ANPD también siguió ampliando su frente de cumplimiento. Publicó su reporte semestral de agenda regulatoria, revisó reglamentos de fiscalización y sanciones, reguló reportes de transparencia y mantuvo monitoreo sobre plataformas y herramientas de IA para proteger menores. En paralelo, el Senado y la Cámara siguieron discutiendo textos sobre protección de datos, seguridad pública y transparencia algorítmica.

Sectores más afectados en Brasil

El mes tocó al menos siete sectores, pero no de forma uniforme. El sector financiero fue el más castigado por intensidad y variedad, con fraude bancario, Pix, pagos con tarjeta, open finance, criptoactivos y operaciones policiales contra redes de lavado. Gobierno y administración pública siguieron muy expuestos, tanto por filtraciones como por campañas de extorsión y defacement.

Salud y farmacéuticas también aparecieron con peso propio. SISVISA, Mobilemed y el caso de la Bahia sobre datos de salud muestran que la información sanitaria sigue siendo un blanco atractivo, tanto por su sensibilidad regulatoria como por su valor para extorsión. La lógica es conocida, pero el mes confirmó que continúa activa.

Telecomunicaciones, logística y servicios digitales sumaron incidentes o señales de riesgo. LATAM, Uber Freight, Vivo y diversos proveedores de plataformas reflejan un patrón común, la dependencia de identidades, accesos remotos, datos de clientes y cadenas de terceros. La superficie es fragmentada, pero el vector se repite.

En energía y utilities el material no mostró incidentes OT confirmados en Brasil, pero sí alertas sobre infraestructura crítica, campañas contra PLC Siemens S7 y referencias al riesgo sectorial. Eso alcanza para sostener vigilancia alta, aunque no para convertir el vertical en un foco de incidentes confirmados del mes.

Tendencias y señales a monitorear en Brasil

La comparación con el mes anterior muestra menos ransomware como eje primario, de 25 a 17 casos, y menos incidentes sin tipificar, de 10 a 6. En paralelo, subieron con fuerza los fraudes y phishing documentados, de 0 a 9, y bajaron los movimientos regulatorios, de 13 a 11. El cambio más importante es cualitativo: el mes dejó de estar dominado por ransomware y pasó a combinar fraude, regulación y filtraciones.

Ese corrimiento importa porque sugiere una diversificación del riesgo visible. En julio, el relato estaba más concentrado en secuestro de sistemas; en agosto, la agenda se movió hacia protección de datos, identidad, pagos, activos virtuales y control de plataformas. No desapareció el ransomware, pero perdió centralidad relativa frente a otros vectores.

Otra señal clara es la consolidación del fraude como problema transversal. La combinación de ingeniería social, deepfakes, falsos portales, cuentas de paso y ataques a registradoras revela una profesionalización del ecosistema criminal. El Banco Central y la PF reaccionaron con herramientas más duras, lo que probablemente empujará a más controles de comportamiento y trazabilidad.

En vulnerabilidades, el mes mostró menos CVEs críticos mencionados que en julio, de 5 a 4, pero todos con peso operativo real. La presencia repetida de explotación activa y de parches urgentes en software de amplio uso indica que el riesgo técnico sigue muy concentrado en productos de borde, plataformas web y componentes de identidad y acceso.

Recomendaciones para equipos de seguridad en Brasil

Priorizaría cinco frentes. Primero, bancos, fintechs y PSPs deben revisar antifraude en Pix, controles de identidad, monitoreo de transferencias y detección de cambios de titularidad o cuentas de paso. El mes mostró que el fraude está migrando hacia flujos automatizados y coordinados, no sólo a engaños aislados.

Segundo, las organizaciones que trabajan con datos sensibles, sobre todo salud, educación y gobierno, deberían reforzar segmentación, copias de seguridad y control de exposición pública. Los casos de SISVISA, Mobilemed y portales municipales muestran que la superficie de fuga no depende sólo de ransomware, sino también de configuraciones débiles y repositorios accesibles.

Tercero, conviene revisar priorización de parches en los cuatro CVEs críticos del mes, con foco especial en productos expuestos a Internet. Apache Tomcat, LoadMaster, Windows AFD y JCE concentran el tipo de explotación que más rápido se convierte en incidente real cuando la exposición es pública.

Cuarto, los equipos de cumplimiento deben tratar la nueva ola regulatoria como un problema de seguridad, no sólo legal. La ANPD y el Banco Central están empujando controles sobre transparencia, retención, trazabilidad, consentimiento y reporting, así que privacidad, fraude y ciberseguridad ya operan como un mismo bloque de gestión.

Quinto, conviene revisar la cadena de terceros. Varias noticias del mes se apoyaron en proveedores, registradoras, plataformas cloud, servicios de fidelidad y software de terceros, lo que obliga a auditar accesos, contratos, logging y capacidad de respuesta compartida.

Preguntas frecuentes

¿Qué cambió más entre julio y agosto en Brasil: ransomware, fraude o regulación?

En agosto cayó el peso relativo del ransomware frente a julio, mientras crecieron los casos de fraude y phishing y bajó levemente la cantidad de movimientos regulatorios. El cambio más visible fue el giro hacia pagos, identidad y datos personales, algo que se ve al cruzar los indicadores del período con la sección de tendencias.

¿Qué sector quedó más expuesto por incidentes confirmados y por qué?

El sector financiero fue el más expuesto por variedad de hechos, seguido por gobierno y salud. La combinación de TAG, Pix, criptomonedas, Operação Klonen, LATAM Pass, SISVISA y Mobilemed muestra que la presión no vino de un solo vector, sino de varios frentes que tocaron pagos, identidad y datos sensibles.

¿Los 4 CVEs críticos del mes significan que hubo cuatro incidentes en Brasil?

No. Significan que cuatro vulnerabilidades críticas fueron mencionadas en el material analizado, varias de ellas con explotación activa, pero no que cada una haya generado un incidente brasileño separado. La tabla de vulnerabilidades y la sección de limitaciones aclaran que ausencia de más CVEs en el mes no implica ausencia regional.

¿Qué tan confirmado quedó el caso Intranet Gov Brasil?

Quedó como reclamo de leak site sin confirmación pública por parte del gobierno brasileño ni de las entidades técnicas citadas. Eso lo diferencia de ICN, donde sí hubo confirmación de ataque con cifrado, y de otros casos donde el material permite sólo una atribución preliminar.

¿Cuál fue la principal señal regulatoria para bancos y fintechs?

La principal señal fue la profundización del control sobre fraude, Pix y activos virtuales. El Banco Central avanzó con score de probabilidad de fraude, rastreo del dinero y retención cautelar en cripto, mientras la ANPD siguió endureciendo sanciones y transparencia. Ambas agendas aparecen separadas en el cuerpo, pero convergen en cumplimiento operativo.

¿Hubo actividad en infraestructura crítica brasileña sin incidentes OT confirmados?

Sí. Hubo alertas y señales de exposición, sobre todo en energía, agua y control industrial, pero sin un incidente OT brasileño confirmado en el material. El riesgo quedó documentado por advisories internacionales y por la cobertura local, así que la vigilancia debe mantenerse aunque el volumen del mes no registre un daño operativo OT consumado.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para Brasil en agosto de 2026. La ventana temporal de los indicadores incluye 76 hechos fechados en agosto de 2026 y 2 hechos de meses anteriores usados sólo como marco comparativo, no como volumen del mes. No se usó internet ni material externo.

Los indicadores de la tabla se reproducen tal como fueron provistos y describen lo ocurrido en el país, no el proceso de research. Un valor en cero, en especial para CVEs o categorías comparativas, significa que ese elemento no apareció en el material analizado para el período, no que no haya existido en Brasil o en la región.

También se excluyeron del conteo las cifras de telemetría agregada, como intentos de ataque, bloqueos, escaneos y promedios semanales de vendors, porque no son incidentes con impacto confirmado. Cuando esas cifras se mencionan en el informe, se lo hace sólo como contexto y siempre identificando la fuente y la ventana de medición.

Se priorizó fuente primaria, como organismos oficiales, CSIRT, avisos técnicos de vendors afectados y comunicados regulatorios. Quedaron fuera del uso narrativo principal las fuentes promocionales, patrocinadas o de baja verificabilidad como base única de tendencia, y los hechos sin fecha confirmada no entraron en los conteos. Cuando una noticia dependía sólo de un leak site o de un agregador, se la trató como reclamación no confirmada.