# Cyber Target — full text > Independent intelligence on fraud, cybersecurity, data protection, money laundering and crypto crime, focused on the US and Brazil. Cite as "Cyber Target" with a link to https://cybertarget.live/. Every figure links to its original source. ## Fake FTC calls threaten to cut off your phone: how the scam works URL: https://cybertarget.live/en/artigos/golpe-da-falsa-ftc-ameaca-desativar-seu-telefone-e-pede-caucao Date: 2026-10-31 Fake. The Federal Trade Commission does not call to say it will deactivate your phone number, does not transfer you to a police officer and does not ask for a "security deposit" to avoid arrest. On October 22, 2026, the agency published a consumer alert titled "The FTC is not calling to deactivate your phone number". How does the fake FTC call scam work? A caller claiming to be an FTC official says a phone registered in your name is being used for scams in another country and reads a fake badge ID. He threatens to deactivate your number if you don't cooperate. You are transferred to a fake police officer. If you hesitate, you may be told to look up a police number online; scammers answer that line too. The fake officer asks for your ID and personal information and tells you to keep it secret. Later you are told you're under arrest and must travel abroad unless you pay a security deposit. What the real FTC never does Ask you to send money, or connect you to anyone who does. Threaten to disconnect your phone. Tell you to keep conversations secret. Text you a photo of an employee ID to verify identity. How big are government imposter losses? The FTC said in June 2026 that people reported losing $3.5 billion to imposter scams in 2025. Government impersonation alone accounted for about $920 million, up from $789 million in 2024, and total reported fraud losses reached about $16 billion, according to the FTC. Why does this scam work? Several tricks stack up. Caller ID can be faked to look like a government agency. Scammers may use the names of real government employees and invent badge numbers. The threat of arrest and of losing your phone number creates fear and urgency, which leaves little room to check facts. And the demand for secrecy isolates the victim from friends or relatives who might spot the scam. The FTC adds a simple rule: anyone who tells you to move money quickly to protect it is a scammer. The pattern of a fake official who hands you to a fake police officer is also common outside the US, which is why it pays to learn the script rather than memorize a single agency name. I already shared my information. What now? Stop all contact and do not pay any "deposit". If you sent money, contact your bank or the payment service right away and ask to reverse it. If you shared ID details, report at ReportFraud.ftc.gov and watch your credit for new accounts. Warn relatives: scammers often call back with new threats. What to do Hang up. Don't send money or share personal information. Contact agencies only through a number or website you already know is real. Talk to someone you trust before acting on any call about crimes or the government. Report it at ReportFraud.ftc.gov. The same script is spreading in Brazil: see our fake police call story, plus government imposter scams, elder fraud in the US and the scam quiz. Sources: - FTC — The FTC is not calling to deactivate your phone number (22/10/2026): https://www.consumer.ftc.gov/consumer-alerts/2026/10/ftc-not-calling-deactivate-your-phone-number - FTC — FTC data show people reported losing $3.5 billion to imposter scams in 2025: https://ftc.gov/news-events/news/press-releases/2026/06/ftc-data-show-people-reported-losing-3-point-5-billion-imposter-scams-2025 - Popular Science — Scam alert: The government is not deleting your phone number: https://www.popsci.com/technology/ftc-phone-number-scam/ - The Money Overview — FTC warns callers posing as its own staff: https://themoneyoverview.com/the-ftc-warns-callers-posing-its-own-staff-threaten-deactivate/ --- ## Golpe da falsa FTC: ameaça desativar seu telefone e pede caução URL: https://cybertarget.live/pt/artigos/golpe-da-falsa-ftc-ameaca-desativar-seu-telefone-e-pede-caucao Date: 2026-10-31 Fake. A Comissão Federal de Comércio dos EUA (FTC) não liga para avisar que vai desativar seu número de telefone, nem transfere a ligação para um policial, nem cobra "caução" para evitar prisão. Em 22 de outubro de 2026, a própria agência publicou um alerta ao consumidor com o título "The FTC is not calling to deactivate your phone number", descrevendo um roteiro de golpe que mistura medo, falsa autoridade e pedido de segredo. O alerta interessa a quem mora nos EUA, mas também a brasileiros: o mesmo padrão de "falso agente que passa para um falso policial" vem sendo usado no Brasil, como mostramos no golpe do falso policial. Como funciona o golpe da falsa FTC? Segundo a FTC, a sequência costuma ser esta: A acusação. Alguém que diz ser funcionário da FTC afirma que um telefone registrado com seu nome e número está sendo usado em golpes em outro país. Para parecer real, lê um número de distintivo, que é falso. A ameaça. Se você não colaborar, seu número será desativado. O falso policial. A ligação é transferida para alguém que se passa por policial para "registrar uma ocorrência". Se você hesita, ele sugere que procure o telefone da delegacia na internet e ligue; quem atende também é golpista. A coleta de dados. O falso policial pede documento de identidade e dados pessoais e manda manter tudo em sigilo. A cobrança. Depois vem o golpe final: você estaria preso por crimes ligados ao número e teria de viajar a outro país, a menos que pague uma "caução" de segurança. Reportagem da Popular Science destaca que, no fim, a vítima entrega documentos de identidade e outros dados, e só depois recebe a segunda ligação com a ameaça de prisão. A FTC pode desativar seu número de telefone? Não da maneira descrita. A FTC listou o que seus funcionários nunca fazem: O golpistaA FTC de verdade Pede dinheiro, cripto, ouro ou "caução"Nunca pede dinheiro nem passa você para quem pede Ameaça desligar seu telefoneNunca ameaça desconectar seu número Exige segredoNunca pede para você não contar a ninguém Envia foto de crachá por mensagemNunca manda foto de identificação para "provar" quem é Quanto os americanos perdem com golpes de falso agente do governo? Muito. Em junho de 2026, a FTC informou que os consumidores relataram perdas de US$ 3,5 bilhões com golpes de impostores em 2025, a categoria de fraude mais denunciada, com quase uma em cada três queixas. Só os golpes de falso agente do governo somaram cerca de US$ 920 milhões, acima dos US$ 789 milhões de 2024. Os falsos representantes de empresas, principalmente de bancos, tiraram quase US$ 1 bilhão. No total, as perdas por fraude relatadas à FTC chegaram a cerca de US$ 16 bilhões em 2025, alta de aproximadamente 25%, segundo o comunicado da agência. Por que esse golpe engana? Identificador de chamadas falsificado: o número pode aparecer como de um órgão público. Nomes reais: golpistas usam nomes de servidores verdadeiros e números de distintivo inventados. Medo e pressa: ameaça de prisão e perda do telefone reduzem a capacidade de checar. Isolamento: o pedido de sigilo impede que a vítima consulte alguém de confiança. O que fazer / Como se proteger Desligue. Não envie dinheiro nem dados pessoais. Contate o órgão por um canal que você já sabe ser verdadeiro, e não pelo número ou link recebido. Converse com alguém de confiança antes de agir quando a ligação falar em crime, governo ou urgência. Quem manda transferir dinheiro "para protegê-lo" é golpista. Denuncie em ReportFraud.ftc.gov. No Brasil, registre boletim de ocorrência e avise seu banco. Já passei meus dados ao falso agente: e agora? Interrompa qualquer contato e não pague a "caução". Se enviou dinheiro, avise imediatamente o banco ou a empresa usada no pagamento e peça a reversão. Se entregou documentos, nos EUA registre o caso em ReportFraud.ftc.gov e acompanhe seu crédito; no Brasil, faça boletim de ocorrência e monitore contas abertas em seu nome. Conte a familiares: golpistas costumam voltar a ligar com novas ameaças. Veja também: golpe do falso agente do governo (IRS/SSA), golpes contra idosos nos EUA, o relatório 2025 do FBI IC3 e o quiz antigolpe. Sources: - FTC — The FTC is not calling to deactivate your phone number (22/10/2026): https://www.consumer.ftc.gov/consumer-alerts/2026/10/ftc-not-calling-deactivate-your-phone-number - FTC — FTC data show people reported losing $3.5 billion to imposter scams in 2025: https://ftc.gov/news-events/news/press-releases/2026/06/ftc-data-show-people-reported-losing-3-point-5-billion-imposter-scams-2025 - Popular Science — Scam alert: The government is not deleting your phone number: https://www.popsci.com/technology/ftc-phone-number-scam/ - The Money Overview — FTC warns callers posing as its own staff: https://themoneyoverview.com/the-ftc-warns-callers-posing-its-own-staff-threaten-deactivate/ --- ## Fake police call scam in Brazil: a video call to steal your face URL: https://cybertarget.live/en/artigos/golpe-do-falso-policial-ligacao-e-videochamada-para-roubar-seu-rosto Date: 2026-10-31 A caller says he is a police officer, claims you are part of an investigation, and then offers to settle everything over a video call. That script triggered recent warnings from police in southern Brazil. On October 28, 2026, Santa Catarina's Civil Police (Criciúma region) warned that criminals pose as officers from the criminal investigation unit, demand personal data and threaten to take people to a station, as reported by Rádio Fundação Marconi. A similar alert in Rio Grande do Sul, reported by A Plateia on October 21, described fake police staff who push a video call as an "alternative". How does the fake police scam work? The caller ID may show a police station name, which can be spoofed. The scammer quotes real personal data, usually from leaks, to sound credible. He creates fear: come to a distant station now or face legal trouble. He offers a video call instead and asks you to show your face, turn your head, speak and show documents. The recorded face and voice can later be used to try to beat facial recognition, open accounts or take over apps. What can criminals do with your face and voice? A warning from Campinas' municipal guard, reported by Bonde, lists opening accounts or loans in your name, cloning your voice to ask relatives for money, recovering passwords protected by face checks and deepfake extortion. Do police really call to ask for data? Santa Catarina's Civil Police said it does not request information by phone or message. Knowing your details does not prove someone is an official. The U.S. FTC warned on October 22 about a very similar script; see our fake FTC call story. The scammer saysThe reality "You are under investigation and must come now"Summonses follow formal channels and deadlines "We can settle this by video call"Police do not take statements over an unexpected video call "Call this number to confirm"Check only on your state Civil Police's official website "Don't tell anyone"A demand for secrecy is a classic scam sign Why is the video call the real target? Banks and apps in Brazil increasingly rely on facial checks to approve logins, password resets and new accounts. A few seconds of video in which the victim looks at the camera, turns the head and speaks can give criminals raw material to attempt those checks or to clone a voice. The damage may only appear weeks later, in an account or loan the victim never knew existed. That is why police advise refusing video calls from unknown callers altogether, rather than trying to judge whether the person on the other side looks official. What to do Hang up; refuse video calls from strangers; never share codes or passwords. Verify only through the official police website, never the number the caller gives. If you already joined a call: file a police report, alert your banks, check for accounts opened in your name and warn family that your voice may be misused. More: fake bank call center, AI voice cloning, synthetic identity fraud and our safety tips. Sources: - Rádio Fundação Marconi — Polícia Civil (SC) alerta para golpe de ligações falsas em nome de policiais: https://radiomarconi.net/policia-civil-alerta-para-golpe-de-ligacoes-falsas-em-nome-de-policiais/ - Jornal A Plateia — Polícia alerta para golpe com falsos servidores de delegacias: https://www.aplateia.com.br/2026/10/policia-alerta-para-golpe-em-que-criminosos-se-passam-por-servidores-de-delegacias/ - Bonde — Alerta: falso órgão público que solicita videochamada: https://www.bonde.com.br/bondenews/alerta-de-golpe-cuidado-com-o-falso-orgao-publico-que-solicita-videochamada - Polícia Civil de Santa Catarina: https://www.pc.sc.gov.br --- ## Golpe do falso policial: ligação e videochamada para roubar seu rosto URL: https://cybertarget.live/pt/artigos/golpe-do-falso-policial-ligacao-e-videochamada-para-roubar-seu-rosto Date: 2026-10-31 Um telefonema de alguém que se apresenta como policial, diz que você está envolvido numa investigação e, em seguida, propõe resolver tudo por videochamada. Esse roteiro motivou alertas recentes de polícias no Sul do país. Em 28 de outubro de 2026, a Polícia Civil de Santa Catarina, pela Regional de Criciúma, avisou que criminosos ligam se passando por policiais da Delegacia de Investigação Criminal (DIC), exigem dados pessoais e ameaçam levar a pessoa a uma delegacia se ela não colaborar, segundo a Rádio Fundação Marconi. Uma semana antes, em 21 de outubro, o Jornal A Plateia, do Rio Grande do Sul, relatou alerta semelhante sobre falsos servidores de delegacias que oferecem a videochamada como "alternativa". O objetivo final não é só arrancar dinheiro na hora. É capturar seu rosto e sua voz para usar depois em fraudes que dependem de biometria. Como funciona o golpe do falso policial? O contato. A pessoa recebe uma ligação de alguém que diz ser policial ou servidor de delegacia. O identificador de chamadas pode até mostrar o nome de uma delegacia, porque esse dado pode ser falsificado. A credibilidade. O golpista cita dados pessoais verdadeiros da vítima (nome, CPF, endereço), em geral obtidos de vazamentos, e diz que ela aparece numa investigação. O medo. Ele exige comparecimento urgente a uma delegacia distante ou ameaça com consequências legais. A "saída fácil". Como alternativa, oferece resolver por videochamada, pedindo que a vítima mostre o rosto, vire a cabeça, fale frases ou exiba documentos. O uso posterior. Imagens e voz gravadas podem ser usadas para tentar burlar reconhecimento facial, acessar aplicativos e contas ou abrir cadastros em nome da vítima. O que os criminosos fazem com seu rosto e sua voz? Um alerta da Guarda Municipal de Campinas (SP), noticiado pelo Bonde em julho de 2026, descreve os usos mais comuns desse material: Abrir contas ou pedir empréstimos em nome da vítima, tentando enganar a verificação facial com telas ou projeções em alta definição. Clonar a voz para ligar a parentes simulando uma emergência e pedir transferências urgentes. Recuperar senhas de redes sociais ou e-mail que usam reconhecimento facial. Extorsão com vídeos manipulados por deepfake. Ou seja, o prejuízo pode aparecer semanas depois, numa conta que você nem sabia que existia. Polícia liga para intimar ou pedir dados? Não da forma que o golpe descreve. A Polícia Civil de Santa Catarina afirmou que não pede informações por ligação telefônica ou mensagem. Órgãos públicos não intimam por telefone nem por redes sociais e não resolvem investigação por videochamada com quem ligou sem aviso. Conhecer seus dados pessoais também não prova que a pessoa é um agente público. O golpista dizA realidade "Você está sendo investigado e precisa vir agora"Intimações seguem canais formais e prazos "Podemos resolver por videochamada"Polícia não colhe depoimento por vídeo em ligação inesperada "Ligue para este número para confirmar"Confira só no site oficial da Polícia Civil do seu estado "Não conte a ninguém"Pedido de sigilo é sinal clássico de golpe Golpe parecido nos EUA O mesmo roteiro aparece fora do Brasil. Em 22 de outubro de 2026, a FTC, agência de defesa do consumidor dos EUA, alertou para ligações de falsos funcionários do órgão que transferem a vítima para um falso policial e pedem documentos e sigilo. Contamos a história em golpe da falsa FTC. O que fazer / Como se proteger Desligue. Não discuta nem confirme dados. Recuse videochamadas de quem você não conhece e não mostre rosto nem documentos. Nunca passe senhas ou códigos recebidos por SMS ou aplicativo. Confirme por conta própria no site oficial da Polícia Civil do seu estado (em SC, pc.sc.gov.br), nunca pelo número que o suposto policial passou. Avise a família, sobretudo idosos, que esse tipo de ligação é golpe. Já fiz a videochamada: e agora? Registre boletim de ocorrência e guarde número, horário e prints. Avise seus bancos e peça reforço de segurança nas contas e no reconhecimento facial. Consulte o Registrato do Banco Central para ver se abriram contas ou empréstimos em seu nome. Cadastre-se no aviso de uso do CPF de birôs de crédito e acompanhe seu e-mail e redes sociais. Alerte parentes de que sua voz pode ser usada em pedidos falsos de dinheiro. Leia também: golpe da falsa central, golpe do falso advogado, voz clonada por IA, identidade sintética e nossas dicas de proteção. Sources: - Rádio Fundação Marconi — Polícia Civil (SC) alerta para golpe de ligações falsas em nome de policiais: https://radiomarconi.net/policia-civil-alerta-para-golpe-de-ligacoes-falsas-em-nome-de-policiais/ - Jornal A Plateia — Polícia alerta para golpe com falsos servidores de delegacias: https://www.aplateia.com.br/2026/10/policia-alerta-para-golpe-em-que-criminosos-se-passam-por-servidores-de-delegacias/ - Bonde — Alerta: falso órgão público que solicita videochamada: https://www.bonde.com.br/bondenews/alerta-de-golpe-cuidado-com-o-falso-orgao-publico-que-solicita-videochamada - Polícia Civil de Santa Catarina: https://www.pc.sc.gov.br --- ## Fake charity deepfakes in Brazil: inside Operation Cáritas URL: https://cybertarget.live/en/artigos/vaquinha-falsa-com-deepfake-o-que-se-sabe-da-operacao-caritas Date: 2026-10-31 On Wednesday, October 28, 2026, the Federal District Civil Police in Brazil (PCDF) launched Operation Cáritas against a group suspected of running fake online charity drives boosted by AI-generated videos that imitated well-known people. Police say the campaigns moved about R$10 million, mostly through small donations of R$30 and R$50, according to Metrópoles. What happened? A court issued six preventive arrest warrants; five suspects were arrested in the Federal District, Goiás, Minas Gerais and Santa Catarina, with actions also in São Paulo, per Jornal de Brasília. Police seized luxury cars, identified crypto assets worth about US$400,000 and froze assets. Suspects may face charges of electronic fraud, criminal organization and money laundering. Names were not released, and all are presumed innocent. Who was impersonated? The deepfakes used the likeness of singer Gusttavo Lima and Catholic priests Marcelo Rossi and Fábio de Melo. Police stressed they are victims of image misuse and had no role in the scheme. How did the fake charity scam work? Pages copied the look of real charities and showed children, elderly and seriously ill people. Deepfake videos of celebrities lent credibility. Donors were sent to payment links and accounts controlled by the group. Small amounts kept victims from complaining: one linked company received 215,575 transactions totaling R$9.84 million between Oct. 13 and Nov. 26, 2025. Shell companies and crypto were used to move the money. Police also found more than 230 GB of fraud-related files and linked 66 police reports in the Federal District to companies that received money from other online frauds, such as fake purchases, fake payment slips and fictitious investments. Why do small-donation scams work so well? The low amount is deliberate. Someone who loses R$30 often never files a report, never disputes the payment and may not even realize they were deceived. For criminals, thousands of tiny transfers add up to millions with little risk of complaints. The PCDF itself says it is not possible to tie the total to an exact number of victims. Add a deepfake and the effect multiplies: when a familiar face asks for help, people tend to trust first and check later. SignalReal campaignFake drive Payment recipientCharity or beneficiary nameUnrelated company or person Celebrity videoAlso on the celebrity's official profilesOnly in ads and new profiles AccountabilityReports, registration number, official siteNone, or vague text UrgencyReasonable deadline"Today only", "last chance" How can you donate safely? Check the recipient name before confirming any payment; if it has nothing to do with the cause, stop. Look for the video on the celebrity's official account. Give through a charity website you type in yourself, not through ad links. Be wary of urgency and of faces or voices that look slightly off. What if you already donated? Save the receipt, the page address and screenshots, contact your bank right away and file a police report. See our guides on fake charity scams, AI voice cloning, phishing and deepfake data and the incident radar. Sources: - Metrópoles — PCDF prende grupo que usava deepfake de Gusttavo Lima: https://www.metropoles.com/distrito-federal/na-mira/pcdf-prende-grupo-que-usava-deepfake-de-gusttavo-lima-em-golpe-milionario - Jornal de Brasília — PCDF prende suspeitos de arrecadar quase R$ 10 milhões: https://jornaldebrasilia.com.br/brasilia/pcdf-prende-suspeitos-de-arrecadar-quase-r-10-milhoes-com-falsas-campanhas-de-doacao/ - SouBrasília — Vaquinha falsa com deepfake: PCDF prende 5: https://soubrasilia.com/golpe-vaquinha-falsa-pix-deepfake-pcdf-operacao-caritas-como-evitar/ - Tribuna de Minas — Criminosos usavam rostos e vozes de famosos criados por IA: https://tribunademinas.com.br/maistendencias/criminosos-usavam-rostos-e-vozes-de-famosos-criados-por-ia-para-convencer-vitimas-a-doar-dinheiro-investigacao-aponta-golpe-de-r-10-milhoes --- ## Vaquinha falsa com deepfake: o que se sabe da Operação Cáritas URL: https://cybertarget.live/pt/artigos/vaquinha-falsa-com-deepfake-o-que-se-sabe-da-operacao-caritas Date: 2026-10-31 Na quarta-feira, 28 de outubro de 2026, a Polícia Civil do Distrito Federal (PCDF) deflagrou a Operação Cáritas contra um grupo suspeito de criar campanhas de doação falsas na internet, turbinadas por vídeos feitos com inteligência artificial que imitavam o rosto e a voz de pessoas conhecidas. Segundo a polícia, as campanhas movimentaram cerca de R$ 10 milhões, quase sempre em doações pequenas, de R$ 30 e R$ 50. A investigação é conduzida pela 16ª Delegacia de Polícia, em Planaltina, de acordo com o Metrópoles. Este é um caso típico do que chamamos de golpe de falsa doação: ele explora a solidariedade, não a ganância. E mostra como o deepfake deixou de ser curiosidade para virar ferramenta de escala. O que aconteceu na Operação Cáritas? A Justiça expediu seis mandados de prisão preventiva. Cinco suspeitos foram presos no dia da operação: dois em Planaltina (DF), um em Planaltina de Goiás (GO), um em Uberlândia (MG) e um em Joinville (SC). As ações também ocorreram em São Paulo, e a polícia seguia buscando outros alvos, segundo o Jornal de Brasília. Foram apreendidos carros de luxo e identificados criptoativos estimados em cerca de US$ 400 mil (aproximadamente R$ 2,14 milhões), além do bloqueio de bens para tentar reparar as vítimas. Os investigados podem responder por estelionato eletrônico, organização criminosa e lavagem de dinheiro. A PCDF não divulgou os nomes dos presos. Como em qualquer investigação, todos são presumidos inocentes até decisão judicial definitiva. Quem foi imitado nos vídeos falsos? Segundo as reportagens, os vídeos manipulados usavam a imagem do cantor Gusttavo Lima e dos padres Marcelo Rossi e Fábio de Melo; algumas publicações também usavam imagens religiosas, inclusive de Jesus Cristo. A polícia deixou claro que essas pessoas aparecem apenas como vítimas do uso indevido de imagem, sem participação no esquema, como relatou o SouBrasília. Como funcionava o golpe da vaquinha falsa? Pelo que a polícia descreveu, o esquema tinha etapas bem definidas e divisão de tarefas: Páginas que imitavam campanhas reais. O grupo criava sites e perfis parecidos com os de instituições beneficentes legítimas. Apelo emocional. As postagens usavam fotos de crianças, idosos e pessoas com doenças graves como supostos beneficiários. Credibilidade emprestada por IA. Vídeos deepfake mostravam famosos pedindo ajuda, o que reduzia a desconfiança. Link de pagamento. Quem decidia doar era levado a links e contas controlados pelo grupo. Valores baixos, volume alto. Doações de R$ 30 ou R$ 50 raramente geram reclamação. Uma única empresa ligada ao grupo recebeu 215.575 transações, que somaram R$ 9.839.087,73 entre 13 de outubro e 26 de novembro de 2025. Empresas de fachada e cripto. Parte do grupo abria empresas para receber e dispersar o dinheiro, etapa típica de lavagem. A polícia também encontrou mais de 230 GB de arquivos ligados às fraudes e cruzou 66 boletins de ocorrência no DF envolvendo empresas que receberam dinheiro de outras fraudes eletrônicas, como compras falsas, boletos e investimentos fictícios. Por que golpes com doações pequenas funcionam tão bem? O valor baixo é uma escolha. Quem perde R$ 30 muitas vezes não registra ocorrência, não contesta o Pix e nem percebe que foi enganado. Para o criminoso, milhares de pequenas transferências somam milhões com pouco risco de denúncia. A própria PCDF afirma que não é possível associar o total a um número exato de vítimas. Some-se a isso o deepfake: quando um rosto conhecido pede ajuda, a pessoa tende a confiar antes de verificar. SinalCampanha legítimaVaquinha falsa Quem recebe o PixNome da instituição ou do beneficiárioEmpresa ou pessoa sem relação com a causa Vídeo de famosoAparece também nos perfis oficiais deleSó circula em anúncios e perfis novos Prestação de contasRelatórios, CNPJ, site oficialNenhuma, ou só textos genéricos UrgênciaPrazo razoável"Só hoje", "última chance" Como doar com segurança? Confira o nome do recebedor antes de confirmar o Pix. Se o nome não tiver relação com a campanha, cancele. Procure o vídeo no perfil oficial do famoso. Se ele não publicou, desconfie. Doe por canais que você mesmo digitou, como o site oficial da instituição, e não por links de anúncios. Pesquise o CNPJ da entidade e há quanto tempo ela existe. Desconfie de rostos e vozes perfeitos demais, de lábios fora de sincronia e de pedidos com urgência. Doei para uma vaquinha falsa: o que fazer agora? Guarde o comprovante do Pix, o endereço da página e capturas de tela. Fale com seu banco e peça a contestação pelo Mecanismo Especial de Devolução (MED) o quanto antes. Registre boletim de ocorrência; no DF e em vários estados é possível fazer pela internet. Denuncie o anúncio e o perfil na rede social onde você o viu. Veja também nosso guia sobre golpe de falsa doação, o perfil do golpe da voz clonada por IA, os números de phishing e deepfakes, por que o MED devolve pouco e o radar de incidentes. Sources: - Metrópoles — PCDF prende grupo que usava deepfake de Gusttavo Lima: https://www.metropoles.com/distrito-federal/na-mira/pcdf-prende-grupo-que-usava-deepfake-de-gusttavo-lima-em-golpe-milionario - Jornal de Brasília — PCDF prende suspeitos de arrecadar quase R$ 10 milhões: https://jornaldebrasilia.com.br/brasilia/pcdf-prende-suspeitos-de-arrecadar-quase-r-10-milhoes-com-falsas-campanhas-de-doacao/ - SouBrasília — Vaquinha falsa com deepfake: PCDF prende 5: https://soubrasilia.com/golpe-vaquinha-falsa-pix-deepfake-pcdf-operacao-caritas-como-evitar/ - Tribuna de Minas — Criminosos usavam rostos e vozes de famosos criados por IA: https://tribunademinas.com.br/maistendencias/criminosos-usavam-rostos-e-vozes-de-famosos-criados-por-ia-para-convencer-vitimas-a-doar-dinheiro-investigacao-aponta-golpe-de-r-10-milhoes --- ## El Buen Fin 2026 scams: fake stores and WhatsApp prizes in Mexico URL: https://cybertarget.live/en/artigos/el-buen-fin-2026-lojas-falsas-e-premios-no-whatsapp-no-mexico Date: 2026-10-31 El Buen Fin, Mexico's biggest discount season, runs from November 13 to 17, 2026, five straight days for the first time, according to Infobae. Like Black Friday in the US, it draws scammers. What have authorities warned about? On October 30, Mexico City's Government Secretariat (SEGOB CDMX) warned of WhatsApp messages from +52 55 2501 2434 promising a 200,000-peso prize and two phones in its name. It's fake; the aim is to get victims to reply and hand over personal or banking data, per adn40. Common El Buen Fin scams Cloned online stores that copy real brands, take payment and ship nothing. Phishing texts and emails imitating banks or retailers. Fake delivery notices about packages held at customs. Fake prizes using the name of a government agency or store. Payments over public Wi-Fi that can be intercepted. How big is digital fraud in Mexico? In the first half of 2025, financial regulator Condusef logged 2.484 million fraud complaints, up 5.2% year on year, with digital fraud above 60%. Users claimed 10.714 billion pesos and got back 2.556 billion, about a quarter, per Condusef data reported by Vanguardia. How to shop safely Use consumer agency Profeco's free store-monitoring and price-comparison tools at elbuenfin.profeco.gob.mx, which help but do not guarantee a store is legitimate. Type store addresses yourself; HTTPS and a padlock alone prove nothing. Use virtual cards with dynamic codes, turn on real-time alerts and avoid transfers to unknown sellers. Never share passwords, PINs or verification codes. If scammed: call your bank, then Condusef or Profeco; for foreign sellers use econsumer.gov. Related: fake online stores, delivery smishing, Latin America attack trends and our tips. Sources: - Infobae — El Buen Fin 2026: fechas oficiales y guía para evitar estafas: https://www.infobae.com/mexico/2026/10/13/el-buen-fin-2026-fechas-oficiales-duracion-ampliada-y-la-guia-completa-para-evitar-estafas-y-ciberfraudes/ - adn40 — Alerta SEGOB CDMX: mensaje de WhatsApp que promete 200 mil pesos: https://www.adn40.mx/seguridad/2026-10-30/no-caigas-asi-es-el-mensaje-de-whatsapp-que-promete-200-mil-pesos-y-busca-estafarte/ - Diario de Yucatán — El Buen Fin: medidas para evitar fraudes (Profeco y Condusef): https://www.yucatan.com.mx/merida/2026/10/28/el-buen-fin-medidas-para-evitar-fraudes.html - La Verdad Noticias — Buen Fin 2026: Profeco te ayuda a evitar fraudes: https://laverdadnoticias.com/dinero-inteligente/buen-fin-2026-profeco-internet - Vanguardia — Más de 2.4 millones de fraudes bancarios en México en 2025 (datos Condusef): https://vanguardia.com.mx/noticias/mexico/crece-la-estafa-digital-mas-de-24-millones-de-fraudes-bancarios-en-mexico-durante-2025-MK17956794 --- ## El Buen Fin 2026: lojas falsas e prêmios no WhatsApp no México URL: https://cybertarget.live/pt/artigos/el-buen-fin-2026-lojas-falsas-e-premios-no-whatsapp-no-mexico Date: 2026-10-31 O El Buen Fin, a maior temporada de descontos do México, vai de 13 a 17 de novembro de 2026. Pela primeira vez são cinco dias seguidos, em vez de um fim de semana, segundo o Infobae. É a 16ª edição do programa, informou o Diario de Yucatán. Como acontece com a Black Friday no Brasil e nos EUA, a data atrai golpistas, e os alertas já começaram. Que alertas as autoridades mexicanas emitiram? Em 30 de outubro, a Secretaria de Governo da Cidade do México (SEGOB CDMX) avisou sobre mensagens de WhatsApp enviadas do número +52 55 2501 2434 que prometem um prêmio de 200 mil pesos e dois celulares em nome do órgão. A oferta é falsa: a secretaria não envia prêmios por esse número, e o objetivo é fazer a vítima responder para obter dados pessoais ou bancários, segundo a adn40. Como funcionam os golpes do El Buen Fin? GolpeComo funcionaSinal de alerta Loja virtual clonadaCopia fotos e logotipo de marcas reais, cobra e não entregaPreço muito abaixo do mercado, domínio estranho Phishing por SMS, e-mail ou redesImita banco ou loja para roubar senha e cartãoLink encurtado, urgência, pedido de código Falsa notificação de entregaDiz que o pacote está retido na alfândega ou com endereço erradoCobrança de "taxa" por link Falso prêmio ou promoçãoUsa nome e imagem de órgão público ou lojaPede dados ou depósito para liberar o prêmio Wi-Fi públicoRede aberta permite interceptar senhas e dados do cartãoPagar em rede de shopping ou aeroporto A descrição dos golpes segue as orientações reunidas pelo Infobae e pela La Verdad Noticias, com base na Profeco e na Condusef. Qual o tamanho da fraude digital no México? Grande. No primeiro semestre de 2025, a Condusef registrou 2,484 milhões de reclamações por fraude, alta de 5,2% sobre o mesmo período de 2024; a fraude digital respondeu por mais de 60% delas. Os usuários reclamaram 10,714 bilhões de pesos e receberam de volta 2,556 bilhões, cerca de um quarto, segundo dados da Condusef publicados pela Vanguardia. A baixa devolução lembra o que ocorre com o Pix no Brasil, como mostramos em golpe do Pix em números. Como saber se uma loja online é confiável? Use as ferramentas gratuitas da Profeco em elbuenfin.profeco.gob.mx: o Monitoramento de Lojas Virtuais, que mostra se a loja informa preços, formas de pagamento, devoluções e prazos, e o "Quién es Quién en los Precios", para comparar preços. Elas ajudam, mas não garantem que a loja seja honesta. Digite o endereço da loja em vez de clicar em anúncios ou mensagens. HTTPS e cadeado não bastam: sites falsos também os têm. Verifique endereço, contato e políticas de troca. Leia avaliações de outros consumidores e desconfie de descontos bons demais. O que fazer / Como se proteger Prefira cartão digital com código dinâmico e não salve os dados do cartão nas lojas. Ative alertas em tempo real do banco e a autenticação em dois fatores. Evite transferências e depósitos para vendedores desconhecidos. Nunca passe senhas, NIP ou códigos de verificação por ligação ou mensagem. Guarde prints, confirmações e números de pedido. Recebeu prêmio inesperado no WhatsApp? Não responda, bloqueie e denuncie o número. Caí no golpe: onde denunciar no México? Avise o banco imediatamente, peça o bloqueio do cartão e conteste o cargo. Se o banco não resolver, procure a Condusef. Para problemas com a loja, como produto não entregue, recorra à Profeco, que oferece conciliação. Para crimes digitais, procure a polícia cibernética do seu estado; na capital, a Unidade de Polícia Cibernética da SSC CDMX. Compras em lojas estrangeiras podem ser denunciadas em econsumer.gov. Leia também: golpe da falsa loja virtual, SMS falso de entrega, América Latina e os ciberataques e nossas dicas. Sources: - Infobae — El Buen Fin 2026: fechas oficiales y guía para evitar estafas: https://www.infobae.com/mexico/2026/10/13/el-buen-fin-2026-fechas-oficiales-duracion-ampliada-y-la-guia-completa-para-evitar-estafas-y-ciberfraudes/ - adn40 — Alerta SEGOB CDMX: mensaje de WhatsApp que promete 200 mil pesos: https://www.adn40.mx/seguridad/2026-10-30/no-caigas-asi-es-el-mensaje-de-whatsapp-que-promete-200-mil-pesos-y-busca-estafarte/ - Diario de Yucatán — El Buen Fin: medidas para evitar fraudes (Profeco y Condusef): https://www.yucatan.com.mx/merida/2026/10/28/el-buen-fin-medidas-para-evitar-fraudes.html - La Verdad Noticias — Buen Fin 2026: Profeco te ayuda a evitar fraudes: https://laverdadnoticias.com/dinero-inteligente/buen-fin-2026-profeco-internet - Vanguardia — Más de 2.4 millones de fraudes bancarios en México en 2025 (datos Condusef): https://vanguardia.com.mx/noticias/mexico/crece-la-estafa-digital-mas-de-24-millones-de-fraudes-bancarios-en-mexico-durante-2025-MK17956794 --- ## 2026 midterm election scams: the FBI warning on donations and AI URL: https://cybertarget.live/en/artigos/golpes-nas-eleicoes-dos-eua-2026-o-alerta-do-fbi-sobre-doacoes-e-ia Date: 2026-10-31 Americans vote on Tuesday, November 3, 2026, with all 435 House seats and 35 Senate seats on the ballot, per Sinclair's Fact Check Team. On October 15 the FBI issued PSA I-101526-3 warning that scammers are exploiting the midterms with several fraud schemes, increasingly aided by AI. Local outlets such as WDIV Detroit amplified the warning on October 30. Which election scams is the FBI warning about? Campaign investment pools: guaranteed returns if a candidate wins, plus pressure to recruit others. ScamPACs: fake political action or campaign committees that keep the donations. Online purchases: political merchandise that never ships. Voter registration: a text or email says you aren't registered and links to a fake state page that harvests personal data. How is AI being used? The FBI says criminals use AI to create highly realistic voices, images and messages impersonating candidates, campaigns, government entities and trusted contacts, which makes the schemes harder to spot. Are campaign donations an investment? No. The FBI stresses donations are contributions: they don't grow in value and aren't refunded. Any promised return is a red flag. How to protect yourself Verify PACs and committees and their filings on FEC.gov; heavy fundraising or consulting costs can be a warning sign. Check your registration at vote.gov, not via a link in a message. Donate only through channels you looked up yourself. Research sellers before buying merchandise. Report scams to your local FBI field office or IC3 with contact details, transaction data and a description of what happened. Related: fake charity deepfakes in Brazil, phishing and deepfakes by the numbers, investment and pyramid scams and the radar. Sources: - FBI IC3 — PSA I-101526-3: Scammers Exploit 2026 U.S. Midterm Election: https://www.ic3.gov/PSA/2026/PSA261015-3 - WDIV ClickOnDetroit — FBI warning voters about election-related scams: https://clickondetroit.com/news/local/2026/10/30/fbi-warning-voters-about-election-related-scams - Help Net Security — FBI warns of midterm election scams: https://www.helpnetsecurity.com/?p=388183 - Sinclair Fact Check Team — 435 House seats and 35 Senate races: https://newschannel9.com/news/nation-world/fact-check-team-435-house-seats-and-35-senate-races-hit-the-ballot-in-november-election-day-congress-candidates-voters --- ## Golpes nas eleições dos EUA 2026: o alerta do FBI sobre doações e IA URL: https://cybertarget.live/pt/artigos/golpes-nas-eleicoes-dos-eua-2026-o-alerta-do-fbi-sobre-doacoes-e-ia Date: 2026-10-31 Os Estados Unidos vão às urnas na terça-feira, 3 de novembro de 2026, para as eleições de meio de mandato: estão em disputa as 435 cadeiras da Câmara e 35 do Senado, segundo o Fact Check Team da Sinclair. E onde há paixão política, há golpista. Em 15 de outubro, o FBI publicou o alerta I-101526-3-PSA, avisando que criminosos estão explorando a eleição para aplicar vários tipos de fraude, com ajuda de inteligência artificial. No dia 30, o alerta voltou a circular em emissoras locais, como a WDIV, de Detroit. O alerta atualiza um aviso que o FBI já tinha emitido antes da eleição geral de 2024, de acordo com a Help Net Security. Quais são os golpes eleitorais citados pelo FBI? GolpeComo funcionaO que o criminoso quer "Fundo de investimento" de campanhaPromete retorno garantido se o candidato vencer e incentiva a vítima a recrutar outras pessoasDinheiro, em estrutura parecida com pirâmide Falso PAC ("ScamPAC")Imita um comitê de ação política ou de campanha; o golpista não tem vínculo com eleDoações que nunca chegam à campanha Compra onlineVende bonés, camisetas e brindes políticos que nunca são entreguesPagamento e dados do cartão Cadastro eleitoral falsoSMS ou e-mail diz que você não está registrado e leva a uma página estadual falsaDados pessoais para roubo de identidade Como a IA entra nesses golpes? Segundo o FBI, os criminosos usam ferramentas de IA para criar vozes, imagens e textos muito realistas que imitam candidatos, campanhas, órgãos de governo e contatos de confiança. Na avaliação do órgão, esse realismo torna os esquemas mais difíceis de detectar e aumenta o risco de perda financeira ou exposição de dados. Na prática, isso pode ser uma ligação com a "voz" de um candidato pedindo doação urgente, ou um vídeo manipulado convidando a investir num fundo da campanha. Doação de campanha rende dinheiro? Não. O FBI é direto: doação de campanha é contribuição, não investimento. Ela não se valoriza e não é devolvida. Qualquer oferta de "retorno garantido" se um candidato ganhar é sinal de golpe, e o pedido para recrutar amigos lembra a lógica de pirâmide financeira. Como saber se um PAC ou comitê é verdadeiro? O FBI recomenda conferir o registro e os relatórios financeiros do comitê no site da Comissão Eleitoral Federal (FEC). Mesmo comitês registrados podem ser suspeitos se gastarem muito com captação, consultoria ou despesas administrativas. Também vale checar se o telefone, o site ou o e-mail de quem fez contato batem com os da organização que diz representar. O que fazer / Como se proteger Desconfie de ligações, SMS, e-mails e pesquisas não solicitados e não clique em links desconhecidos. Doe só por canais que você mesmo encontrou, como o site oficial da campanha. Verifique seu registro eleitoral em vote.gov, e não pelo link da mensagem. Pesquise a loja e reclamações antes de comprar produtos políticos. Diante de áudio ou vídeo de candidato pedindo dinheiro com urgência, procure a mesma mensagem nos perfis oficiais. Caí no golpe: como denunciar? O FBI pede que golpes ligados à eleição sejam denunciados ao escritório local do FBI ou ao IC3, com o máximo de detalhes: nome de quem fez contato, telefones, e-mails e sites, dados da transação e forma de pagamento, e uma descrição de como a conversa começou e do que foi pedido. Se você pagou com cartão, avise o emissor e conteste a compra. E no Brasil? Os golpes que usam política seguem o mesmo manual: urgência, emoção e imitação de figuras conhecidas. No Brasil, a Operação Cáritas investigou vaquinhas falsas com deepfakes de famosos. Veja também phishing e deepfakes em números, o golpe da voz clonada e o radar. Sources: - FBI IC3 — PSA I-101526-3: Scammers Exploit 2026 U.S. Midterm Election: https://www.ic3.gov/PSA/2026/PSA261015-3 - WDIV ClickOnDetroit — FBI warning voters about election-related scams: https://clickondetroit.com/news/local/2026/10/30/fbi-warning-voters-about-election-related-scams - Help Net Security — FBI warns of midterm election scams: https://www.helpnetsecurity.com/?p=388183 - Sinclair Fact Check Team — 435 House seats and 35 Senate races: https://newschannel9.com/news/nation-world/fact-check-team-435-house-seats-and-35-senate-races-hit-the-ballot-in-november-election-day-congress-candidates-voters --- ## Data leaked in Brazil? What to do, step by step, under the LGPD URL: https://cybertarget.live/en/artigos/vazamento-de-dados-o-que-fazer-se-seus-dados-vazaram Date: 2026-10-31 If you learn your personal data was exposed in Brazil, the leak itself is rarely the main danger. What follows is: sharper scams, account takeover, and accounts, phone lines or loans opened in your name. This guide sums up the steps recommended by CERT.br, what the company must do under the LGPD, and how to complain to the ANPD. What must the company tell me? Under ANPD Resolution No. 15 of April 24, 2024, controllers must notify the ANPD and affected people within three business days of learning that personal data was affected, when the incident may significantly harm data subjects and involves financial, authentication or sensitive data, data of children or older adults, data under legal secrecy, or large-scale processing, according to Mayer Brown. The notice must describe the data, risks, measures taken and a contact, including the DPO. Not every incident must be reported, but controllers must keep a record of all security incidents for at least five years, including those they did not notify. Small-scale processing agents follow differentiated rules. Why do scams rise after a leak? With a name, CPF (taxpayer ID), phone number and even purchase history, fraudsters can build a credible pitch: the "bank call center" that knows your address, the "store" citing your last order, the "relative" with a new number. CERT.br advises not clicking links in emails or texts, however convincing, confirming the recipient before any transfer, and reporting fake profiles in your name while warning your contacts. What should I do right away? StepAction (per CERT.br) 1Confirm the leak through official channels only 2Change exposed or reused passwords 3Turn on two-step verification 4Tell your bank if card or account data leaked; block cards 5Check the Central Bank's Registrato (accounts, loans, Pix keys) and the prepaid-line registry under your CPF 6File a police report if you lost money, are extorted or impersonated CERT.br also warns against buying leaked data or using sites that claim to "check" leaks, which are often traps. How can I check whether someone used my CPF? CERT.br recommends periodic checks: the Banco Central's Registrato, which lists bank accounts, loans and Pix keys tied to your CPF; the prepaid mobile registry (Cadastro Pré-Pago), which shows lines activated in your name; and your credit score, since a sudden drop may signal identity theft. Turn on transaction alerts for accounts and cards in your banking app, and review access logs for email, social media and banking, reporting any login you do not recognize. How do I complain to the ANPD? First send a formal request to the company and keep the protocol. If it is not met, petition the ANPD under LGPD art. 55-J, V, with proof of that request, via SEI or the gov.br LGPD service. The ANPD says it usually reviews petitions in aggregate and may not act on each case, but complaints shape its inspection priorities. What to do: stay alert to links and calls that cite your real data, enable passkeys, and monitor your CPF regularly. More: Brazil regulation, incident radar, what the ANPD enforces, Brazil’s biggest data breaches. Sources: - CERT.br — Fascículo Vazamento de Dados: https://cartilha.cert.br/guardiao/fasciculo-vazamento-de-dados-egc.pdf - ANPD — Fluxo da petição do titular: https://www.gov.br/anpd/pt-br/fluxo-da-peticao-do-titular - gov.br — Requerimento relacionado à LGPD: https://www.gov.br/pt-br/servicos/abrir-requerimento-relacionado-a-lgpd - Mayer Brown — Resolução CD/ANPD nº 15: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation --- ## Vazamento de dados: o que fazer se seus dados vazaram URL: https://cybertarget.live/pt/artigos/vazamento-de-dados-o-que-fazer-se-seus-dados-vazaram Date: 2026-10-31 Recebeu um aviso de que seus dados vazaram, ou viu seu nome numa lista de um incidente? O risco real raramente é o vazamento em si, e sim o que vem depois: golpes mais convincentes, tomada de contas e abertura de contas, linhas ou empréstimos em seu nome. Este guia reúne o passo a passo recomendado pelo CERT.br, os prazos que a empresa responsável precisa cumprir pela LGPD e como reclamar na ANPD se nada for resolvido. Como saber se meus dados vazaram de verdade? Comece confirmando o incidente por canais oficiais: o site, o aplicativo ou o atendimento da empresa, nunca o link de uma mensagem recebida. O CERT.br recomenda descobrir quais dados foram expostos, quando o incidente aconteceu e que medidas a organização adotou, e seguir as orientações que ela der. Ele também alerta para não comprar dados vazados nem usar sites ou arquivos que prometem "consultar" ou exibir vazamentos: muitos são armadilhas para roubar mais dados ou instalar programas maliciosos. Desde 2024, a empresa tem obrigação de avisar. Pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, o controlador deve comunicar a ANPD e os titulares afetados em três dias úteis a partir do momento em que sabe que o incidente atingiu dados pessoais, quando houver risco ou dano relevante, segundo análise do escritório Mayer Brown. O aviso deve descrever os dados afetados, os riscos, as medidas tomadas e um contato, inclusive do encarregado (DPO), e de preferência sugerir o que você pode fazer para se proteger. Quais vazamentos a empresa é obrigada a comunicar? Nem todo incidente gera aviso. A regra vale quando o caso pode afetar significativamente os direitos dos titulares e envolve pelo menos um destes elementos, de acordo com o resumo da Resolução nº 15: Tipo de dado ou situaçãoExemploRisco mais comum depois do vazamento Dados financeiroscartão, conta, rendacompras indevidas, golpe da falsa central Dados de autenticaçãologin, senha, tokentomada de conta (e-mail, banco, redes sociais) Dados sensíveissaúde, biometriaextorsão, fraude de identidade Dados de crianças, adolescentes ou idososcadastros escolares, benefíciosgolpes direcionados a famílias e aposentados Dados sob sigilo legal, judicial ou profissionalprocessos, prontuárioschantagem, engenharia social Tratamento em larga escalabases com milhões de registroscampanhas massivas de phishing Mesmo quando não precisa avisar, a empresa deve registrar todos os incidentes e guardar esse registro por pelo menos cinco anos. Agentes de pequeno porte têm regras diferenciadas. O que fazer primeiro: senhas, contas e bancos As recomendações do CERT.br seguem uma ordem prática: Troque as senhas expostas em todos os serviços em que você as usava, e não repita senhas. Se perdeu o acesso a uma conta, use o procedimento oficial de recuperação da plataforma. Ative a verificação em duas etapas nas contas que ainda não têm. Chaves de acesso (passkeys) e aplicativos autenticadores resistem melhor a golpes do que o código por SMS; veja nosso guia sobre passkeys e MFA. Revise o histórico de acessos de e-mail, redes sociais e bancos, e denuncie entradas que você não reconhece. Avise seu banco se dados bancários ou de cartão foram expostos: confira extratos, conteste cobranças irregulares pelos canais oficiais e bloqueie ou troque os cartões. Como verificar se abriram contas ou linhas no meu CPF? O CERT.br indica três checagens periódicas: Registrato, do Banco Central: mostra contas, empréstimos e chaves Pix ligados ao seu CPF. Uma conta ou dívida que você não reconhece é sinal de fraude de identidade. Cadastro Pré-Pago: permite ver se alguma linha de celular pré-paga foi habilitada com o seu CPF, o que pode ser usado para golpes e para receber códigos em seu nome. Score de crédito: uma queda repentina pode indicar que alguém está usando sua identidade. Ative também alertas de movimentação de contas e cartões no aplicativo do banco. Por que os golpes aumentam depois de um vazamento? Com nome, CPF, telefone e até o histórico de compras em mãos, o golpista consegue montar uma abordagem crível: a "central do banco" que sabe seu endereço, a "loja" que cita seu último pedido, o "parente" com número novo. O CERT.br orienta a não clicar em links de e-mails ou SMS, mesmo convincentes, a confirmar os dados de quem recebe antes de qualquer transferência e a denunciar perfis falsos em seu nome, avisando seus contatos. Entenda os roteiros mais comuns em golpe da falsa central e do motoboy e golpes no WhatsApp. Quando registrar boletim de ocorrência? Registre BO se alguém estiver se passando por você, se houve prejuízo financeiro ou se você estiver sendo extorquido. O documento costuma ser exigido para contestar fraudes e acionar seguros, segundo o CERT.br. A ANPD também orienta procurar a autoridade policial em caso de suspeita de fraude. Como reclamar na ANPD se a empresa não responder? A ANPD só aceita a petição de titular depois que você tentou resolver com a empresa. O fluxo descrito pela própria autoridade é: Faça um pedido formal ao controlador (a empresa ou órgão que trata seus dados) e guarde protocolo, mensagens e e-mails. Se o pedido não for atendido, peticione na ANPD com base no art. 55-J, V, da LGPD, anexando a prova do pedido anterior, sua identificação e a identificação da empresa. O envio é eletrônico, pelo SEI, ou pelo serviço do gov.br para requerimentos relacionados à LGPD. Ajuste a expectativa: a ANPD informa que costuma analisar as petições de forma agregada e pode não intervir em cada caso individual, mas as reclamações orientam quais temas ela escolhe fiscalizar. Para ligações indesejadas de telemarketing de operadoras e instituições financeiras, a autoridade indica o cadastro no Não Me Perturbe. Saiba mais sobre a atuação do órgão em LGPD na prática: o que a ANPD fiscaliza e no painel de regulação do Brasil. O que fazer / Como se proteger — resumo Confirme o vazamento só por canais oficiais da empresa. Troque senhas repetidas e ative verificação em duas etapas. Avise o banco se dados financeiros vazaram; bloqueie cartões. Consulte Registrato, Cadastro Pré-Pago e seu score de crédito. Redobre a atenção com links, ligações e pedidos de Pix. Registre BO se houver prejuízo, extorsão ou uso da sua identidade. Peça explicações à empresa; sem resposta, peticione na ANPD. Acompanhe os incidentes recentes no radar e o histórico em maiores vazamentos de dados no Brasil. Sources: - CERT.br — Fascículo Vazamento de Dados: https://cartilha.cert.br/guardiao/fasciculo-vazamento-de-dados-egc.pdf - ANPD — Fluxo da petição do titular: https://www.gov.br/anpd/pt-br/fluxo-da-peticao-do-titular - gov.br — Requerimento relacionado à LGPD: https://www.gov.br/pt-br/servicos/abrir-requerimento-relacionado-a-lgpd - Mayer Brown — Resolução CD/ANPD nº 15: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation --- ## Binance hack: $6.3B theft tied to North Korea, what we know URL: https://cybertarget.live/en/artigos/hack-da-binance-us-6-3-bi-e-coreia-do-norte-o-que-se-sabe Date: 2026-10-31 On October 29, 2026, about $6.36 billion in crypto left Binance wallets on ten blockchains, most of it in roughly 20 minutes starting at 20:05 UTC, according to TRM Labs. It is the largest crypto theft on record, about four times the February 2025 Bybit hack. TRM, Chainalysis and Elliptic link it to North Korea. How did the Binance hack happen? TRM says the attacker used EIP-7702 to turn an Ethereum hot wallet into a sweeper it controlled, using one of 50 pre-signed authorizations. A single transaction then moved 167,464 ETH and 63 tokens, including 1.615 billion USDT. On nine other chains, Binance wallets sent funds through ordinary signed transfers, so TRM assesses the hot-wallet signing infrastructure was compromised. Binance's initial probe points to a compromised engineer's laptop that gave access to a service container able to submit withdrawals, per TechCrunch; Binance says it found no evidence of private-key leakage. CBS News reports a later review found more than one point of breach. How much was stolen and how much is frozen? ItemFigure Total moved (TRM)~$6.36B across 10 chains Ethereum~$3.79B Bitcoin18,270 BTC (~$1.47B) Frozen as of 00:30 UTC Oct 30 (TRM)~$2.7B (Tether ~1.77B USDT, Circle ~825M USDC) Still with attacker (TRM)~$2.4B, incl. 420,000+ ETH The breakdown by chain, per TRM, also includes 612.7 million USDT and 46.4 million TRX on Tron (about $628 million), 233.46 million XRP (about $296 million) and 970,500 SOL (about $96 million). Preparation began at least 36 hours earlier, with small Tornado Cash withdrawals to an operator wallet starting October 28. The attacker kept sweeping fresh deposits into the compromised wallet several times until close to midnight UTC. Stablecoin issuers made the difference. Because Tether, Circle, Ripple and others can freeze tokens at specific addresses, almost half of the haul was locked within hours. Ether and bitcoin cannot be frozen that way, which is why the attacker quickly used lending protocols to borrow ETH against stablecoins before freezes landed. Binance later cited about $3 billion frozen with partners, according to Forbes. TRM describes laundering through discounted USDT-to-ETH swaps, lending protocols such as Aave and JustLend, and a bitcoin peel chain, with bridges and OTC brokers expected next. Why is North Korea blamed? TRM attributes the attack with "high confidence" to TraderTraitor; Chainalysis CEO Jonathan Levin told CBS it was likely the same group, and Elliptic also pointed to North Korea. The FBI has not commented on Binance, but its February 2025 PSA blamed TraderTraitor for the roughly $1.5 billion Bybit theft. Chainalysis, as reported by The Record, says North Korea stole at least $2.02 billion in 2025 and $6.75 billion since 2022. Will Binance users lose money? Binance says it will cover all losses with its SAFU fund and company funds, resume withdrawals in phases after security checks, and publish updated proof of reserves, per Forbes. Independent proof was not yet available at publication. What does it mean for exchange users? Three lessons stand out. Exchange security depends on people and workstations as much as on cryptography: the reported entry point was a laptop. Single signatures and never-expiring approvals on hot wallets widen the damage, a point raised by an analyst quoted by CBS. And freezes only work on assets whose issuers can freeze them. Large incidents also trigger waves of phishing that impersonate the victim company, so treat any message about "refunds" or "verification" with suspicion. What to do Ignore "Binance" messages asking you to log in or "recover funds"; use only the official app. Keep on exchanges only what you trade; enable passkeys, withdrawal allowlists and login alerts. Report related scams to the FBI IC3. More: crypto dashboard, incident radar, money laundering, pig butchering explained. Sources: - TRM Labs: https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history - TechCrunch: https://techcrunch.com/2026/10/30/north-korean-hackers-blamed-for-stealing-record-6-3b-in-binance-breach/ - CBS News: https://www.cbsnews.com/news/binance-hack-north-korea/ - Forbes: https://www.forbes.com/sites/antoniopequenoiv/2026/10/30/binance-says-it-plans-to-resume-withdrawals-this-weekend-after-63-billion-hack/ - FBI IC3 PSA I-022625: https://ic3.gov/psa/2025/psa250226 - The Record / Chainalysis: https://therecord.media/over-3-billion-crypto-stolen-2025-north-korea --- ## Hack da Binance: US$ 6,3 bi e Coreia do Norte, o que se sabe URL: https://cybertarget.live/pt/artigos/hack-da-binance-us-6-3-bi-e-coreia-do-norte-o-que-se-sabe Date: 2026-10-31 Na noite de 29 de outubro de 2026, cerca de US$ 6,36 bilhões em criptoativos saíram de carteiras da Binance em dez blockchains, a maior parte em uns 20 minutos a partir das 20h05 UTC, segundo a análise on-chain da TRM Labs. É o maior roubo de cripto já registrado, cerca de quatro vezes o ataque à Bybit em fevereiro de 2025. TRM, Chainalysis e Elliptic ligam o caso à Coreia do Norte. Abaixo, o que está confirmado, o que ainda não está e o que muda para quem tem dinheiro em corretoras. O que aconteceu no hack da Binance? De acordo com a TRM Labs, o atacante assumiu o controle de uma hot wallet (carteira quente, conectada à internet) da Binance no Ethereum usando o recurso EIP-7702, que permite delegar a lógica de uma conta a um contrato. Ele tinha preparado 50 autorizações pré-assinadas; uma delas batia com o contador de transações da carteira. Três minutos e 24 segundos depois da delegação, uma única transação levou 167.464 ETH e 63 tokens, incluindo 1,615 bilhão de USDT. Novos depósitos que chegavam à carteira foram varridos de novo várias vezes até perto da meia-noite UTC. Nas outras nove redes, as carteiras da Binance enviaram fundos por transferências assinadas comuns, o que leva a TRM a avaliar que a infraestrutura de assinatura das hot wallets foi comprometida. A Binance deu outra pista. Segundo o TechCrunch, a investigação inicial da empresa aponta o notebook "comprometido" de um engenheiro como porta de entrada, que deu acesso a um contêiner de serviço capaz de submeter saques não autorizados. A corretora diz não ter encontrado evidência de vazamento de chaves privadas. Depois, segundo a CBS News, a revisão encontrou mais de um ponto de invasão. A causa raiz completa ainda não foi publicada. Quanto foi roubado e em quais moedas? Os valores abaixo são da TRM Labs, a preços do momento de cada saída, com dados on-chain até 00h30 UTC de 30 de outubro: RedeAtivos principaisValor aproximado Ethereum200.630 ETH, 1,875 bi USDT, 823 mi USDC, 88,5 mi RLUSD e outros 185 tokensUS$ 3,79 bi Bitcoin18.270 BTCUS$ 1,47 bi Tron612,7 mi USDT e 46,4 mi TRXUS$ 628 mi XRP Ledger233,46 mi XRPUS$ 296 mi Solana970.500 SOLUS$ 96 mi Arbitrum, Optimism, Base, Avalanche, Polygondiversoscerca de US$ 77 mi A preparação começou pelo menos 36 horas antes, com pequenos saques do mixer Tornado Cash para uma carteira operacional a partir de 28 de outubro, de acordo com a mesma análise. Por que a Coreia do Norte é apontada como autora? A TRM atribuiu o ataque, com "alta confiança", ao grupo TraderTraitor, que descreve como a unidade de elite de hackers norte-coreana. O CEO da Chainalysis, Jonathan Levin, disse à CBS News que o ataque provavelmente foi obra do mesmo grupo, e a Elliptic também apontou Pyongyang, segundo o TechCrunch, notando que parte dos fundos passou por uma carteira usada no ataque à Bitget. A TRM cita semelhanças com o hack da Bybit e o da KelpDAO, em abril de 2026: saques pequenos do Tornado Cash, preparação antecipada e aprovações pré-assinadas. O FBI ainda não se pronunciou publicamente sobre o caso Binance. No caso Bybit, o alerta do FBI de 26 de fevereiro de 2025 atribuiu o roubo de cerca de US$ 1,5 bilhão à Coreia do Norte e pediu que corretoras, pontes e serviços DeFi bloqueassem transações ligadas a endereços do TraderTraitor. Segundo a Chainalysis, citada pelo The Record, hackers norte-coreanos roubaram pelo menos US$ 2,02 bilhões em 2025, cerca de 60% de todo o cripto roubado no ano, e US$ 6,75 bilhões desde 2022. Só o caso Binance quase igualaria esse acumulado. Quanto já foi congelado e como o dinheiro está sendo lavado? Emissoras de stablecoins podem congelar tokens em endereços específicos, e isso fez diferença. A TRM contava cerca de US$ 2,7 bilhões congelados até 00h30 UTC: aproximadamente 1,77 bilhão em USDT (Tether), 825 milhões em USDC (Circle), 40,5 milhões em RLUSD (Ripple), 27,8 milhões em USD1 e cerca de US$ 30 milhões travados pelo Conselho de Segurança da Arbitrum. A Binance falou depois em cerca de US$ 3 bilhões congelados com parceiros, segundo a Forbes. O restante, perto de US$ 2,4 bilhões, inclui mais de 420 mil ETH e os 18.270 BTC. A TRM descreve a lavagem em curso: USDT trocado por ETH com deságio de mais de 10%, uso de protocolos de empréstimo como Aave e JustLend para converter stablecoins congeláveis em ativos que não podem ser congelados, e uma "peel chain" que fatia os bitcoins em lotes de 1.000 e 100 BTC. A próxima fase esperada envolve pontes entre blockchains, serviços de swap e corretores OTC, o mesmo roteiro descrito em casos anteriores de lavagem com cripto. Os clientes da Binance vão perder dinheiro? A empresa afirma que não. Segundo a Forbes, a Binance disse que cobrirá todas as perdas com o fundo SAFU (Secure Asset Fund for Users) e recursos próprios, que retomará os saques em fases depois de checagens de segurança e que publicará uma nova prova de reservas ao fim da remediação. Os depósitos não foram afetados, segundo a CBS News. Até a publicação deste texto, a empresa não tinha apresentado prova independente de que os saldos estão integralmente cobertos, como observou o TechCrunch. O que muda para quem guarda cripto em corretora? O caso reforça três pontos. Primeiro, a segurança de uma corretora depende tanto de pessoas e estações de trabalho quanto de criptografia: o vetor inicial relatado foi um notebook. Segundo, aprovações sem prazo de validade e assinaturas únicas para hot wallets ampliam o estrago, crítica feita por um analista ouvido pela CBS. Terceiro, a capacidade de congelar stablecoins travou quase metade do valor, mas não alcança ETH e BTC. O que fazer / Como se proteger Desconfie de mensagens "da Binance" pedindo login, verificação ou "resgate de fundos": golpistas exploram grandes incidentes. Acesse só pelo aplicativo oficial ou digitando o endereço. Não deixe em corretora mais do que usa para negociar; valores de longo prazo podem ficar em carteira própria bem guardada. Ative chaves de acesso (passkeys) ou app autenticador, lista de endereços de saque autorizados e alertas de login. Acompanhe só os canais oficiais da empresa para saber da retomada de saques e da prova de reservas. Se perder dinheiro em golpe ligado ao caso, registre boletim de ocorrência (Brasil) ou denúncia no IC3 do FBI (EUA). Veja também: painel de cripto, radar de incidentes, como o USDT circula em bancos clandestinos e passkeys e MFA contra tomada de conta. Sources: - TRM Labs: https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history - TechCrunch: https://techcrunch.com/2026/10/30/north-korean-hackers-blamed-for-stealing-record-6-3b-in-binance-breach/ - CBS News: https://www.cbsnews.com/news/binance-hack-north-korea/ - Forbes: https://www.forbes.com/sites/antoniopequenoiv/2026/10/30/binance-says-it-plans-to-resume-withdrawals-this-weekend-after-63-billion-hack/ - FBI IC3 PSA I-022625: https://ic3.gov/psa/2025/psa250226 - The Record / Chainalysis: https://therecord.media/over-3-billion-crypto-stolen-2025-north-korea --- ## Pix scams in numbers: how much was stolen and why refunds stay low URL: https://cybertarget.live/en/artigos/golpe-do-pix-em-numeros Date: 2026-10-31 Pix, Brazil's instant payment system, has become the country's favorite way to pay, and the favorite target of scammers. Central Bank data compiled by O POVO+ show that between January 2022 and April 2026 at least R$24.52 billion was stolen through Pix scams. Institutions returned R$2.2 billion, or 8.9%. For every R$100 lost, R$8.90 came back. The same data point to an average of 271,500 confirmed frauds per month since Pix was launched. These figures explain why the Central Bank overhauled its Special Return Mechanism (MED), and why refunds are still low. The size of the problem Different sources measure Pix fraud from different angles; their numbers should not be added together. Central Bank (via O POVO+): R$24.52 billion stolen from Jan 2022 to Apr 2026; R$2.2 billion returned. Brazilian Public Security Forum (via Rádio Senado): about 24 million people fell for a Pix scam between July 2024 and June 2025, with estimated losses of R$29 billion. Febraban, the banking federation (via Convergência Digital): R$2.7 billion lost to Pix fraud over two years, with fraud volume up 43% from 2023. Across the banking system, Febraban estimates fraud losses in electronic channels and cards reached R$10.1 billion in 2024, up 17% from R$8.6 billion in 2023. The fastest-growing scams In the first half of 2025, according to Febraban, the most reported scam among bank customers was the fake sale, with 174,000 cases (+314%), followed by the fake call center or fake bank employee (139,000; +195.7%) and the WhatsApp scam (73,000), the only one declining (−9.9%). The criminal does not hack anything: he persuades the victim to send the money. Why MED returns so little MED lets customers dispute a Pix sent in a scam and request a refund. It is heavily used but recovers only a small share of disputed amounts. MED indicatorValuePeriod Refund requests~5 million, 31% acceptedthrough Jun 2025 Returned vs. disputedR$459m of R$6.98bnthrough Jun 2025 Disputes per month1.3 million on averageJan–Aug 2025 Disputes after the in-app button3.5m (Oct), 3.4m (Nov)2025 Amount returned per monthR$56m (Jan–Aug avg.); R$70.3m (Oct); R$62.8m (Nov)2025 Share of disputed amount returned7% to 9%2025 When disputing became a single tap in banking apps, requests nearly tripled, but refunds rose much less. A refund depends on money still sitting in the receiving account, and scam proceeds usually leave within minutes. There is also a structural obstacle: pooled accounts, in which a fintech keeps one account in its own name at a bank, mixing many clients' funds. The bank only sees the fintech, which makes it harder to trace money and enforce court freezes, as IstoÉ Dinheiro explains. What MED 2.0 changes MED 2.0 has been mandatory since February 2, 2026. It follows the "money trail" across several accounts, not just the first one, and allows refunds within up to 11 days of a dispute. Under Resolution BCB 546, the Central Bank waived sanctions for non-compliance between February 2 and May 10, 2026, according to Finsiders. BC Protege+: launched in December 2025, it lets citizens block new accounts from being opened in their name; it stopped 111,000 suspicious openings in its first month. CMN Resolution 5,274 and BCB Resolution 538 (Dec 2025): require multi-factor authentication for administrative access to Pix, isolation of those environments and an annual independent penetration test, with a compliance deadline of March 1, 2026. How to protect yourself Banks never call asking for passwords, codes or test transfers. Hang up and call the official number yourself. Be wary of prices far below market on marketplaces and social media. Confirm money requests from relatives through another channel. Set Pix limits in your banking app and register trusted devices only. Turn on BC Protege+ to block accounts opened in your name. Got scammed? File a MED dispute in your bank's app right away and report it to the police. Speed matters. Sources: - O POVO+ / Banco Central: golpes no Pix: https://mais.opovo.com.br/jornal/reportagem/2026/07/24/a-cada-rs-100-em-golpes-no-pix-instituicoes-devolvem-apenas-rs-890.html - Economic News Brasil / Banco Central: contestações no MED: https://economicnewsbrasil.com.br/2025/12/14/fraude-no-pix-contestacoes-devolucao/ - Jovem Pan / Banco Central: pedidos e devoluções do MED: https://jovempan.com.br/noticias/economia/bc-lanca-ferramenta-para-seguir-dinheiro-roubado-em-golpe-do-pix.html - Finsiders: MED 2.0 obrigatório e BC Protege+: https://finsidersbrasil.com.br/pagamentos/pix/novo-med-do-pix-passa-a-ser-obrigatorio-mas-instituicoes-terao-um-respiro/ - Convergência Digital / Febraban: fraudes no Pix: https://convergenciadigital.com.br/mercado/fraudes-no-pix-cresceram-43-chegando-a-r-27-bilhoes - Jornal de Brasília / Febraban: perdas dos bancos com fraude: https://jornaldebrasilia.com.br/noticias/economia/prejuizo-com-golpe-financeiro-subiu-a-mais-de-r-10-bi-ano-passado-diz-febraban/ - Diario de Pernambuco / Febraban: golpes mais relatados no 1º semestre de 2025: https://www.diariodepernambuco.com.br/amp/economia/2025/11/11700388-febraban-golpe-da-falsa-venda-lidera-entre-os-golpes-mais-relatados-por-clientes-bancarios-no-primeiro-semestre.html - Rádio Senado / FBSP: vítimas de golpes pelo Pix: https://www12.senado.leg.br/radio/1/noticia/2025/08/18/mais-de-24-milhoes-de-pessoas-foram-vitimas-de-golpes-pelo-pix - Trench Rossi: Res. CMN 5.274 e Res. BCB 538: https://www.trenchrossi.com/en/legal-alerts/bcb-and-cmn-establish-additional-cyber-security-requirements - IstoÉ Dinheiro: o que são contas-bolsão: https://istoedinheiro.com.br/contas-bolsao-fintechs-o-que-e --- ## Golpe do Pix em números: por que o MED devolve só 8,9% do roubado URL: https://cybertarget.live/pt/artigos/golpe-do-pix-em-numeros Date: 2026-10-31 O Pix virou o meio de pagamento preferido dos brasileiros e, com ele, o alvo preferido dos golpistas. Dados do Banco Central compilados pelo O POVO+ mostram que, entre janeiro de 2022 e abril de 2026, pelo menos R$ 24,52 bilhões foram roubados em golpes via Pix. Desse total, as instituições devolveram R$ 2,2 bilhões, ou 8,9%. Em outras palavras: a cada R$ 100 perdidos, voltaram R$ 8,90. O mesmo levantamento aponta uma média de 271,5 mil fraudes confirmadas por mês desde a criação do Pix. Os números ajudam a entender por que o Banco Central reformulou o Mecanismo Especial de Devolução (MED) e por que a devolução continua baixa. O tamanho do problema Várias fontes medem o golpe do Pix de ângulos diferentes, e os números não devem ser somados entre si. Banco Central (via O POVO+): R$ 24,52 bilhões roubados de jan/2022 a abr/2026; R$ 2,2 bilhões devolvidos. Fórum Brasileiro de Segurança Pública (via Rádio Senado): cerca de 24 milhões de pessoas foram vítimas de golpe via Pix entre julho de 2024 e junho de 2025, com perdas estimadas em R$ 29 bilhões. Febraban (via Convergência Digital): R$ 2,7 bilhões em perdas com fraude via Pix em dois anos, com alta de 43% no volume fraudado em relação a 2023. No sistema bancário como um todo, a Febraban estima que as perdas com fraudes em canais eletrônicos e cartões chegaram a R$ 10,1 bilhões em 2024, contra R$ 8,6 bilhões em 2023, alta de 17%. Os golpes que mais crescem No primeiro semestre de 2025, segundo a Febraban, o golpe mais relatado por clientes bancários foi o da falsa venda, com 174 mil casos (+314%). Em seguida vieram a falsa central ou falso funcionário, com 139 mil (+195,7%), e o golpe do WhatsApp, com 73 mil, o único em queda (−9,9%). O padrão é claro: o golpista não precisa invadir sistemas. Ele convence a vítima a fazer a transferência ela mesma. Por que o MED devolve pouco O MED é o mecanismo que permite ao cliente contestar um Pix feito em golpe e pedir a devolução. Os dados mostram que o canal é muito usado, mas devolve uma fração pequena do que é contestado. Indicador do MEDValorPeríodo Pedidos de devolução~5 milhões, 31% aceitosaté jun/2025 Valor devolvido / valor contestadoR$ 459 mi de R$ 6,98 biaté jun/2025 Contestações por mêsmédia de 1,3 milhãojan–ago/2025 Contestações após o botão de contestação3,5 mi (out) e 3,4 mi (nov)2025 Valor devolvido por mêsR$ 56 mi (média jan–ago); R$ 70,3 mi (out); R$ 62,8 mi (nov)2025 Parcela devolvida do contestado7% a 9%2025 Quando o Banco Central facilitou a contestação, com um botão no aplicativo, o número de pedidos quase triplicou. O valor devolvido, porém, subiu bem menos. A devolução depende de haver saldo na conta que recebeu o dinheiro, e o dinheiro de golpe costuma sair dela em minutos. Há ainda um obstáculo estrutural. Nas chamadas contas-bolsão, uma fintech mantém em um banco uma conta em nome próprio que mistura recursos de vários clientes. O banco enxerga apenas a fintech, o que dificulta rastrear origem e destino do dinheiro e cumprir bloqueios judiciais, como explica a IstoÉ Dinheiro. O que muda com o MED 2.0 O MED 2.0 é obrigatório desde 2 de fevereiro de 2026. A principal mudança é rastrear o "caminho do dinheiro" por várias contas, e não apenas na primeira conta que recebeu o Pix. A devolução pode ocorrer em até 11 dias após a contestação. Pela Resolução BCB 546, de 22/01/2026, o Banco Central dispensou processo sancionador por descumprimento entre 2 de fevereiro e 10 de maio de 2026, uma espécie de período de adaptação para as instituições, segundo o Finsiders. Outras medidas recentes BC Protege+: lançado em dezembro de 2025, permite que o cidadão bloqueie a abertura de contas em seu nome. Em um mês, barrou 111 mil aberturas suspeitas. Res. CMN 5.274 e Res. BCB 538 (dez/2025): exigem das instituições, entre outros controles, autenticação multifator no acesso administrativo ao Pix, isolamento desses ambientes e teste de invasão anual por empresa independente. O prazo de adequação foi 1º de março de 2026. Os efeitos do MED 2.0 sobre a taxa de devolução ainda não aparecem em séries públicas consolidadas. O indicador a acompanhar é simples: quanto do valor contestado volta para a vítima. Como se proteger Banco não liga pedindo senha, código ou transferência de teste. Desligue e ligue você para o número oficial do banco. Desconfie de preço muito abaixo do mercado em marketplaces e redes sociais. A falsa venda é o golpe que mais cresce. Confirme por outro canal pedidos de dinheiro de parentes e amigos, mesmo com foto conhecida. Use os limites do Pix no aplicativo do banco e cadastre apenas aparelhos confiáveis. Ative o BC Protege+ para impedir a abertura de contas em seu nome. Caiu no golpe? Conteste no aplicativo do banco imediatamente, pelo MED, e registre boletim de ocorrência. Quanto mais rápido, maior a chance de haver saldo para bloquear. Sources: - O POVO+ / Banco Central: golpes no Pix: https://mais.opovo.com.br/jornal/reportagem/2026/07/24/a-cada-rs-100-em-golpes-no-pix-instituicoes-devolvem-apenas-rs-890.html - Economic News Brasil / Banco Central: contestações no MED: https://economicnewsbrasil.com.br/2025/12/14/fraude-no-pix-contestacoes-devolucao/ - Jovem Pan / Banco Central: pedidos e devoluções do MED: https://jovempan.com.br/noticias/economia/bc-lanca-ferramenta-para-seguir-dinheiro-roubado-em-golpe-do-pix.html - Finsiders: MED 2.0 obrigatório e BC Protege+: https://finsidersbrasil.com.br/pagamentos/pix/novo-med-do-pix-passa-a-ser-obrigatorio-mas-instituicoes-terao-um-respiro/ - Convergência Digital / Febraban: fraudes no Pix: https://convergenciadigital.com.br/mercado/fraudes-no-pix-cresceram-43-chegando-a-r-27-bilhoes - Jornal de Brasília / Febraban: perdas dos bancos com fraude: https://jornaldebrasilia.com.br/noticias/economia/prejuizo-com-golpe-financeiro-subiu-a-mais-de-r-10-bi-ano-passado-diz-febraban/ - Diario de Pernambuco / Febraban: golpes mais relatados no 1º semestre de 2025: https://www.diariodepernambuco.com.br/amp/economia/2025/11/11700388-febraban-golpe-da-falsa-venda-lidera-entre-os-golpes-mais-relatados-por-clientes-bancarios-no-primeiro-semestre.html - Rádio Senado / FBSP: vítimas de golpes pelo Pix: https://www12.senado.leg.br/radio/1/noticia/2025/08/18/mais-de-24-milhoes-de-pessoas-foram-vitimas-de-golpes-pelo-pix - Trench Rossi: Res. CMN 5.274 e Res. BCB 538: https://www.trenchrossi.com/en/legal-alerts/bcb-and-cmn-establish-additional-cyber-security-requirements - IstoÉ Dinheiro: o que são contas-bolsão: https://istoedinheiro.com.br/contas-bolsao-fintechs-o-que-e --- ## Fake bank call centres and courier scams in Brazil: how they work URL: https://cybertarget.live/en/artigos/golpe-da-falsa-central-e-do-motoboy-como-funciona Date: 2026-10-30 A call from the "bank's security team", an alert about a suspicious purchase, an instruction to hang up and dial the number on the card, and finally a courier at the door to "collect the card for forensic analysis". This sequence combines two of Brazil's most persistent scams: the fake call centre and the fake motorcycle courier ("falso motoboy"). The numbers According to Febraban, Brazil's banking federation, the fake call centre (or fake bank employee) scam accounted for about 105,000 reported cases in 2024, and the fake courier scam for about 5,000, as reported by Agência Brasil. In the first half of 2025, fake call centre reports rose to 139,000, up 195.7% year on year, second only to fake online sales (174,000), according to Febraban data published by IstoÉ Dinheiro. How it works Criminals pose as bank staff, report a problem or an irregular purchase, collect personal data and then ask for transfers to "fix" the account. Recent variants described by Consumidor Moderno include spoofed caller ID showing the bank's real number, fake police reports claiming the branch is under investigation, a "new device linked to your account" pretext, and calls passed between fake departments with the bank's own hold music. The courier is the physical step. In April 2026, São Paulo's civil police launched Operation Chamada Bancária, serving five arrest and seven search warrants. According to Metrópoles, the group used an automated phone system that kept the line open: victims were told to hang up and call the number on their card, but were still talking to the criminals. A courier then picked up the card. Most victims were elderly. That same month, in Goiânia, two men were arrested for posing as pharmacy staff, bank employees and police officers and using app-based couriers to collect cards, phones and cash; police seized 17 card machines, 12 cards and nearly R$19,000, according to O Hoje. The pattern is not new: a 2020 operation in Alagoas described the same script, with more than 100 victims and losses of about R$1.3 million (TNH1). Why it works Febraban describes the scam as social engineering: criminals exploit fear and urgency and use genuine personal data, often obtained illegally, to sound credible. The "call the number on your card" step is particularly effective because it mirrors the very advice banks give customers. That is why the current recommendation is to call back from a different phone, so a line kept open by the fraudsters cannot intercept the call. Elderly customers, who are more likely to trust a polite caller and less likely to check apps, remain the main targets. How to protect yourself Banks never send a courier to collect a card. Banks never ask for passwords, tokens, transfers or "Pix tests". Urgency and pressure are red flags. Hang up and call the official number from a different phone. If you were scammed, contact your bank immediately, file a police report and, for Pix transfers, request a refund claim through the MED mechanism. Sources: - Movimento Econômico / Agência Brasil – Febraban divulga os 10 golpes mais aplicados (2024): https://movimentoeconomico.com.br/seguranca/2025/04/14/febraban-divulga-os-10-golpes-mais-aplicados-contra-clientes-bancarios/ - IstoÉ Dinheiro / Estadão Conteúdo – Golpe da falsa venda lidera ranking (1º semestre de 2025): https://istoedinheiro.com.br/golpe-da-falsa-venda-lidera-ranking - Consumidor Moderno – Golpe da falsa central bancária ganha novos disfarces: https://consumidormoderno.com.br/golpe-falsa-central-bancaria-cm/ - Metrópoles – Operação Chamada Bancária (Polícia Civil de SP): https://www.metropoles.com/sao-paulo/grupo-golpes-idosos-operacao - O Hoje – Dupla suspeita de golpes bancários é presa em Goiânia: https://ohoje.com/2026/04/15/dupla-suspeita-de-golpes-bancarios-e-presa-apos-aplicar-fraudes-contra-idosos-em-goiania/ - TNH1 – Golpe do motoboy: nove presos em operação de AL, SP e MA: https://www.tnh1.com.br/noticia/nid/golpe-do-motoboy-nove-sao-presos-em-operacao-com-as-policias-de-al-sp-e-ma/ --- ## Falsa central e golpe do motoboy: como funcionam e os números URL: https://cybertarget.live/pt/artigos/golpe-da-falsa-central-e-do-motoboy-como-funciona Date: 2026-10-30 Uma ligação do "setor de segurança do banco", um alerta de compra suspeita, a orientação para desligar e ligar para o número do cartão e, no fim, um motoboy na porta para "recolher o cartão para perícia". A sequência combina dois dos golpes mais persistentes do país: a falsa central de atendimento e o falso motoboy. Dados da Febraban e operações policiais recentes mostram que a fraude segue em alta e mira sobretudo idosos. O que dizem os números Segundo levantamento da Federação Brasileira de Bancos (Febraban) com base em relatos de clientes, a falsa central (também chamada de golpe do falso funcionário) somou cerca de 105 mil ocorrências em 2024, atrás apenas do golpe do WhatsApp e da falsa venda. No mesmo ranking, o falso motoboy aparecia com cerca de 5 mil registros, de acordo com a Agência Brasil, reproduzida pelo Movimento Econômico. Em 2025 o quadro piorou. No primeiro semestre, a falsa central chegou a 139 mil ocorrências, alta de 195,7% em relação ao mesmo período do ano anterior, ficando em segundo lugar, atrás da falsa venda (174 mil), segundo dados da Febraban divulgados pelo Estadão Conteúdo e publicados pela IstoÉ Dinheiro. A entidade afirma que os bancos investem cerca de R$ 5 bilhões por ano em sistemas de proteção. Golpe2024 (ano)1º sem. 2025 Falsa venda150 mil174 mil (+314%) Falsa central / falso funcionário105 mil139 mil (+195,7%) Golpe do WhatsApp153 mil73 mil (-9,9%) Falso motoboy5 milnão divulgado Fonte: Febraban, com base em relatos de clientes dos bancos associados. As variações de 2025 comparam com o 1º semestre de 2024. Como funciona a falsa central O criminoso se passa por funcionário do banco ou de uma empresa com a qual a vítima tem relação. Ele relata um problema na conta ou uma compra irregular, pede dados pessoais e financeiros e, em seguida, orienta transferências para "regularizar" a situação. Em reportagem de julho de 2026, a Consumidor Moderno descreveu as variações mais recentes: Número mascarado: o identificador de chamadas mostra o telefone verdadeiro do banco. "Sua agência está sob investigação": o golpista envia um boletim de ocorrência falso e pede que o dinheiro seja movido para uma suposta "conta segura". Aparelho desconhecido: a vítima é informada de que um novo celular foi vinculado à conta e é levada a informar senha e dados. Encenação de atendimento: a ligação passa por "departamentos" como Segurança e Ouvidoria, com a mesma música de espera usada pelos bancos. Onde entra o motoboy O falso motoboy é a etapa física do golpe. Depois de convencer a vítima de que o cartão foi clonado, o criminoso anuncia que alguém irá buscá-lo em casa. Uma operação da Polícia Civil de Alagoas, ainda em 2020, já descrevia o roteiro: dados obtidos ilegalmente, ligação de uma falsa central de cartões e envio de integrantes do grupo à casa das vítimas, sob o pretexto de perícia. Foram mais de 100 vítimas e prejuízo de cerca de R$ 1,3 milhão, segundo a TNH1. O método ficou mais sofisticado. Em abril de 2026, a Polícia Civil de São Paulo deflagrou a Operação Chamada Bancária, com cinco mandados de prisão e sete de busca na zona norte da capital. Segundo o Metrópoles, o grupo usava uma URA (atendimento automático) que imitava centrais bancárias e mantinha a linha aberta: a vítima era instruída a desligar e ligar para o número do cartão, mas continuava falando com os criminosos. Depois, um motoboy buscava o cartão. Os alvos eram principalmente idosos. No mesmo mês, em Goiânia, dois homens foram presos suspeitos de se passar por funcionários de farmácia, de banco e, depois, por policiais, usando motoboys de aplicativo para recolher cartões, celular e dinheiro. Com eles foram apreendidas 17 maquininhas de cartão, 12 cartões e quase R$ 19 mil em espécie, segundo o O Hoje. Uma das vítimas, de 75 anos, perdeu celular, R$ 1 mil em dinheiro e cerca de R$ 3 mil sacados da conta. Por que o golpe funciona A Febraban classifica a falsa central como engenharia social: o golpista explora medo e urgência, e usa informações verdadeiras da vítima, obtidas ilegalmente, para ganhar credibilidade. O detalhe do "ligue para o número do cartão" é especialmente eficaz porque reproduz exatamente o conselho de segurança que os bancos dão. Por isso, a orientação atual é ligar a partir de outro aparelho. Como se proteger Banco não busca cartão em casa. Nenhuma instituição envia motoboy para recolher cartão, segundo a Febraban. Banco não pede senha, token ou transferência para "resolver" problemas, nem faz testes com Pix ou estornos. Se isso ocorrer, é golpe. Desconfie da urgência. Pressão para agir rapidamente é sinal de fraude. Desligue e ligue de outro telefone para o número oficial no verso do cartão ou no site do banco, nunca para números recebidos por mensagem. Não instale aplicativos a pedido de quem liga. Converse com familiares idosos, principais alvos dessas quadrilhas. O que fazer se cair no golpe Avise o banco imediatamente pelos canais oficiais para bloquear cartões, aplicativo e senhas. Registre boletim de ocorrência (muitos estados permitem pela internet). Se houve Pix, peça ao banco a contestação pelo Mecanismo Especial de Devolução (MED). Guarde números, horários, prints e qualquer comprovante. A combinação de dados vazados, tecnologia de telefonia e encenação torna a falsa central difícil de reconhecer no calor da ligação. A regra que resolve a maioria dos casos é simples: na dúvida, desligue. Sources: - Movimento Econômico / Agência Brasil – Febraban divulga os 10 golpes mais aplicados (2024): https://movimentoeconomico.com.br/seguranca/2025/04/14/febraban-divulga-os-10-golpes-mais-aplicados-contra-clientes-bancarios/ - IstoÉ Dinheiro / Estadão Conteúdo – Golpe da falsa venda lidera ranking (1º semestre de 2025): https://istoedinheiro.com.br/golpe-da-falsa-venda-lidera-ranking - Consumidor Moderno – Golpe da falsa central bancária ganha novos disfarces: https://consumidormoderno.com.br/golpe-falsa-central-bancaria-cm/ - Metrópoles – Operação Chamada Bancária (Polícia Civil de SP): https://www.metropoles.com/sao-paulo/grupo-golpes-idosos-operacao - O Hoje – Dupla suspeita de golpes bancários é presa em Goiânia: https://ohoje.com/2026/04/15/dupla-suspeita-de-golpes-bancarios-e-presa-apos-aplicar-fraudes-contra-idosos-em-goiania/ - TNH1 – Golpe do motoboy: nove presos em operação de AL, SP e MA: https://www.tnh1.com.br/noticia/nid/golpe-do-motoboy-nove-sao-presos-em-operacao-com-as-policias-de-al-sp-e-ma/ --- ## US cyber fraud hits a record: key findings of the FBI IC3 2025 report URL: https://cybertarget.live/en/artigos/fraude-nos-eua-bate-recorde-relatorio-fbi-ic3-2025 Date: 2026-10-30 The FBI's Internet Crime Complaint Center (IC3) annual report, released in April 2026, recorded the highest losses in its history. In 2025, victims reported $20.877 billion in losses, up 26% from $16.6 billion in 2024. Complaints topped one million for the first time: 1,008,597, versus 859,532 the year before. Cyber-enabled fraud drove most of the damage, at $17.6–17.7 billion, or 85% of losses, according to The Record. The costliest scams Investment fraud leads by a wide margin: $8.65 billion across 72,984 complaints, including $7.2 billion in crypto investment fraud. Type202320242025 Investment$4.57bn$6.57bn$8.65bn BEC$2.95bn$2.77bn$3.05bn Tech support$924.5m$1.46bn$2.13bn Romance / confidence$652.5m$672.0m$929.3m Government impersonation$394.1m$405.6m$797.9m Government impersonation nearly doubled in both complaints (17,367 to 32,424) and losses. Business email compromise (BEC) produced 24,768 complaints and $3,046,598,558 in losses, few victims but large sums per case. Crypto and older Americans Crypto-related losses reached $11.366 billion (+22%) across 181,565 complaints. People aged 60 and over filed 201,266 complaints (+37%) and lost $7.748 billion (+59%), an average of $38,500 per victim; $3.52 billion of that was investment fraud. In 2024 the group reported $4.885 billion, according to the IC3 2024 report. Other highlights Phishing/spoofing led in complaint count (191,561) with $215.8 million in losses. Extortion: 89,129 complaints, $122.5 million. Personal data breach: 67,456 complaints, $1.315 billion. AI: 22,364 complaints with an AI component, totaling $893.3 million. Ransomware: 3,611 complaints and over $32 million (2024: 3,156 and about $12 million). Top variants included Akira, Qilin, BianLian, Play, RansomHub and LockBit. California led state losses ($3.675 billion), followed by Texas, Florida and New York. Victims outside the US reported about $1.6 billion; Brazil ranked 7th among foreign countries with 2,686 complaints. Recovered funds and the FTC view IC3's Recovery Asset Team froze $679 million, 58% of roughly $1.1 billion in cases it handled, per Help Net Security. Separately, the FTC reported $15.9 billion in consumer fraud losses for 2025 from 3 million reports. The two datasets differ and should not be added. What to do Distrust guaranteed returns, especially in crypto and when contact began on social media. Businesses: verify any change to a supplier's bank details by phone, using a known number. Talk to older relatives about tech-support and government-impersonation scams. Report quickly at ic3.gov; speed improves the odds of freezing funds. Sources: - FBI IC3, 2025 Internet Crime Report (cópia do PDF): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - FBI IC3, 2025 Internet Crime Report (cópia do PDF, Finsiders): https://uploads.finsidersbrasil.com.br/2026/04/2025_IC3Report.pdf - Help Net Security: FBI report on online crime losses: https://www.helpnetsecurity.com/2026/04/07/online-crime-financial-losses-fbi-report/ - The Record: cyber fraud surges to $17 billion: https://therecord.media/cyber-fraud-surges-to-17-billion-fbi-ic3 - FBI IC3, 2024 Internet Crime Report: https://ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf - FTC: testimony to the Joint Economic Committee (Mar 2026): https://www.ftc.gov/news-events/news/press-releases/2026/03/ftc-testifies-joint-economic-committee-agencys-efforts-combat-fraud --- ## Fraude nos EUA bate recorde: o que mostra o relatório 2025 do FBI IC3 URL: https://cybertarget.live/pt/artigos/fraude-nos-eua-bate-recorde-relatorio-fbi-ic3-2025 Date: 2026-10-30 O relatório anual do Internet Crime Complaint Center (IC3), do FBI, publicado em abril de 2026, registrou o maior volume de perdas da sua história. Em 2025, americanos e vítimas de outros países relataram US$ 20,877 bilhões em prejuízos, alta de 26% sobre os US$ 16,6 bilhões de 2024. O número de queixas passou de 1 milhão pela primeira vez: 1.008.597, contra 859.532 no ano anterior. A maior parte do dano veio de fraudes habilitadas por meios digitais. Esse grupo somou entre US$ 17,6 bilhões e US$ 17,7 bilhões, ou 85% das perdas, segundo o The Record. Os golpes que mais custaram A fraude de investimento lidera com folga. Foram US$ 8,65 bilhões em 72.984 queixas. Dentro dela, a fraude de investimento em cripto respondeu por US$ 7,2 bilhões. Tipo202320242025 InvestimentoUS$ 4,57 biUS$ 6,57 biUS$ 8,65 bi BEC (e-mail corporativo)US$ 2,95 biUS$ 2,77 biUS$ 3,05 bi Suporte técnico falsoUS$ 924,5 miUS$ 1,46 biUS$ 2,13 bi Romântico / confiançaUS$ 652,5 miUS$ 672,0 miUS$ 929,3 mi Falsificação de órgão do governoUS$ 394,1 miUS$ 405,6 miUS$ 797,9 mi Em 2025, a impersonação de governo quase dobrou em queixas (de 17.367 para 32.424) e em valor. O golpe de suporte técnico, em que a vítima é convencida de que o computador está infectado ou a conta bancária foi invadida, subiu 46% em valor. BEC: menos casos, valores altos O comprometimento de e-mail corporativo (BEC) é um golpe em que o criminoso se passa por fornecedor, executivo ou parceiro e redireciona pagamentos. Em 2025, foram 24.768 queixas e US$ 3.046.598.558 em perdas. É um dos crimes com maior prejuízo por caso: poucas vítimas, valores altos. Cripto: US$ 11,4 bilhões em perdas As perdas ligadas a criptoativos chegaram a US$ 11,366 bilhões, alta de 22% sobre os US$ 9,32 bilhões de 2024, em 181.565 queixas. A cripto aparece tanto como objeto da fraude (falsas plataformas de investimento) quanto como meio de pagamento exigido pelo golpista. Idosos são o grupo mais atingido As pessoas com 60 anos ou mais fizeram 201.266 queixas (+37%) e perderam US$ 7,748 bilhões (+59%). A perda média por vítima nessa faixa foi de US$ 38.500. Só em fraudes de investimento, os idosos perderam US$ 3,52 bilhões. Em 2024, esse grupo havia registrado 147.127 queixas e US$ 4,885 bilhões em perdas, segundo o relatório do IC3 2024. Outros destaques do relatório Phishing e spoofing lideram em número de queixas (191.561), mas com perdas menores, de US$ 215,8 milhões. São a porta de entrada de outros golpes. Extorsão: 89.129 queixas e US$ 122,5 milhões. Violação de dados pessoais: 67.456 queixas e US$ 1,315 bilhão. Inteligência artificial: pela primeira vez o relatório destaca 22.364 queixas com componente de IA, somando US$ 893,3 milhões. Ransomware: 3.611 queixas e mais de US$ 32 milhões em perdas reportadas (em 2024 foram 3.156 queixas e cerca de US$ 12 milhões). As variantes mais reportadas incluem Akira, Qilin, BianLian, Play, RansomHub e LockBit. Onde as perdas se concentram Por estado, a Califórnia lidera (US$ 3,675 bilhões), seguida de Texas (US$ 1,826 bilhão), Flórida (US$ 1,596 bilhão) e Nova York (US$ 1,226 bilhão). Vítimas fora dos EUA relataram cerca de US$ 1,6 bilhão. Entre os países estrangeiros com mais queixas, o Brasil aparece em 7º lugar, com 2.686, à frente de França, Colômbia e México. Dinheiro recuperado A equipe de recuperação de ativos do IC3 (Recovery Asset Team) conseguiu congelar US$ 679 milhões, ou 58% de cerca de US$ 1,1 bilhão em casos em que atuou, segundo a Help Net Security. A taxa alta vale para os casos em que a vítima avisou rápido. No total das perdas, a fatia recuperada é pequena. Outra régua: a FTC A Federal Trade Commission, que recebe relatos de consumidores, também apontou alta. Em depoimento ao Congresso em março de 2026, a FTC informou US$ 15,9 bilhões em perdas com fraude reportadas em 2025, com 3 milhões de relatos. Golpes de investimento foram de novo a maior perda, com US$ 7,9 bilhões. As bases do FBI e da FTC são diferentes e não devem ser somadas. O que fazer Desconfie de retorno garantido, sobretudo em cripto e quando o contato começou em rede social ou aplicativo de mensagens. Empresas: confirme por telefone, em número já conhecido, qualquer pedido de troca de conta bancária de fornecedor. É a principal defesa contra BEC. Converse com familiares idosos sobre golpes de suporte técnico e de falsos órgãos públicos. Vítimas nos EUA devem registrar a queixa em ic3.gov o quanto antes: a rapidez aumenta a chance de congelar os recursos. Sources: - FBI IC3, 2025 Internet Crime Report (cópia do PDF): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - FBI IC3, 2025 Internet Crime Report (cópia do PDF, Finsiders): https://uploads.finsidersbrasil.com.br/2026/04/2025_IC3Report.pdf - Help Net Security: FBI report on online crime losses: https://www.helpnetsecurity.com/2026/04/07/online-crime-financial-losses-fbi-report/ - The Record: cyber fraud surges to $17 billion: https://therecord.media/cyber-fraud-surges-to-17-billion-fbi-ic3 - FBI IC3, 2024 Internet Crime Report: https://ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf - FTC: testimony to the Joint Economic Committee (Mar 2026): https://www.ftc.gov/news-events/news/press-releases/2026/03/ftc-testifies-joint-economic-committee-agencys-efforts-combat-fraud --- ## Cost of a data breach in 2025: Brazil, the US and the world compared URL: https://cybertarget.live/en/artigos/quanto-custa-um-vazamento-de-dados-em-2025 Date: 2026-10-29 For the first time in five years, the global average cost of a data breach fell. IBM and the Ponemon Institute's Cost of a Data Breach 2025 put it at $4.44 million per incident, down 9% from $4.88 million in 2024. In the United States, however, costs rose 9% to a record $10.22 million, according to CyberScoop. Brazil's edition, published by ABES, found an average of R$7.19 million per breach. Brazil, the US and the world Indicator (IBM 2025)Value Global average$4.44m (−9%) United States$10.22m (+9%, record) BrazilR$7.19m Healthcare (costliest sector)$7.42m Financial services$5.56m Time to identify and contain241 days (2024: 258) Brazil's figure is in reais and the global one in dollars, so direct comparison requires care with exchange rates. Where the money goes Globally, detection and escalation cost $1.47 million, lost business $1.38 million, post-breach response $1.2 million and notification about $390,000. The breach lifecycle fell to 241 days, a nine-year low. AI cuts both ways Organizations using security AI and automation extensively saved about $1.9 million per breach and shortened the lifecycle by about 80 days, per DeepStrike. In Brazil, costs were R$6.48 million with extensive use, R$6.76 million with limited use and R$8.78 million with none. The downside is shadow AI, unsanctioned AI tools used by staff. It was present in 20% of breaches and added about $670,000 to costs. Some 13% of organizations reported a breach involving an AI model or app, and 97% of those lacked AI access controls, according to Baker Donelson. In Brazil, shadow AI added R$591,400, and 87% of companies had no AI governance policy. Ransomware and breach volume The share of ransomware victims that refused to pay rose to 63% (2024: 59%). The Verizon DBIR 2025 found ransomware in 44% of breaches, per ASIS. In the US, the ITRC counted a record 3,322 data compromises in 2025, with 278.8 million victim notices; 70% of notices did not disclose the attack vector. What reduces the damage Detect and contain fast: lifecycle length is the main cost driver a company controls. Use automation and AI in defense, with governance. Adopt an AI use policy and access controls to curb shadow AI. Test an incident response plan with notification deadlines mapped. Manage third parties: their involvement in breaches doubled to 30% in the Verizon DBIR. Sources: - CyberScoop: IBM Cost of a Data Breach 2025: https://cyberscoop.com/ibm-cost-data-breach-2025/ - ABES: IBM Cost of a Data Breach 2025 Brasil: https://abes.org.br/en/?p=91703 - HIPAA Journal: average cost of a healthcare data breach 2025: https://www.hipaajournal.com/average-cost-of-a-healthcare-data-breach-2025/ - DeepStrike: cost of a data breach: https://deepstrike.io/blog/cost-of-a-data-breach - Baker Donelson: ten key insights from IBM's 2025 report: https://www.bakerdonelson.com/ten-key-insights-from-ibms-cost-of-a-data-breach-report-2025 - ITRC 2025 Annual Data Breach Report: https://www.wspa.com/wp-content/uploads/sites/53/2026/09/2025-ITRC-Annual-Data-Breach-Report.pdf - Enzuzo: biggest data breach fines and settlements: https://www.enzuzo.com/blog/biggest-data-breach-fines - Mayer Brown: ANPD data breach notification regulation: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - ASIS: Verizon DBIR 2025: https://www.asisonline.org/security-management-magazine/latest-news/today-in-security/2025/april/verizon-dbir-2025/ --- ## Quanto custa um vazamento de dados em 2025: Brasil, EUA e mundo URL: https://cybertarget.live/pt/artigos/quanto-custa-um-vazamento-de-dados-em-2025 Date: 2026-10-29 Pela primeira vez em cinco anos, o custo médio global de um vazamento de dados caiu. O estudo Cost of a Data Breach 2025, da IBM com o Ponemon Institute, calculou US$ 4,44 milhões por incidente, queda de 9% sobre os US$ 4,88 milhões de 2024. A média global, porém, esconde diferenças grandes entre países. Nos Estados Unidos, o custo subiu 9% e bateu recorde, chegando a US$ 10,22 milhões, segundo a CyberScoop. No Brasil, a edição local do estudo, divulgada pela ABES, apontou custo médio de R$ 7,19 milhões por violação. Brasil, EUA e mundo lado a lado Indicador (IBM 2025)Valor Custo médio globalUS$ 4,44 mi (−9%) Custo médio nos EUAUS$ 10,22 mi (+9%, recorde) Custo médio no BrasilR$ 7,19 mi Saúde (setor mais caro, global)US$ 7,42 mi Serviços financeiros (global)US$ 5,56 mi Ciclo médio para identificar e conter241 dias (2024: 258) O estudo brasileiro é publicado em reais e o global em dólares. Por isso, a comparação direta entre os dois valores exige cautela com o câmbio. Por que os EUA são tão mais caros O relatório não atribui a diferença a um único fator. Nos EUA pesam o custo de notificação a grandes bases de clientes, a resposta jurídica e as ações coletivas. Esse último ponto aparece nos acordos bilionários do país, como o da Equifax, de US$ 575 milhões a US$ 700 milhões em 2019. O ambiente regulatório americano também tem vários reguladores e dezenas de leis estaduais. Para onde vai o dinheiro Na média global, a IBM decompõe o custo em quatro blocos: Detecção e escalonamento: US$ 1,47 milhão; Negócios perdidos: US$ 1,38 milhão; Resposta pós-incidente: US$ 1,2 milhão; Notificação: cerca de US$ 390 mil. O ciclo para identificar e conter um incidente caiu para 241 dias, o menor em nove anos. Quanto mais curto esse ciclo, menor tende a ser a conta. O efeito da inteligência artificial A IA aparece nos dois lados da conta. Organizações que usam IA e automação de forma extensiva em segurança gastaram, em média, cerca de US$ 1,9 milhão a menos por violação e tiveram ciclo cerca de 80 dias menor, segundo a DeepStrike. No Brasil, o padrão se repete: uso extensivo de IA e automação: R$ 6,48 milhões; uso limitado: R$ 6,76 milhões; nenhum uso: R$ 8,78 milhões. O risco da "shadow AI" O lado negativo é a chamada shadow AI, ferramentas de IA usadas por funcionários sem aprovação da área de TI. Globalmente, ela esteve presente em 20% das violações e acrescentou cerca de US$ 670 mil ao custo. Do total de organizações, 13% relataram violação envolvendo modelo ou aplicação de IA; destas, 97% não tinham controle de acesso a IA, segundo a Baker Donelson. No Brasil, a shadow AI elevou o custo em R$ 591,4 mil. Além disso, 87% das empresas não tinham política de governança de IA e 61% não tinham controle de acesso a ferramentas de IA. Ransomware: mais empresas se recusam a pagar A parcela de vítimas de ransomware que não pagou o resgate subiu para 63%, contra 59% em 2024. O Verizon DBIR 2025 traz número parecido, com 64% das vítimas sem pagar, e mostra ransomware presente em 44% das violações analisadas, conforme a ASIS. Volume de vazamentos nos EUA O custo por incidente é só metade da história. O Identity Theft Resource Center (ITRC) contou 3.322 comprometimentos de dados nos EUA em 2025, recorde da série. Foram 278,8 milhões de notificações a vítimas, número bem menor que o de 2024, inflado por megavazamentos. Serviços financeiros (739) e saúde (534) lideraram. Em 70% das notificações, a empresa não informou o vetor do ataque, segundo o relatório do ITRC. O que reduz o prejuízo Detectar e conter rápido: o tempo do ciclo é o principal fator de custo sob controle da empresa. Automação e IA na defesa, com governança: as empresas que usam mais gastam menos. Política de uso de IA e controle de acesso às ferramentas, para evitar a shadow AI. Plano de resposta testado, com prazos de notificação mapeados. No Brasil, a ANPD exige comunicação em 3 dias úteis. Gestão de terceiros: o Verizon DBIR mostra que a participação de terceiros nas violações dobrou, para 30%. Sources: - CyberScoop: IBM Cost of a Data Breach 2025: https://cyberscoop.com/ibm-cost-data-breach-2025/ - ABES: IBM Cost of a Data Breach 2025 Brasil: https://abes.org.br/en/?p=91703 - HIPAA Journal: average cost of a healthcare data breach 2025: https://www.hipaajournal.com/average-cost-of-a-healthcare-data-breach-2025/ - DeepStrike: cost of a data breach: https://deepstrike.io/blog/cost-of-a-data-breach - Baker Donelson: ten key insights from IBM's 2025 report: https://www.bakerdonelson.com/ten-key-insights-from-ibms-cost-of-a-data-breach-report-2025 - ITRC 2025 Annual Data Breach Report: https://www.wspa.com/wp-content/uploads/sites/53/2026/09/2025-ITRC-Annual-Data-Breach-Report.pdf - Enzuzo: biggest data breach fines and settlements: https://www.enzuzo.com/blog/biggest-data-breach-fines - Mayer Brown: ANPD data breach notification regulation: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - ASIS: Verizon DBIR 2025: https://www.asisonline.org/security-management-magazine/latest-news/today-in-security/2025/april/verizon-dbir-2025/ --- ## Mule and pooled accounts: how crime exploits Brazilian fintechs URL: https://cybertarget.live/en/artigos/contas-laranja-e-contas-bolsao-em-fintechs Date: 2026-10-29 For organised crime, making money is only half the job; the other half is moving it without leaving a trail. In Brazil, two tools stand out: mule accounts ("contas laranja"), opened in or lent under someone else's name, and pooled accounts ("contas-bolsão"), in which a fintech moves many clients' funds through a single bank account without identifying each holder. The scale of mule accounts A Serasa Experian study published in March 2026 estimated that more than 2.6 million people or accounts showed signs of acting as mules in 2025, up 62% from 2023. Only 3.2% were detected by financial institutions. Operation Carbono Oculto Launched on 28 August 2025 by the federal tax authority, prosecutors and the Federal Police, the operation targeted a scheme linked to the PCC gang in the fuel sector. According to Blocktrends, one payment institution acting as a "parallel bank" moved R$46 billion between 2020 and 2024; 40 investment funds controlled by the group held about R$30 billion; and around 350 search warrants were served in eight states. A second phase on 29 May 2026 targeted six fintechs that had moved R$26 billion between 2022 and 2025, replacing those hit in the first round, according to BBC News Brasil. The scheme worked in layers: criminal cash entered fuel stations and distributors, passed through fintechs using pooled accounts, and ended up in investment funds that bought assets such as ethanol plants, trucks and real estate. The study also found that people who rarely use financial services were nine times riskier as potential mules, because they are slower to notice unusual activity. Pooled accounts made the problem worse: the bank only saw the fintech, not the individuals behind each transaction, which allowed legal and illegal money to mix (Diário do Grande ABC). In the second phase, investigators also identified R$365 million in crypto assets moved through the institutions, and the head of the tax authority described fintechs as the "entry point" for dirty money (BBC). Regulatory response Normative Instruction RFB 2,278 (August 2025) requires payment institutions to file the e-Financeira report, like banks (Correio Braziliense). Since September 2025, new payment institutions need Central Bank authorisation before operating (BBC). CMN Resolution 5,261 and BCB Resolution 518 (3 November 2025) require banks to close accounts used to provide financial services without legal backing, effective 1 December (Diário do Grande ABC). Law 15,397/2026, signed on 4 May 2026, makes lending a bank account to move criminal proceeds a crime punishable by one to five years in prison (Finsiders). Takeaways Money-laundering risk sits along the chain: banks serving fintechs, fintechs that do not segregate clients, and fund managers that do not identify beneficial owners. Individuals should never lend their accounts and can check the Central Bank's Registrato service for accounts opened in their name. Sources: - Blocktrends – Receita Federal e PF miram fintechs e fundos em megaoperação (Carbono Oculto): https://blocktrends.com.br/receita-federal-e-pf-miram-fintechs-e-fundos-em-megaoperacao/ - Correio Braziliense – Receita iguala tratamento de fintechs ao de bancos (IN RFB 2.278/2025): https://www.correiobraziliense.com.br/economia/2025/08/7237216-receita-iguala-tratamento-de-fintechs-ao-de-bancos-apos-operacao.html - BBC News Brasil via O POVO – Por que fintechs viraram meio 'fácil' de lavar dinheiro: https://www.opovo.com.br/agencia/bbc/2026/06/09/crime-organizado-na-faria-lima-por-que-fintechs-viraram-meio-facil-de-lavar-dinheiro.html - Diário do Grande ABC – BC lança regras para acabar com o uso de contas-bolsão: https://www.dgabc.com.br/Noticia/4266950/bc-lanca-regras-para-acabar-com-o-uso-de-contas-bolsao - Serasa Experian – Contas laranja potenciais crescem mais de 60% em dois anos: https://www.serasaexperian.com.br/sala-de-imprensa/prevencao-a-fraude/contas-laranja-potenciais-crescem-mais-de-60-em-dois-anos-no-brasil-aponta-estudo-da-serasa-experian/ - Finsiders Brasil – Nova lei de golpes e fraudes digitais e contas laranjas (Lei 15.397/2026): https://finsidersbrasil.com.br/noticias-sobre-fintechs/fraudes/nova-lei-golpes-fraudes-digitais-e-contas-laranjas/%20 --- ## Contas laranja e contas-bolsão: como o crime usa fintechs no Brasil URL: https://cybertarget.live/pt/artigos/contas-laranja-e-contas-bolsao-em-fintechs Date: 2026-10-29 Para o crime organizado, o desafio não é só ganhar dinheiro, mas fazê-lo circular sem deixar rastro. No Brasil, duas peças ganharam destaque nesse quebra-cabeça: as contas laranja, abertas ou cedidas em nome de terceiros, e as contas-bolsão, estruturas em que uma fintech movimenta recursos de muitos clientes misturados numa única conta bancária. A Operação Carbono Oculto, de agosto de 2025, expôs como esses mecanismos funcionam em escala bilionária e acelerou mudanças regulatórias. O que são contas laranja A conta laranja é um CPF usado para esconder o verdadeiro beneficiário de um golpe ou de um esquema de lavagem. O titular pode nem saber que a conta existe (aberta com dados vazados) ou pode "alugá-la" em troca de pagamento. Um estudo da Serasa Experian publicado em março de 2026 estimou que, em 2025, mais de 2,6 milhões de pessoas ou contas apresentavam sinais de atuar como laranja, alta de 62% sobre 2023. Apenas 3,2% desses perfis foram detectados pelas instituições financeiras. Ainda segundo o estudo, transações associadas a esses perfis representaram cerca de 2% das operações Pix em 2025, perto de 1,2 bilhão de transações. O levantamento também indica que perfis com pouco uso de serviços financeiros eram nove vezes mais arriscados, porque seus titulares tendem a demorar mais para perceber movimentações estranhas. O que são contas-bolsão Na conta-bolsão, uma fintech abre conta num banco e ali concentra o dinheiro de todos os seus clientes, sem separação por titular. Para quem fiscaliza, o banco enxerga apenas a fintech, não as pessoas por trás das transações. O Banco Central descreveu a prática como o uso de recursos para pagar e receber em nome de terceiros com o objetivo de ocultar obrigações financeiras desses terceiros, segundo o Diário do Grande ABC. A brecha permitia misturar dinheiro lícito e ilícito, conforme a cobertura da operação feita pelo Blocktrends. Carbono Oculto: o caso que mudou o debate Deflagrada em 28 de agosto de 2025 pela Receita Federal, Ministério Público, Polícia Federal e outros órgãos, a Carbono Oculto mirou um esquema ligado ao PCC no setor de combustíveis. Segundo o Blocktrends, foram cumpridos cerca de 350 mandados de busca em oito estados, e os números divulgados impressionam: Indicador (2020–2024)Valor Movimentação de uma instituição de pagamento usada como "banco paralelo"R$ 46 bilhões Movimentação de mais de mil postos em dez estadoscerca de R$ 52 bilhões Fundos de investimento controlados pelo grupo40, com cerca de R$ 30 bilhões Depósitos em espécie na fintech10,9 mil, somando R$ 61 milhões Bens bloqueadosR$ 1 bilhão A lógica era em camadas: dinheiro do crime entrava em postos e distribuidoras, passava por fintechs com contas-bolsão e terminava em fundos de investimento que compravam ativos como usinas, caminhões e imóveis. Fluxo Oculto: a segunda fase Em 29 de maio de 2026, a segunda fase, batizada de Fluxo Oculto, mirou seis fintechs e quatro fundos, com 59 mandados de busca. Segundo reportagem da BBC News Brasil, as seis fintechs movimentaram R$ 26 bilhões entre 2022 e 2025 e haviam substituído as três instituições atingidas na primeira fase. A investigação identificou ainda R$ 365 milhões em criptoativos. Para o secretário da Receita, Robinson Barreirinhas, a fintech é "a porta de entrada" do dinheiro sujo. O que mudou na regulação Fintechs equiparadas a bancos na Receita: a Instrução Normativa RFB nº 2.278, publicada em 29 de agosto de 2025, passou a exigir que instituições de pagamento entreguem a e-Financeira, como os bancos (Correio Braziliense). Autorização prévia: em setembro de 2025, o Banco Central passou a exigir autorização formal antes do início das operações de novas instituições de pagamento (BBC). Fim das contas-bolsão: a Resolução CMN 5.261 e a Resolução BCB 518, de 3 de novembro de 2025, obrigam bancos a encerrar contas usadas para prestar serviços financeiros sem respaldo legal, com efeito a partir de 1º de dezembro e guarda de documentos por dez anos (Diário do Grande ABC). Cripto: a Receita criou a DeCripto, com relatórios mensais de prestadores de ativos virtuais (BBC). Crime de ceder conta: a Lei 15.397/2026, sancionada em 4 de maio de 2026, tipifica a cessão de conta bancária para movimentar recursos de crimes, gratuita ou remunerada, com pena de 1 a 5 anos de reclusão e multa (Finsiders). Lições para instituições e empresas Os casos mostram que o risco de lavagem não está apenas no cliente final, mas na cadeia: bancos que oferecem contas a fintechs, fintechs que não segregam clientes e gestores de fundos que não identificam o beneficiário final. Na prática, isso exige conhecer o cliente do cliente, monitorar padrões de depósito em espécie e checar a coerência entre faturamento declarado e movimentação. O que fazer Nunca empreste ou "alugue" sua conta. Desde maio de 2026 isso é crime, mesmo sem pagamento. Consulte o Registrato, do Banco Central, para ver se há contas abertas no seu CPF que você não reconhece. Desconfie de ofertas de renda fácil para "receber transferências" em sua conta. Empresas: revise políticas de PLD/FT para parceiros de pagamento e exija transparência sobre a estrutura de contas. Sources: - Blocktrends – Receita Federal e PF miram fintechs e fundos em megaoperação (Carbono Oculto): https://blocktrends.com.br/receita-federal-e-pf-miram-fintechs-e-fundos-em-megaoperacao/ - Correio Braziliense – Receita iguala tratamento de fintechs ao de bancos (IN RFB 2.278/2025): https://www.correiobraziliense.com.br/economia/2025/08/7237216-receita-iguala-tratamento-de-fintechs-ao-de-bancos-apos-operacao.html - BBC News Brasil via O POVO – Por que fintechs viraram meio 'fácil' de lavar dinheiro: https://www.opovo.com.br/agencia/bbc/2026/06/09/crime-organizado-na-faria-lima-por-que-fintechs-viraram-meio-facil-de-lavar-dinheiro.html - Diário do Grande ABC – BC lança regras para acabar com o uso de contas-bolsão: https://www.dgabc.com.br/Noticia/4266950/bc-lanca-regras-para-acabar-com-o-uso-de-contas-bolsao - Serasa Experian – Contas laranja potenciais crescem mais de 60% em dois anos: https://www.serasaexperian.com.br/sala-de-imprensa/prevencao-a-fraude/contas-laranja-potenciais-crescem-mais-de-60-em-dois-anos-no-brasil-aponta-estudo-da-serasa-experian/ - Finsiders Brasil – Nova lei de golpes e fraudes digitais e contas laranjas (Lei 15.397/2026): https://finsidersbrasil.com.br/noticias-sobre-fintechs/fraudes/nova-lei-golpes-fraudes-digitais-e-contas-laranjas/%20 --- ## Ransomware in Brazil's government and healthcare: 2024–2026 cases URL: https://cybertarget.live/en/artigos/ransomware-governo-e-saude-no-brasil-casos-2024-2026 Date: 2026-10-28 Between 2024 and 2026, ransomware moved from being a corporate problem to a recurring threat to Brazilian public services and healthcare. This roundup covers cases publicly confirmed by victims or reported on the basis of investigations. The trend Citing data from CTIR Gov, the federal incident response centre, ESET reported that incidents against public bodies in seven months of 2025 exceeded the annual totals for 2021, 2022 and 2023 (WeLiveSecurity). Check Point placed Brazil among the ten countries most hit by ransomware in Q1 2026, with 2% of global victims (IT Forum). A Sophos survey of 71 Brazilian IT leaders found that 56% of attacks led to data encryption and the average recovery cost, excluding ransom, was US$1.05 million (Sophos). Local government Itu (SP), August 2024: internal systems corrupted in an attack attributed to Phobos; staff reverted to manual work (Baguete). Ponta Grossa (PR), August 2024: servers shut down as a defensive measure (Baguete). Ivinhema (MS), March 2025: taxpayer data encrypted and a US$1 million ransom demanded; a second attack followed hours after restoration (Campo Grande News). Porto Nacional (TO), June 2025: systems offline; daily backups allowed recovery of about 20 TB (Conexão Tocantins). São José do Rio Preto (SP), June 2025: the attack also cut phone access to emergency and primary care services (WeLiveSecurity). Healthcare On 6 October 2024, the Hospital da Criança de Brasília shut down all systems after an attack police classified as ransomware, and switched to contingency procedures (Jornal de Brasília). In September 2025, the KillSec group claimed theft of more than 34 GB and about 95,000 files, including lab results and X-rays, from MedicSolution, a clinic software provider; researchers said the data sat in misconfigured cloud storage (Convergência Digital). In the pharmacy sector, the Gunra group claimed an attack on Grupo Jorge Batista (Farmácias Globo) in Piauí, which left the chain unable to process orders or record sales and was accompanied by a threat to delete data if no ransom was paid (WeLiveSecurity). In Paranhos (MS), attackers demanded R$12,000 to release encrypted files; the city said daily backups preserved its database. In June 2025, the Federal Police also launched Operation Timeout against groups behind attacks on public institutions. A common thread runs through these cases: small and mid-sized public bodies with limited IT teams, legacy systems and services that citizens depend on daily, such as tax invoices, property tax payments and appointment scheduling. When those systems stop, staff fall back on paper, and residents become targets for follow-up scams that use the stolen data. Supply-chain risk In August 2026, more than 20 municipal bodies in Espírito Santo had portals defaced by the BLCKORDER group after a shared IT provider was compromised. It was not ransomware, but it shows the same concentration risk (ES Hoje). Lessons Offline, daily backups made the difference in Porto Nacional and Paranhos. Third-party providers are the weakest link. Cloud misconfiguration can expose data without any intrusion. Manual contingency plans keep hospitals running. Sources: - Baguete – Ponta Grossa foi alvo de ataque de ransomware: https://www.baguete.com.br/noticias/ponta-grossa-foi-alvo-de-ataque-de-ransomware - Baguete – Itu sofre ataque de ransomware: https://www.baguete.com.br/noticias/itu-sofre-ataque-de-ransomware - Jornal de Brasília – PCDF investiga ataque hacker ao sistema do HCB: https://jornaldebrasilia.com.br/brasilia/pcdf-investiga-ataque-hacker-ao-sistema-do-hcb/ - Campo Grande News – Hackers invadem sistema de prefeitura e exigem US$ 1 milhão: https://www.campograndenews.com.br/cidades/interior/hackers-invadem-sistema-de-prefeitura-e-exigem-us-1-milhao-para-liberar-dados - Conexão Tocantins – Prefeitura é alvo de ataque hacker e sistemas saem do ar: https://conexaoto.com.br/2025/06/24/prefeitura-e-alvo-de-ataque-hacker-e-sistemas-saem-do-ar - ESET WeLiveSecurity – Ciberataques no Brasil em 2025: prejuízos e falhas expostas: https://www.welivesecurity.com/pt/seguranca-digital/ciberataques-no-brasil-em-2025-prejuizos-e-falhas-expostas/ - Convergência Digital – Ransomware KillSec ataca saúde no Brasil: https://convergenciadigital.com.br/seguranca/ransomware-killsec-ataca-saude-no-brasil-e-captura-34-gb-de-exames-prontuarios-e-imagens/ - ES Hoje – Invasão hacker em prefeituras do ES: o que se sabe: https://eshoje.com.br/policia/2026/08/invasao-hacker-prefeituras/ - Sophos – The State of Ransomware in Brazil 2026: https://assets.sophos.com/X24WTUEQ/at/bt7qprp98n75kcjnxfw4c35/sophos-state-of-ransomware-in-brazil-2026.pdf - IT Forum – Brasil entra na lista dos países mais afetados por ransomware no início de 2026 (Check Point): https://itforum.com.br/?p=9623233 --- ## Ransomware em governo e saúde no Brasil: casos públicos 2024–2026 URL: https://cybertarget.live/pt/artigos/ransomware-governo-e-saude-no-brasil-casos-2024-2026 Date: 2026-10-28 Prefeituras sem sistema para emitir nota fiscal, hospitais desligando servidores para conter o estrago, dados de pacientes ameaçados de exposição. Entre 2024 e 2026, o ransomware deixou de ser um problema restrito a grandes empresas e passou a atingir com frequência serviços públicos e a saúde no Brasil. Este levantamento reúne casos que foram confirmados publicamente pelas vítimas ou noticiados com base em investigações, sem pretensão de ser exaustivo. Um problema que cresce no setor público Segundo a ESET, com base em dados do CTIR Gov (o centro de resposta a incidentes do governo federal), os incidentes contra órgãos públicos em sete meses de 2025 superaram os totais anuais de 2021, 2022 e 2023 (WeLiveSecurity). Em junho de 2025, a Polícia Federal deflagrou a Operação Timeout contra grupos responsáveis por ataques a instituições públicas. No cenário mais amplo, a Check Point colocou o Brasil entre os dez países mais atingidos por ransomware no primeiro trimestre de 2026, com 2% das vítimas globais (IT Forum). Já a pesquisa da Sophos com 71 líderes de TI no Brasil, feita entre janeiro e março de 2026, indicou que 56% dos ataques resultaram em criptografia de dados e que o custo médio de recuperação, sem contar resgate, foi de US$ 1,05 milhão (Sophos). Casos públicos em prefeituras e órgãos de governo DataVítimaO que aconteceu Ago/2024Prefeitura de Itu (SP)Ransomware atribuído ao Phobos (variante Faust); sistemas internos corrompidos e atendimento manual Ago/2024Prefeitura de Ponta Grossa (PR)Ransomware; servidores desligados e serviços parcialmente suspensos Mar/2025Prefeitura de Ivinhema (MS)Ransomware nos setores tributário e contábil; resgate de US$ 1 milhão exigido Jun/2025Prefeitura de Porto Nacional (TO)Ransomware; sistemas fora do ar e cerca de 20 TB a restaurar Jun/2025Prefeitura de São José do Rio Preto (SP)Ataque a servidores; impacto em telefonia de Samu, UPAs e UBSs 2025Prefeitura de Paranhos (MS)Ransomware com pedido de R$ 12 mil; backups preservaram dados Itu e Ponta Grossa Em agosto de 2024, a Prefeitura de Itu teve os sistemas hospedados em servidores internos corrompidos. A equipe de TI retirou o servidor principal da rede, e os criminosos pediram pagamento em criptomoeda, segundo o Baguete, que atribuiu o ataque ao Phobos. No mesmo mês, Ponta Grossa desligou seus servidores como medida defensiva e funcionários passaram a trabalhar manualmente; a prefeitura afirmou que registros fiscais e jurídicos foram preservados (Baguete). Ivinhema e Porto Nacional Em Ivinhema, o ataque de 2 de março de 2025 criptografou dados de contribuintes, e um segundo ataque ocorreu horas depois da restauração. Emissão de nota fiscal eletrônica e IPTU online foram afetados, e a prefeitura alertou moradores para possíveis golpes (Campo Grande News). Em Porto Nacional, em junho de 2025, os criminosos também ameaçaram expor dados pessoais; a gestão afirmou que um sistema de backup diário permitiu a restauração (Conexão Tocantins). Saúde: hospitais e a cadeia de fornecedores Em 6 de outubro de 2024, o Hospital da Criança de Brasília (HCB) desligou todos os sistemas para proteger seus bancos de dados após um ataque que a Polícia Civil do DF classificou como ransomware, embora sem pedido claro de resgate. O hospital acionou planos de contingência para reduzir impacto no atendimento (Jornal de Brasília). Em junho de 2025, o ataque à Prefeitura de São José do Rio Preto deixou a população sem acesso por telefone a serviços como Samu, UPAs e UBSs (WeLiveSecurity). No varejo farmacêutico, o grupo Gunra reivindicou ataque ao Grupo Jorge Batista (Farmácias Globo), no Piauí, que ficou com a operação fora do ar. O caso mais revelador sobre a cadeia de fornecedores foi o da MedicSolution, fornecedora de software de gestão para clínicas. Em setembro de 2025, o grupo KillSec reivindicou o roubo de mais de 34 GB e cerca de 95 mil arquivos, incluindo exames, raios-X e imagens de pacientes. Segundo a Resecurity, os dados estavam em buckets de nuvem mal configurados, e dezenas de clínicas e laboratórios poderiam ser afetados (Convergência Digital). Quando não é ransomware Nem todo ataque a governo é sequestro de dados. Em agosto de 2026, mais de 20 prefeituras e câmaras do Espírito Santo tiveram portais desfigurados pelo grupo BLCKORDER, que alegou ter roubado dados. A porta de entrada foi uma consultoria que hospedava portais e softwares de gestão para vários municípios (ES Hoje). O padrão se repete: um fornecedor comprometido afeta dezenas de clientes. Lições dos casos Backups funcionam: Porto Nacional e Paranhos só se recuperaram porque tinham cópias diárias. Elas devem ficar isoladas da rede principal. Fornecedores são o elo fraco: MedicSolution e o caso capixaba mostram o risco concentrado em prestadores. Configuração de nuvem: dados expostos sem proteção dispensam até a invasão. Plano de contingência: o HCB manteve o atendimento porque tinha procedimentos manuais preparados. Comunicação: avisar a população sobre possíveis golpes após o vazamento reduz danos. O que fazer se seus dados foram expostos Desconfie de ligações e mensagens que citem seus dados de cadastro municipal ou exames. Não pague boletos ou taxas recebidos por canais não oficiais. Consulte o Registrato do Banco Central para checar contas no seu CPF. Você pode pedir ao órgão ou empresa informações sobre o incidente, direito garantido pela LGPD. Sources: - Baguete – Ponta Grossa foi alvo de ataque de ransomware: https://www.baguete.com.br/noticias/ponta-grossa-foi-alvo-de-ataque-de-ransomware - Baguete – Itu sofre ataque de ransomware: https://www.baguete.com.br/noticias/itu-sofre-ataque-de-ransomware - Jornal de Brasília – PCDF investiga ataque hacker ao sistema do HCB: https://jornaldebrasilia.com.br/brasilia/pcdf-investiga-ataque-hacker-ao-sistema-do-hcb/ - Campo Grande News – Hackers invadem sistema de prefeitura e exigem US$ 1 milhão: https://www.campograndenews.com.br/cidades/interior/hackers-invadem-sistema-de-prefeitura-e-exigem-us-1-milhao-para-liberar-dados - Conexão Tocantins – Prefeitura é alvo de ataque hacker e sistemas saem do ar: https://conexaoto.com.br/2025/06/24/prefeitura-e-alvo-de-ataque-hacker-e-sistemas-saem-do-ar - ESET WeLiveSecurity – Ciberataques no Brasil em 2025: prejuízos e falhas expostas: https://www.welivesecurity.com/pt/seguranca-digital/ciberataques-no-brasil-em-2025-prejuizos-e-falhas-expostas/ - Convergência Digital – Ransomware KillSec ataca saúde no Brasil: https://convergenciadigital.com.br/seguranca/ransomware-killsec-ataca-saude-no-brasil-e-captura-34-gb-de-exames-prontuarios-e-imagens/ - ES Hoje – Invasão hacker em prefeituras do ES: o que se sabe: https://eshoje.com.br/policia/2026/08/invasao-hacker-prefeituras/ - Sophos – The State of Ransomware in Brazil 2026: https://assets.sophos.com/X24WTUEQ/at/bt7qprp98n75kcjnxfw4c35/sophos-state-of-ransomware-in-brazil-2026.pdf - IT Forum – Brasil entra na lista dos países mais afetados por ransomware no início de 2026 (Check Point): https://itforum.com.br/?p=9623233 --- ## Ransomware 2025–2026: most active gangs, top countries and Brazil URL: https://cybertarget.live/en/artigos/ransomware-2025-2026-grupos-paises-brasil Date: 2026-10-28 Ransomware, which locks systems or steals data and demands payment, had its most intense year on record in 2025. Methodologies vary, but they agree on direction. Searchlight Cyber counted 7,458 victims on leak sites and 124 active groups, 73 of them new, per TechRadar. NTT Data counted 8,159; GuidePoint recorded a 58% increase and a record Q4 2025 with 2,287 victims. Most active groups Qilin dominated with 946 victims (NTT) or 1,044 (GuidePoint), followed by Akira with 717. Cl0p, Play, INC Ransom, SafePay, Lynx, RansomHub, DragonForce and Babuk2 completed NTT's top 10. In December 2025, Check Point put Qilin at 18% of victims, LockBit 5.0 at 12% and Akira at 7%; that month saw 945 victims (+60% year on year), 52% in North America. Most targeted countries and Brazil The US leads by far: 1,536 victims in 2025 by Searchlight's count (Ransomware.live: 3,926), followed by Canada (182), Germany (167) and the UK (131). ISH Tecnologia counted 7,410 confirmed corporate victims worldwide (+17.8%) and ranked Brazil 9th globally, per Estado de Minas. In June 2026, Ransomware.live ranked Brazil 3rd with 23 victims, behind the US (199) and Germany (49); Mexico had 14, per TI Inside. Kaspersky blocked 549,000 ransomware attempts in Brazil between August 2024 and June 2025 (+12%), more than half of Latin America's total. Monthly 2026 data from Ransomware.live show a high, steady pace: 702 victims in January, 870 in April and 708 in June. To pay or not to pay IndicatorGlobal (Sophos 2025)Brazil (Sophos 2026) Median ransom$1m paid (2024: $2m)$640k demanded (2025: $392.5k) Recovery cost, excl. ransom$1.53m$1.05m Paid and recovered data~50% paid45% (2025: 66%) In Brazil, malicious email was the root cause in 37% of cases, the highest among all countries in the Sophos study. The Verizon DBIR 2025 found ransomware in 88% of SMB breaches, with a median paid ransom of $115,000. Reducing the risk Train staff against malicious email and phishing. Patch edge devices and VPNs, an increasingly common entry point. Enforce multi-factor authentication on remote and admin access. Keep isolated, tested backups: being able to restore is what lets you refuse to pay. Prepare a response plan including regulator notification deadlines. Sources: - TechRadar / Searchlight Cyber: ransomware H2 2025: https://techradar.com/pro/security/an-all-time-high-number-of-ransomware-groups-exploded-in-2025-as-victim-growth-rate-doubled-with-qilin-dominating-the-landscape - Picus Security / NTT Data: top 10 ransomware groups of 2025: https://www.picussecurity.com/resource/blog/top-10-ransomware-groups-of-2025 - GuidePoint Security: GRIT 2026 Report: https://www.guidepointsecurity.com/newsroom/ransomware-hits-record-high-as-qilin-tops-threat-list/ - Estado de Minas / ISH Tecnologia: ransomware avança 17,8%: https://www.em.com.br/mundo-corporativo/2026/07/7469195-ransomware-avanca-178-e-mira-o-brasil-e-toda-a-latam.html - IT Edge News / Check Point: dezembro de 2025: https://www.itedgenews.africa/ransomware-surges-genai-fuels-data-exposure-as-global-cyber-attacks-intensify-check-point-report/ - TI Inside / Ransomware.live: Brasil entre os 10 países: https://tiinside.com.br/14/07/2026/brasil-entra-na-lista-dos-10-paises-com-mais-ataques-ransomware/ - Hardware.com.br / Kaspersky: Brasil é alvo número 1 na América Latina: https://www.hardware.com.br/tecnologia/brasil-e-alvo-numero-1-de-ransomware-na-america-latina-em-2025/amp/ - Sophos: State of Ransomware 2025: https://www.sophos.com/en-us/press/press-releases/2025/06/nearly-half-companies-opt-pay-ransom-sophos-report-finds - Sophos: State of Ransomware in Brazil 2026: https://assets.sophos.com/X24WTUEQ/at/bt7qprp98n75kcjnxfw4c35/sophos-state-of-ransomware-in-brazil-2026.pdf - FBI IC3, 2025 Internet Crime Report (cópia do PDF, Finsiders): https://uploads.finsidersbrasil.com.br/2026/04/2025_IC3Report.pdf - Mayer Brown: ANPD data breach notification regulation: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - Verizon DBIR 2025 (press release via Officer.com): https://www.officer.com/command-hq/technology/press-release/55285605/verizon-wireless-verizons-2025-data-breach-investigations-report-alarming-surge-in-cyberattacks-through-third-parties --- ## Ransomware 2025–2026: grupos mais ativos, países e onde está o Brasil URL: https://cybertarget.live/pt/artigos/ransomware-2025-2026-grupos-paises-brasil Date: 2026-10-28 O ransomware, ataque que sequestra sistemas ou dados e cobra resgate, teve em 2025 o ano mais intenso já registrado. As medições variam conforme a metodologia, mas todas apontam na mesma direção. A Searchlight Cyber contou 7.458 vítimas divulgadas em sites de vazamento e 124 grupos ativos, 73 deles novos, segundo o TechRadar. A NTT Data chegou a 8.159 vítimas. A GuidePoint registrou alta de 58% e o maior trimestre da série no 4º trimestre de 2025, com 2.287 vítimas. Os grupos mais ativos Um nome dominou o ano: Qilin. O grupo somou 946 vítimas pela contagem da NTT e 1.044 pela da GuidePoint. Em seguida veio o Akira, com 717 vítimas segundo a NTT. GrupoVítimas em 2025Fonte Qilin946 / 1.044NTT / GuidePoint Akira717NTT Cl0p, Play, INC Ransom, SafePay, Lynx, RansomHub, DragonForce, Babuk2completam o top 10NTT (via Picus) Em dezembro de 2025, a Check Point mediu a participação de cada grupo nas vítimas do mês: Qilin com 18%, LockBit 5.0 com 12% e Akira com 7%. Naquele mês houve 945 vítimas, 60% a mais que um ano antes. A América do Norte concentrou 52% delas e a Europa, 23%. O FBI confirma o retrato. Entre as variantes mais reportadas ao IC3 em 2025 estão Akira, Qilin, INC/Lynx, BianLian, Play, RansomHub, LockBit, DragonForce, SafePay e Medusa. Os países mais atacados Os Estados Unidos lideram com folga. Pela metodologia da Searchlight, foram 1.536 vítimas em 2025, seguidos por Canadá (182), Alemanha (167) e Reino Unido (131). O Ransomware.live, que usa outra base, chega a 3.926 vítimas nos EUA no ano. Onde está o Brasil O Brasil aparece entre os dez mais atacados do mundo: A ISH Tecnologia contou 7.410 empresas vítimas confirmadas no mundo em 2025 (+17,8%) e colocou o Brasil em 9º lugar global, segundo o Estado de Minas. Em junho de 2026, o Ransomware.live colocou o Brasil em 3º lugar, com 23 vítimas. O país ficou atrás apenas de EUA (199) e Alemanha (49), à frente de Reino Unido (21) e Índia (20). O México apareceu com 14, conforme a TI Inside. Em tentativas bloqueadas, que não são vítimas, a Kaspersky registrou 549 mil ataques de ransomware contra o Brasil entre agosto de 2024 e junho de 2025 (+12%). São 1.664 por dia e mais da metade do total da América Latina. O México vem em seguida, com 237 mil. 2026: ritmo alto, sem pico Os dados mensais do Ransomware.live para 2026 mostram volume alto e estável. Foram 702 vítimas em janeiro, 784 em fevereiro, 844 em março, 870 em abril, 791 em maio e 708 em junho. Não há sinal de retração, e os incidentes de grande impacto continuaram ao longo do ano. Um dos sinais da fragmentação do mercado criminoso é o número de grupos. A GuidePoint contou 124 grupos ativos em 2025, alta de 46%. Isso inclui marcas novas que surgem quando operações antigas são desmanteladas ou se dividem. Para as empresas, o efeito prático é que bloquear um grupo específico importa menos do que fechar as portas de entrada que todos usam: credenciais vazadas, vulnerabilidades sem correção e e-mails maliciosos. Pagar ou não pagar As pesquisas com empresas mostram resgates em queda no mundo, mas não no Brasil. IndicadorGlobal (Sophos 2025)Brasil (Sophos 2026) Resgate medianoUS$ 1 mi pago (2024: US$ 2 mi)US$ 640 mil pedido (2025: US$ 392,5 mil) Custo de recuperação, sem o resgateUS$ 1,53 miUS$ 1,05 mi Pagou e recuperou os dadoscerca de 50% pagaram45% (2025: 66%) No Brasil, o e-mail malicioso foi a causa raiz em 37% dos casos, o maior índice entre todos os países do estudo da Sophos. Vulnerabilidades exploradas responderam por 24% e phishing por 18%. O Verizon DBIR 2025 encontrou ransomware em 88% das violações em pequenas e médias empresas, com resgate mediano pago de US$ 115 mil. No total, 64% das vítimas não pagaram. Como reduzir o risco Treine contra e-mail malicioso e phishing, a principal porta de entrada no Brasil. Corrija vulnerabilidades em equipamentos de borda e VPN, alvo crescente dos ataques. Use autenticação multifator em todos os acessos remotos e administrativos. Mantenha backups isolados e testados. A capacidade de restaurar é o que permite recusar o resgate. Tenha um plano de resposta que inclua a comunicação à ANPD em 3 dias úteis quando houver dados pessoais envolvidos. Sources: - TechRadar / Searchlight Cyber: ransomware H2 2025: https://techradar.com/pro/security/an-all-time-high-number-of-ransomware-groups-exploded-in-2025-as-victim-growth-rate-doubled-with-qilin-dominating-the-landscape - Picus Security / NTT Data: top 10 ransomware groups of 2025: https://www.picussecurity.com/resource/blog/top-10-ransomware-groups-of-2025 - GuidePoint Security: GRIT 2026 Report: https://www.guidepointsecurity.com/newsroom/ransomware-hits-record-high-as-qilin-tops-threat-list/ - Estado de Minas / ISH Tecnologia: ransomware avança 17,8%: https://www.em.com.br/mundo-corporativo/2026/07/7469195-ransomware-avanca-178-e-mira-o-brasil-e-toda-a-latam.html - IT Edge News / Check Point: dezembro de 2025: https://www.itedgenews.africa/ransomware-surges-genai-fuels-data-exposure-as-global-cyber-attacks-intensify-check-point-report/ - TI Inside / Ransomware.live: Brasil entre os 10 países: https://tiinside.com.br/14/07/2026/brasil-entra-na-lista-dos-10-paises-com-mais-ataques-ransomware/ - Hardware.com.br / Kaspersky: Brasil é alvo número 1 na América Latina: https://www.hardware.com.br/tecnologia/brasil-e-alvo-numero-1-de-ransomware-na-america-latina-em-2025/amp/ - Sophos: State of Ransomware 2025: https://www.sophos.com/en-us/press/press-releases/2025/06/nearly-half-companies-opt-pay-ransom-sophos-report-finds - Sophos: State of Ransomware in Brazil 2026: https://assets.sophos.com/X24WTUEQ/at/bt7qprp98n75kcjnxfw4c35/sophos-state-of-ransomware-in-brazil-2026.pdf - FBI IC3, 2025 Internet Crime Report (cópia do PDF, Finsiders): https://uploads.finsidersbrasil.com.br/2026/04/2025_IC3Report.pdf - Mayer Brown: ANPD data breach notification regulation: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - Verizon DBIR 2025 (press release via Officer.com): https://www.officer.com/command-hq/technology/press-release/55285605/verizon-wireless-verizons-2025-data-breach-investigations-report-alarming-surge-in-cyberattacks-through-third-parties --- ## Brazil's LGPD in practice: what the ANPD enforces and how to comply URL: https://cybertarget.live/en/artigos/lgpd-na-pratica-o-que-a-anpd-fiscaliza Date: 2026-10-27 Brazil's General Data Protection Law (LGPD) has entered a more practical phase. The National Data Protection Authority (ANPD) has issued regulations that spell out what companies must do, and it plans to step up enforcement. More enforcement in 2026–2027 The ANPD's priority map for 2026–2027, approved at the end of 2025, foresees a 25% increase in enforcement actions, according to Convergência Digital. The four priority areas are data subjects' rights (health, financial and biometric data; targeted advertising), children and adolescents (under Law 15,211/2025), the public sector, and artificial intelligence, which has its own chapter for the first time. The authority says it now has the institutional maturity to move from a mainly advisory stance to stronger enforcement. Provisional Measure 1,317/2025, which turned the ANPD into an independent regulatory agency, provides for 218 positions in a new career of data protection regulation specialists. Telecommunications, data aggregators and digital platforms are no longer stand-alone priorities; platforms will be examined when their processing touches one of the four main themes. In the children's chapter, the ANPD plans its first structured oversight cycle of platforms and services, looking at privacy by design, age assurance and excessive data retention. In the AI chapter, it will look at profiling, algorithmic opacity and facial recognition in both the public and private sectors. Regulations in force Resolution 4/2023 (sanctions): nine sanctions, from warnings to processing bans; simple fines up to 2% of revenue, capped at R$50 million per infraction (Mobile Time). Resolution 15/2024 (security incidents): notify the ANPD and data subjects within three business days when an incident may significantly affect people and involves sensitive, children's, financial, authentication, confidential or large-scale data; keep records of all incidents for five years (Cescon Barrieu). Resolution 18/2024 (DPO): formal appointment and public disclosure of the DPO's identity and contact details (Lefosse). Resolution 19/2024 (international transfers): since 23 August 2025, contract-based transfers must use the ANPD's standard clauses or ANPD-approved specific clauses (Lefosse). For incidents, the clock starts when the controller learns that personal data were affected, not when it concludes that the risk is relevant. Initial notices can be supplemented within 20 business days, and small processing agents get double the time. Notices must describe the data affected, the number of people involved (including children and older adults), the risks, the mitigation measures and the DPO's contact details. A compliance checklist Map personal data flows and their legal bases. Formally appoint a DPO and publish contact details. Update supplier contracts and adopt Brazil's standard clauses for transfers abroad. Build an incident response plan that can meet the three-business-day deadline. Keep an incident log for five years. Set up a process for data subject requests. Prioritise health, financial, biometric and children's data, and any AI-driven profiling. Sanction criteria reward good faith, cooperation, governance programmes and swift corrective action, so documented compliance pays off if the regulator knocks. Sources: - Convergência Digital – ANPD: mais funcionários, mais aperto na fiscalização (12/01/2026): https://convergenciadigital.com.br/governo/anpd-mais-funcionarios-mais-aperto-na-fiscalizacao-biometria-ia-e-poder-publico-sao-prioridades/ - Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança: https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/ - Mobile Time – ANPD publica regulamento de dosimetria e aplicação de sanções: https://www.mobiletime.com.br/noticias/27/02/2023/anpd-publica-regulamento-de-dosimetria-e-aplicacoes-de-sancoes-da-lgpd/ - Lefosse – ANPD publica regulamento sobre a atuação do encarregado (DPO): https://lefosse.com/noticias/anpd-publica-regulamento-sobre-a-atuacao-do-encarregado-de-protecao-de-dados-data-protection-officer-dpo - Lefosse – Prazo para adoção das cláusulas-padrão da ANPD se encerra em 23 de agosto: https://lefosse.com/noticias/transferencia-internacional-de-dados-prazo-para-adocao-das-clausulas-padrao-da-anpd-se-encerra-em-23-de-agosto/ --- ## LGPD na prática: o que a ANPD fiscaliza e como se adequar URL: https://cybertarget.live/pt/artigos/lgpd-na-pratica-o-que-a-anpd-fiscaliza Date: 2026-10-27 Em vigor desde 2020, a Lei Geral de Proteção de Dados (LGPD) entrou numa fase menos teórica. A Autoridade Nacional de Proteção de Dados (ANPD) publicou ao longo dos últimos anos um conjunto de regulamentos que dizem, na prática, o que as empresas precisam fazer, e anunciou que vai fiscalizar mais. Este guia resume o que está em vigor, o que a ANPD vai olhar em 2026 e 2027 e um roteiro mínimo de adequação. A ANPD sai do modo orientativo O Mapa de Temas Prioritários aprovado no fim de 2025, para o biênio 2026–2027, prevê aumento de 25% no volume de ações fiscalizatórias. Segundo a Convergência Digital, a autoridade entende que já tem maturidade institucional para passar de uma postura mais orientativa para uma de maior fiscalização. A Medida Provisória 1.317/2025, que transformou a ANPD em agência reguladora, prevê a conversão de 218 vagas na nova carreira de Especialista em Regulação de Proteção de Dados. Os quatro eixos prioritários de 2026–2027 Direitos dos titulares: dados sensíveis em saúde, finanças e biometria; uso secundário para publicidade direcionada; perfilamento. Crianças e adolescentes: primeiro ciclo estruturado de fiscalização de plataformas à luz da Lei 15.211/2025 (ECA Digital), incluindo aferição de idade e retenção excessiva de dados. Poder público: compartilhamento de bases, interoperabilidade e governança de dados em União, estados e municípios. Inteligência artificial: pela primeira vez com capítulo próprio, abrangendo reconhecimento facial, opacidade algorítmica e impacto sobre grupos vulneráveis. Telecomunicações, agregadores e plataformas digitais deixaram de ser temas prioritários autônomos, segundo a mesma reportagem. Os regulamentos que já valem NormaTemaO que exige Resolução CD/ANPD nº 4/2023Dosimetria e sançõesDefine nove sanções e critérios de cálculo; multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração Resolução CD/ANPD nº 15/2024Incidentes de segurançaComunicação à ANPD e aos titulares em 3 dias úteis; registro de incidentes por 5 anos Resolução CD/ANPD nº 18/2024Encarregado (DPO)Indicação por ato formal e divulgação da identidade e do contato Resolução CD/ANPD nº 19/2024Transferência internacionalCláusulas-padrão da ANPD obrigatórias desde 23/08/2025 para quem usa a via contratual Sanções: o que pode acontecer O regulamento de dosimetria lista advertência, multa simples, multa diária, publicização da infração, bloqueio e eliminação de dados, suspensão parcial do banco de dados, suspensão da atividade de tratamento e proibição parcial ou total do tratamento. A multa diária também é limitada a R$ 50 milhões por infração. Entre os critérios de cálculo estão boa-fé, reincidência, cooperação, adoção de boas práticas e rapidez nas medidas corretivas, segundo o Mobile Time. Na prática, ter um programa de governança documentado reduz a pena. Incidentes: o relógio de 3 dias úteis O regulamento de incidentes determina que o controlador comunique a ANPD e os titulares em até 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, conforme análise do Cescon Barrieu. A comunicação é obrigatória quando o incidente pode afetar significativamente os titulares e envolve ao menos um destes elementos: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação; dados protegidos por sigilo; ou dados em larga escala. Informações complementares podem ser enviadas em até 20 dias úteis. Todos os incidentes, inclusive os não comunicados, devem ser registrados e guardados por pelo menos cinco anos. Agentes de pequeno porte têm prazos em dobro. Encarregado A Resolução nº 18/2024 exige que o encarregado seja indicado por ato formal, com identidade e contato divulgados e atualizados, e prevê medidas em caso de conflito de interesses. O encarregado não responde pessoalmente pela conformidade do controlador, segundo o Lefosse. Dados no exterior Desde 23 de agosto de 2025, empresas que transferem dados para fora do país com base em contratos precisam usar as cláusulas-padrão da ANPD ou cláusulas específicas aprovadas pela autoridade. Modelos estrangeiros, como as cláusulas da União Europeia, não bastam por si só (Lefosse). Roteiro de adequação em oito passos Mapeie os dados: que dados pessoais a empresa trata, por quê, onde ficam e com quem são compartilhados. Defina a base legal de cada tratamento (consentimento, contrato, obrigação legal, legítimo interesse etc.). Indique o encarregado por ato formal e publique o canal de contato. Revise contratos com fornecedores e, se houver transferência internacional, incorpore as cláusulas-padrão. Monte o plano de resposta a incidentes, com responsáveis e modelo de comunicação capaz de cumprir os 3 dias úteis. Crie um registro de incidentes e mantenha-o por cinco anos. Atenda titulares: processo para pedidos de acesso, correção e eliminação. Priorize os temas da ANPD: dados de saúde, finanças, biometria, crianças e uso de IA merecem revisão imediata. O que observar A combinação de mais pessoal, status de agência reguladora e um mapa de prioridades mais agressivo indica que a fiscalização deve ficar mais frequente. Empresas que tratam dados de crianças, dados biométricos ou usam IA para perfilar clientes estão no centro do radar. Sources: - Convergência Digital – ANPD: mais funcionários, mais aperto na fiscalização (12/01/2026): https://convergenciadigital.com.br/governo/anpd-mais-funcionarios-mais-aperto-na-fiscalizacao-biometria-ia-e-poder-publico-sao-prioridades/ - Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança: https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/ - Mobile Time – ANPD publica regulamento de dosimetria e aplicação de sanções: https://www.mobiletime.com.br/noticias/27/02/2023/anpd-publica-regulamento-de-dosimetria-e-aplicacoes-de-sancoes-da-lgpd/ - Lefosse – ANPD publica regulamento sobre a atuação do encarregado (DPO): https://lefosse.com/noticias/anpd-publica-regulamento-sobre-a-atuacao-do-encarregado-de-protecao-de-dados-data-protection-officer-dpo - Lefosse – Prazo para adoção das cláusulas-padrão da ANPD se encerra em 23 de agosto: https://lefosse.com/noticias/transferencia-internacional-de-dados-prazo-para-adocao-das-clausulas-padrao-da-anpd-se-encerra-em-23-de-agosto/ --- ## LGPD vs GDPR vs US law: privacy fines and breach notice deadlines URL: https://cybertarget.live/en/artigos/lgpd-gdpr-e-leis-dos-eua-multas-e-prazos-de-notificacao Date: 2026-10-27 Companies operating in Brazil, Europe and the United States face three different data protection models. Brazil and the EU have a general law and a central authority; the US has a patchwork of sector rules, securities regulation and state laws. The differences matter most on two practical points: how large a fine can be and how quickly a breach must be reported. Side by side Brazil (LGPD)EU (GDPR)US AuthorityANPD, a regulatory agency since 2026National authorities + EDPBFTC, HHS/OCR, SEC, state agencies Fine cap2% of Brazilian revenue, up to R$50m per violation€20m or 4% of global turnoverVaries by law and violation Breach notice3 business days (ANPD and data subjects)72 hoursSEC: 4 business days after materiality; HIPAA: up to 60 days DPORequired (small agents exempt)Required in Art. 37 casesNo general rule Brazil: short deadline, rare fines ANPD Resolution 15/2024 set a 3-business-day deadline to notify the ANPD and affected individuals, with supplements within 20 business days and incident records kept for 5 years, per Mayer Brown. Fines follow Resolution 4/2023: violations are light, medium or severe; aggravating factors add 5% to 90%, mitigating factors cut 5% to 75%, and waiving appeal earns a 25% discount (Cescon Barrieu). Enforcement has been light: the only monetary fine published by early 2026 was R$14,400 against Telekall. But in June 2026 the ANPD opened 19 sanction proceedings, its largest batch ever (Turivius). Europe: billion-euro fines The GDPR caps fines at €20 million or 4% of global turnover and requires notice within 72 hours. According to DLA Piper, cumulative fines reached €7.1 billion by January 2026, about €1.2 billion in 2025 alone, and regulators receive 443 breach notifications a day. United States: many rules, many clocks SEC: listed companies must file an 8-K within 4 business days of deeming an incident material. Disclosures fell from 64 in 2023 to 32 in 2025 (Board Cybersecurity). CIRCIA: 72-hour incident and 24-hour ransom-payment reporting; the final rule had not been confirmed as published by October 31, 2026 (Hunton). States: 24 comprehensive privacy laws (ComplyJet). California's CPPA issued its largest fine, $1.35 million, against Tractor Supply (White & Case). Health: HHS/OCR closed 19 HIPAA actions in 2025 totaling about $6.7 million (Compliancy Group). The federal SECURE Data Act, introduced in April 2026, remained in committee in October (IAPP). What to do Map every jurisdiction's deadline and plan around the shortest. Decide in advance who determines whether an incident is reportable or material. Keep an incident register, including unreported events. Appoint a DPO and maintain a data-subject request channel. Sources: - Mayer Brown: ANPD aprova regulamento de comunicação de incidentes: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - Cescon Barrieu: regulamento de dosimetria da ANPD: https://cesconbarrieu.com.br/anpd-publica-regulamento-de-dosimetria-e-aplicacao-de-sancoes-administrativas-resolucao-cdanpd-n-4/ - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ - Confidata: mapa de sanções da ANPD 2026: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026 - EUR-Lex: Regulamento (UE) 2016/679 (GDPR): https://eur-lex.europa.eu/eli/reg/2016/679/oj - DLA Piper: GDPR fines and data breach survey, January 2026: https://www.dlapiper.com/en/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026 - Board Cybersecurity: SEC cybersecurity disclosures: https://www.board-cybersecurity.com/blog/2026-04-20-sec-cybersecurity-disclosures-yoy - Hunton: CISA plans to finalize CIRCIA rules: https://www.hunton.com/privacy-and-cybersecurity-law-blog/cisa-plans-to-finalize-cyber-incident-reporting-regulations-in-september-2026 - White & Case: CPPA record fine against Tractor Supply: https://www.whitecase.com/insight-alert/california-privacy-protection-agency-issues-record-135-million-fine-against-tractor - Compliancy Group: HIPAA fines by year: https://compliancy-group.com/hipaa-fines-directory-year/ - IAPP: SECURE Data Act analysis: https://iapp.org/news/a/secure-data-act-analysis-of-the-new-federal-privacy-bill - ComplyJet: US state privacy laws list 2026: https://www.complyjet.com/blog/us-state-privacy-laws-list --- ## LGPD, GDPR e leis dos EUA: multas e prazos de notificação comparados URL: https://cybertarget.live/pt/artigos/lgpd-gdpr-e-leis-dos-eua-multas-e-prazos-de-notificacao Date: 2026-10-27 Quem opera no Brasil, na Europa e nos Estados Unidos lida com três lógicas diferentes de proteção de dados. O Brasil e a União Europeia têm uma lei geral e uma autoridade central. Os EUA têm um mosaico de leis setoriais, regras de mercado de capitais e leis estaduais. As diferenças pesam sobretudo em dois pontos práticos: quanto se pode pagar de multa e em quanto tempo é preciso avisar sobre um vazamento. O quadro comparativo Brasil (LGPD)União Europeia (GDPR)EUA AutoridadeANPD, agência reguladora desde 2026Autoridades nacionais + EDPBFTC, HHS/OCR, SEC, agências estaduais Teto de multa2% do faturamento no Brasil, até R$ 50 mi por infração€ 20 mi ou 4% do faturamento globalVaria por lei e por violação Prazo de notificação3 dias úteis (ANPD e titulares)72 horasSEC: 4 dias úteis após determinar materialidade; HIPAA: até 60 dias Encarregado/DPOObrigatório (pequenos agentes dispensados)Obrigatório em casos do art. 37Não há regra geral Em vigor desdeSet/2020 (sanções desde ago/2021)25/05/2018Sem lei federal geral Brasil: prazo curto, multas raras A Resolução CD/ANPD nº 15/2024 fixou o prazo de 3 dias úteis para comunicar incidentes de segurança à ANPD e aos titulares. O complemento pode vir em até 20 dias úteis, e o registro de todos os incidentes deve ser guardado por 5 anos, segundo a Mayer Brown. Agentes de pequeno porte têm regime simplificado e ficam fora desse prazo. A dosimetria das multas segue a Resolução CD/ANPD nº 4/2023, explica o Cescon Barrieu: infrações classificadas em leve, média ou grave; base de cálculo no faturamento do ramo de atividade; agravantes de 5% a 90% e atenuantes de 5% a 75%; desconto de 25% para quem renuncia ao recurso. Na prática, o enforcement ainda é tímido. A única multa em dinheiro publicada até o início de 2026 foi a da Telekall, de R$ 14.400, em 2023. Órgãos públicos não podem receber multa pecuniária. O cenário pode mudar: em junho de 2026 a ANPD abriu 19 processos sancionadores, o maior lote da sua história, segundo a Turivius. A principal causa das sanções até agora foi a falta de comunicação de incidentes. Europa: multas bilionárias O GDPR prevê teto de € 20 milhões ou 4% do faturamento global, o que for maior, e notificação à autoridade em 72 horas. Segundo a DLA Piper, as multas acumuladas desde 2018 chegaram a € 7,1 bilhões, com cerca de € 1,2 bilhão só em 2025. As autoridades europeias recebem em média 443 notificações de vazamento por dia, alta de 22%. A maior multa individual continua sendo a da Meta, de € 1,2 bilhão em 2023, por transferências de dados para os EUA. Estados Unidos: muitas regras, muitos prazos Sem lei federal geral de privacidade, os EUA combinam regras de vários órgãos. SEC (empresas abertas) Desde dezembro de 2023, companhias listadas precisam divulgar um incidente cibernético material em formulário 8-K em até 4 dias úteis após concluírem que ele é material. O número de incidentes divulgados caiu: 64 em 2023, 55 em 2024 e 32 em 2025, segundo a Board Cybersecurity. CIRCIA (infraestrutura crítica) A lei de 2022 prevê reporte em 72 horas para incidentes e 24 horas para pagamento de resgate. A regra final, esperada para setembro de 2026, ainda não teve a publicação confirmada até 31/10/2026, segundo a Hunton. Estados e setores Há 24 estados com leis abrangentes de privacidade, a última com vigência em 2028, segundo a ComplyJet. A agência californiana CPPA aplicou sua maior multa em setembro de 2025: US$ 1,35 milhão contra a Tractor Supply, informa a White & Case. Na saúde, a HHS/OCR fechou 19 ações em 2025, que somam cerca de US$ 6,7 milhões, todas citando falha na análise de risco (Compliancy Group). No Congresso, o SECURE Data Act, apresentado em abril de 2026, propõe uma lei federal com preempção das leis estaduais, mas seguia em comissão em outubro, segundo a IAPP. Onde está o risco real O teto de multa conta só parte da história. No Brasil, o maior risco imediato é perder o prazo de 3 dias úteis, que é curto para padrões internacionais. Na Europa, pesa o tamanho das multas. Nos EUA, a exposição vem sobretudo de ações coletivas e acordos após vazamentos, que chegam a centenas de milhões de dólares. O que fazer Mapeie os prazos de todas as jurisdições em que a empresa atua e use o mais curto como referência no plano de resposta. Defina antes quem decide se um incidente é comunicável ou material. Os relógios começam a correr cedo. Mantenha o registro de incidentes exigido pela ANPD, mesmo dos que não forem comunicados. Nomeie o encarregado e mantenha canal de atendimento ao titular. A ANPD já notificou 20 grandes empresas por falhas nesses pontos. Sources: - Mayer Brown: ANPD aprova regulamento de comunicação de incidentes: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - Cescon Barrieu: regulamento de dosimetria da ANPD: https://cesconbarrieu.com.br/anpd-publica-regulamento-de-dosimetria-e-aplicacao-de-sancoes-administrativas-resolucao-cdanpd-n-4/ - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ - Confidata: mapa de sanções da ANPD 2026: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026 - EUR-Lex: Regulamento (UE) 2016/679 (GDPR): https://eur-lex.europa.eu/eli/reg/2016/679/oj - DLA Piper: GDPR fines and data breach survey, January 2026: https://www.dlapiper.com/en/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026 - Board Cybersecurity: SEC cybersecurity disclosures: https://www.board-cybersecurity.com/blog/2026-04-20-sec-cybersecurity-disclosures-yoy - Hunton: CISA plans to finalize CIRCIA rules: https://www.hunton.com/privacy-and-cybersecurity-law-blog/cisa-plans-to-finalize-cyber-incident-reporting-regulations-in-september-2026 - White & Case: CPPA record fine against Tractor Supply: https://www.whitecase.com/insight-alert/california-privacy-protection-agency-issues-record-135-million-fine-against-tractor - Compliancy Group: HIPAA fines by year: https://compliancy-group.com/hipaa-fines-directory-year/ - IAPP: SECURE Data Act analysis: https://iapp.org/news/a/secure-data-act-analysis-of-the-new-federal-privacy-bill - ComplyJet: US state privacy laws list 2026: https://www.complyjet.com/blog/us-state-privacy-laws-list --- ## WhatsApp cloning and fake relative scams in Brazil: protection and law URL: https://cybertarget.live/en/artigos/golpes-whatsapp-clonagem-falso-parente-como-se-proteger Date: 2026-10-26 "Hi Mum, I changed my number. Can you send me a Pix right away?" With a relative's photo on the profile, this short message drives one of Brazil's most common scams. The fake relative scam and WhatsApp account cloning are a constant presence in police reports. The numbers According to Febraban, the WhatsApp scam was the most reported fraud among bank customers in 2024, with about 153,000 cases (Agência Brasil). In the first half of 2025, reports fell 9.9% to 73,000 while other scams surged (IstoÉ Dinheiro). Overall, Brazil recorded 2,261,055 fraud (estelionato) cases in 2025, up 429.8% from 2018, according to the Brazilian Public Security Yearbook (Brasil 61). How the scams work Account cloning: criminals invent a pretext to obtain the six-digit SMS code and register the victim's account on another device. Variants include SIM swaps and phishing links that hijack WhatsApp Web sessions (Exame). Fake relative / "new number": no hacking needed. The fraudster creates a new account with a family member's photo, claims an emergency and asks for a Pix, often to a third party's account (O Antagonista). A third family of scams uses WhatsApp to impersonate shops, banks or service providers, asking for personal data, sending fake payment slips or offering loans. The pattern is always the same: urgency, a request for a transfer and an account in someone else's name. That last element matters, because the receiving accounts are usually mule accounts opened with leaked data or rented out by their holders. A March 2026 survey by the Brazilian Public Security Forum estimated that 15.8% of Brazilians aged 16 or older, about 26.3 million people, had fallen for a scam or lost money online or by phone in the previous year (Brasil 61). What the law says Since 2021, Brazil's Penal Code has had a specific provision for electronic fraud carried out through social networks and phone contacts (Aos Fatos). Law 15,397/2026, signed on 4 May 2026, created an aggravated form of electronic fraud for scams that rely on cloning a device such as a phone or computer, punishable by four to eight years in prison, and made lending a bank account to move criminal proceeds a crime (Finsiders). How to protect yourself Never share WhatsApp's six-digit code. Turn on two-step verification and avoid obvious PINs. Limit your profile photo to contacts. Verify any money request by calling the person's known number. Agree on a family code word for emergencies. Check "Linked devices" regularly. If you were scammed Warn your contacts through another channel, reinstall WhatsApp to regain control, ask your bank immediately to open a Pix refund claim (MED) and file a police report with screenshots and receipts. Sources: - Movimento Econômico / Agência Brasil – Febraban divulga os 10 golpes mais aplicados (2024): https://movimentoeconomico.com.br/seguranca/2025/04/14/febraban-divulga-os-10-golpes-mais-aplicados-contra-clientes-bancarios/ - IstoÉ Dinheiro / Estadão Conteúdo – Golpe da falsa venda lidera ranking (1º semestre de 2025): https://istoedinheiro.com.br/golpe-da-falsa-venda-lidera-ranking - Exame – Golpe do WhatsApp clonado: como funciona e como se proteger em 2026: https://exame.com/tecnologia/examelab/golpe-do-whatsapp-clonado-como-funciona-e-como-se-proteger-em-2026/ - Brasil 61 – Anuário de Segurança Pública: mais de 2,2 milhões de estelionatos em 2025: https://brasil61.com/n/anuario-de-seguranca-publica-brasil-registrou-mais-de-2-2-milhoes-de-casos-de-estelionato-em-2025-bras2616801 - Aos Fatos – Um estelionato a cada 16 segundos: https://www.aosfatos.org/noticias/um-estelionato-16-segundos-por-que-golpes-digitais-crescem-brasil/ - O Antagonista – Golpe do falso parente no Pix faz novas vítimas: https://oantagonista.com.br/brasil/golpe-do-falso-parente-no-pix-faz-novas-vitimas-no-brasil/ - Finsiders Brasil – Nova lei de golpes e fraudes digitais e contas laranjas (Lei 15.397/2026): https://finsidersbrasil.com.br/noticias-sobre-fintechs/fraudes/nova-lei-golpes-fraudes-digitais-e-contas-laranjas/%20 --- ## Golpes no WhatsApp e falso parente: como se proteger e o que diz a lei URL: https://cybertarget.live/pt/artigos/golpes-whatsapp-clonagem-falso-parente-como-se-proteger Date: 2026-10-26 "Oi, mãe, troquei de número. Pode me fazer um Pix urgente?" A mensagem é curta, vem com a foto de um filho ou neto no perfil e explora o reflexo de ajudar quem amamos. O golpe do falso parente e a clonagem de contas de WhatsApp estão entre as fraudes mais comuns do Brasil. Veja como funcionam, o que dizem os números e o que a lei prevê. A dimensão do problema Segundo a Febraban, o golpe do WhatsApp foi o tipo de fraude mais relatado por clientes de bancos em 2024, com cerca de 153 mil ocorrências, à frente da falsa venda e da falsa central (Agência Brasil). No primeiro semestre de 2025, foram 73 mil registros, queda de 9,9% sobre o mesmo período de 2024, enquanto outros golpes dispararam (IstoÉ Dinheiro). O pano de fundo é o crescimento do estelionato em geral. O Anuário Brasileiro de Segurança Pública, do Fórum Brasileiro de Segurança Pública, contou 2.261.055 casos em 2025, alta de 429,8% sobre 2018, primeiro ano da série. Uma pesquisa do FBSP de março de 2026 estimou que 15,8% dos brasileiros com 16 anos ou mais, cerca de 26,3 milhões de pessoas, foram vítimas de golpe ou perderam dinheiro pela internet ou por telefone no ano anterior (Brasil 61). Três golpes diferentes, um mesmo objetivo 1. Clonagem da conta O criminoso tenta registrar o WhatsApp da vítima em outro aparelho. Para isso, precisa do código de seis dígitos enviado por SMS. Ele inventa um pretexto (suporte técnico, confirmação de anúncio, agendamento de consulta) e pede que a vítima repasse o código. Com a conta em mãos, escreve aos contatos pedindo dinheiro. A Exame descreve outras variantes: interceptação do código, troca de chip (SIM swap) junto à operadora e malware ou links que capturam sessões do WhatsApp Web sem desconectar o celular da vítima (Exame). 2. Falso parente ou "novo número" Aqui não há invasão. O golpista cria uma conta nova com a foto de um familiar, obtida em redes sociais, e diz que trocou de número. Em seguida, alega uma emergência e pede um Pix, muitas vezes para a conta de um "amigo" ou de um terceiro. Em outra variação, o criminoso usa a conta clonada de um parente verdadeiro (O Antagonista). 3. Falsas empresas e funcionários Mensagens se passam por lojas, bancos ou serviços para pedir dados, cobrar boletos ou oferecer empréstimos. O padrão é sempre o mesmo: urgência, pedido de transferência e conta de terceiros. GolpeComo começaSinal de alerta ClonagemPedido do código de seis dígitosNinguém legítimo pede esse código Falso parente"Troquei de número"Pedido de Pix urgente para conta de outra pessoa SIM swapCelular perde sinal de repenteCódigos chegando sem você pedir Sessão web roubadaLink ou QR code recebidoDispositivos desconhecidos em "Aparelhos conectados" O que diz a lei Desde 2021, o artigo 171 do Código Penal tem um parágrafo específico para a fraude cometida com informações obtidas por redes sociais, contatos telefônicos ou meios semelhantes, a chamada fraude eletrônica (Aos Fatos). Em 4 de maio de 2026 foi sancionada a Lei 15.397/2026, com vigência imediata. Ela cria a figura do estelionato qualificado por fraude eletrônica em golpes feitos por meio da clonagem de dispositivo, como celular ou computador, com pena de 4 a 8 anos de reclusão e multa. A mesma lei tipifica a cessão de conta bancária para movimentar dinheiro de crimes, com pena de 1 a 5 anos, o que atinge diretamente as contas laranja que recebem o Pix do golpe (Finsiders). Para a vítima, a via cível também existe: o caso pode ser levado ao banco e, se houver falha na prestação do serviço, à Justiça. A responsabilidade depende das circunstâncias de cada caso. Como se proteger Nunca compartilhe o código de seis dígitos do WhatsApp, nem com quem diz ser da própria empresa. Ative a verificação em duas etapas (Configurações > Conta) e evite PINs óbvios, como datas de aniversário. Restrinja a foto de perfil aos seus contatos. Confirme por outro canal: ligue para o número antigo do parente ou faça uma pergunta que só ele saberia responder. Combine uma palavra-chave com a família para emergências. Peça à operadora bloqueio de portabilidade ou autenticação extra contra SIM swap. Revise "Aparelhos conectados" regularmente e desconecte sessões desconhecidas. O que fazer se cair no golpe Avise seus contatos por outro meio de que sua conta foi clonada. Reinstale o WhatsApp e entre com seu número para derrubar o invasor; se não conseguir, peça ao suporte do aplicativo a desativação. Se fez um Pix, procure seu banco imediatamente e peça a abertura do MED (Mecanismo Especial de Devolução). Quanto antes, maior a chance de recuperar. Registre boletim de ocorrência, guardando prints, números e comprovantes. Sources: - Movimento Econômico / Agência Brasil – Febraban divulga os 10 golpes mais aplicados (2024): https://movimentoeconomico.com.br/seguranca/2025/04/14/febraban-divulga-os-10-golpes-mais-aplicados-contra-clientes-bancarios/ - IstoÉ Dinheiro / Estadão Conteúdo – Golpe da falsa venda lidera ranking (1º semestre de 2025): https://istoedinheiro.com.br/golpe-da-falsa-venda-lidera-ranking - Exame – Golpe do WhatsApp clonado: como funciona e como se proteger em 2026: https://exame.com/tecnologia/examelab/golpe-do-whatsapp-clonado-como-funciona-e-como-se-proteger-em-2026/ - Brasil 61 – Anuário de Segurança Pública: mais de 2,2 milhões de estelionatos em 2025: https://brasil61.com/n/anuario-de-seguranca-publica-brasil-registrou-mais-de-2-2-milhoes-de-casos-de-estelionato-em-2025-bras2616801 - Aos Fatos – Um estelionato a cada 16 segundos: https://www.aosfatos.org/noticias/um-estelionato-16-segundos-por-que-golpes-digitais-crescem-brasil/ - O Antagonista – Golpe do falso parente no Pix faz novas vítimas: https://oantagonista.com.br/brasil/golpe-do-falso-parente-no-pix-faz-novas-vitimas-no-brasil/ - Finsiders Brasil – Nova lei de golpes e fraudes digitais e contas laranjas (Lei 15.397/2026): https://finsidersbrasil.com.br/noticias-sobre-fintechs/fraudes/nova-lei-golpes-fraudes-digitais-e-contas-laranjas/%20 --- ## Cybercrime penalties compared: Brazil, the US and Latin America URL: https://cybertarget.live/en/artigos/crimes-ciberneticos-e-penas-brasil-eua-america-latina Date: 2026-10-26 Comparing cybercrime penalties across countries is harder than it looks: penal codes use different categories, sentences change, and many tables circulating online were never checked against official texts. This comparison therefore lists only verified penalties: sanctions actually imposed, or penalties confirmed in primary or specialist sources. Statutory prison terms for computer intrusion and electronic fraud will follow in a later edition, after article-by-article checks. Two kinds of punishment The criminal track punishes individuals, and sometimes companies through plea agreements. The administrative track fines companies for security, privacy or anti-money-laundering failures. The largest sums tend to show up where the two overlap, in money laundering. Brazil LGPD: by early 2026 the ANPD had issued one monetary fine, R$14,400 against Telekall (2023); other sanctions were warnings and corrective orders (Confidata). It opened 19 new proceedings in June 2026. ECA Digital (children online): fines of up to 10% of group revenue in Brazil, with sanctions expected from November 2026 (Mayer Brown). COAF: R$96.9 million in AML fines in 2025, led by jewelry, luxury goods and factoring (COAF). United States Binance (2023): $4.32 billion in the DOJ agreement alone, plus FinCEN, OFAC and CFTC settlements (IRS-CI). TD Bank (2024): guilty plea and $3.09 billion in penalties with a US asset cap (American Banker). OKX (2025): guilty plea and over $504 million (AML Watcher). FTC: $20 million against Cognosphere and $10 million against Disney under COPPA (Perkins Coie). NYDFS: $2 million against PayPal for cybersecurity failures (Frankfurt Kurnit). Latin America CountryVerified penaltyTrack MexicoMoney laundering (Art. 400 Bis): 5–15 years and 1,000–5,000 day-fines; doubled for officials in the fieldCriminal ColombiaMoney laundering (Art. 323): 10–30 years and fines of 1,000–50,000 minimum wagesCriminal ColombiaMovistar: COP 670 million for unauthorized marketing (SIC, 2025)Administrative ChileLaw 21,663: up to 20,000 UTM for essential services, 40,000 UTM for vital operatorsAdministrative Sources: Mexico's Art. 400 Bis, Colombia's Art. 323 and Cuatrecasas on Chile. In June 2025, FinCEN also cut off fund transfers with three Mexican institutions under the FEND Off Fentanyl Act (Morrison Foerster). Takeaways The biggest sums come from US criminal settlements over money laundering, not privacy fines. In Brazil, breach fines remain rare, but proceedings are rising and ECA Digital adds a 10% cap. Latin American laundering sentences are long, up to 30 years in Colombia, and new cyber agencies such as Chile's ANCI can fine. Sources: - Mayer Brown: ECA Digital enforcement: https://www.mayerbrown.com/pt/insights/publications/2026/04/enforcement-of-brazils-eca-digital-introduces-new-obligations-for-companies - Confidata: mapa de sanções da ANPD 2026: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026 - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ - COAF: Relatório de Gestão Integrado 2025: https://www.gov.br/coaf/pt-br/centrais-de-conteudo/publicacoes/publicacoes-do-coaf-1/rgi-2025.pdf - IRS-CI: Binance plea agreement: https://www.irs.gov/node/128521 - American Banker: TD Bank pleads guilty: https://americanbanker.com/news/td-pleads-guilty-to-money-laundering-conspiracy-hit-with-asset-cap - AML Watcher: biggest AML fines of 2025: https://amlwatcher.com/blog/biggest-aml-fines-of-2025/ - Perkins Coie: Privacy Law Recap 2025 (FTC): https://legacy.perkinscoie.com/insights/blog/privacy-law-recap-2025-ftc-enforcement - Frankfurt Kurnit: NYDFS fines PayPal: https://technologylaw.fkks.com/post/102jyrf/nydfs-imposes-2-million-fine-on-paypal-for-cybersecurity-violations - KYC Systems: penas por lavado de dinero en México: https://kyc-systems.com/blog/penas-por-lavado-de-dinero - SHCP: texto del art. 400 Bis: https://www.pld.hacienda.gob.mx/work/models/PLD/documentos/art400bis_400bis_1.pdf - Leyes.co: Código Penal de Colombia, art. 323: https://leyes.co/codigo_penal/323.htm - Morrison Foerster: FinCEN targets three Mexico-based institutions: https://www.mofo.com/resources/insights/250707-fincen-targets-three-mexico-based-financial-institutions - Cuatrecasas: Ley Marco de Ciberseguridad de Chile: https://www.cuatrecasas.com/es/global/tecnologia-medios-digitales/art/ley-marco-ciberseguridad-entrada-vigencia-articulos-diferidos - Vanguardia: multa de la SIC a Movistar: https://www.vanguardia.com/colombia/2025/10/29/multa-millonaria-a-movistar-por-bombardear-a-usuarios-con-llamadas-y-mensajes/ --- ## Crimes cibernéticos e punições: Brasil, EUA e América Latina URL: https://cybertarget.live/pt/artigos/crimes-ciberneticos-e-penas-brasil-eua-america-latina Date: 2026-10-26 Comparar penas para crimes digitais entre países é mais difícil do que parece. Os códigos penais usam categorias diferentes, as penas mudam com frequência e boa parte das tabelas que circulam na internet não foi conferida no texto oficial. Por isso, este comparativo traz apenas punições verificadas, ou seja, sanções efetivamente aplicadas ou penas confirmadas em fonte primária ou especializada. As penas de prisão previstas nos códigos penais para invasão de dispositivo e fraude eletrônica ficam para uma próxima edição, após conferência artigo por artigo. Dois tipos de punição A resposta do Estado a um crime digital ou a um vazamento costuma vir em duas frentes. A esfera penal pune pessoas, com prisão e multa, e às vezes empresas, por meio de acordos de culpa. A esfera administrativa pune empresas com multas de reguladores por falhas de segurança, de privacidade ou de prevenção à lavagem de dinheiro. É nesta segunda frente que os valores mais altos aparecem. Brasil Proteção de dados e menores LGPD: a ANPD aplicou até o início de 2026 uma única multa em dinheiro, de R$ 14.400 à Telekall, em 2023. As demais sanções foram advertências, ordens corretivas e, no caso do INSS, publicização da infração por 60 dias, segundo a Confidata. Em junho de 2026, a agência abriu 19 novos processos sancionadores. ECA Digital (Lei 15.211/2025): em vigor desde 17/03/2026, prevê multa de até 10% do faturamento do grupo no Brasil, além de suspensão e proibição de atividades. As sanções são esperadas a partir de novembro de 2026, segundo a Mayer Brown. Prevenção à lavagem O COAF julgou 37 processos administrativos sancionadores em 2025 e aplicou R$ 96,9 milhões em multas. Os maiores valores recaíram sobre joias e metais preciosos (R$ 39,8 milhões), bens de luxo (R$ 33,1 milhões) e factoring (R$ 23,9 milhões), segundo o relatório de gestão do COAF. Estados Unidos Esfera penal: os maiores acordos Binance (2023): US$ 4,32 bilhões apenas no acordo com o Departamento de Justiça, sendo US$ 2,51 bilhões de perdimento e US$ 1,81 bilhão de multa, mais acordos com FinCEN, OFAC e CFTC e monitor por três anos, segundo o IRS-CI. TD Bank (2024): confissão de culpa por conspiração para lavagem e US$ 3,09 bilhões em penalidades, com teto de ativos nos EUA, conforme o American Banker. OKX (2025): confissão de culpa e mais de US$ 504 milhões (AML Watcher). Esfera administrativa FTC: US$ 20 milhões contra a Cognosphere (Genshin Impact) e US$ 10 milhões contra a Disney por violações à lei de privacidade infantil COPPA (Perkins Coie). NYDFS: US$ 2 milhões contra o PayPal por falhas de cibersegurança, incluindo autenticação multifator (Frankfurt Kurnit). Cripto e fintechs: NYDFS multou o Block (Cash App) em US$ 40 milhões e a Paxos em US$ 26,5 milhões em 2025. América Latina PaísPunição verificadaEsfera MéxicoLavagem (art. 400 Bis do CPF): 5 a 15 anos de prisão e 1.000 a 5.000 dias-multa; dobra para servidor público da áreaPenal ColômbiaLavagem (art. 323 do CP): 10 a 30 anos de prisão e multa de 1.000 a 50.000 salários mínimosPenal ColômbiaMovistar: COP 670 milhões por marketing sem autorização (SIC, 2025)Administrativa ChileLei 21.663: até 20.000 UTM para serviços essenciais e até 40.000 UTM para operadores de importância vitalAdministrativa No México, a pena por lavagem sobe de 1/3 a 1/2 para quem integra o sistema de prevenção, de acordo com o texto do art. 400 Bis publicado pela Secretaria da Fazenda. Na Colômbia, a pena está no art. 323 do Código Penal. No Chile, a agência ANCI fiscaliza e sanciona desde 1º de março de 2025, segundo a Cuatrecasas. A lei chilena também exige alerta de incidente em 3 horas, um dos prazos mais curtos da região. Há ainda punições que cruzam fronteiras. Em junho de 2025, o FinCEN, unidade de inteligência financeira dos EUA, declarou três instituições mexicanas (CIBanco, Intercam e Vector Casa de Bolsa) como "preocupação primária de lavagem" ligada ao fentanil. A medida proibiu transmissões de fundos com elas, segundo a Morrison Foerster. O que os números mostram Os valores mais altos vêm de acordos penais nos EUA, envolvendo lavagem de dinheiro, não de multas de privacidade. No Brasil, a punição administrativa por vazamento ainda é rara, mas o volume de processos da ANPD cresce e o ECA Digital traz teto de 10% do faturamento. Na América Latina, as penas de prisão por lavagem são altas, chegando a 30 anos na Colômbia, e a região passou a criar agências de cibersegurança com poder de multa, como no Chile. O que fazer Empresas devem tratar o risco regulatório e o penal juntos. Falhas de controle geram multa administrativa e podem facilitar crimes que atraem investigação. Setores obrigados pela lei de lavagem, como joias, bens de luxo e factoring, devem revisar cadastro no COAF e rotinas de comunicação. Foram os mais multados em 2025. Plataformas digitais com público jovem precisam se adequar ao ECA Digital antes do início das sanções. Sources: - Mayer Brown: ECA Digital enforcement: https://www.mayerbrown.com/pt/insights/publications/2026/04/enforcement-of-brazils-eca-digital-introduces-new-obligations-for-companies - Confidata: mapa de sanções da ANPD 2026: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026 - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ - COAF: Relatório de Gestão Integrado 2025: https://www.gov.br/coaf/pt-br/centrais-de-conteudo/publicacoes/publicacoes-do-coaf-1/rgi-2025.pdf - IRS-CI: Binance plea agreement: https://www.irs.gov/node/128521 - American Banker: TD Bank pleads guilty: https://americanbanker.com/news/td-pleads-guilty-to-money-laundering-conspiracy-hit-with-asset-cap - AML Watcher: biggest AML fines of 2025: https://amlwatcher.com/blog/biggest-aml-fines-of-2025/ - Perkins Coie: Privacy Law Recap 2025 (FTC): https://legacy.perkinscoie.com/insights/blog/privacy-law-recap-2025-ftc-enforcement - Frankfurt Kurnit: NYDFS fines PayPal: https://technologylaw.fkks.com/post/102jyrf/nydfs-imposes-2-million-fine-on-paypal-for-cybersecurity-violations - KYC Systems: penas por lavado de dinero en México: https://kyc-systems.com/blog/penas-por-lavado-de-dinero - SHCP: texto del art. 400 Bis: https://www.pld.hacienda.gob.mx/work/models/PLD/documentos/art400bis_400bis_1.pdf - Leyes.co: Código Penal de Colombia, art. 323: https://leyes.co/codigo_penal/323.htm - Morrison Foerster: FinCEN targets three Mexico-based institutions: https://www.mofo.com/resources/insights/250707-fincen-targets-three-mexico-based-financial-institutions - Cuatrecasas: Ley Marco de Ciberseguridad de Chile: https://www.cuatrecasas.com/es/global/tecnologia-medios-digitales/art/ley-marco-ciberseguridad-entrada-vigencia-articulos-diferidos - Vanguardia: multa de la SIC a Movistar: https://www.vanguardia.com/colombia/2025/10/29/multa-millonaria-a-movistar-por-bombardear-a-usuarios-con-llamadas-y-mensajes/ --- ## Brazil's INSS pension fraud: verified facts and figures URL: https://cybertarget.live/en/artigos/fraude-no-inss-descontos-indevidos-fatos-e-numeros Date: 2026-10-25 In April 2025, Brazil's Federal Police and the Comptroller General's Office (CGU) uncovered a large-scale scheme in which associations deducted monthly fees from INSS pensions without retirees' consent. Investigators estimate that associations appropriated R$6.3 billion between 2019 and 2024. How the scheme worked Technical cooperation agreements allowed associations to deduct fees directly from benefits. Many entities existed only on paper, charged for services they never provided, and kept amounts small so victims would not notice. A CGU audit of 29 entities found that 97.6% of 1,300 beneficiaries interviewed had not authorised the deduction, according to IstoÉ Dinheiro. Operation and fallout Operation "Sem Desconto" involved about 700 federal agents and 80 CGU staff, 211 search warrants and asset-freeze orders above R$1 billion. The INSS president was removed and all cooperation agreements were suspended (O POVO). Investigators are also examining whether retirees' personal data were obtained from INSS staff through bribes and then registered with the associations without beneficiaries' knowledge. Between January 2023 and May 2024, the INSS had already received one million complaints about improper deductions, a warning sign that went largely unaddressed. The audit also found that the entities lacked any operational structure to deliver the promised services and that 70% failed to provide required documents. Refunds Under an administrative settlement subject to Supreme Court approval, entities have 15 business days to refund or prove consent; otherwise the federal government repays the amount adjusted for inflation (INSS). By 26 December 2025, R$2.82 billion had been refunded across 4.1 million requests (Agência Brasil). By April 2026 refunds exceeded R$3 billion, with about 6.4 million beneficiaries confirming improper deductions out of 9.5 million affected (Viva). Congressional inquiry The joint congressional inquiry (CPMI) closed on 28 March 2026 without an approved report: the rapporteur's 4,340-page text, seeking 216 indictments, was rejected 19 to 12 (Movimento Econômico). Police and prosecutors continue their own investigations. Lessons The fraud exploited a legal mechanism (payroll deductions), weak oversight of agreements with third parties, and the difficulty many elderly people have in checking statements. It also shows how misuse of personal data can feed financial fraud at scale, an issue that touches Brazil's data protection law (LGPD). Most refunds were requested through the Meu INSS app (53.8%) and post offices (36%), showing the importance of in-person channels for older citizens. What to do Check deductions in the Meu INSS app ("Consultar Descontos de Entidades Associativas"). Dispute unauthorised charges through the app, the 135 hotline or a post office, and confirm with INSS whether the window is still open. Avoid intermediaries charging fees: the official process is free. Help elderly relatives use the app and review their deductions regularly. Sources: - IstoÉ Dinheiro – Entenda em 6 pontos o esquema de fraude no INSS: https://istoedinheiro.com.br/entenda-em-6-pontos-o-esquema-fraude-inss - O POVO – Governo suspende descontos e diz que valores serão restituídos (24/04/2025): https://www.opovo.com.br/noticias/economia/2025/04/24/fraude-no-inss-governo-suspende-descontos-e-diz-que-valores-serao-restituidos-aos-aposentados.html - INSS – Plano operacional do acordo de ressarcimento: https://www.gov.br/inss/pt-br/media/copy_of_PRPlanoOperacionalAcordoINSS.pdf/@@download/file - Diario de Pernambuco / Agência Brasil – Governo devolve R$ 2,8 bilhões a aposentados (30/12/2025): https://www.diariodepernambuco.com.br/economia/2025/12/11703955-governo-devolve-rs-28-bilhoes-a-aposentados-com-descontos-indevidos.html - Viva – Fraude no INSS: quase metade do dinheiro é devolvido (24/04/2026): https://viva.com.br/cidadania-e-direitos/fraude-no-inss-quase-metade-do-dinheiro-e-devolvido-aos-segurados.html - Movimento Econômico – CPMI do INSS rejeita 216 indiciamentos (28/03/2026): https://movimentoeconomico.com.br/politica/2026/03/28/cpmi-do-inss-rejeita-216-indiciamentos-e-termina-com-dois-relatorios-na-gaveta/ --- ## Fraude no INSS: fatos e números dos descontos indevidos URL: https://cybertarget.live/pt/artigos/fraude-no-inss-descontos-indevidos-fatos-e-numeros Date: 2026-10-25 Em abril de 2025, uma operação da Polícia Federal e da Controladoria-Geral da União (CGU) revelou um dos maiores esquemas de fraude contra aposentados da história do país: entidades associativas descontavam mensalidades diretamente dos benefícios do INSS sem autorização dos segurados. Um ano e meio depois, o caso acumula bilhões em ressarcimentos, uma CPMI encerrada sem relatório aprovado e investigações ainda em curso. Abaixo, os fatos e números verificados. Como funcionava o esquema O INSS mantinha Acordos de Cooperação Técnica (ACTs) que permitiam a associações e sindicatos descontar mensalidades em folha. Segundo a PF, muitas dessas entidades existiam apenas no papel. Os valores eram pequenos, o que fazia muitas vítimas não perceberem os descontos, e as cobranças se referiam a serviços que não eram prestados, como suporte jurídico, de acordo com a IstoÉ Dinheiro. A polícia também apura se dados de aposentados foram obtidos com servidores do INSS mediante propina. O que a auditoria da CGU encontrou 29 entidades auditadas, sem estrutura operacional para prestar os serviços prometidos. 70% não entregaram a documentação exigida. Entre 1,3 mil beneficiários entrevistados, 97,6% não haviam autorizado o desconto. Entre janeiro de 2023 e maio de 2024, o INSS recebeu 1 milhão de reclamações sobre descontos indevidos. A Operação Sem Desconto Deflagrada em 23 de abril de 2025, a operação mobilizou cerca de 700 agentes da PF e 80 servidores da CGU, com 211 mandados de busca e apreensão, seis mandados de prisão temporária e ordens de sequestro de bens acima de R$ 1 bilhão, segundo a IstoÉ Dinheiro. Os investigadores estimam que associações se apropriaram de R$ 6,3 bilhões entre 2019 e 2024, a maior parte retida indevidamente. No dia seguinte, o então presidente do INSS, Alessandro Stefanutto, foi afastado, e o governo suspendeu todos os acordos de cooperação com as entidades, bloqueando os repasses, conforme o O POVO. Os números do caso IndicadorValor Prejuízo estimado (2019–2024)R$ 6,3 bilhões Mandados de busca na 1ª fase211 Pedidos de contestação abertos (até dez/2025)6.362.898 Valor ressarcido (até 26/12/2025)R$ 2,82 bilhões Valor ressarcido (abril de 2026)mais de R$ 3 bilhões Beneficiários afetados9,5 milhões Entidades questionadas44 Fontes: IstoÉ Dinheiro, Agência Brasil e Viva, com dados do INSS, PF e CGU. Como funciona o ressarcimento O governo criou um acordo de ressarcimento administrativo, cuja adesão foi condicionada à homologação pelo Supremo Tribunal Federal. Pelo plano operacional do INSS, o segurado contesta o desconto; a entidade tem 15 dias úteis para devolver o dinheiro ou comprovar a autorização. Se não fizer nenhum dos dois, a União paga o valor corrigido pelo IPCA, diretamente na conta onde o benefício é recebido. A adesão encerra eventual ação judicial sobre o mesmo valor. Até 26 de dezembro de 2025, o INSS havia devolvido R$ 2,82 bilhões, atendendo 4,1 milhões de solicitações, segundo balanço divulgado pela Agência Brasil. Em 131,5 mil pedidos, as entidades comprovaram a autorização. O acordo cobre descontos feitos entre março de 2020 e março de 2025. Em abril de 2026, o total devolvido passava de R$ 3 bilhões. Dos 9,5 milhões de beneficiários afetados, cerca de 6,4 milhões confirmaram descontos indevidos nos canais oficiais, segundo o Viva. Os canais mais usados foram o Meu INSS (53,8%) e os Correios (36%). A CPMI e o desfecho político Instalada em 20 de agosto de 2025, a CPMI do INSS terminou na madrugada de 28 de março de 2026 sem relatório aprovado. O parecer do relator Alfredo Gaspar (PL-AL), de 4.340 páginas e com pedido de indiciamento de 216 pessoas, foi rejeitado por 19 votos a 12, e um relatório alternativo da base governista não chegou a ser votado, segundo o Movimento Econômico. As investigações da PF e do Ministério Público Federal seguem de forma independente. Quem está na mira Entre as entidades citadas está a Conafer, cujo presidente é suspeito de ser o mentor da falsificação de assinaturas, segundo o Viva. A lista de investigados mencionada pela publicação inclui ainda empresários, ex-dirigentes do INSS e um senador. Nenhum deles foi condenado até a data de publicação deste texto, e todos têm direito à presunção de inocência. O que o caso ensina A fraude explorou um mecanismo legal (o desconto em folha), a baixa fiscalização de convênios e a dificuldade de idosos acompanharem extratos. Também mostra o risco do uso indevido de dados pessoais de segurados, um tema que toca diretamente a LGPD. O que fazer Confira o extrato do benefício no Meu INSS, no serviço "Consultar Descontos de Entidades Associativas". Conteste clicando em "Não autorizei o desconto", pela Central 135 ou numa agência dos Correios. Verifique no INSS se ainda há prazo aberto. Desconfie de intermediários que cobram para "recuperar" o dinheiro: o processo oficial é gratuito. Ajude familiares idosos a acessar o aplicativo e revisar descontos periodicamente. Sources: - IstoÉ Dinheiro – Entenda em 6 pontos o esquema de fraude no INSS: https://istoedinheiro.com.br/entenda-em-6-pontos-o-esquema-fraude-inss - O POVO – Governo suspende descontos e diz que valores serão restituídos (24/04/2025): https://www.opovo.com.br/noticias/economia/2025/04/24/fraude-no-inss-governo-suspende-descontos-e-diz-que-valores-serao-restituidos-aos-aposentados.html - INSS – Plano operacional do acordo de ressarcimento: https://www.gov.br/inss/pt-br/media/copy_of_PRPlanoOperacionalAcordoINSS.pdf/@@download/file - Diario de Pernambuco / Agência Brasil – Governo devolve R$ 2,8 bilhões a aposentados (30/12/2025): https://www.diariodepernambuco.com.br/economia/2025/12/11703955-governo-devolve-rs-28-bilhoes-a-aposentados-com-descontos-indevidos.html - Viva – Fraude no INSS: quase metade do dinheiro é devolvido (24/04/2026): https://viva.com.br/cidadania-e-direitos/fraude-no-inss-quase-metade-do-dinheiro-e-devolvido-aos-segurados.html - Movimento Econômico – CPMI do INSS rejeita 216 indiciamentos (28/03/2026): https://movimentoeconomico.com.br/politica/2026/03/28/cpmi-do-inss-rejeita-216-indiciamentos-e-termina-com-dois-relatorios-na-gaveta/ --- ## Brazil's ANPD becomes a regulatory agency: what changes for companies URL: https://cybertarget.live/en/artigos/anpd-vira-agencia-reguladora-o-que-muda-para-as-empresas Date: 2026-10-25 Brazil's National Data Protection Authority (ANPD) is now a full regulatory agency, on a par with the telecom and energy regulators. The shift began with Provisional Measure 1,317 in September 2025 and was consolidated by Law 15,352/2026, published on February 25, 2026. Timeline DateMilestone Sep 2025MP 1,317/2025 turns the ANPD into an agency Feb 9 / Feb 24, 2026Approved by the House and Senate Feb 25, 2026Law 15,352/2026 published Mar 17, 2026ECA Digital (children online) takes effect, overseen by the ANPD Apr 8, 2026New internal structure (Decree 12,881/2026) Jun 2026Civil service exam authorized; 19 sanction proceedings opened Nov 2026ECA Digital sanctions expected to begin What the law changed The ANPD became a special autarchy with functional, technical, decision-making, administrative and financial autonomy (Teletime). Law 15,352 created 200 specialist posts, internal audit and the ability to requisition staff until the end of 2028 (Wagner Advogados). A first exam with 50 posts was authorized in June 2026 (Turivius). The agency also oversees ECA Digital, which requires reliable age assurance, parental linking for under-16s, privacy by default and a ban on ad profiling of minors, with fines of up to 10% of group revenue in Brazil (Mayer Brown). Enforcement so far Between July 2023 and June 2025 the ANPD ran 35 inspections and opened 3 sanction proceedings (ANPD). Its only published monetary fine by early 2026 was R$14,400 against Telekall; the most common violation was failure to report incidents (Confidata). In June 2026 it opened 19 proceedings, its largest batch ever. The ANPD is also slated to coordinate AI oversight under bill PL 2338/2023, still pending in the House (Teletime). What companies should do The LGPD itself has not changed: fines remain capped at 2% of Brazilian revenue, up to R$50 million per violation, and incidents must be reported within 3 business days (Mayer Brown). What changes is enforcement capacity. Make sure the incident plan meets the 3-day deadline. Appoint a DPO and keep a working data-subject channel. Keep incident records for 5 years. Platforms with young users should implement age assurance before November 2026. Sources: - Teletime: ANPD vira oficialmente agência: https://teletime.com.br/18/09/2025/anpd-vira-oficialmente-agencia-nacional-de-protecao-de-dados/ - LegisMap: Senado aprova MP que transforma a ANPD em agência: https://legismap.com.br/conteudos/artigos-e-noticias/senado-aprova-mp-que-transforma-a-anpd-em-agencia-reguladora-e-fortalece-a-protecao-de-criancas-e-adolescentes-no-ambiente-digital - Wagner Advogados: Lula sanciona lei da ANPD: https://wagner.adv.br/lula-sanciona-lei-que-transforma-anpd-em-agencia-reguladora/ - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ - Mayer Brown: ECA Digital enforcement: https://www.mayerbrown.com/pt/insights/publications/2026/04/enforcement-of-brazils-eca-digital-introduces-new-obligations-for-companies - ANPD: Relatório do Ciclo de Monitoramento 2023-2025: https://www.gov.br/anpd/pt-br/assuntos/noticias/RelatorioCiclodeMonitoramento20232025.pdf - Confidata: mapa de sanções da ANPD 2026: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026 - Mayer Brown: regulamento de comunicação de incidentes: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - LegisMap: orientações preliminares para aferição de idade: https://legismap.com.br/conteudos/artigos-e-noticias/anpd-publica-orientacoes-preliminares-e-cronograma-para-afericao-de-idade-no-ambiente-digital - Teletime: votação do PL da IA: https://teletime.com.br/28/05/2026/motta-votacao-pl-da-ia-junho/ --- ## ANPD vira agência reguladora: o que muda para as empresas URL: https://cybertarget.live/pt/artigos/anpd-vira-agencia-reguladora-o-que-muda-para-as-empresas Date: 2026-10-25 A Autoridade Nacional de Proteção de Dados (ANPD) deixou de ser um órgão de estrutura enxuta e passou a ser uma agência reguladora, nos moldes de Anatel e Aneel. A mudança começou com a Medida Provisória 1.317, editada em setembro de 2025, e foi consolidada pela Lei 15.352/2026, publicada no Diário Oficial em 25 de fevereiro de 2026. Para as empresas, a pergunta é direta: a fiscalização da LGPD vai ficar mais dura? A linha do tempo DataMarco Set/2025MP 1.317/2025 transforma a ANPD em Agência Nacional de Proteção de Dados 09/02/2026Câmara aprova a MP 24/02/2026Senado aprova a MP 25/02/2026Lei 15.352/2026 publicada no DOU 17/03/2026ECA Digital entra em vigor, com a ANPD como autoridade 08/04/2026Nova estrutura regimental (Decreto 12.881/2026) passa a valer Jun/2026Concurso autorizado (50 vagas iniciais) e 19 processos sancionadores abertos Nov/2026Início esperado das sanções do ECA Digital O que a lei mudou Segundo o Teletime, a ANPD passou a ser uma autarquia especial com autonomia funcional, técnica, decisória, administrativa e financeira. Na prática, isso significa orçamento e decisões menos dependentes do Executivo. A Lei 15.352 trouxe ainda, conforme a Wagner Advogados: 200 cargos de Especialista em Regulação e Proteção de Dados; vinculação ao Ministério da Justiça e Segurança Pública; auditoria interna; possibilidade de requisitar servidores até 31/12/2028. O concurso foi autorizado em junho de 2026, com 50 vagas iniciais, informa a Turivius. O Decreto 12.881/2026 deu à ANPD a nova estrutura regimental, vigente desde 8 de abril de 2026. Mais atribuições: crianças e adolescentes A transformação veio junto com uma ampliação de competências. O Decreto 12.622/2025 designou a ANPD como autoridade administrativa autônoma do ECA Digital (Lei 15.211/2025), em vigor desde 17 de março de 2026. A lei exige das plataformas, segundo a Mayer Brown: aferição de idade confiável (autodeclaração não basta); vínculo com o responsável para menores de 16 anos; privacidade máxima por padrão; proibição de perfilamento publicitário de menores e de design manipulativo; representante legal no Brasil e relatório semestral para quem tem mais de 1 milhão de usuários menores. As multas do ECA Digital chegam a 10% do faturamento do grupo no Brasil, bem acima do teto da LGPD. A ANPD monitora 37 empresas desde o segundo semestre de 2025. As sanções são esperadas a partir de novembro de 2026 e as fiscalizações formais, a partir de janeiro de 2027. Em março de 2026, a agência publicou orientações preliminares sobre aferição de idade, começando por lojas de aplicativos e sistemas operacionais, segundo a LegisMap. O histórico de fiscalização Até aqui, a ANPD foi mais orientadora que punitiva. No ciclo de julho de 2023 a junho de 2025, fez 35 fiscalizações, abriu 4 procedimentos preparatórios e instaurou 3 processos sancionadores, segundo o relatório da própria agência. A única multa em dinheiro publicada até o início de 2026 foi a da Telekall, de R$ 14.400, em 2023. As demais sanções, quase todas contra órgãos públicos, foram advertências e ordens corretivas. A causa mais frequente foi a falta de comunicação de incidentes, de acordo com a Confidata. Sinais de mudança Jun/2026: 19 novos processos sancionadores, o maior lote da história da ANPD, além de 21 agentes encaminhados à área de sanções (19 deles públicos). Dez/2024: 20 grandes empresas notificadas por falta de encarregado e de canal de atendimento ao titular. Nov/2025: lançamento do Painel da Fiscalização, com dados agregados públicos. As comunicações de incidentes à ANPD também mostram volume crescente: 186 em 2021, 275 em 2022, 352 em 2023, 336 em 2024 e 198 apenas no primeiro semestre de 2025. Próximo capítulo: inteligência artificial O projeto de lei de IA (PL 2338/2023), aprovado no Senado em dezembro de 2024, prevê que a ANPD coordene o sistema nacional de regulação de IA. O texto ainda tramita na Câmara. Em maio de 2026, o presidente da Casa mirava votação no primeiro semestre, segundo o Teletime, mas em outubro o projeto seguia aguardando parecer. O que muda para as empresas A LGPD em si não mudou. O teto continua em 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração, e o prazo para comunicar incidentes segue em 3 dias úteis, segundo a Mayer Brown. O que muda é a capacidade de fiscalizar: mais servidores, mais autonomia e um mandato ampliado. O que fazer Revise o plano de resposta a incidentes para cumprir os 3 dias úteis. É a falha mais punida até agora. Nomeie o encarregado e publique um canal de atendimento ao titular que funcione. Mantenha o registro de incidentes por 5 anos, inclusive dos não comunicados. Plataformas com público jovem: avancem na aferição de idade e na privacidade por padrão antes de novembro de 2026. Acompanhe o Painel da Fiscalização para entender as prioridades da agência. Sources: - Teletime: ANPD vira oficialmente agência: https://teletime.com.br/18/09/2025/anpd-vira-oficialmente-agencia-nacional-de-protecao-de-dados/ - LegisMap: Senado aprova MP que transforma a ANPD em agência: https://legismap.com.br/conteudos/artigos-e-noticias/senado-aprova-mp-que-transforma-a-anpd-em-agencia-reguladora-e-fortalece-a-protecao-de-criancas-e-adolescentes-no-ambiente-digital - Wagner Advogados: Lula sanciona lei da ANPD: https://wagner.adv.br/lula-sanciona-lei-que-transforma-anpd-em-agencia-reguladora/ - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ - Mayer Brown: ECA Digital enforcement: https://www.mayerbrown.com/pt/insights/publications/2026/04/enforcement-of-brazils-eca-digital-introduces-new-obligations-for-companies - ANPD: Relatório do Ciclo de Monitoramento 2023-2025: https://www.gov.br/anpd/pt-br/assuntos/noticias/RelatorioCiclodeMonitoramento20232025.pdf - Confidata: mapa de sanções da ANPD 2026: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026 - Mayer Brown: regulamento de comunicação de incidentes: https://www.mayerbrown.com/pt/insights/publications/2024/05/anpd-approves-data-breach-notifying-regulation - LegisMap: orientações preliminares para aferição de idade: https://legismap.com.br/conteudos/artigos-e-noticias/anpd-publica-orientacoes-preliminares-e-cronograma-para-afericao-de-idade-no-ambiente-digital - Teletime: votação do PL da IA: https://teletime.com.br/28/05/2026/motta-votacao-pl-da-ia-junho/ --- ## US state privacy laws: the full map through 2028 URL: https://cybertarget.live/en/artigos/leis-estaduais-de-privacidade-nos-eua-o-mapa-ate-2028 Date: 2026-10-24 The United States has no general federal data protection law. Instead, a map of state laws now covers 24 states with comprehensive privacy statutes, according to ComplyJet, from California in 2020 to Vermont in 2028. The full calendar EffectiveStates 2020California (CCPA; CPRA from Jan 1, 2023) 2023Virginia, Colorado, Connecticut, Utah 2024Texas, Oregon, Florida (narrow scope), Montana 2025Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota, Maryland 2026Indiana, Kentucky, Rhode Island 2027Oklahoma, Louisiana (Jan 1); Alabama (May 1) 2028Vermont (Jan 1) Maryland's MODPA took effect on October 1, 2025, but applies to processing from April 1, 2026. California's automated decision-making (ADMT) rules start January 1, 2027, and first risk assessments are due April 1, 2028 (MultiState). California enforcement The California Privacy Protection Agency's first actions: American Honda ($632,500, March 2025), Todd Snyder ($345,000) and Tractor Supply ($1.35 million, September 2025), its largest so far (White & Case). Polsinelli sees a new focus on privacy disclosures. The federal bill The SECURE Data Act (H.R. 8413), introduced April 22, 2026, would broadly preempt state laws, offer no private right of action and be enforced by the FTC and state attorneys general (IAPP). It remained in committee in October 2026. Only two federal privacy laws passed recently, the TAKE IT DOWN Act and the Homebuyers Privacy Protection Act, with 49 bills pending (KEYT/Stacker). Federal sector rules still bite: the FTC fined Cognosphere $20 million and Disney $10 million under COPPA (Perkins Coie), and breach settlements such as Equifax ($575–700 million) dwarf state fines (Enzuzo). What to do Map where your consumers are and check each law's applicability thresholds. Build one program around the strictest rule, usually California's. Review privacy notices and opt-outs, the focus of early CPPA fines. Prepare for 2027 and track the SECURE Data Act. Sources: - ComplyJet: US state privacy laws list 2026: https://www.complyjet.com/blog/us-state-privacy-laws-list - MultiState: comprehensive privacy laws taking effect in 2026: https://www.multistate.us/insider/2026/2/4/all-of-the-comprehensive-privacy-laws-that-take-effect-in-2026 - Polsinelli: CPPA $1.35M fine: https://www.polsinelli.com/publications/1-35m-cppa-fine-signals-new-focus-on-privacy-disclosures - White & Case: CPPA record fine against Tractor Supply: https://www.whitecase.com/insight-alert/california-privacy-protection-agency-issues-record-135-million-fine-against-tractor - IAPP: SECURE Data Act analysis: https://iapp.org/news/a/secure-data-act-analysis-of-the-new-federal-privacy-bill - KEYT/Stacker: federal privacy legislation in 2026: https://keyt.com/stacker-cybersecurity-privacy/2026/10/21/federal-privacy-legislation-in-2026-the-49-bills-reshaping-us-data-privacy-law/ - Perkins Coie: Privacy Law Recap 2025 (FTC): https://legacy.perkinscoie.com/insights/blog/privacy-law-recap-2025-ftc-enforcement - Enzuzo: biggest data breach fines and settlements: https://www.enzuzo.com/blog/biggest-data-breach-fines --- ## Leis estaduais de privacidade nos EUA: o mapa até 2028 URL: https://cybertarget.live/pt/artigos/leis-estaduais-de-privacidade-nos-eua-o-mapa-ate-2028 Date: 2026-10-24 Os Estados Unidos não têm uma lei federal geral de proteção de dados. No lugar dela, cresceu um mapa de leis estaduais que já soma 24 estados com leis abrangentes de privacidade, segundo levantamento da ComplyJet. A primeira entrou em vigor em 2020, na Califórnia. A última da lista atual passa a valer em 2028, em Vermont. Para empresas estrangeiras que vendem para consumidores americanos, inclusive brasileiras, o efeito prático é a necessidade de acompanhar vários calendários e regras parecidas, mas não idênticas. O calendário completo VigênciaEstados (lei) 2020Califórnia (CCPA, 01/01/2020; CPRA a partir de 01/01/2023) 2023Virgínia (01/01), Colorado e Connecticut (01/07), Utah (31/12) 2024Texas, Oregon e Flórida, esta com escopo restrito (01/07); Montana (01/10) 2025Delaware, Iowa, Nebraska e New Hampshire (01/01); New Jersey (15/01); Tennessee (01/07); Minnesota (31/07); Maryland (01/10) 2026Indiana, Kentucky e Rhode Island (01/01) 2027Oklahoma e Louisiana (01/01); Alabama (01/05) 2028Vermont (01/01) A lei de Maryland (MODPA) entrou em vigor em 1º de outubro de 2025, mas se aplica ao tratamento de dados a partir de 1º de abril de 2026. O ritmo de adoção A contagem por ano de vigência mostra como o mapa se formou. Depois da Califórnia, sozinha por três anos, vieram quatro estados em 2023 e quatro em 2024. O pico foi 2025, com oito leis novas em vigor no mesmo ano. Em 2026 foram três, e outras três estão marcadas para 2027. Na prática, uma empresa que tinha montado o compliance só para a Califórnia em 2020 hoje precisa olhar para mais de vinte regimes estaduais, com definições, limites de aplicação e direitos dos consumidores que variam de um estado para outro. O que vem em 2027 e 2028 Além das novas leis de Oklahoma, Louisiana, Alabama e Vermont, a Califórnia tem dois marcos próprios. As regras sobre decisões automatizadas (ADMT) passam a valer em 1º de janeiro de 2027. As primeiras avaliações de risco vencem em 1º de abril de 2028, segundo a MultiState. Califórnia: onde está o enforcement A Califórnia é o único estado com uma agência dedicada só à privacidade, a California Privacy Protection Agency (CPPA). As primeiras multas mostram o foco da agência: DataEmpresaValor Mar/2025American Honda Motor (1ª ação)US$ 632.500 2025Todd SnyderUS$ 345.000 Set/2025Tractor Supply (maior multa da CPPA até então)US$ 1,35 milhão Segundo a Polsinelli, a multa à Tractor Supply sinaliza atenção especial às informações de privacidade divulgadas aos consumidores. A White & Case classificou o valor como recorde da agência. A lei federal que não sai O Congresso discute há anos uma lei nacional. A proposta mais recente é o SECURE Data Act (H.R. 8413), apresentado em 22 de abril de 2026 pelo deputado John Joyce. O texto prevê, segundo a IAPP: preempção ampla das leis estaduais; nenhum direito privado de ação, ou seja, consumidores não poderiam processar diretamente com base na lei; fiscalização pela FTC e pelos procuradores-gerais estaduais. Em outubro de 2026, o projeto seguia em comissão. Das propostas federais sobre privacidade, só duas viraram lei recentemente: o TAKE IT DOWN Act, de maio de 2025, e o Homebuyers Privacy Protection Act, de setembro de 2025. Outras 49 propostas tramitam, segundo a KEYT/Stacker. Se aprovada como está, a preempção substituiria boa parte do mapa estadual. Enquanto isso não acontece, o número de leis estaduais continua crescendo. A camada federal setorial Mesmo sem lei geral, o nível federal pesa. A FTC aplicou em 2025 multas como a de US$ 20 milhões à Cognosphere (Genshin Impact) e a de US$ 10 milhões à Disney, por violações à lei de privacidade infantil COPPA, segundo a Perkins Coie. E os maiores valores do país vêm de acordos após vazamentos. O da Equifax, de 2019, ficou entre US$ 575 milhões e US$ 700 milhões, e o da T-Mobile, de 2022, em US$ 500 milhões, conforme a Enzuzo. O que fazer Mapeie em quais estados a empresa tem consumidores e verifique os critérios de aplicação de cada lei, que costumam depender de volume de dados ou de receita. Use um programa único baseado na regra mais exigente, em geral a da Califórnia, com ajustes locais. Revise avisos de privacidade e mecanismos de opt-out. Foram o centro das primeiras multas da CPPA. Prepare-se para 2027: regras de decisão automatizada na Califórnia e três novas leis estaduais. Acompanhe o SECURE Data Act. Uma eventual preempção mudaria o desenho do compliance. Sources: - ComplyJet: US state privacy laws list 2026: https://www.complyjet.com/blog/us-state-privacy-laws-list - MultiState: comprehensive privacy laws taking effect in 2026: https://www.multistate.us/insider/2026/2/4/all-of-the-comprehensive-privacy-laws-that-take-effect-in-2026 - Polsinelli: CPPA $1.35M fine: https://www.polsinelli.com/publications/1-35m-cppa-fine-signals-new-focus-on-privacy-disclosures - White & Case: CPPA record fine against Tractor Supply: https://www.whitecase.com/insight-alert/california-privacy-protection-agency-issues-record-135-million-fine-against-tractor - IAPP: SECURE Data Act analysis: https://iapp.org/news/a/secure-data-act-analysis-of-the-new-federal-privacy-bill - KEYT/Stacker: federal privacy legislation in 2026: https://keyt.com/stacker-cybersecurity-privacy/2026/10/21/federal-privacy-legislation-in-2026-the-49-bills-reshaping-us-data-privacy-law/ - Perkins Coie: Privacy Law Recap 2025 (FTC): https://legacy.perkinscoie.com/insights/blog/privacy-law-recap-2025-ftc-enforcement - Enzuzo: biggest data breach fines and settlements: https://www.enzuzo.com/blog/biggest-data-breach-fines --- ## Betting and money laundering in Brazil: AML rules and 2026 cases URL: https://cybertarget.live/en/artigos/bets-e-lavagem-de-dinheiro-regulacao-e-pld Date: 2026-10-24 Online betting moves large sums, accepts instant payments and pays out winnings that can be presented as legitimate income, making it an obvious target for money laundering. Brazil has had a regulated fixed-odds betting market since January 2025, with specific anti-money laundering (AML) rules. Why betting attracts dirty money There are three classic routes. A criminal deposits illicit cash, places low-risk bets and withdraws the balance as "winnings". Alternatively, the operator itself acts as a front, mixing criminal proceeds with its turnover. Or offshore structures pretend the business is run abroad, justifying international transfers. Recent Brazilian investigations focus mainly on the last two. The AML rules Ordinance SPA/MF 1,143, published on 11 July 2024 by the Finance Ministry's Prizes and Betting Secretariat (SPA), set AML/CFT obligations for operators, enforced from 1 January 2025. According to Demarest, operators must apply risk-based customer due diligence to bettors, staff and partners; check that payment partners are authorised by the Central Bank; report suspicious bets to Coaf, Brazil's financial intelligence unit; file a "no occurrence" statement if there is nothing to report; submit an annual risk assessment by 1 February; and keep records for at least five years. In February 2025, SPA and Coaf met more than 190 operators to standardise suspicious activity reports (NetCPA). First year in numbers In 2025, 79 companies were authorised, 25.2 million Brazilians placed bets and the sector generated about R$37 billion in gross revenue. Anatel blocked more than 25,000 illegal sites; financial institutions filed 1,255 reports on transfers to illegal betting involving 1,687 people, and 550 bank accounts were closed (Convergência Digital). 2026 enforcement On 13 August 2026, Operation Arena, led by the Federal Police with prosecutors, the tax authority and SPA, served 17 search warrants in five states and obtained the seizure of up to R$1.1 billion. Investigators say the group claimed to be based in Costa Rica and Curaçao to justify transfers abroad and allegedly paid its federal licence fee with illicit funds (Agência Gov). In a second phase on 17 September, police arrested a partner of the betting company Pixbet (Portal de Prefeitura); no one has been convicted. In July, Operation Véu de Maia targeted 87 companies suspected of acting as fronts for illegal operators, including possible transfers abroad via crypto (Finsiders). The 2025 figures also show the regulator's priorities: SPA opened 132 proceedings involving 133 betting houses, and 412 proceedings against influencers led to the removal of 324 profiles (Convergência Digital). Implications for AML teams Banks and payment institutions should treat transfers to unauthorised betting sites as red flags. Operators must watch for structured deposits, quick withdrawals and third-party accounts. Offshore structures, payment intermediaries and crypto are the recurring elements in investigations. Sources: - Demarest – Apostas de quota fixa: novas diretrizes combatem lavagem de dinheiro (Portaria SPA/MF 1.143/2024): https://www.demarest.com.br/apostas-de-quota-fixa-novas-diretrizes-combatem-lavagem-de-dinheiro-e-financiamento-do-terrorismo/ - NetCPA – SPA e Coaf orientam empresas de apostas sobre comunicação de atividades suspeitas: https://netcpa.com.br/colunas/spa-e-coaf-orientam-empresas-de-apostas-sobre-comunicacao-de-atividades-suspeitas/24644 - Convergência Digital – Anatel bloqueou 25 mil sites de bets ilegais em 2025: https://convergenciadigital.com.br/governo/anatel-bloqueou-25-mil-sites-de-bets-ilegais-em-2025/ - Agência Gov – PF faz operação contra quadrilha que faz lavagem de dinheiro com bets (Operação Arena): https://agenciagov.ebc.com.br/noticias/202608/pf-faz-operacao-contra-quadrilha-que-faz-lavagem-dinheiro-com-bets - Portal de Prefeitura – Operação Arena: PF prende sócio da Pixbet: https://portaldeprefeitura.com.br/policia/mxsmoperacao-arenapfpixbetlavagemdinheiroprisaosocio/632327/ - Finsiders Brasil – Apostas ilegais: PF investiga 87 empresas suspeitas de lavagem de dinheiro: https://finsidersbrasil.com.br/noticias-sobre-fintechs/fraudes/apostas-ilegais-pf-investiga-87-empresas-suspeitas-de-lavagem-de-dinheiro/ --- ## Bets e lavagem de dinheiro: regras de PLD e operações de 2026 URL: https://cybertarget.live/pt/artigos/bets-e-lavagem-de-dinheiro-regulacao-e-pld Date: 2026-10-24 Apostas esportivas e cassinos online movimentam bilhões, aceitam pagamentos instantâneos e pagam prêmios que podem ser apresentados como renda lícita. Essas características fazem do setor um alvo natural para a lavagem de dinheiro. Desde janeiro de 2025, o Brasil tem um mercado regulado de apostas de quota fixa, com regras específicas de prevenção à lavagem de dinheiro (PLD). Os primeiros resultados e as operações policiais de 2026 mostram onde estão os riscos. Por que as apostas atraem dinheiro sujo Há três caminhos clássicos. No primeiro, o criminoso deposita dinheiro ilícito, faz apostas de baixo risco e saca o saldo como "prêmio". No segundo, o próprio operador é usado como fachada: a casa de apostas recebe recursos de origem criminosa e os mistura ao faturamento. No terceiro, estruturas no exterior simulam que a operação ocorre fora do país, justificando remessas internacionais. As investigações recentes no Brasil envolvem principalmente os dois últimos. As regras de PLD para as bets A Portaria SPA/MF nº 1.143, publicada em 11 de julho de 2024 pela Secretaria de Prêmios e Apostas do Ministério da Fazenda, fixou as obrigações de PLD/FT para os operadores, com fiscalização a partir de 1º de janeiro de 2025. Segundo análise do Demarest, os principais pontos são: Conheça seu cliente: identificar, qualificar e classificar por risco apostadores, funcionários, parceiros e prestadores de serviço. Verificar instituições de pagamento parceiras, confirmando que são autorizadas pelo Banco Central. Comunicar ao Coaf apostas e operações com indícios de lavagem ou financiamento do terrorismo, detalhando origem e destino dos recursos e meio de pagamento. Declaração de não ocorrência à SPA quando não houver nada a comunicar no ano. Avaliação interna de risco anual, entregue à SPA até 1º de fevereiro do ano seguinte. Guarda de registros por, no mínimo, cinco anos. Política publicada no site do operador, aprovada pelos administradores e atualizada anualmente. O descumprimento pode levar às sanções do artigo 12 da Lei 9.613/1998, a lei de lavagem de dinheiro. Em fevereiro de 2025, SPA e Coaf reuniram mais de 190 operadores para padronizar as comunicações de atividade suspeita, porque as primeiras chegavam em formatos muito diferentes, segundo a NetCPA. O primeiro ano do mercado regulado O balanço de 2025 publicado pela Convergência Digital dá uma ideia da escala: Indicador (2025)Valor Empresas autorizadas79 Brasileiros que apostaram25,2 milhões Receita bruta do setorcerca de R$ 37 bilhões Tributos federais pagoscerca de R$ 9,95 bilhões Sites ilegais bloqueados pela Anatelmais de 25 mil Processos abertos pela SPA132, envolvendo 133 casas Comunicações de instituições financeiras sobre bets ilegais1.255, envolvendo 1.687 pessoas Contas bancárias encerradas550 O dado das contas encerradas mostra que o sistema financeiro passou a ser a principal barreira contra as bets ilegais: sem conta para receber depósitos, o site clandestino perde a capacidade de operar. As operações de 2026 Operação Arena Em 13 de agosto de 2026, a Polícia Federal, com o MPF, a Receita Federal e a SPA, cumpriu 17 mandados de busca nos estados da Paraíba, Sergipe, São Paulo, Rio de Janeiro e Paraná. A Justiça autorizou o sequestro de valores estimados em até R$ 1,1 bilhão. Segundo a Agência Gov, o grupo se apresentava como sediado na Costa Rica e em Curaçao para justificar remessas ao exterior, sem atividade econômica compatível, e teria pago a outorga federal com recursos de origem ilícita. A investigação começou em 2022. Na segunda fase, em 17 de setembro de 2026, a PF prendeu preventivamente um sócio da Pixbet, segundo o Portal de Prefeitura. A defesa não havia se manifestado até a publicação da reportagem, e os investigados não foram julgados. Operação Véu de Maia Em 6 de julho de 2026, a PF cumpriu nove mandados em Goiás, São Paulo e Rio Grande do Sul contra 87 empresas suspeitas de servir de fachada para movimentar recursos de operadores irregulares. A investigação partiu de informações da SPA e apura possível envio de recursos ao exterior por criptoativos (Finsiders). O que muda para quem faz PLD Bancos e instituições de pagamento devem tratar transferências para sites não autorizados como sinal de alerta e conferir a lista oficial de operadores. Operadores autorizados precisam monitorar padrões como depósitos fracionados, saques logo após depósitos e contas de terceiros. Estruturas no exterior, intermediários de pagamento e uso de cripto são os pontos que mais aparecem nas investigações. Influenciadores e afiliados também estão no radar: em 2025 houve 412 processos contra influenciadores (Convergência Digital). Para o apostador Aposte apenas em sites com domínio ".bet.br" e autorizados pela SPA. Plataformas ilegais não oferecem garantia de pagamento, podem usar seus dados e sua conta para movimentar dinheiro de terceiros e expõem você a investigações. Se sentir perda de controle, a plataforma federal de autoexclusão permite bloquear o acesso às casas autorizadas. Sources: - Demarest – Apostas de quota fixa: novas diretrizes combatem lavagem de dinheiro (Portaria SPA/MF 1.143/2024): https://www.demarest.com.br/apostas-de-quota-fixa-novas-diretrizes-combatem-lavagem-de-dinheiro-e-financiamento-do-terrorismo/ - NetCPA – SPA e Coaf orientam empresas de apostas sobre comunicação de atividades suspeitas: https://netcpa.com.br/colunas/spa-e-coaf-orientam-empresas-de-apostas-sobre-comunicacao-de-atividades-suspeitas/24644 - Convergência Digital – Anatel bloqueou 25 mil sites de bets ilegais em 2025: https://convergenciadigital.com.br/governo/anatel-bloqueou-25-mil-sites-de-bets-ilegais-em-2025/ - Agência Gov – PF faz operação contra quadrilha que faz lavagem de dinheiro com bets (Operação Arena): https://agenciagov.ebc.com.br/noticias/202608/pf-faz-operacao-contra-quadrilha-que-faz-lavagem-dinheiro-com-bets - Portal de Prefeitura – Operação Arena: PF prende sócio da Pixbet: https://portaldeprefeitura.com.br/policia/mxsmoperacao-arenapfpixbetlavagemdinheiroprisaosocio/632327/ - Finsiders Brasil – Apostas ilegais: PF investiga 87 empresas suspeitas de lavagem de dinheiro: https://finsidersbrasil.com.br/noticias-sobre-fintechs/fraudes/apostas-ilegais-pf-investiga-87-empresas-suspeitas-de-lavagem-de-dinheiro/ --- ## Pix security: MED 2.0, the dispute button and new Central Bank rules URL: https://cybertarget.live/en/artigos/seguranca-do-pix-med-2-0-botao-de-contestacao-e-novas-regras Date: 2026-10-23 Brazil's instant payment system, Pix, has had a refund mechanism for scams since 2021: the MED (Special Return Mechanism). It worked poorly because criminals moved the money through several accounts before victims complained. In 2025 and 2026, the Central Bank overhauled the rules. What changed 28 August 2025: BCB Resolution 493 published the new MED rules (Agência Brasil). 1 October 2025: a dispute button became available in banking apps. The claim goes instantly to the fraudster's bank, which must freeze available funds; both banks have up to seven days to analyse and refunds are due within 11 days (Mercado & Consumo). 23 November 2025: tracing and refunds from accounts beyond the first recipient became available on an optional basis. 2 February 2026: MED 2.0 became mandatory for all Pix participants, with a grace period on enforcement until 10 May 2026 under BCB Resolution 546 (Finsiders). Following the money MED 2.0 follows funds through intermediary accounts and institutions and shares tracing data among participants. The rules also broaden criteria for precautionary blocks of suspicious accounts and keys and strengthen information sharing with law enforcement (Asaas). The MED covers fraud, scams and coercion, not buyer's remorse, commercial disputes or typing errors. Other safeguards New devices: phones never used for Pix are limited to R$200 per transaction and R$1,000 per day until registered with the bank; banks must also check at least every six months whether customers carry fraud flags in the Central Bank database (Inteligência Financeira). Night-time cap: since October 2021, transfers by individuals between 8 pm and 6 am are limited to R$1,000 (Jornal Contábil). BC Protege+: launched in December 2025, it lets people block accounts from being opened in their name; it stopped 111,000 suspicious account openings in its first month (Finsiders). In September 2026, the Central Bank also announced that exclusion from Pix as a penalty will take effect immediately rather than after 30 days (Portal de Prefeitura). Limits of the system MED 2.0 still depends on funds being available in the traced accounts when the freeze happens. Money already withdrawn in cash, converted to crypto or sent outside the system is hard to recover, and the mechanism does not reach good-faith third parties, such as a merchant who sold a real product to the fraudster (Mercado & Consumo). That is why the Central Bank pairs it with preventive tools that try to stop mule accounts from being opened and block transfers from unknown devices. For banks, the changes are also operational. Institutions offering Pix must use fraud-risk solutions that draw on security data held by the Central Bank to flag atypical transactions, and must treat customers with fraud flags differently, for example by ending the relationship, applying longer authorisation times or placing precautionary blocks on incoming funds (Inteligência Financeira). If you are scammed Act fast: the sooner you dispute, the more likely funds remain. Use the dispute button in your bank's app. File a police report and keep screenshots and receipts. Sources: - Diario de Pernambuco / Agência Brasil – Pix: novas regras vão facilitar devolução em casos de golpe (Res. BCB 493): https://www.diariodepernambuco.com.br/economia/2025/08/11694394-pix-novas-regras-vao-facilitar-devolucao-de-valores-em-casos-de-golpe.html - Mercado & Consumo – Botão de contestação do Pix está disponível aos usuários: https://mercadoeconsumo.com.br/01/10/2025/economia/botao-de-contestacao-do-pix-esta-disponivel-aos-usuarios/ - Asaas – Novas regras de segurança do Pix começam a valer em fevereiro: https://blog.asaas.com/release/novas-regras-de-seguranca-do-pix/ - Finsiders Brasil – Novo MED do Pix passa a ser obrigatório, mas instituições terão um respiro: https://finsidersbrasil.com.br/pagamentos/pix/novo-med-do-pix-passa-a-ser-obrigatorio-mas-instituicoes-terao-um-respiro/ - Inteligência Financeira – Pix: nova regra para dispositivos novos: https://inteligenciafinanceira.com.br/mercado-financeiro/economia/pix-nova-regra-comeca-a-valer-hoje-veja-o-que-muda - Jornal Contábil – Novo limite de transferência via Pix (limite noturno): https://jornalcontabil.com.br/noticia/novo-limite-de-transferencia-via-pix-comecou-a-valer-veja-o-que-mudou/ - Portal de Prefeitura – Pix terá novas regras para combater fraudes (set/2026): https://portaldeprefeitura.com.br/brasil/pix-tera-novas-regras-para-combater-fraudes-e-ampliar-seguranca/632398/ --- ## Segurança do Pix: MED 2.0, botão de contestação e novas regras URL: https://cybertarget.live/pt/artigos/seguranca-do-pix-med-2-0-botao-de-contestacao-e-novas-regras Date: 2026-10-23 Desde 2021 o Pix tem um mecanismo para devolver dinheiro de golpes, o MED. O problema é que ele funcionava mal: quando a vítima reclamava, o criminoso já tinha espalhado o dinheiro por várias contas. Entre 2025 e 2026, o Banco Central reformulou as regras. Veja o que mudou, o que vale hoje e como usar as ferramentas a seu favor. O que é o MED O Mecanismo Especial de Devolução foi criado em 2021 para casos de fraude, golpe ou coação, além de falhas operacionais dos bancos. Ele não serve para arrependimento, desacordo comercial ou erro de digitação da chave Pix (Mercado & Consumo). Até 2025, a devolução só podia sair da conta que recebeu o Pix original, que costumava estar vazia. A linha do tempo das mudanças DataMudança 28/08/2025Publicada a Resolução BCB nº 493, com as novas regras do MED 01/10/2025Botão de contestação (autoatendimento do MED) disponível nos aplicativos 23/11/2025Rastreamento e devolução a partir de outras contas, de forma opcional Dez/2025Lançamento do BC Protege+, contra abertura de contas em nome de terceiros 22/01/2026Resolução BCB nº 546 cria período de transição 02/02/2026MED 2.0 obrigatório para todas as instituições do Pix 10/05/2026Fim do período de transição Fontes: Agência Brasil, Mercado & Consumo, Finsiders. O botão de contestação Desde 1º de outubro de 2025, a vítima pode acionar o MED diretamente no aplicativo do banco, na área do Pix, sem precisar ligar para a central ou ir a uma agência. A contestação é repassada imediatamente ao banco do golpista, que deve bloquear os recursos disponíveis na conta, inclusive valores parciais. As duas instituições têm até 7 dias para analisar o caso e, se confirmada a fraude, o dinheiro é devolvido em até 11 dias após a contestação (Mercado & Consumo). MED 2.0: seguindo o caminho do dinheiro A principal mudança é o rastreamento. Com o MED 2.0, o sistema passa a seguir os recursos por contas e instituições intermediárias, e não só pela conta que recebeu o primeiro Pix. As informações de rastreio são compartilhadas entre as instituições envolvidas (Agência Brasil). Segundo o Asaas, as regras também ampliam os critérios de bloqueio cautelar de contas e chaves suspeitas e reforçam a troca de informações entre bancos, instituições de pagamento e órgãos de segurança. A obrigatoriedade começou em 2 de fevereiro de 2026, mas a Resolução BCB nº 546 dispensou, até 10 de maio de 2026, a abertura de processo por descumprimento relacionado à funcionalidade de recuperação de recursos, dando tempo para ajustes nos sistemas (Finsiders). Outras camadas de proteção Limite para celulares novos Aparelhos que nunca fizeram Pix só podem passar de R$ 200 por transação e R$ 1.000 por dia depois de cadastrados pelo banco. A regra mira criminosos que roubam senhas e tentam operar a conta de outro dispositivo. Os bancos também precisam consultar, pelo menos a cada seis meses, se seus clientes têm marcações de fraude na base do Banco Central (Inteligência Financeira). Limite noturno Desde outubro de 2021, Pix, TED e DOC feitos por pessoas físicas e MEIs entre 20h e 6h estão limitados a R$ 1.000, e o aumento desse teto leva de 24 a 48 horas para ser efetivado (Jornal Contábil). BC Protege+ Lançado no início de dezembro de 2025, o serviço permite que pessoas e empresas bloqueiem a abertura de contas em seu nome ou sua inclusão como titular ou representante de contas de terceiros. No primeiro mês, impediu a abertura de 111 mil contas suspeitas, segundo a Finsiders. É uma arma direta contra as contas laranja que recebem o dinheiro dos golpes. O que o MED não resolve Mesmo com as novas regras, o mecanismo tem limites. Ele depende de haver saldo nas contas rastreadas no momento do bloqueio: se o dinheiro já foi sacado em espécie, convertido em cripto ou enviado para fora do sistema, a recuperação fica difícil. Também não cobre situações envolvendo terceiros de boa-fé, como um comerciante que vendeu um produto real ao golpista (Mercado & Consumo). Por isso, o Banco Central combina o MED com medidas preventivas, que tentam impedir que a conta laranja seja aberta ou que a transferência saia de um aparelho desconhecido. Para as instituições, a mudança também é operacional. Elas passaram a ter de usar soluções de gestão de risco de fraude que aproveitem as informações de segurança armazenadas no Banco Central e identifiquem transações atípicas ou incompatíveis com o perfil do cliente, além de dar tratamento diferenciado a clientes com marcação de fraude, como encerrar o relacionamento ou bloquear cautelarmente valores recebidos (Inteligência Financeira). O que vem por aí Em setembro de 2026, o Banco Central anunciou novos ajustes ao regulamento do Pix, entre eles a exclusão imediata, sem o prazo atual de 30 dias, de instituições punidas com o desligamento do sistema e a suspensão imediata de instituições em liquidação extrajudicial (Portal de Prefeitura). Como usar o MED se cair num golpe Aja rápido. Quanto antes a contestação, maior a chance de haver saldo para bloquear. Use o botão de contestação no aplicativo do seu banco, na área do Pix. Registre boletim de ocorrência e guarde prints e comprovantes. Acompanhe o prazo: a análise leva até 7 dias e a devolução, até 11 dias. Como se proteger antes Ative o BC Protege+ no site do Banco Central para impedir contas abertas em seu nome. Mantenha limites de Pix compatíveis com seu uso real. Desconfie de pedidos urgentes de transferência, mesmo de conhecidos. Confira o nome do recebedor antes de confirmar o Pix. Sources: - Diario de Pernambuco / Agência Brasil – Pix: novas regras vão facilitar devolução em casos de golpe (Res. BCB 493): https://www.diariodepernambuco.com.br/economia/2025/08/11694394-pix-novas-regras-vao-facilitar-devolucao-de-valores-em-casos-de-golpe.html - Mercado & Consumo – Botão de contestação do Pix está disponível aos usuários: https://mercadoeconsumo.com.br/01/10/2025/economia/botao-de-contestacao-do-pix-esta-disponivel-aos-usuarios/ - Asaas – Novas regras de segurança do Pix começam a valer em fevereiro: https://blog.asaas.com/release/novas-regras-de-seguranca-do-pix/ - Finsiders Brasil – Novo MED do Pix passa a ser obrigatório, mas instituições terão um respiro: https://finsidersbrasil.com.br/pagamentos/pix/novo-med-do-pix-passa-a-ser-obrigatorio-mas-instituicoes-terao-um-respiro/ - Inteligência Financeira – Pix: nova regra para dispositivos novos: https://inteligenciafinanceira.com.br/mercado-financeiro/economia/pix-nova-regra-comeca-a-valer-hoje-veja-o-que-muda - Jornal Contábil – Novo limite de transferência via Pix (limite noturno): https://jornalcontabil.com.br/noticia/novo-limite-de-transferencia-via-pix-comecou-a-valer-veja-o-que-mudou/ - Portal de Prefeitura – Pix terá novas regras para combater fraudes (set/2026): https://portaldeprefeitura.com.br/brasil/pix-tera-novas-regras-para-combater-fraudes-e-ampliar-seguranca/632398/ --- ## Money laundering: FATF lists, a COAF record and Brazil's crypto rules URL: https://cybertarget.live/en/artigos/lavagem-de-dinheiro-gafi-coaf-recorde-regras-bc-cripto Date: 2026-10-23 Three recent moves are reshaping anti-money-laundering efforts in Brazil and beyond: the Financial Action Task Force (FATF) updated its lists in October 2026, Brazil's financial intelligence unit COAF set a production record in 2025, and the Central Bank tightened crypto rules. FATF lists, October 2026 At its October 28–30, 2026 plenary, the first under the UK presidency, FATF removed four jurisdictions from the grey list (Côte d'Ivoire, Bulgaria, Monaco and the DR Congo) and added none, per AML UAE. The list now has 18 names: Angola, Bolivia, Bosnia and Herzegovina, Cameroon, Haiti, Iraq, Kenya, Kuwait, Laos, Lebanon, Nepal, Papua New Guinea, South Sudan, Syria, Venezuela, Vietnam, the British Virgin Islands and Yemen. Iran and North Korea remain subject to countermeasures and Myanmar to enhanced due diligence. Brazil, the US and Mexico are on no list (IBA). Brazil's 2023 mutual evaluation flagged lawyers outside the AML regime, a nearly empty beneficial-ownership registry and weak non-corruption prosecutions (FATF). US and Mexico evaluations are due in December 2026. New FATF president Giles Thomson has made fraud a priority (FATF). COAF's record year Indicator20242025 Financial intelligence reports18,76220,548 (+9.52%) Reports receivedn/a~7.6 million Sanction cases decided3237 Finesn/aR$96.9 million Sources: COAF RGI 2025 and COAF. In the US, suspicious activity reports topped a record 4.1 million in 2025, with cyber-related SARs up 30% (Forvis Mazars). Brazil's new crypto rules BCB Resolutions 519–521 (in force February 2, 2026) license virtual-asset service providers, require AML controls, bring crypto under FX rules and cap transfers with unauthorized foreign counterparties at $100,000; existing firms got 270 days to apply (Lefosse). BCB Resolution 588/2026 (from October 1, 2026) adds automatic COAF reports for physical FX of $10,000 or more and for virtual-asset transfers to or from self-hosted wallets of $10,000 or more (Schiefler). BCB Resolution 589/2026 bars authorized institutions from dealing with unauthorized providers from November 6, 2026. The 2025 "Carbono Oculto" operation showed why: a network tied to the PCC gang moved at least R$52 billion through fuel businesses, investment funds and fintech pooled accounts (BBC Brasil). In the Basel AML Index 2025, Brazil ranked 80th of 177 (score 5.40), Mexico 71st and the US 113th, against a 5.28 global average (Basel Institute). What to do Crypto firms: file for authorization on time and stop dealing with unauthorized providers. Banks: update systems for the new automatic reports. Obliged sectors such as jewelry and luxury goods should register with COAF. Apply enhanced due diligence to grey-list jurisdictions. Sources: - AML UAE: FATF grey list update, October 2026: https://amluae.com/fatf-grey-list-update-october-2026/ - FATF: outcomes of the June 2026 plenary: https://www.fatf-gafi.org/en/publications/Fatfgeneral/outcomes-fatf-plenary-june-2026.html - IBA: tracking FATF compliance in North America: https://www.ibanet.org/Tracking-FATF-compliance-in-North-America - FATF: Brazil mutual evaluation 2023: https://www.fatf-gafi.org/en/publications/Mutualevaluations/Brazil-mer-2023.html - COAF: Relatório de Gestão Integrado 2025: https://www.gov.br/coaf/pt-br/centrais-de-conteudo/publicacoes/publicacoes-do-coaf-1/rgi-2025.pdf - COAF: produtividade bate recorde com 20.548 RIFs: https://www.gov.br/coaf/pt-br/assuntos/noticias/ultimas-noticias/produtividade-do-coaf-cresce-e-bate-novo-recorde-com-20-548-rifs-aponta-novo-relatorio-de-gestao-integrado-2025 - Schiefler Advocacia: Resolução BCB 588/2026: https://schiefler.adv.br/criptoativos-e-cambio-em-especie-o-que-muda-na-comunicacao-ao-coaf-com-a-resolucao-bcb-no-588-2026/ - Lefosse: BC regulamenta ativos virtuais: https://lefosse.com/noticias/alerta/banco-central-regulamenta-o-uso-de-ativos-virtuais-e-o-funcionamento-das-prestadoras-de-servicos-de-ativos-virtuais/ - Basel Institute: Basel AML Index 2025: https://baselgovernance.org/news/basel-aml-index-2025-reveals-uneven-progress-global-fight-against-financial-crime - Basel AML Index: ranking: https://index.baselgovernance.org/ranking - Forvis Mazars: SAR filings hit record in 2025: https://www.forvismazars.us/forsights/2026/03/suspicious-activity-report-sar-filings-hit-record-in-2025 - BBC Brasil via O Povo: Operação Carbono Oculto: https://www.opovo.com.br/agencia/bbc/2025/08/28/como-pcc-usa-a-faria-lima-para-lucrar-bilhoes-segundo-investigacoes-da-receita-e-a-pf.html --- ## Lavagem de dinheiro: GAFI, recorde do COAF e novas regras de cripto URL: https://cybertarget.live/pt/artigos/lavagem-de-dinheiro-gafi-coaf-recorde-regras-bc-cripto Date: 2026-10-23 Três movimentos recentes redesenham o combate à lavagem de dinheiro no Brasil e no mundo. O Grupo de Ação Financeira (GAFI/FATF) atualizou suas listas de jurisdições de risco em outubro de 2026. O COAF, a unidade de inteligência financeira brasileira, bateu recorde de produção em 2025. E o Banco Central fechou o cerco às operações com criptoativos, com novas regras de comunicação e de autorização. As listas do GAFI em outubro de 2026 Na plenária de 28 a 30 de outubro de 2026, a primeira sob presidência britânica, o GAFI retirou quatro jurisdições da lista cinza: Costa do Marfim, Bulgária, Mônaco e República Democrática do Congo. Nenhum país entrou, segundo a AML UAE. Com isso, a lista de jurisdições sob monitoramento reforçado ficou com 18 nomes: Angola, Bolívia, Bósnia e Herzegovina, Camarões, Haiti, Iraque, Quênia, Kuwait, Laos, Líbano, Nepal, Papua-Nova Guiné, Sudão do Sul, Síria, Venezuela, Vietnã, Ilhas Virgens Britânicas e Iêmen. A lista negra ("call for action") não mudou. Irã e Coreia do Norte seguem sujeitos a contramedidas, e Mianmar, a diligência reforçada. América Latina e Brasil Na América Latina continental, Bolívia e Venezuela estão na lista cinza, e o Haiti, no Caribe, também. Brasil, EUA e México não estão em nenhuma lista, segundo a IBA. A última avaliação mútua do Brasil, publicada em dezembro de 2023, deu nota "Substancial" a dois resultados imediatos e "Moderado" aos outros nove. O relatório do GAFI apontou lacunas: advogados fora do regime de prevenção à lavagem; base de beneficiário final quase vazia; poucos processos por lavagem e pouca recuperação de ativos fora dos casos de corrupção. As avaliações de EUA e México foram discutidas na plenária de outubro e devem ser publicadas em dezembro de 2026. O novo presidente do GAFI, Giles Thomson, do Reino Unido, tem mandato até junho de 2028 e elegeu a fraude, incluindo os "scam compounds", como prioridade, informa o GAFI. COAF: recorde em 2025 Indicador20242025 Relatórios de Inteligência Financeira (RIFs)18.76220.548 (+9,52%) Comunicações recebidasn/d~7,6 milhões Processos sancionadores julgados3237 Multas aplicadasn/dR$ 96,9 milhões Os 20.548 RIFs são o maior volume da história do órgão e mais de seis vezes o de 2014, segundo o COAF. A base acumulada passa de 65 milhões de comunicações. Há 18.672 pessoas obrigadas cadastradas, mas o COAF estima que outras 649 mil deveriam se cadastrar. As multas se concentraram em joias e metais preciosos, bens de luxo e factoring. Nos EUA, o movimento é semelhante. Os relatórios de atividade suspeita (SARs) passaram de 4,1 milhões em 2025, recorde, com alta de 30% nos SARs ligados a crimes cibernéticos, segundo a Forvis Mazars. As novas regras do Banco Central para cripto Autorização das prestadoras As Resoluções BCB 519, 520 e 521, de novembro de 2025, regulamentaram as prestadoras de serviços de ativos virtuais (SPSAVs) e entraram em vigor em 2 de fevereiro de 2026. Elas exigem controles de prevenção à lavagem, trazem as operações com cripto para as regras de câmbio e limitam a US$ 100 mil a transferência internacional com contraparte não autorizada. Quem já operava ganhou 270 dias para pedir autorização, segundo o Lefosse. Comunicação automática ao COAF A Resolução BCB 588/2026, vigente desde 1º de outubro de 2026, ampliou as comunicações automáticas ao COAF, que independem de suspeita, explica a Schiefler Advocacia. Já valiam para depósitos e saques em espécie a partir de R$ 50 mil. Agora incluem: câmbio com moeda estrangeira física a partir de US$ 10 mil; transferência de ativo virtual de ou para carteira autocustodiada a partir de US$ 10 mil. Fracionar operações para ficar abaixo dos limites é tratado como indício de suspeita. A Resolução BCB 589/2026 proíbe, a partir de 6 de novembro de 2026, que instituições autorizadas operem ativos virtuais com prestadores não autorizados. O caso que acelerou a agenda A Operação Carbono Oculto, de agosto de 2025, expôs como o crime organizado usa o sistema financeiro formal. Segundo a BBC Brasil, a rede ligada ao PCC no setor de combustíveis movimentou pelo menos R$ 52 bilhões entre 2020 e 2024, usou 40 fundos com cerca de R$ 30 bilhões em patrimônio e se apoiou em contas-bolsão de fintechs. Brasil no índice de Basileia No Basel AML Index 2025, que mede risco de lavagem em 177 países, o Brasil ficou em 80º lugar, com nota 5,40 (quanto maior, mais risco). O México ficou em 71º (5,52) e os EUA em 113º (4,83). A média global foi de 5,28, segundo o Basel Institute. O que fazer Exchanges e intermediários de cripto: confirmem o pedido de autorização no prazo do BC e o fim das operações com prestadores não autorizados a partir de 6/11/2026. Instituições financeiras: ajustem sistemas para as novas comunicações automáticas de câmbio físico e carteiras autocustodiadas. Setores obrigados, como joias, bens de luxo e factoring, devem se cadastrar no COAF. Foram os mais multados em 2025. Operações com países da lista cinza pedem diligência reforçada. Sources: - AML UAE: FATF grey list update, October 2026: https://amluae.com/fatf-grey-list-update-october-2026/ - FATF: outcomes of the June 2026 plenary: https://www.fatf-gafi.org/en/publications/Fatfgeneral/outcomes-fatf-plenary-june-2026.html - IBA: tracking FATF compliance in North America: https://www.ibanet.org/Tracking-FATF-compliance-in-North-America - FATF: Brazil mutual evaluation 2023: https://www.fatf-gafi.org/en/publications/Mutualevaluations/Brazil-mer-2023.html - COAF: Relatório de Gestão Integrado 2025: https://www.gov.br/coaf/pt-br/centrais-de-conteudo/publicacoes/publicacoes-do-coaf-1/rgi-2025.pdf - COAF: produtividade bate recorde com 20.548 RIFs: https://www.gov.br/coaf/pt-br/assuntos/noticias/ultimas-noticias/produtividade-do-coaf-cresce-e-bate-novo-recorde-com-20-548-rifs-aponta-novo-relatorio-de-gestao-integrado-2025 - Schiefler Advocacia: Resolução BCB 588/2026: https://schiefler.adv.br/criptoativos-e-cambio-em-especie-o-que-muda-na-comunicacao-ao-coaf-com-a-resolucao-bcb-no-588-2026/ - Lefosse: BC regulamenta ativos virtuais: https://lefosse.com/noticias/alerta/banco-central-regulamenta-o-uso-de-ativos-virtuais-e-o-funcionamento-das-prestadoras-de-servicos-de-ativos-virtuais/ - Basel Institute: Basel AML Index 2025: https://baselgovernance.org/news/basel-aml-index-2025-reveals-uneven-progress-global-fight-against-financial-crime - Basel AML Index: ranking: https://index.baselgovernance.org/ranking - Forvis Mazars: SAR filings hit record in 2025: https://www.forvismazars.us/forsights/2026/03/suspicious-activity-report-sar-filings-hit-record-in-2025 - BBC Brasil via O Povo: Operação Carbono Oculto: https://www.opovo.com.br/agencia/bbc/2025/08/28/como-pcc-usa-a-faria-lima-para-lucrar-bilhoes-segundo-investigacoes-da-receita-e-a-pf.html --- ## Brazil's biggest data breaches and what happened next URL: https://cybertarget.live/en/artigos/vazamentos-de-dados-no-brasil-maiores-casos-e-o-que-aconteceu Date: 2026-10-22 Name, taxpayer number, address, income, credit score: for many Brazilians, this information has already circulated in at least one breach. That is why fraudsters can call victims quoting real details. Here are some of Brazil's largest public cases and what happened next. The 2021 mega-leak In January 2021, PSafe's dfndr lab revealed the exposure of data linked to more than 223 million CPF numbers (including deceased people) and over 40 million company IDs, with names, addresses, income, tax data, photos and credit scores (O POVO). On 19 March 2021, the Federal Police's Operation Deepwater arrested a suspect in Uberlândia. In December 2023, federal prosecutors sought a fine of at least R$200 million against Serasa and R$30,000 per affected person; Serasa says its systems were not breached and that there is no evidence the data came from its databases (Mercado & Consumo). The origin of the leak has never been publicly established. Pix keys In March 2026, the Central Bank reported a leak of registration data tied to 28,203 Pix keys held by Pefisa, the Pernambucanas group's financial arm, exposed between August 2025 and February 2026 (Olhar Digital). It was the 23rd Pix key incident since the system's launch in November 2020 (Portal de Prefeitura). Such data cannot be used to move money, but they are what scammers need to impersonate a bank. Recent corporate cases iFood: in June 2026 it confirmed a December 2025 incident exposing names and CPFs of about 1.2 million users; it did not notify users, saying its assessment under ANPD criteria found no relevant risk (BNews). Cemig: in May 2026 the utility reported unauthorised access exposing data of about 135,000 customers and notified the ANPD, the electricity regulator and police (Investidor10). MedicSolution: in September 2025 the KillSec group claimed theft of more than 34 GB of patient exams and images from misconfigured cloud storage (Convergência Digital). In the Cemig case, the exposed data included customers' parents' names, address, email, phone and invoice amounts; the company said access was blocked soon after detection and began notifying customers individually. In the Pefisa case, the Central Bank stressed that passwords, balances and statements were not exposed, that it would never contact customers by phone, SMS or email about the incident, and that it opened an investigation that could lead to sanctions (Olhar Digital). What the law requires Under ANPD rules, controllers must notify the authority and data subjects within three business days when an incident may cause relevant risk or harm, and log all incidents for five years (Cescon Barrieu). The iFood case shows how much the "relevant risk" test leaves to companies' own judgement. If your data leaked Assume fraudsters know your details and distrust callers who quote them. Use the Central Bank's BC Protege+ and Registrato services to block and check accounts in your name. Change passwords and turn on two-factor authentication. Ask the company what data were affected and complain to the ANPD if it does not respond. Sources: - O POVO – PF prende hacker por vazamento em massa de dados de 220 milhões de brasileiros (Operação Deepwater): https://www.opovo.com.br/noticias/economia/2021/03/19/pf-prende-hacker-por-vazamento-em-massa-de-dados-de-220-milhoes-de-brasileiros.html - Mercado & Consumo – MPF de SP pede multa de pelo menos R$ 200 mi ao Serasa por megavazamento: https://mercadoeconsumo.com.br/05/12/2023/economia/mpf-de-sp-pede-multa-de-pelo-menos-r-200-mi-ao-serasa-por-megavazamento-de-dados/ - Olhar Digital – Banco Central comunica vazamento de mais de 28 mil chaves Pix da Pefisa: https://olhardigital.com.br/2026/03/21/seguranca/banco-central-comunica-vazamento-de-mais-de-28-mil-chaves-pix-da-pefisa/ - Portal de Prefeitura – Banco Central comunica vazamento de dados cadastrais de chaves Pix: https://portaldeprefeitura.com.br/brasil/banco-central-comunica-vazamento-dados-cadastrais-chaves-pix/617566/ - BNews SP – iFood confirma vazamento de dados que atingiu cerca de 1,2 milhão de usuários: https://www.bnewssaopaulo.com.br/amp/noticias/politica/ifood-confirma-vazamento-de-dados-que-atingiu-cerca-de-12-milhao-de-usuarios.html - Investidor10 – Cemig diz que 135 mil clientes tiveram dados expostos: https://investidor10.com.br/noticias/cemig-cmig4-diz-que-135-mil-clientes-tiveram-dados-expostos-em-ataque-hacker-120409/ - Convergência Digital – Ransomware KillSec ataca saúde no Brasil: https://convergenciadigital.com.br/seguranca/ransomware-killsec-ataca-saude-no-brasil-e-captura-34-gb-de-exames-prontuarios-e-imagens/ - Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança: https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/ --- ## Vazamentos de dados no Brasil: maiores casos e o que veio depois URL: https://cybertarget.live/pt/artigos/vazamentos-de-dados-no-brasil-maiores-casos-e-o-que-aconteceu Date: 2026-10-22 Nome, CPF, endereço, renda, score de crédito: para boa parte dos brasileiros, esses dados já circularam em algum vazamento. É por isso que golpistas conseguem ligar para a vítima citando informações verdadeiras. Este levantamento reúne alguns dos maiores casos públicos do país e, principalmente, o que aconteceu depois de cada um. O megavazamento de 2021 Em janeiro de 2021, o dfndr lab, laboratório de segurança da PSafe, revelou a exposição de dados ligados a mais de 223 milhões de CPFs, número superior à população do país porque incluía pessoas mortas. O pacote trazia nomes, endereços, renda, informações de imposto de renda, fotos, participação no Bolsa Família e score de crédito, além de mais de 40 milhões de CNPJs. Parte foi distribuída de graça e o restante oferecido em troca de criptomoedas (O POVO). O que aconteceu depois Prisão: em 19 de março de 2021, a Polícia Federal deflagrou a Operação Deepwater e prendeu em Uberlândia (MG) um suspeito de obter, divulgar e comercializar os dados; houve buscas também em Petrolina (PE) (O POVO). Ação civil: em dezembro de 2023, o Ministério Público Federal em São Paulo pediu que a Serasa fosse multada em pelo menos R$ 200 milhões ou 10% do faturamento, além de indenização de R$ 30 mil por pessoa afetada. O MPF também cobrou a ANPD, que classificou como omissa (Mercado & Consumo). Defesa: a Serasa Experian afirma que seus sistemas não foram invadidos e que não há evidência de que os dados tenham saído de suas bases, conclusão que diz ter sido apoiada por perícia independente. Até a reportagem, os pedidos do MPF aguardavam decisão (Mercado & Consumo). Cinco anos depois, a origem exata do vazamento continua sem resposta pública definitiva, o que ilustra a dificuldade de responsabilizar alguém em casos de dados agregados de múltiplas fontes. As chaves Pix O Pix tem um histórico próprio de incidentes, quase sempre em instituições participantes e não no sistema central do Banco Central. Em março de 2026, o BC comunicou o vazamento de dados cadastrais de 28.203 chaves Pix sob responsabilidade da Pefisa, braço financeiro do grupo Pernambucanas, com exposição entre 30 de agosto de 2025 e 27 de fevereiro de 2026 (Olhar Digital). Foi o 23º incidente com chaves Pix desde o lançamento do sistema, em novembro de 2020, e o terceiro de 2026 (Portal de Prefeitura). Os dados expostos (nome, CPF, instituição, agência, número e tipo de conta) não permitem movimentar dinheiro, segundo o BC, mas são exatamente o que um golpista precisa para parecer funcionário do banco. O BC informa que só notifica clientes pelos aplicativos e internet banking das instituições e abre apuração que pode levar a sanções. Casos recentes em empresas CasoQuandoAfetadosDados Megavazamento de CPFsJan/2021223 milhões de CPFsCadastro, renda, score, fotos MedicSolution (software de clínicas)Set/2025~95 mil arquivos, 34 GBExames, raios-X, imagens iFoodDez/2025 (confirmado em jun/2026)~1,2 milhão de usuáriosNome e CPF Pefisa (chaves Pix)Ago/2025–fev/202628.203 chavesCadastro bancário CemigMai/2026~135 mil clientesNome, filiação, CPF, endereço, contato, valores de faturas iFood Em junho de 2026, o iFood confirmou um incidente ocorrido em dezembro de 2025 que expôs nomes e CPFs de cerca de 1,2 milhão de usuários, aproximadamente 2% da base. A empresa disse que senhas, dados bancários e de pagamento não foram afetados e que não notificou os usuários porque sua avaliação, com base nos critérios da ANPD, não identificou risco ou dano relevante (BNews). O caso mostra como o critério de "risco relevante" do regulamento de incidentes dá margem a decisões das próprias empresas. Cemig Em maio de 2026, a distribuidora mineira informou acesso não autorizado à base de clientes, com exposição de dados de cerca de 135 mil pessoas, incluindo nome dos pais, CPF, endereço e valores das faturas. A empresa comunicou ANPD, Aneel e polícia e começou a notificar os clientes individualmente (Investidor10). MedicSolution Em setembro de 2025, o grupo KillSec reivindicou o roubo de mais de 34 GB de exames e imagens de pacientes armazenados em buckets de nuvem desprotegidos de um fornecedor de software para clínicas. Pesquisadores compartilharam o caso com o CERT.br e a ANPD (Convergência Digital). O que a lei exige depois de um vazamento Pelo regulamento da ANPD, o controlador deve comunicar a autoridade e os titulares em até 3 dias úteis quando o incidente puder causar risco ou dano relevante, e manter registro de todos os incidentes, comunicados ou não, por cinco anos (Cescon Barrieu). O que fazer se seus dados vazaram Assuma que golpistas sabem seus dados e desconfie de quem liga citando CPF, banco ou agência. Ative o BC Protege+ e consulte o Registrato para checar contas e empréstimos no seu nome. Troque senhas e ative autenticação em dois fatores, sobretudo se o e-mail vazou. Peça informações à empresa: a LGPD garante ao titular o direito de saber quais dados foram tratados. Registre reclamação na ANPD se a empresa não responder. Sources: - O POVO – PF prende hacker por vazamento em massa de dados de 220 milhões de brasileiros (Operação Deepwater): https://www.opovo.com.br/noticias/economia/2021/03/19/pf-prende-hacker-por-vazamento-em-massa-de-dados-de-220-milhoes-de-brasileiros.html - Mercado & Consumo – MPF de SP pede multa de pelo menos R$ 200 mi ao Serasa por megavazamento: https://mercadoeconsumo.com.br/05/12/2023/economia/mpf-de-sp-pede-multa-de-pelo-menos-r-200-mi-ao-serasa-por-megavazamento-de-dados/ - Olhar Digital – Banco Central comunica vazamento de mais de 28 mil chaves Pix da Pefisa: https://olhardigital.com.br/2026/03/21/seguranca/banco-central-comunica-vazamento-de-mais-de-28-mil-chaves-pix-da-pefisa/ - Portal de Prefeitura – Banco Central comunica vazamento de dados cadastrais de chaves Pix: https://portaldeprefeitura.com.br/brasil/banco-central-comunica-vazamento-dados-cadastrais-chaves-pix/617566/ - BNews SP – iFood confirma vazamento de dados que atingiu cerca de 1,2 milhão de usuários: https://www.bnewssaopaulo.com.br/amp/noticias/politica/ifood-confirma-vazamento-de-dados-que-atingiu-cerca-de-12-milhao-de-usuarios.html - Investidor10 – Cemig diz que 135 mil clientes tiveram dados expostos: https://investidor10.com.br/noticias/cemig-cmig4-diz-que-135-mil-clientes-tiveram-dados-expostos-em-ataque-hacker-120409/ - Convergência Digital – Ransomware KillSec ataca saúde no Brasil: https://convergenciadigital.com.br/seguranca/ransomware-killsec-ataca-saude-no-brasil-e-captura-34-gb-de-exames-prontuarios-e-imagens/ - Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança: https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/ --- ## Cybersecurity M&A: 2025's record year and the 2026 megadeals URL: https://cybertarget.live/en/artigos/m-a-em-ciberseguranca-recorde-2025-megadeals-2026 Date: 2026-10-22 Cybersecurity M&A had its biggest year ever by value in 2025, and in 2026 the large announced deals began to close. Momentum Cyber counts $96.1 billion across 400 transactions in 2025, revised from a preliminary $102 billion. SecurityWeek tallied more than $84 billion in over 420 deals, with eight above $1 billion (SecurityWeek). The series YearM&A dealsValue ($bn)Financing ($bn) 202227751.521.2 202327648.011.1 202432925.913.6 202540096.120.7 H1 20262199.17.5 Three megadeals closed in 2026 Google–Wiz, $32 billion in cash, closed March 11, 2026, Google's largest acquisition ever (CoinCentral); the breakup fee would have been $3.2 billion (Acquiry). Palo Alto Networks–CyberArk, about $25 billion, closed February 11, 2026: $45 in cash plus 2.2005 PANW shares per CyberArk share (SEC 8-K). ServiceNow–Armis, $7.75 billion in cash, closed around April 20, 2026; Armis had ARR above $340 million (Help Net Security). 2026: many deals, little announced value Closings of 2025 deals do not count as 2026 value, so H1 2026 shows only $9.1 billion, even as its 219 deals set a half-year count record (Momentum Cyber). Notable 2026 announcements: Accenture buying Dragos, runZero and NetRise for a $4.175 billion EV (Help Net Security); Visa–BioCatch for $2.4 billion (Nasdaq); Zurich–Beazley for about $11 billion (SecurityWeek); and CrowdStrike's SGNL ($740 million) and Seraphic ($420 million). Buyer theses and venture capital Recurring themes: AI and agent security, identity, OT/IoT, payments fraud (Mastercard–Recorded Future, Visa–Featurespace) and insurers moving into cyber. Venture funding reached $18 billion in 2025 (+26%) (Crunchbase), then $10.6 billion in H1 2026 and $6.8 billion in Q3 (Crunchbase; Value Add VC). Momentum Cyber's annualized projection for 2026 M&A value is $18.2 billion, well below 2025 barring a new megadeal. Sources: - Momentum Cyber: Cybersecurity Market Review H1 2026 (PDF): https://momentumcyber.com/wp-content/uploads/2026/07/Momentum-Cyber-Cybersecurity-Market-Review-H1-2026.pdf - Momentum Cyber: mid-year 2026 review: https://momentumcyber.com/momentum-cyber-mid-year-2026-review-cybersecurity-ma-on-track-for-highest-deal/ - SecurityWeek: 8 cybersecurity acquisitions surpassed $1 billion in 2025: https://www.securityweek.com/8-cybersecurity-acquisitions-surpassed-1-billion-mark-in-2025/ - CoinCentral: Alphabet completes $32B purchase of Wiz: https://coincentral.com/alphabet-googl-completes-32b-purchase-of-cybersecurity-firm-wiz/ - SEC 8-K: Palo Alto Networks completes CyberArk acquisition: https://www.sec.gov/Archives/edgar/data/1327567/000119312526045600/d40626d8k.htm - Help Net Security: ServiceNow to acquire Armis: https://www.helpnetsecurity.com/2025/12/24/servicenow-armis-acquisition/ - Help Net Security: Accenture acquires Dragos, runZero and NetRise: https://www.helpnetsecurity.com/2026/06/19/accenture-dragos-runzero-netrise-acquisition/ - Nasdaq: Visa to acquire BioCatch: https://nasdaq.com/articles/visa-acquire-biocatch-strengthen-ai-powered-fraud-protection - Crunchbase News: cybersecurity VC 2025: https://news.crunchbase.com/venture/cybersecurity-startup-investment-up-ye-2025/ - Crunchbase News: cybersecurity funding H1 2026: https://news.crunchbase.com/cybersecurity/solid-startup-venture-funding-growth-h1-2026/ - Value Add VC: cybersecurity Q3 2026 funding: https://valueaddvc.com/pulse/cybersecurity-q3-2026-6-8b-funding-record - Pulse2: Palo Alto Networks Q4 FY26 results: https://pulse2.com/palo-alto-networks-q4-revenue-rises-34-to-3-41-billion-as-next-generation-security-arr-jumps-63-to-9-1-billion/ - CrowdStrike IR: Q4 and fiscal year 2026 results: https://ir.crowdstrike.com/news-releases/news-release-details/crowdstrike-reports-fourth-quarter-and-fiscal-year-2026 - Acquiry: Google–Wiz deal analysis: https://www.acquiry.com/deal-analysis/google-wiz-acquisition/ - SecurityWeek: M&A roundup, March 2026: https://www.securityweek.com/cybersecurity-ma-roundup-38-deals-announced-in-march-2026/ --- ## M&A em cibersegurança: o recorde de 2025 e os megadeals de 2026 URL: https://cybertarget.live/pt/artigos/m-a-em-ciberseguranca-recorde-2025-megadeals-2026 Date: 2026-10-22 O mercado de fusões e aquisições em cibersegurança viveu em 2025 o maior ano da sua história em valor. Em 2026, os grandes negócios anunciados começaram a fechar. Segundo o relatório semestral da Momentum Cyber, foram US$ 96,1 bilhões em 400 transações em 2025. O número preliminar, divulgado em janeiro, era de US$ 102 bilhões em 398 deals, e foi revisado depois. A SecurityWeek, com outra metodologia, contou mais de US$ 84 bilhões divulgados em mais de 420 negócios. Oito deles passaram de US$ 1 bilhão e somaram cerca de US$ 75 bilhões, segundo a SecurityWeek. A série histórica AnoDeals de M&AValor (US$ bi)Financiamento (US$ bi) 202227751,521,2 202327648,011,1 202432925,913,6 202540096,120,7 1º sem. 20262199,17,5 Fonte: Momentum Cyber, relatório H1 2026. Os três megadeals que fecharam em 2026 Google e Wiz: US$ 32 bilhões Anunciada em março de 2025, a compra da Wiz pelo Google foi concluída em 11 de março de 2026, por US$ 32 bilhões em dinheiro. É a maior aquisição da história do Google, segundo a CoinCentral. O Departamento de Justiça aprovou sem condições em novembro de 2025, e a Comissão Europeia em fevereiro de 2026. A multa de rompimento seria de US$ 3,2 bilhões, segundo a Acquiry. Palo Alto Networks e CyberArk: cerca de US$ 25 bilhões A Palo Alto concluiu a compra da CyberArk, especialista em identidade e acessos privilegiados, em 11 de fevereiro de 2026. Pelos termos, cada ação da CyberArk valeu US$ 45 em dinheiro mais 2,2005 ações da Palo Alto, conforme o formulário 8-K enviado à SEC. ServiceNow e Armis: US$ 7,75 bilhões A ServiceNow pagou US$ 7,75 bilhões em dinheiro pela Armis, de segurança de ativos e IoT/OT. A empresa tinha ARR acima de US$ 340 milhões, com alta de 50%, segundo a Help Net Security. A conclusão ocorreu por volta de 20 de abril de 2026. 2026: muitos deals, pouco valor anunciado Os fechamentos de Wiz, CyberArk e Armis não contam como valor anunciado em 2026. Por isso, o primeiro semestre parece fraco em valor: US$ 9,1 bilhões, com só 36 transações divulgando preço. Ao mesmo tempo, os 219 deals são recorde de contagem para um semestre, segundo a Momentum Cyber. Os maiores negócios anunciados em 2026: Accenture comprou a maioria da Dragos, mais runZero e NetRise, por EV de US$ 4,175 bilhões, em segurança industrial (OT), segundo a Help Net Security. Visa anunciou a compra da BioCatch, de biometria comportamental antifraude, por US$ 2,4 bilhões em dinheiro, em agosto de 2026 (Nasdaq). Zurich fechou acordo para comprar a seguradora Beazley, forte em seguro cyber, por cerca de US$ 11 bilhões (SecurityWeek). CrowdStrike comprou a SGNL (identidade, US$ 740 milhões) e a Seraphic (segurança de navegador, US$ 420 milhões). As teses dos compradores Segurança de IA e de agentes: Protect AI, Lakera, SGNL, Koi, Astrix, Promptfoo e Oasis entraram no radar dos grandes. Identidade: CyberArk, Veza, Apono e Entro. Infraestrutura industrial (OT/IoT): Armis, Dragos e Nozomi. Antifraude em pagamentos: bandeiras de cartão comprando inteligência contra fraude, como Mastercard com Recorded Future (US$ 2,65 bilhões) e Visa com Featurespace e BioCatch. Seguradoras entrando em cyber: Zurich com Beazley e Munich Re com At-Bay. O dinheiro de risco voltou O venture capital acompanhou. A Crunchbase contou US$ 18 bilhões em 2025, alta de 26%, em pouco menos de mil rodadas, a menor contagem em dez anos (Crunchbase News). Em 2026 foram US$ 10,6 bilhões no primeiro semestre e US$ 6,8 bilhões no terceiro trimestre, cerca de US$ 17,4 bilhões em nove meses (Crunchbase; Value Add VC). Entre as maiores rodadas estão Keyfactor (US$ 1 bilhão) e Cyera, avaliada em US$ 12 bilhões. Os números das empresas abertas A consolidação acontece com as líderes crescendo. A Palo Alto Networks fechou o ano fiscal encerrado em julho de 2026 com receita de US$ 11,48 bilhões (+25%). A CrowdStrike terminou o ano fiscal de janeiro de 2026 com ARR de US$ 5,25 bilhões (+24%). Escala e caixa permitem que essas plataformas comprem startups para acelerar produtos em vez de desenvolvê-los do zero, o que alimenta o ciclo de aquisições menores. Para quem acompanha o setor Plataformas grandes seguem comprando para preencher lacunas em identidade, nuvem e IA. Startups de segurança de IA são o principal alvo de aquisições menores. Valor anunciado em 2026 deve ficar bem abaixo de 2025, salvo novo megadeal. A projeção anualizada da Momentum Cyber é de US$ 18,2 bilhões. Sources: - Momentum Cyber: Cybersecurity Market Review H1 2026 (PDF): https://momentumcyber.com/wp-content/uploads/2026/07/Momentum-Cyber-Cybersecurity-Market-Review-H1-2026.pdf - Momentum Cyber: mid-year 2026 review: https://momentumcyber.com/momentum-cyber-mid-year-2026-review-cybersecurity-ma-on-track-for-highest-deal/ - SecurityWeek: 8 cybersecurity acquisitions surpassed $1 billion in 2025: https://www.securityweek.com/8-cybersecurity-acquisitions-surpassed-1-billion-mark-in-2025/ - CoinCentral: Alphabet completes $32B purchase of Wiz: https://coincentral.com/alphabet-googl-completes-32b-purchase-of-cybersecurity-firm-wiz/ - SEC 8-K: Palo Alto Networks completes CyberArk acquisition: https://www.sec.gov/Archives/edgar/data/1327567/000119312526045600/d40626d8k.htm - Help Net Security: ServiceNow to acquire Armis: https://www.helpnetsecurity.com/2025/12/24/servicenow-armis-acquisition/ - Help Net Security: Accenture acquires Dragos, runZero and NetRise: https://www.helpnetsecurity.com/2026/06/19/accenture-dragos-runzero-netrise-acquisition/ - Nasdaq: Visa to acquire BioCatch: https://nasdaq.com/articles/visa-acquire-biocatch-strengthen-ai-powered-fraud-protection - Crunchbase News: cybersecurity VC 2025: https://news.crunchbase.com/venture/cybersecurity-startup-investment-up-ye-2025/ - Crunchbase News: cybersecurity funding H1 2026: https://news.crunchbase.com/cybersecurity/solid-startup-venture-funding-growth-h1-2026/ - Value Add VC: cybersecurity Q3 2026 funding: https://valueaddvc.com/pulse/cybersecurity-q3-2026-6-8b-funding-record - Pulse2: Palo Alto Networks Q4 FY26 results: https://pulse2.com/palo-alto-networks-q4-revenue-rises-34-to-3-41-billion-as-next-generation-security-arr-jumps-63-to-9-1-billion/ - CrowdStrike IR: Q4 and fiscal year 2026 results: https://ir.crowdstrike.com/news-releases/news-release-details/crowdstrike-reports-fourth-quarter-and-fiscal-year-2026 - Acquiry: Google–Wiz deal analysis: https://www.acquiry.com/deal-analysis/google-wiz-acquisition/ - SecurityWeek: M&A roundup, March 2026: https://www.securityweek.com/cybersecurity-ma-roundup-38-deals-announced-in-march-2026/ --- ## Who's who in Brazilian anti-fraud: Serasa, ClearSale, idwall and unico URL: https://cybertarget.live/en/artigos/quem-e-quem-em-antifraude-no-brasil Date: 2026-10-21 Demand for anti-fraud tools is rising with the scams. Serasa Experian recorded 10.9 million fraud attempts in Brazil from January to September 2025, up 28.6%, one every 2.2 seconds (Serasa Experian). The market supplying the defenses is consolidating fast. The consolidator: Serasa Experian Experian's Brazilian arm has made 17 acquisitions in 6 years (Letsmoney). CompanyFocusDateValue AllowMeDevice intelligenceSep 2023$45m ClearSaleE-commerce and payments anti-fraudClosed Apr 2025~R$2bn ($350m per Morningstar) idwallIdentity verificationFiled with CADE May 2026~R$450m (unconfirmed) ClearSale had R$504 million in net revenue and about 7,400 clients before the deal (Forbes Brasil) and was delisted on April 2, 2025 (EuQueroInvestir; Morningstar). The idwall price has not been confirmed by the companies (Startups); AllowMe details via Economic News Brasil. The most valuable independent: unico Facial biometrics specialist unico raised a $100 million Series D led by Goldman Sachs Asset Management in 2022 at a $2.6 billion valuation (Bloomberg Línea). It runs about 25 million authentications a month and bought US passkey firm OwnID in 2025 (Foley). Other bureaus and startups Boa Vista / Equifax: Equifax agreed to buy Boa Vista in 2023 (Equifax), which had bought Konduto for R$172 million (Finsiders). Quod: the banks' bureau received R$420 million from LexisNexis Risk Solutions (Finsiders). CAF: raised R$50 million in 2025 led by B3's L4 (Startups). Incognia: $31 million Series B led by Bessemer (Help Net Security). Legiti: R$42 million raised in 2022 (Baguete). Serpro's Datavalid: the state IT company validates identity against official databases (Serpro). Market takeaways Credit bureaus have become identity platforms, independent vendors are fewer, and the trend is global, with card networks such as Visa also buying anti-fraud firms. Sources: - Forbes Brasil: ClearSale anuncia fusão com a Experian: https://forbes.com.br/forbes-money/2024/10/clearsale-anuncia-acordo-de-fusao-com-a-experian-por-r-2-bilhoes/ - EuQueroInvestir: ClearSale finaliza fusão e sai da B3: https://euqueroinvestir.com/negocios/clear-sale-clsa3-finaliza-fusao-com-serasa-experian-e-acoes-sao-retiradas-da-b3 - Startups: Serasa compra idwall: https://startups.com.br/negocios/serasa-compra-idwall-de-solucoes-antifraude-por-r-450m/ - Economic News Brasil: Serasa compra AllowMe: https://economicnewsbrasil.com.br/2023/09/19/serasa-compra-empresa-de-tecnologia-da-embraer-por-us-45-milhoes/ - Letsmoney: Serasa soma 17 aquisições em 6 anos: https://www.letsmoney.com.br/noticias/serasa-17-aquisicoes-6-anos-segue-compras/ - Bloomberg Línea: unico vale US$ 2,6 bi: https://www.bloomberglinea.com/br-pt/investidores-disseram-nao-ele-pivotou-e-agora-sua-startup-vale-us-26-bilhoes/ - Foley: unico adquire a OwnID: https://www.foley.com/zh/news/2025/09/foley-represents-unico-in-acquisition-of-ownid - Finsiders: Boa Vista conclui aquisição da Konduto: https://finsidersbrasil.com.br/noticias-sobre-fintechs/boa-vista-conclui-aquisicao-da-konduto-e-avanca-em-antifraude - Equifax: acordo para adquirir a Boa Vista: https://www.equifax.com/newsroom/all-news/-/story/equifax-signs-agreement-to-acquire-boa-vista-servicos/ - Finsiders: Quod recebe R$ 420 mi da LexisNexis: https://finsidersbrasil.com.br/negocios-em-fintechs/quod-recebera-investimento-de-r-420-milhoes-da-lexisnexis-risk-solutions/ - Startups: L4 lidera aporte de R$ 50 mi na CAF: https://startups.com.br/negocios/rodada-de-investimento/l4-reforca-tese-de-seguranca-e-lidera-aporte-de-r-50m-na-caf/ - Help Net Security: Incognia Série B: https://www.helpnetsecurity.com/?p=298824 - Baguete: Legiti levanta R$ 42 milhões: https://www.baguete.com.br/noticias/legiti-levanta-r-42-milhoes - Serpro: Febraban Sec 2026: https://www.serpro.gov.br/menu/noticias/noticias-2026/febraban-sec-2026 - Serasa Experian: tentativas de fraude até setembro de 2025: https://www.serasaexperian.com.br/sala-de-imprensa/prevencao-a-fraude/brasil-registrou-108-milhoes-de-tentativas-de-fraudes-ate-setembro-com-alta-de-286-aponta-serasa-experian/ - Morningstar: Experian completes ClearSale acquisition: https://morningstar.co.uk/uk/news/AN_1743584246399453800/in-brief-experian-completes-usd350-million-clearsale-acquisition.aspx --- ## Quem é quem em antifraude no Brasil: Serasa, ClearSale, idwall e unico URL: https://cybertarget.live/pt/artigos/quem-e-quem-em-antifraude-no-brasil Date: 2026-10-21 A demanda por antifraude cresce no ritmo dos golpes. A Serasa Experian registrou 10,9 milhões de tentativas de fraude no Brasil entre janeiro e setembro de 2025, alta de 28,6%, o equivalente a uma tentativa a cada 2,2 segundos, segundo o indicador da empresa. Esse mercado está se concentrando rapidamente nas mãos de poucos grupos. Conheça os principais nomes. O grande consolidador: Serasa Experian A Serasa Experian, braço brasileiro da britânico-irlandesa Experian, fez 17 aquisições em 6 anos, segundo o Letsmoney. Em antifraude e identidade, três compras se destacam: EmpresaEspecialidadeDataValor AllowMeInteligência de dispositivo (ex-Tempest/Embraer)Set/2023US$ 45 mi (~R$ 228 mi) ClearSaleAntifraude para e-commerce e pagamentosAcordo out/2024; concluída abr/2025~R$ 2 bi idwallVerificação de identidade e background checkNotificada ao CADE em mai/2026~R$ 450 mi (não confirmado pelas empresas) ClearSale A ClearSale abriu capital em 2021 e levantou quase R$ 800 milhões. No ano anterior ao acordo com a Experian, tinha receita líquida de R$ 504 milhões e cerca de 7.400 clientes, segundo a Forbes Brasil. A fusão foi concluída em 2 de abril de 2025, quando as ações deixaram a B3. Os acionistas da classe A receberam R$ 10,56 por ação em dinheiro, informa o EuQueroInvestir. Em dólares, o negócio foi registrado como US$ 350 milhões (Morningstar). idwall Fundada em 2016, a idwall captou R$ 260 milhões ao longo da vida, incluindo Série C de R$ 210 milhões em 2021. A venda à Serasa foi notificada ao CADE em 6 de maio de 2026. As fontes falam em cerca de R$ 450 milhões, aproximadamente cinco vezes a receita, mas as empresas não confirmaram o valor, segundo o Startups. A independente mais valiosa: unico A unico, ex-Acesso Digital, fundada em 2007, é especialista em biometria facial e identidade digital. Recebeu Série D de US$ 100 milhões liderada pela Goldman Sachs Asset Management em 2022, com valuation de US$ 2,6 bilhões, segundo a Bloomberg Línea. Também tem SoftBank e General Atlantic como investidores. Faz cerca de 25 milhões de autenticações por mês e, em setembro de 2025, comprou a americana OwnID, de passkeys (Foley). Os outros birôs Boa Vista / Equifax: a Equifax assinou acordo para comprar a Boa Vista em fevereiro de 2023 (Equifax). Antes, a Boa Vista havia comprado a Konduto, de antifraude para e-commerce, por R$ 172 milhões. A Konduto já tinha analisado mais de 244 milhões de pedidos (Finsiders). Quod: o "birô dos bancos", controlado por BB, Bradesco, Caixa, Itaú e Santander, recebeu R$ 420 milhões da LexisNexis Risk Solutions por uma fatia minoritária em 2022 (Finsiders). Mantém, em parceria com o Itaú, uma base contra contas laranja. Startups e especialistas CAF (Combate à Fraude): nascida no interior do Rio Grande do Sul, captou R$ 50 milhões em setembro de 2025, em rodada liderada pela L4, da B3. Tem mais de 300 clientes e receita 80% maior no primeiro semestre de 2025 (Startups). Incognia: identidade por localização e dispositivo, com Série B de US$ 31 milhões liderada pela Bessemer em 2024 (Help Net Security). Legiti: antifraude para delivery e e-commerce, captou R$ 42 milhões em 2022 com Kaszek e outros (Baguete). Zaig: comprada pela QI Tech em 2021, virou a camada antifraude da plataforma de crédito. Por que tanta compra A lógica das aquisições é combinar sinais. Um birô de crédito sabe quem é o cliente e como ele paga. Uma empresa de dispositivo, como a AllowMe, sabe de qual aparelho e de onde vem a transação. Uma de biometria ou de verificação documental, como idwall e unico, confirma que a pessoa é quem diz ser. Juntos, esses dados permitem decidir em milissegundos se uma abertura de conta, um pedido de crédito ou uma compra online deve ser aprovado. Quem tem mais camadas oferece um produto mais completo aos bancos e varejistas, que preferem contratar menos fornecedores. O papel do Estado O Serpro, estatal federal de TI, opera o Datavalid. A ferramenta valida dados cadastrais e biometria contra bases oficiais e é usada por bancos na abertura de contas e na concessão de crédito (Serpro). Leitura do mercado Os birôs de crédito viraram plataformas de identidade. Dados de crédito, sinais de dispositivo e biometria se combinam no mesmo produto. A consolidação reduz o número de fornecedores independentes, o que pode elevar o poder de negociação dos compradores grandes. A tendência é global. Bandeiras de pagamento também compram antifraude, como a Visa com Featurespace e BioCatch. Sources: - Forbes Brasil: ClearSale anuncia fusão com a Experian: https://forbes.com.br/forbes-money/2024/10/clearsale-anuncia-acordo-de-fusao-com-a-experian-por-r-2-bilhoes/ - EuQueroInvestir: ClearSale finaliza fusão e sai da B3: https://euqueroinvestir.com/negocios/clear-sale-clsa3-finaliza-fusao-com-serasa-experian-e-acoes-sao-retiradas-da-b3 - Startups: Serasa compra idwall: https://startups.com.br/negocios/serasa-compra-idwall-de-solucoes-antifraude-por-r-450m/ - Economic News Brasil: Serasa compra AllowMe: https://economicnewsbrasil.com.br/2023/09/19/serasa-compra-empresa-de-tecnologia-da-embraer-por-us-45-milhoes/ - Letsmoney: Serasa soma 17 aquisições em 6 anos: https://www.letsmoney.com.br/noticias/serasa-17-aquisicoes-6-anos-segue-compras/ - Bloomberg Línea: unico vale US$ 2,6 bi: https://www.bloomberglinea.com/br-pt/investidores-disseram-nao-ele-pivotou-e-agora-sua-startup-vale-us-26-bilhoes/ - Foley: unico adquire a OwnID: https://www.foley.com/zh/news/2025/09/foley-represents-unico-in-acquisition-of-ownid - Finsiders: Boa Vista conclui aquisição da Konduto: https://finsidersbrasil.com.br/noticias-sobre-fintechs/boa-vista-conclui-aquisicao-da-konduto-e-avanca-em-antifraude - Equifax: acordo para adquirir a Boa Vista: https://www.equifax.com/newsroom/all-news/-/story/equifax-signs-agreement-to-acquire-boa-vista-servicos/ - Finsiders: Quod recebe R$ 420 mi da LexisNexis: https://finsidersbrasil.com.br/negocios-em-fintechs/quod-recebera-investimento-de-r-420-milhoes-da-lexisnexis-risk-solutions/ - Startups: L4 lidera aporte de R$ 50 mi na CAF: https://startups.com.br/negocios/rodada-de-investimento/l4-reforca-tese-de-seguranca-e-lidera-aporte-de-r-50m-na-caf/ - Help Net Security: Incognia Série B: https://www.helpnetsecurity.com/?p=298824 - Baguete: Legiti levanta R$ 42 milhões: https://www.baguete.com.br/noticias/legiti-levanta-r-42-milhoes - Serpro: Febraban Sec 2026: https://www.serpro.gov.br/menu/noticias/noticias-2026/febraban-sec-2026 - Serasa Experian: tentativas de fraude até setembro de 2025: https://www.serasaexperian.com.br/sala-de-imprensa/prevencao-a-fraude/brasil-registrou-108-milhoes-de-tentativas-de-fraudes-ate-setembro-com-alta-de-286-aponta-serasa-experian/ - Morningstar: Experian completes ClearSale acquisition: https://morningstar.co.uk/uk/news/AN_1743584246399453800/in-brief-experian-completes-usd350-million-clearsale-acquisition.aspx --- ## Brazil's financial cybersecurity: C&M, Sinqia and the new rules URL: https://cybertarget.live/en/artigos/ciberseguranca-setor-financeiro-brasileiro-cm-software-sinqia-e-novas-regras Date: 2026-10-21 In just over two months of 2025, criminals used legitimate credentials to divert hundreds of millions of reais from Brazilian financial institutions. The targets were not the banks themselves but technology providers that connect them to Pix and the Brazilian Payment System. C&M Software From around 4:30 am on 30 June 2025, Pix transfers began flowing from the account of BMP, a client of C&M Software (Baguete). São Paulo police estimated R$541 million was sent to accounts at other institutions, and a court froze R$270 million in one receiving account (CNN Brasil). A C&M IT operator arrested on 3 July confessed to selling his login and password for R$15,000. The company said the incident involved social engineering, not a system flaw. Sinqia/Evertec On 29 August 2025, attackers accessed the Pix environment of Sinqia, owned by US-based Evertec, using compromised IT staff credentials. According to Evertec's SEC filing, cited by Canaltech, about R$710 million was diverted (R$670 million from HSBC and R$41 million from fintech Artta), and about 83% was blocked. The Central Bank suspended Sinqia's Pix connection pending new security measures. Regulatory response September 2025: BCB Resolution 498 requires accreditation of IT service providers connected to the national financial network, with R$15 million minimum capital, dedicated cybersecurity and crisis directors, 24/7 fraud monitoring with the ability to halt all transactions, audit trails, penetration tests, certification, annual external audits and insurance (Machado Meyer). Resolutions 496 and 497 imposed a R$15,000 per-transaction cap on Pix and TED for institutions connected through such providers until accreditation; in January 2026 the adaptation period was extended to eight months (Jornal de Brasília). December 2025: CMN Resolution 5,274 and BCB Resolution 538 set a 1 March 2026 deadline for multi-factor authentication on network communications (especially Pix and STR), annual independent penetration tests, controls over third-party systems, a ban on third-party access to private keys, environment isolation and credential monitoring (Finsiders). The December rules also classify electronic data communication with the national financial network as a relevant service for outsourcing purposes, subject to risk management standards and Central Bank supervision. Specialists quoted by TI Inside highlighted the requirement for a director responsible for cybersecurity, segregation of duties and the need to produce auditable evidence for the supervisor. On the same day the C&M operator was arrested, the Central Bank allowed the company to resume partial operations only on business days and within restricted hours, conditional on participating institutions' express consent and reinforced fraud monitoring (Baguete). A commentary in TI Inside noted that the attacks of the period followed a common pattern: valid credentials, high-value payment orders and rapid dispersal of funds, partly into crypto assets. Lessons Valid credentials are the new break-in: MFA and behavioural monitoring are essential. Vendors are the weakest link: third-party due diligence is now a regulatory matter. Blocking speed matters: most Sinqia funds were frozen. Insiders are targets: segregation of duties and access monitoring reduce the risk. Sources: - CNN Brasil – Ataque hacker desviou R$ 541 milhões “em massa”, diz polícia: https://www.cnnbrasil.com.br/nacional/sudeste/sp/ataque-hacker-desviou-r-541-milhoes-em-massa-diz-policia/ - Baguete – Funcionário da C&M vendeu senha por R$ 15 mil: https://www.baguete.com.br/noticias/funcionario-da-cm-vendeu-senha-por-r-15-mil-120542 - Canaltech – Ciberataque no Pix do HSBC e da fintech Artta desviou até R$ 710 milhões: https://canaltech.com.br/seguranca/ciberataque-no-pix-do-hsbc-e-da-fintech-artta-desviou-ate-r-710-milhoes/ - Machado Meyer – BCB: novas regras para aumentar a cibersegurança do SFN e do SPB (Res. BCB 498): https://www.machadomeyer.com.br/pt/inteligencia-juridica/publicacoes-ij/direito-digital/bcb-novas-regras-para-aumentar-a-ciberseguranca-do-sfn-e-do-spb - Jornal de Brasília – Banco Central reforça regras de TI para segurança no sistema financeiro: https://jornaldebrasilia.com.br/noticias/economia/banco-central-reforca-regras-de-ti-para-seguranca-no-sistema-financeiro/ - Finsiders Brasil – BC aperta regras de segurança cibernética para instituições financeiras (CMN 5.274 e BCB 538): https://finsidersbrasil.com.br/regulamentacao/o-ano-nao-acabou-bc-aperta-regras-de-seguranca-cibernetica-para-instituicoes-financeiras/ - TI Inside – Banco Central endurece regras de cibersegurança às vésperas do prazo final: https://tiinside.com.br/03/02/2026/banco-central-endurece-regras-de-ciberseguranca-e-pressiona-instituicoes-as-vesperas-do-prazo-final/ - TI Inside – Ataque de R$ 1 bi: como o roubo de credenciais forçou o BC a mudar as regras do Pix: https://tiinside.com.br/27/10/2025/ataque-de-r-1-bi-como-o-roubo-de-credenciais-forcou-o-banco-central-a-mudar-as-regras-do-pix/ --- ## Cibersegurança no setor financeiro: C&M, Sinqia e as novas regras URL: https://cybertarget.live/pt/artigos/ciberseguranca-setor-financeiro-brasileiro-cm-software-sinqia-e-novas-regras Date: 2026-10-21 Em pouco mais de dois meses de 2025, criminosos usaram credenciais legítimas para desviar centenas de milhões de reais de instituições financeiras brasileiras, sem quebrar nenhuma criptografia. Os alvos não eram os bancos diretamente, mas empresas de tecnologia que os conectam ao Pix e ao Sistema de Pagamentos Brasileiro (SPB). A resposta do Banco Central e do Conselho Monetário Nacional (CMN) mudou as regras de cibersegurança do setor. Caso 1: C&M Software (junho–julho de 2025) A C&M Software presta serviços a instituições que oferecem contas transacionais, conectando-as ao Banco Central. Por volta das 4h30 de 30 de junho de 2025, começaram transferências via Pix a partir da conta da BMP, cliente da empresa, segundo o Baguete. A polícia de São Paulo estimou em R$ 541 milhões o valor enviado para contas em outras instituições, e a Justiça determinou o bloqueio de R$ 270 milhões numa conta que teria recebido parte dos recursos (CNN Brasil). O ponto de entrada foi humano. Um operador de TI da C&M, preso em 3 de julho, confessou ter vendido login e senha por R$ 15 mil depois de ser abordado num bar (Baguete). A empresa afirmou que houve engenharia social para compartilhamento indevido de credenciais, e não falha de sistema (CNN Brasil). No mesmo dia da prisão, o BC autorizou a C&M a voltar a operar parcialmente, só em dias úteis e em horário restrito, condicionado à anuência das instituições participantes e ao reforço do monitoramento de fraudes. Caso 2: Sinqia/Evertec (agosto de 2025) Em 29 de agosto de 2025, atacantes acessaram o ambiente Pix da Sinqia, que conecta bancos ao sistema e pertence à americana Evertec, usando credenciais comprometidas de funcionários de TI. Segundo comunicado da Evertec à SEC, citado pelo Canaltech, foram desviados cerca de R$ 710 milhões, sendo R$ 670 milhões do HSBC e R$ 41 milhões da fintech Artta. Cerca de R$ 589 milhões, ou 83%, foram bloqueados. O BC suspendeu a conexão da Sinqia ao Pix, condicionando o retorno à aprovação de novas medidas de segurança. IncidenteDataValor desviadoVetor C&M Software / BMP30/06/2025R$ 541 milhões (estimativa policial)Credencial vendida por funcionário Sinqia / HSBC e Artta29/08/2025cerca de R$ 710 milhões (83% bloqueados)Credenciais de funcionários de TI comprometidas A resposta regulatória Setembro de 2025: limite emergencial e credenciamento de PSTIs Em 5 de setembro de 2025, o BC publicou a Resolução BCB nº 498, que exige credenciamento dos prestadores de serviços de tecnologia da informação (PSTIs) conectados à Rede do Sistema Financeiro Nacional (RSFN). Segundo o Machado Meyer, os requisitos incluem capital mínimo e patrimônio de R$ 15 milhões, diretores específicos para segurança cibernética e gestão de crises, centro de processamento secundário, monitoramento de fraudes 24 horas com capacidade de interromper todo o fluxo de transações, trilhas de auditoria, testes de intrusão, certificação de segurança, auditoria externa anual e seguro de responsabilidade civil e risco operacional. Ao mesmo tempo, as Resoluções BCB 496 e 497 fixaram um limite de R$ 15 mil por transação em Pix e TED para instituições conectadas à RSFN por meio de PSTI, que vale até a conclusão do credenciamento. Em janeiro de 2026, o BC endureceu o credenciamento e ampliou o prazo de adaptação de quatro para oito meses (Jornal de Brasília). Dezembro de 2025: nova política de segurança cibernética Em 18 de dezembro de 2025, o CMN e o BC publicaram a Resolução CMN nº 5.274 e a Resolução BCB nº 538, com prazo de adequação até 1º de março de 2026. Entre as exigências descritas pela Finsiders: Autenticação multifator na comunicação com a RSFN, especialmente nos ambientes Pix e STR. Testes de intrusão anuais por profissionais independentes, com resultados guardados por cinco anos. Controles de segurança estendidos a sistemas de terceiros. Proibição de acesso de terceiros às chaves privadas das instituições. Isolamento de ambientes e monitoramento de credenciais. Gestão de certificados digitais, rastreabilidade e controles de acesso. A comunicação de dados com a RSFN passou a ser classificada como serviço relevante para fins de contratação, sujeita a gestão de risco e supervisão do BC. Especialistas ouvidos pela TI Inside destacam a exigência de diretor responsável por segurança cibernética e a necessidade de evidências auditáveis. Lições para o setor Credencial válida é o novo arrombamento. Nos dois casos, o atacante entrou com login legítimo. Autenticação multifator e monitoramento de comportamento são obrigatórios na prática. O elo mais fraco é o fornecedor. Bancos sólidos foram atingidos por meio de prestadores. Due diligence de terceiros passou a ser tema regulatório. Velocidade de bloqueio importa. No caso Sinqia, a maior parte do dinheiro foi travada; a capacidade de interromper o fluxo é agora requisito expresso. Pessoas são alvo. O aliciamento de um funcionário com acesso privilegiado mostra a importância de segregação de funções, monitoramento de acessos e cultura de reporte. Rastreio e cripto. Segundo análise publicada na TI Inside, os ataques do período seguiram um padrão de ordens de alto valor e dispersão rápida, em parte para criptoativos. O que observar em 2026 Com o prazo de março vencido e o credenciamento de PSTIs em curso, a supervisão do BC deve passar a cobrar evidências. Instituições que dependem de um único provedor de conectividade e não revisaram contratos e planos de saída estão mais expostas. Sources: - CNN Brasil – Ataque hacker desviou R$ 541 milhões “em massa”, diz polícia: https://www.cnnbrasil.com.br/nacional/sudeste/sp/ataque-hacker-desviou-r-541-milhoes-em-massa-diz-policia/ - Baguete – Funcionário da C&M vendeu senha por R$ 15 mil: https://www.baguete.com.br/noticias/funcionario-da-cm-vendeu-senha-por-r-15-mil-120542 - Canaltech – Ciberataque no Pix do HSBC e da fintech Artta desviou até R$ 710 milhões: https://canaltech.com.br/seguranca/ciberataque-no-pix-do-hsbc-e-da-fintech-artta-desviou-ate-r-710-milhoes/ - Machado Meyer – BCB: novas regras para aumentar a cibersegurança do SFN e do SPB (Res. BCB 498): https://www.machadomeyer.com.br/pt/inteligencia-juridica/publicacoes-ij/direito-digital/bcb-novas-regras-para-aumentar-a-ciberseguranca-do-sfn-e-do-spb - Jornal de Brasília – Banco Central reforça regras de TI para segurança no sistema financeiro: https://jornaldebrasilia.com.br/noticias/economia/banco-central-reforca-regras-de-ti-para-seguranca-no-sistema-financeiro/ - Finsiders Brasil – BC aperta regras de segurança cibernética para instituições financeiras (CMN 5.274 e BCB 538): https://finsidersbrasil.com.br/regulamentacao/o-ano-nao-acabou-bc-aperta-regras-de-seguranca-cibernetica-para-instituicoes-financeiras/ - TI Inside – Banco Central endurece regras de cibersegurança às vésperas do prazo final: https://tiinside.com.br/03/02/2026/banco-central-endurece-regras-de-ciberseguranca-e-pressiona-instituicoes-as-vesperas-do-prazo-final/ - TI Inside – Ataque de R$ 1 bi: como o roubo de credenciais forçou o BC a mudar as regras do Pix: https://tiinside.com.br/27/10/2025/ataque-de-r-1-bi-como-o-roubo-de-credenciais-forcou-o-banco-central-a-mudar-as-regras-do-pix/ --- ## Pig butchering: the crypto scam draining billions from Americans URL: https://cybertarget.live/en/artigos/pig-butchering-golpe-cripto-romance-eua-centrais-asia Date: 2026-10-20 It usually starts with a wrong-number text, a friendly message on social media or a match on a dating app. Weeks later, the victim is "investing" in cryptocurrency on a platform that shows impressive gains. When they try to withdraw, the money is gone. This is what investigators call pig butchering: the victim is "fattened" with trust before being "slaughtered". In the United States, the scheme has become one of the largest sources of fraud losses, and Washington now treats the Southeast Asian compounds behind it as a priority for sanctions, seizures and prosecutions. How the scam works The FBI's 2025 Internet Crime Report describes a consistent script, even though it does not use the term pig butchering: First contact. Scammers reach out via text, social media, ads or dating apps, then move the conversation to an encrypted messaging app. Trust building. They pose as successful insiders who offer trading tips, often involving crypto or gold. Fake platform. Victims send crypto to a fraudulent site or app that displays fabricated profits and encourages larger deposits, sometimes with offered loans. The trap closes. When victims try to cash out, they are told to pay "taxes" or "fees". Then the scammers disappear. Second hit. Some victims are later approached by fake "recovery" services that promise to get the money back for an upfront fee. The FBI says these operations are largely run by organized criminal groups in Southeast Asia that use trafficking victims as forced labor. The numbers: US losses in 2025 The IC3 received 1,008,597 complaints in 2025, with reported losses of about $20.9 billion, up 26% from 2024. Investment fraud was the costliest category. Indicator (FBI IC3, 2025)Figure Investment fraud losses (all types)$8.65 billion (72,984 complaints) Crypto investment fraud lossesabout $7.2 billion (61,559 complaints) All crypto-related fraud losses$11.3 billion Romance/confidence fraud losses$929 million Crypto ATM/kiosk losses$389 million (+58% vs 2024) Treasury estimated in October 2025 that Americans lost at least $10 billion to Southeast Asia-based scam operations in 2024, a 66% jump over the prior year. These are reported losses only; analysts cited by TRM Labs estimate that just 15% to 20% of victims report. Victims who don't know they are victims Through Operation Level Up, the FBI contacts people it identifies as being in the middle of a crypto investment scam. In 2025 it notified 3,780 victims, and 78% did not know they were being scammed. The FBI estimates the notifications saved about $226 million that year, and roughly $500 million since the program began in January 2024. Behind the screens: the scam compounds Treasury describes a recruitment model built on deception: people are lured with offers of well-paid customer service or tech jobs, then held in compounds where passports and phones are confiscated and workers face violence, fines and threats. They are forced to run the scams. The compounds are concentrated in Cambodia, Burma (Myanmar) and Laos. US actions have named sites such as KK Park, Huanya and Tai Chang in Burma, and the Jinbei and Mango Park compounds in Cambodia. What the US has done The Prince Group case On October 14, 2025, the US and UK announced what Treasury called the largest action ever against cybercriminal networks in Southeast Asia: Sanctions: OFAC designated 146 targets in the Cambodia-based Prince Group transnational criminal organization, including 117 affiliated businesses. Indictment: Federal prosecutors in Brooklyn charged chairman Chen Zhi, who allegedly oversaw at least ten scam compounds. Record forfeiture: The Justice Department moved to seize about 127,271 bitcoin, then worth roughly $15 billion, which The Record described as the largest forfeiture in DOJ history. Huione cut off: FinCEN finalized a Section 311 rule barring US banks from correspondent relationships with Cambodia's Huione Group, which it says laundered at least $4 billion between August 2021 and January 2025. Prosecutors alleged that one co-conspirator boasted of earning more than $30 million a day. In January 2026, Chinese authorities announced that Chen Zhi had been escorted from Phnom Penh to China, according to the Global Times. The Scam Center Strike Force On November 12, 2025, the US Attorney for the District of Columbia launched a Scam Center Strike Force bringing together DOJ units, the FBI, Secret Service, HSI, Treasury and the State Department. OFAC also sanctioned Burma's Democratic Karen Benevolent Army and four of its leaders over scam compounds. By late February 2026, the strike force reported more than $580 million in crypto frozen or seized. Red flags A stranger who starts chatting after a "wrong number" text. An online friend or romantic interest who quickly talks about crypto profits. Pressure to move to WhatsApp, Telegram or another private app. A trading platform you cannot find in regulator databases. Being asked to pay "taxes" or "fees" before you can withdraw. What to do Stop sending money the moment a withdrawal requires a fee. Contact your bank or exchange immediately and ask about freezing or recalling the transfer. Report to ic3.gov, with wallet addresses, transaction IDs and screenshots. The IC3 Recovery Asset Team froze $679 million across all fraud types in 2025. Beware of recovery offers. Anyone charging upfront to retrieve lost crypto is almost certainly another scammer. Talk about it. Shame keeps victims silent; reporting helps investigators trace wallets and freeze funds. Sources: - U.S. Treasury – Largest action ever targeting cybercriminal networks in Southeast Asia (Oct 14, 2025): https://home.treasury.gov/news/press-releases/sb0278 - The Record – Feds sanction Cambodian conglomerate, seize $15 billion: https://therecord.media/feds-sanction-cambodian-conglomerate-scams-seize-15-billion - FBI IC3 – 2025 Internet Crime Report (PDF copy): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - TRM Labs – The Scam Center Strike Force: https://www.trmlabs.com/resources/blog/the-scam-center-strike-force-a-whole-of-government-response-to-global-crypto-fraud - Decrypt – DC Scam Center Strike Force crypto seizures, freezes hit $580M: https://decrypt.co/359398/dc-scam-center-strike-force-crypto-seizures-freezes-hit-580m?amp=1 - Global Times – China telecom fraud crackdown, Chen Zhi escorted to China: https://www.globaltimes.cn/page/202601/1352674.shtml --- ## Pig butchering: o golpe cripto que tirou bilhões dos americanos URL: https://cybertarget.live/pt/artigos/pig-butchering-golpe-cripto-romance-eua-centrais-asia Date: 2026-10-20 Começa com uma mensagem de "número errado", um contato simpático numa rede social ou um match num aplicativo de namoro. Semanas depois, a vítima está "investindo" em criptomoedas numa plataforma que mostra lucros impressionantes. Quando tenta sacar, o dinheiro sumiu. É o que os investigadores chamam de pig butchering ("abate do porco"): a vítima é "engordada" com confiança antes de ser "abatida". Nos Estados Unidos, o esquema virou uma das maiores fontes de prejuízo com fraudes, e Washington passou a tratar os complexos do Sudeste Asiático por trás dele como prioridade de sanções, apreensões e processos. Como o golpe funciona O relatório 2025 do FBI (IC3) descreve um roteiro padrão: Primeiro contato por SMS, redes sociais, anúncios ou apps de namoro, e migração para um aplicativo de mensagens. Construção de confiança: o golpista se apresenta como investidor bem-sucedido e oferece dicas, geralmente de cripto ou ouro. Plataforma falsa: a vítima envia cripto para um site ou app que exibe lucros fictícios e incentiva novos aportes, às vezes com oferta de empréstimo. A armadilha: no saque, surgem "impostos" e "taxas". Depois, os criminosos desaparecem. Segundo golpe: falsos serviços de "recuperação" prometem reaver o dinheiro mediante pagamento antecipado. Os números de 2025 O IC3 recebeu 1.008.597 queixas em 2025, com perdas declaradas de cerca de US$ 20,9 bilhões, alta de 26% sobre 2024. Indicador (FBI IC3, 2025)Valor Fraude de investimento (total)US$ 8,65 bilhões Fraude de investimento em criptocerca de US$ 7,2 bilhões Todas as fraudes ligadas a criptoUS$ 11,3 bilhões Golpes românticosUS$ 929 milhões Caixas eletrônicos de criptoUS$ 389 milhões (+58%) Segundo o Tesouro americano, os americanos perderam ao menos US$ 10 bilhões para operações sediadas no Sudeste Asiático em 2024, alta de 66% em um ano. Pela Operação Level Up, o FBI avisou 3.780 vítimas em 2025, e 78% não sabiam que estavam sendo enganadas. Os complexos de golpe O Tesouro descreve trabalhadores atraídos por falsas vagas de atendimento ou tecnologia e mantidos em complexos no Camboja, em Mianmar e no Laos, com passaportes confiscados, violência e ameaças. Eles são obrigados a aplicar os golpes. A resposta dos EUA Prince Group (14/out/2025): o OFAC sancionou 146 alvos ligados ao conglomerado cambojano, e a promotoria federal do Brooklyn denunciou o presidente Chen Zhi. O Departamento de Justiça pediu o confisco de cerca de 127.271 bitcoins, avaliados em US$ 15 bilhões na época, o maior da sua história. Huione Group: o FinCEN cortou o grupo cambojano do sistema financeiro dos EUA, alegando lavagem de ao menos US$ 4 bilhões entre 2021 e 2025. Scam Center Strike Force (nov/2025): força-tarefa que reúne DOJ, FBI, Serviço Secreto, Tesouro e Departamento de Estado. Até fevereiro de 2026, havia congelado ou apreendido mais de US$ 580 milhões em cripto. Em janeiro de 2026, a China anunciou que Chen Zhi havia sido levado de Phnom Penh para o país. Por que isso importa fora dos EUA Os mesmos complexos miram vítimas no mundo todo, inclusive falantes de português. O roteiro é idêntico: contato casual, migração para um app de mensagens, plataforma de investimento falsa e cobrança de "taxas" no saque. Analistas citados pela TRM Labs estimam que só 15% a 20% das vítimas denunciam, o que significa que os números oficiais subestimam o problema. O FBI também alerta que muitas vítimas sofrem um segundo golpe, de falsa recuperação de valores. Como se proteger Desconfie de desconhecidos que puxam conversa após uma mensagem "por engano". Amizade ou romance on-line que logo fala de lucros com cripto é sinal de alerta. Verifique se a plataforma é registrada em algum regulador. Se o saque exigir "taxa", pare imediatamente de enviar dinheiro. Acione o banco ou a corretora e registre a ocorrência (nos EUA, em ic3.gov), com endereços de carteira e IDs das transações. Ignore ofertas pagas de "recuperação" de cripto: costumam ser um novo golpe. Sources: - U.S. Treasury – Largest action ever targeting cybercriminal networks in Southeast Asia (Oct 14, 2025): https://home.treasury.gov/news/press-releases/sb0278 - The Record – Feds sanction Cambodian conglomerate, seize $15 billion: https://therecord.media/feds-sanction-cambodian-conglomerate-scams-seize-15-billion - FBI IC3 – 2025 Internet Crime Report (PDF copy): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - TRM Labs – The Scam Center Strike Force: https://www.trmlabs.com/resources/blog/the-scam-center-strike-force-a-whole-of-government-response-to-global-crypto-fraud - Decrypt – DC Scam Center Strike Force crypto seizures, freezes hit $580M: https://decrypt.co/359398/dc-scam-center-strike-force-crypto-seizures-freezes-hit-580m?amp=1 - Global Times – China telecom fraud crackdown, Chen Zhi escorted to China: https://www.globaltimes.cn/page/202601/1352674.shtml --- ## Phishing and deepfakes: the 2025 numbers and how to spot them URL: https://cybertarget.live/en/artigos/phishing-e-deepfakes-numeros-de-2025-e-como-identificar Date: 2026-10-20 Phishing, the fake message that tries to steal passwords, data or money, remains the entry point for most digital scams. In 2025 it gained a boost from AI, which made convincing text and fake voices and videos (deepfakes) cheaper to produce. Phishing worldwide The Anti-Phishing Working Group (APWG) counted about 3.8 million attacks in 2025, versus 3.76 million in 2024 (APWG), peaking at 1,130,393 in Q2 2025. QuarterPhishing attacks Q4 2024989,123 Q1 20251,003,924 Q2 20251,130,393 Q3 2025892,494 Q4 2025853,244 In Q4 2025, social media and SaaS/webmail were the most targeted sectors (20.3% each), and the average BEC wire request was $50,297 (APWG Q4 2025). Phishing/spoofing generated the most complaints to the FBI in 2025, 191,561 (IC3), and was the most reported scam in Australia (ACCC). Brazil leads Latin America Kaspersky blocked 553 million phishing attempts in Brazil from July 2024 to July 2025, about 1.5 million a day and 42.8% of the regional total of 1.29 billion (+85%) (InfoMoney). Malicious email was the root cause of 37% of ransomware cases in Brazil, the highest of any country in the Sophos study. Deepfakes: from $335 million to $2.5 billion Deepfake-enabled fraud losses rose from $83 million (2020–23 combined) to $335 million in 2024 and $2.5 billion in 2025, plus $764 million in H1 2026, according to Surfshark Research. Social media was the top channel ($1.73 billion, 47%). The FBI logged 22,364 AI-related complaints with $893.3 million in losses in 2025. Check Point found 1 in 27 generative AI prompts posed a high data-leak risk (IT Edge News). How to spot them Urgency and threats (blocked account, fine, held parcel) are red flags. Check the real sender domain; type official addresses instead of clicking. No legitimate company asks for passwords or codes by message. Confirm video or voice money requests through another channel; agree on a family code word. Watch for lip-sync errors, odd blinking and blurred edges in videos. Businesses: require dual approval for payment changes, run phishing simulations and adopt phishing-resistant MFA such as passkeys. Sources: - APWG: Phishing Activity Trends Report Q4 2025: https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf - APWG: Phishing Activity Trends Report Q1 2025: https://docs.apwg.org/reports/apwg_trends_report_q1_2025.pdf - Newswire: APWG Year in Review: https://www.newswire.com/view/content/apwg-year-in-review-scams-explode-via-social-media-sms-email-and-qr-22733100 - InfoMoney / Kaspersky: Panorama de Ameaças 2025: https://www.infomoney.com.br/?p=3017469 - Surfshark Research: deepfake fraud statistics: https://surfshark.com/research/deepfake-fraud-statistics - FBI IC3, 2025 Internet Crime Report (cópia do PDF): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - Sophos: State of Ransomware in Brazil 2026: https://assets.sophos.com/X24WTUEQ/at/bt7qprp98n75kcjnxfw4c35/sophos-state-of-ransomware-in-brazil-2026.pdf - ACCC: annual scam losses exceed $2 billion: https://www.accc.gov.au/media-release/continued-action-critical-to-combat-fraud-as-annual-scam-losses-exceed-2-billion - Diario de Pernambuco / Febraban: golpes mais relatados no 1º semestre de 2025: https://www.diariodepernambuco.com.br/amp/economia/2025/11/11700388-febraban-golpe-da-falsa-venda-lidera-entre-os-golpes-mais-relatados-por-clientes-bancarios-no-primeiro-semestre.html - IT Edge News / Check Point: dezembro de 2025: https://www.itedgenews.africa/ransomware-surges-genai-fuels-data-exposure-as-global-cyber-attacks-intensify-check-point-report/ --- ## Phishing e deepfakes: os números de 2025 e como identificar URL: https://cybertarget.live/pt/artigos/phishing-e-deepfakes-numeros-de-2025-e-como-identificar Date: 2026-10-20 O phishing, a mensagem falsa que tenta roubar senhas, dados ou dinheiro, continua sendo a porta de entrada da maioria dos golpes digitais. Em 2025 ele ganhou um reforço: a inteligência artificial, que barateou a produção de textos convincentes e de vozes e vídeos falsos, os deepfakes. Os números ajudam a dimensionar o problema e a reconhecer os sinais. Phishing no mundo O Anti-Phishing Working Group (APWG), que contabiliza sites de phishing únicos, registrou cerca de 3,8 milhões de ataques em 2025, contra 3,76 milhões em 2024, segundo o balanço anual da entidade. O pico ocorreu no segundo trimestre de 2025: TrimestreAtaques de phishing 4º tri/2024989.123 1º tri/20251.003.924 2º tri/20251.130.393 3º tri/2025892.494 4º tri/2025853.244 No último trimestre de 2025, os setores mais imitados foram redes sociais e SaaS/webmail (20,3% cada), telecom (18,7%) e instituições financeiras (9,3%), com 866 marcas atacadas, de acordo com o relatório do APWG. O valor médio pedido em golpes de e-mail corporativo (BEC) foi de US$ 50.297 no período. Nos EUA, phishing e spoofing foram o crime com mais queixas ao FBI em 2025, com 191.561 registros, segundo o relatório IC3. Na Austrália, foi também o tipo de golpe mais relatado, com 65.361 casos (ACCC). Brasil: o país mais atacado da América Latina A Kaspersky bloqueou 553 milhões de tentativas de phishing no Brasil entre julho de 2024 e julho de 2025. São cerca de 1,5 milhão por dia e 2,6 por habitante, ou 42,8% de todo o volume da América Latina, segundo o InfoMoney. Na região, os bloqueios somaram 1,29 bilhão, alta de 85%. O phishing também abre caminho para ataques maiores. No estudo da Sophos sobre ransomware no Brasil, o e-mail malicioso foi a causa raiz em 37% dos casos, o maior índice entre os países pesquisados, e o phishing em outros 18%. Para o consumidor, a forma mais comum é a engenharia social por telefone e mensagem. No primeiro semestre de 2025, o golpe da falsa central ou falso funcionário teve 139 mil relatos à Febraban, alta de 195,7% (Diario de Pernambuco). Deepfakes: de US$ 335 milhões a US$ 2,5 bilhões As perdas com fraudes que usaram deepfake cresceram em ritmo acelerado, segundo a Surfshark Research, com base no AI Incident Database, na Resemble.AI e na OCDE: 2020 a 2023, somados: US$ 83 milhões; 2024: US$ 335 milhões; 2025: US$ 2,5 bilhões; 1º semestre de 2026: US$ 764 milhões. O acumulado chega a cerca de US$ 3,7 bilhões. As redes sociais são o principal canal de origem, com US$ 1,73 bilhão (47%), seguidas de golpes de falsificação de identidade (US$ 911 milhões). O FBI passou a medir o fenômeno em 2025: 22.364 queixas com componente de IA, com US$ 893,3 milhões em perdas. Do lado das empresas, a Check Point estimou em dezembro de 2025 que 1 em cada 27 prompts enviados a ferramentas de IA generativa trazia alto risco de vazamento de dados (IT Edge News). Por que funciona O phishing não depende de falha técnica, e sim de comportamento. Ele explora pressa, medo e confiança em marcas conhecidas. A IA generativa agrava o quadro de duas formas. Elimina os erros de português e de formatação que antes denunciavam a mensagem falsa e permite clonar a voz de um parente ou executivo a partir de poucos segundos de áudio publicado em redes sociais. Por isso, as orientações de segurança passaram a enfatizar a confirmação por um segundo canal, mais do que a análise da mensagem em si. Como identificar Phishing Urgência e ameaça: conta bloqueada, multa, entrega retida, prêmio. A pressa é a principal ferramenta do golpista. Remetente e link: confira o domínio real. Na dúvida, não clique; digite o endereço oficial no navegador. Pedido de dados ou códigos: nenhuma empresa séria pede senha ou código de verificação por mensagem. QR codes em mensagens e cartazes também podem levar a páginas falsas. Deepfakes Pedido de dinheiro em vídeo ou áudio, mesmo com rosto ou voz conhecidos, deve ser confirmado por outro canal. Falhas visuais: sincronia ruim entre lábios e fala, piscadas estranhas e bordas borradas no rosto. Celebridades vendendo investimentos com retorno garantido são um padrão comum de golpe. Combine uma palavra-código com a família para emergências. Para empresas Dupla verificação para qualquer mudança de dados bancários de fornecedor ou pedido urgente de executivo. Treinamento contínuo com simulações de phishing. Autenticação multifator resistente a phishing, como chaves de segurança ou passkeys. Política de uso de IA que impeça o envio de dados sensíveis a ferramentas não aprovadas. Sources: - APWG: Phishing Activity Trends Report Q4 2025: https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf - APWG: Phishing Activity Trends Report Q1 2025: https://docs.apwg.org/reports/apwg_trends_report_q1_2025.pdf - Newswire: APWG Year in Review: https://www.newswire.com/view/content/apwg-year-in-review-scams-explode-via-social-media-sms-email-and-qr-22733100 - InfoMoney / Kaspersky: Panorama de Ameaças 2025: https://www.infomoney.com.br/?p=3017469 - Surfshark Research: deepfake fraud statistics: https://surfshark.com/research/deepfake-fraud-statistics - FBI IC3, 2025 Internet Crime Report (cópia do PDF): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - Sophos: State of Ransomware in Brazil 2026: https://assets.sophos.com/X24WTUEQ/at/bt7qprp98n75kcjnxfw4c35/sophos-state-of-ransomware-in-brazil-2026.pdf - ACCC: annual scam losses exceed $2 billion: https://www.accc.gov.au/media-release/continued-action-critical-to-combat-fraud-as-annual-scam-losses-exceed-2-billion - Diario de Pernambuco / Febraban: golpes mais relatados no 1º semestre de 2025: https://www.diariodepernambuco.com.br/amp/economia/2025/11/11700388-febraban-golpe-da-falsa-venda-lidera-entre-os-golpes-mais-relatados-por-clientes-bancarios-no-primeiro-semestre.html - IT Edge News / Check Point: dezembro de 2025: https://www.itedgenews.africa/ransomware-surges-genai-fuels-data-exposure-as-global-cyber-attacks-intensify-check-point-report/ --- ## Elder fraud in the US: $7.7 billion lost and how to protect parents URL: https://cybertarget.live/en/artigos/fraude-contra-idosos-eua-suporte-tecnico-falso-governo Date: 2026-10-19 Americans aged 60 and over reported losing $7.75 billion to fraud in 2025, according to the FBI's Internet Crime Complaint Center (IC3). That is about 59% more than the year before, and it is only what victims chose to report. The Federal Trade Commission, using a different methodology, estimates that the true cost of fraud to older adults in 2025 could be as high as $119.5 billion. Two scam families stand out for how specifically they target older people: fake tech support and government impersonation. Both rely on fear, urgency and isolation, and both are preventable with a few family routines. The numbers Indicator (FBI IC3, 2025, victims 60+)Figure Complaints201,266 Reported losses$7.75 billion Average loss per complainant$38,500 Complainants who lost more than $100,00012,444 Tech/customer support scam lossesabout $1.04 billion (about 21,333 complaints) Government impersonation losses$413 million (8,628 complaints) Crypto ATM/kiosk losses$257 million (6,188 complaints) The concentration is striking. Across all ages, the FBI recorded $798 million in government impersonation losses in 2025, nearly double 2024. People over 60 filed about a quarter of those complaints but accounted for more than half of the money lost, according to an analysis of IC3 data by All About Cookies. Their average loss in this category was almost $48,000. The FTC's October 2026 report to Congress, based on its own Consumer Sentinel data, shows the same trend: reported fraud losses among older adults rose roughly fivefold between 2020 and 2025, from about $600 million to about $3 billion. How tech support scams work The hook: a pop-up that freezes the screen with a fake virus warning and a phone number, or a call from someone claiming to be from a well-known software company or bank. Remote access: the "technician" asks the victim to install a remote-control tool, then "finds" a problem. The escalation: in many cases the story shifts to the victim's bank account being "hacked". A second actor, posing as the bank or a government agency, tells the victim to move savings to a "safe" account, buy gold, withdraw cash for a courier or deposit cash in a crypto ATM. That escalation is why tech support losses can be so large. Among Financial Fraud Kill Chain cases involving victims over 60, tech support and account takeover was the most common crime type in 2025, according to the IC3. How government impersonation works The caller claims to be from the Social Security Administration, the IRS, the FTC, the FBI or a local sheriff. The script usually involves a crime linked to the victim's identity, an arrest warrant or frozen benefits. The "solution" is always to pay, move money or hand over cash. The FTC is blunt about its own name being misused: it says it will never demand money, make threats, tell you to transfer money or promise a prize. The FTC also notes that scammers impersonating it have told victims to give cash to couriers or mail it. Why older adults lose more Older adults often have savings, home equity and retirement accounts within reach. Scammers also keep them on the phone for hours or days. As one FBI special agent put it, the longer scammers talk to victims, the more successful the scam becomes. How families can protect parents Most protections are about habits, not technology: Agree on a rule: no government agency, bank or tech company will ask you to move money, buy gold or gift cards, or withdraw cash for pickup. Anyone who does is a scammer. Hang up and call back using a number from a bank card, statement or official website, never one provided by the caller or a pop-up. Never allow remote access to a computer or phone after an unsolicited call or pop-up. Turning the device off and restarting it is fine. Create a family check-in: encourage parents to call a trusted relative before any unusual payment. Scammers often insist on secrecy; that demand is itself a red flag. Use bank tools: ask the bank about a trusted contact person on the account, transaction alerts and limits on large transfers. Watch for crypto ATMs: a parent visiting a bitcoin kiosk for the first time, under instructions from someone on the phone, is a classic sign of fraud. If it already happened Call the bank immediately and ask for a recall of the transfer. In 2025, the IC3 Recovery Asset Team froze about $33 million in cases involving victims over 60. File a report at ic3.gov and at ReportFraud.ftc.gov. Get help: the FTC says older adults with significant losses can be referred to the Justice Department's National Elder Fraud Hotline. Revoke access: uninstall remote-access tools, change passwords and enable two-factor authentication. Expect a second wave: victims are often targeted again by fake "recovery" services. Treat any such offer as a scam. Sources: - FBI IC3 – 2025 Internet Crime Report (PDF copy): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - HousingWire – FBI: seniors cybercrime 2025: https://www.housingwire.com/articles/fbi-seniors-cybercrime-2025/ - All About Cookies – Government impersonation scam losses nearly doubled in 2025: https://allaboutcookies.org/government-impersonation-scams-surge - FTC – Annual report to Congress on protecting older adults (Oct 2026): https://www.ftc.gov/node/338049 - Bitdefender – Older adults lost billions to scammers last year, FBI warns: https://www.bitdefender.com/en-us/blog/hotforsecurity/older-adults-lost-billions-to-scammers-2026 - PPC Land – Older Americans lost $3 billion to fraud in 2025, FTC tells Congress: https://ppc.land/older-americans-lost-3-billion-to-fraud-in-2025-ftc-tells-congress/ --- ## Golpes contra idosos nos EUA: US$ 7,7 bi perdidos e como protegê-los URL: https://cybertarget.live/pt/artigos/fraude-contra-idosos-eua-suporte-tecnico-falso-governo Date: 2026-10-19 Americanos com 60 anos ou mais relataram perdas de US$ 7,75 bilhões com fraudes em 2025, segundo o centro de denúncias do FBI (IC3), cerca de 59% a mais que no ano anterior. E esse é só o valor denunciado: a FTC, com outra metodologia, estima que o custo real pode chegar a US$ 119,5 bilhões. Dois tipos de golpe se destacam pelo foco nos idosos: o falso suporte técnico e a falsa autoridade do governo. Ambos exploram medo, urgência e isolamento. Os números Indicador (FBI IC3, 2025, 60+)Valor Queixas201.266 Perdas declaradasUS$ 7,75 bilhões Perda médiaUS$ 38.500 Vítimas com perda acima de US$ 100 mil12.444 Falso suporte técnicocerca de US$ 1,04 bilhão Falsa autoridade do governoUS$ 413 milhões Caixas eletrônicos de criptoUS$ 257 milhões No golpe do falso governo, os idosos fizeram cerca de um quarto das queixas, mas responderam por mais da metade do dinheiro perdido, segundo análise dos dados do IC3 feita pelo site All About Cookies. Já a FTC informou ao Congresso que as perdas declaradas por idosos cresceram cerca de cinco vezes entre 2020 e 2025. Como age o falso suporte técnico Um alerta falso de vírus trava a tela com um número de telefone, ou alguém liga dizendo ser de uma empresa de software ou do banco. O "técnico" pede para instalar um programa de acesso remoto. Muitas vezes a história muda: a conta bancária teria sido "invadida", e um segundo golpista, passando-se pelo banco ou pelo governo, manda transferir a poupança para uma conta "segura", comprar ouro, sacar dinheiro para um portador ou depositar em caixa eletrônico de cripto. Como age a falsa autoridade O golpista diz falar da Previdência Social, da Receita (IRS), da FTC, do FBI ou da polícia local. Fala de crime ligado ao CPF da vítima, mandado de prisão ou benefício bloqueado. A "solução" é sempre pagar ou mover dinheiro. A própria FTC avisa que nunca exige dinheiro, faz ameaças ou manda transferir valores. Por que os idosos perdem mais Idosos costumam ter poupança, imóvel quitado e aposentadoria ao alcance, e os golpistas os mantêm ao telefone por horas ou até dias. Um agente especial do FBI resumiu: quanto mais tempo o criminoso conversa com a vítima, maior a chance de sucesso. Por isso a principal defesa é interromper a conversa e falar com alguém de confiança. Nos casos de bloqueio rápido de transferências (Financial Fraud Kill Chain) envolvendo vítimas acima de 60 anos, o falso suporte técnico com tomada de conta foi o tipo de crime mais comum em 2025, segundo o IC3. Como as famílias podem proteger os pais Combine uma regra: nenhum órgão público, banco ou empresa de tecnologia pede para transferir dinheiro, comprar ouro ou cartões-presente ou sacar dinheiro para alguém buscar. Desligue e ligue de volta usando o número do cartão ou do site oficial. Nunca permita acesso remoto após ligação ou alerta não solicitado. Crie o hábito de consultar a família antes de qualquer pagamento incomum. Pedido de sigilo é sinal de golpe. Use ferramentas do banco: contato de confiança, alertas e limites para transferências altas. Fique atento a caixas de bitcoin: um idoso indo pela primeira vez a um, orientado por telefone, é sinal clássico de fraude. Se o golpe já aconteceu Ligue para o banco imediatamente e peça o bloqueio ou estorno da transferência. Nos EUA, registre em ic3.gov e ReportFraud.ftc.gov; vítimas idosas com grandes perdas podem ser encaminhadas à linha nacional do Departamento de Justiça. Remova programas de acesso remoto, troque senhas e ative a verificação em duas etapas. Desconfie de quem oferecer "recuperar" o dinheiro mediante pagamento. Sources: - FBI IC3 – 2025 Internet Crime Report (PDF copy): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - HousingWire – FBI: seniors cybercrime 2025: https://www.housingwire.com/articles/fbi-seniors-cybercrime-2025/ - All About Cookies – Government impersonation scam losses nearly doubled in 2025: https://allaboutcookies.org/government-impersonation-scams-surge - FTC – Annual report to Congress on protecting older adults (Oct 2026): https://www.ftc.gov/node/338049 - Bitdefender – Older adults lost billions to scammers last year, FBI warns: https://www.bitdefender.com/en-us/blog/hotforsecurity/older-adults-lost-billions-to-scammers-2026 - PPC Land – Older Americans lost $3 billion to fraud in 2025, FTC tells Congress: https://ppc.land/older-americans-lost-3-billion-to-fraud-in-2025-ftc-tells-congress/ --- ## The biggest data protection fines: GDPR, South Korea and the US URL: https://cybertarget.live/en/artigos/as-maiores-multas-de-protecao-de-dados-do-mundo Date: 2026-10-19 Privacy fines are no longer symbolic. In Europe, GDPR sanctions total billions of euros; South Korea broke its own record in 2026; and in the US, the largest sums come from post-breach settlements rather than fines. Europe: the GDPR ranking #CompanyAuthorityAmountYearReason 1Meta Platforms IrelandDPC (Ireland)€1.2bn2023Data transfers to the US 2TikTokDPC€530m2025Transfers to China 3Meta (Instagram)DPC€405m2022Teenagers' data 4MetaDPC€390m2023Legal basis for ads 5TikTokDPC€345m2023Children's accounts 6LinkedIn IrelandDPC€310m2024Behavioral advertising 7UberAP (Netherlands)€290m2024Driver data transfers Sources: Enzuzo, GDPR Local, DeepStrike. Amazon's €746 million Luxembourg fine was annulled by a court on March 12, 2026 (Chronicle.lu), while TikTok's €530 million fine was upheld by Ireland's High Court, with methodology questions referred to the EU Court of Justice (Digital Policy Alert). Cumulative GDPR fines reached €7.1 billion by January 2026, about €1.2 billion in 2025 (DLA Piper); the CMS tracker counts 2,685 fines worth about €6.11 billion. Notable 2026 cases: CNIL's €42 million against Free and Free Mobile and the UK ICO's £14.47 million against Reddit (GDPR Local). The UK record remains British Airways' £20 million (Skillcast). South Korea SK Telecom (Aug 2025): KRW 134.8 billion (about $97 million) for a USIM breach affecting about 23 million subscribers (Light Reading). Coupang (Jun 2026): about KRW 625 billion, a national record, over a leak affecting 37.56 million people and the destruction of logs after a preservation order (SBS Star). United States settlements Equifax ($575–700 million, 2019), T-Mobile ($500 million, 2022), Capital One ($190 million), Uber ($148 million) and Anthem ($115 million) top the list (Enzuzo). Brazil and the lessons Brazil's ANPD had issued a single R$14,400 monetary fine by early 2026, though it opened 19 proceedings in June 2026 (Turivius). The big cases share themes: international data transfers, children's data, delayed or hidden breach notices, and evidence destruction as an aggravating factor. Sources: - Enzuzo: biggest data breach fines and settlements: https://www.enzuzo.com/blog/biggest-data-breach-fines - GDPR Local: biggest GDPR fines: https://gdprlocal.com/biggest-gdpr-fines/ - DeepStrike: GDPR fines statistics: https://deepstrike.io/blog/gdpr-fines-statistics - Chronicle.lu: Luxembourg court annuls CNPD ruling in Amazon case: https://chronicle.lu/category/legal-ip/60106-luxembourg-court-annuls-cnpd-ruling-in-amazon-data-protection-case - Digital Policy Alert: High Court upholds TikTok fine: https://digitalpolicyalert.org/event/41306-high-court-upheld-eur-530-million-gdpr-fine-against-tiktok-and-referred-fining-methodology-questions-to-court-of-justice-of-the-european-union - DLA Piper: GDPR fines and data breach survey, January 2026: https://www.dlapiper.com/en/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026 - CMS: GDPR Enforcement Tracker Report: https://cms.law/en/deu/publication/GDPR-Enforcement-Tracker-Report/numbers-and-figures - GDPR Local: top GDPR fines in 2026: https://gdprlocal.com/es/top-gdpr-fines-in-2026/ - Light Reading: SKT fined over data breach: https://www.lightreading.com/regulatory-politics/privacy-watchdog-hits-skt-with-record-97m-fine-over-data-breach - SBS Star: PIPC record fine on Coupang: https://sbsstar.net/article/N1008605711/pipc-imposes-record-fine-of-up-to-625-billion-won-on-coupang-after-13hour-deliberation - Skillcast: biggest ICO fines: https://www.skillcast.com/blog/biggest-ico-fines - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ --- ## As maiores multas de proteção de dados do mundo: GDPR, Coreia e EUA URL: https://cybertarget.live/pt/artigos/as-maiores-multas-de-protecao-de-dados-do-mundo Date: 2026-10-19 As multas por violação de privacidade deixaram de ser simbólicas. Na Europa, as sanções do GDPR somam bilhões de euros. Na Ásia, a Coreia do Sul bateu seu próprio recorde em 2026. Nos EUA, os maiores valores não vêm de multas, mas de acordos após vazamentos. Este levantamento reúne os maiores casos verificados e o que levou a cada um. Europa: o ranking do GDPR #EmpresaAutoridadeValorAnoMotivo 1Meta Platforms IrelandDPC (Irlanda)€ 1,2 bi2023Transferências de dados para os EUA 2TikTokDPC€ 530 mi2025Transferências para a China 3Meta (Instagram)DPC€ 405 mi2022Dados de adolescentes 4MetaDPC€ 390 mi2023Base legal para anúncios 5TikTokDPC€ 345 mi2023Contas de crianças 6LinkedIn IrelandDPC€ 310 mi2024Publicidade comportamental 7UberAP (Holanda)€ 290 mi2024Transferências de dados de motoristas 8MetaDPC€ 265 mi2022Scraping de 533 milhões de contas 9MetaDPC€ 251 mi2024Vazamento de 2018 (29 milhões de contas) 10WhatsApp IrelandDPC€ 225 mi2021Transparência Fontes: Enzuzo, GDPR Local e DeepStrike. O caso Amazon e as contestações A multa de € 746 milhões aplicada à Amazon em Luxemburgo em 2021, que por anos ocupou o segundo lugar do ranking, foi anulada pela Justiça luxemburguesa em 12 de março de 2026, segundo o Chronicle.lu. Já a multa de € 530 milhões ao TikTok foi mantida pela High Court irlandesa. Questões sobre a metodologia de cálculo foram enviadas ao Tribunal de Justiça da UE (Digital Policy Alert). A Irlanda concentra os maiores casos porque sedia as operações europeias de grandes plataformas americanas e chinesas. Fora dela, destacam-se as multas da CNIL francesa ao Google (€ 200 milhões e € 125 milhões em 2025, por anúncios no Gmail e cookies) e à SHEIN (€ 150 milhões, cookies sem consentimento). Os totais Segundo a DLA Piper, as multas do GDPR somavam € 7,1 bilhões em janeiro de 2026, com cerca de € 1,2 bilhão aplicados em 2025. O CMS Enforcement Tracker, com outra metodologia, contava 2.685 multas e cerca de € 6,11 bilhões em março de 2026. A Espanha lidera em número de multas, com 1.048. As duas bases não devem ser somadas. Em 2026, os destaques incluem a multa de € 42 milhões da CNIL à Free e à Free Mobile, por um vazamento de 24 milhões de contratos com IBAN, e a de £ 14,47 milhões do ICO britânico ao Reddit, por dados de menores de 13 anos sem garantia de idade (GDPR Local). O recorde do Reino Unido segue com a British Airways: £ 20 milhões em 2020 (Skillcast). Coreia do Sul: recordes em sequência A comissão de privacidade sul-coreana (PIPC) aplicou duas das maiores multas fora da Europa: SK Telecom (agosto de 2025): KRW 134,8 bilhões, cerca de US$ 97 milhões, por um vazamento de dados de chip USIM que afetou cerca de 23 milhões de assinantes. Pesaram chaves de autenticação sem criptografia e a notificação tardia. A empresa contestou na Justiça (Light Reading). Coupang (junho de 2026): cerca de KRW 625 bilhões, recorde nacional. O caso envolveu o vazamento de dados de 37,56 milhões de pessoas, a coleta sem base legal do histórico de navegação de 11,17 milhões de usuários e a destruição de logs depois de uma ordem de preservação (SBS Star). EUA: os acordos bilionários Nos Estados Unidos, os maiores valores vêm de acordos com reguladores e de ações coletivas após vazamentos: EmpresaValorAnoNatureza EquifaxUS$ 575 mi a 700 mi2019FTC, CFPB e 50 estados (147 milhões de pessoas) T-MobileUS$ 500 mi2022Ação coletiva (~76 milhões) Capital OneUS$ 190 mi2021Ação coletiva (~100 milhões) UberUS$ 148 mi2018Multiestadual (ocultação de vazamento) AnthemUS$ 115 mi2018Ação coletiva (79 milhões) Fonte: Enzuzo. E o Brasil? O contraste é grande. A única multa em dinheiro aplicada pela ANPD até o início de 2026 foi de R$ 14.400. O teto da LGPD é de 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração. A abertura de 19 processos sancionadores em junho de 2026 indica que o cenário pode mudar, segundo a Turivius. O que os casos ensinam Transferência internacional de dados é o tema das maiores multas europeias (Meta, TikTok, Uber). Dados de crianças e adolescentes aparecem de forma recorrente (Instagram, TikTok, Reddit). Ocultar ou atrasar a notificação agrava a punição, como mostram Uber, SK Telecom e Coupang. Destruir provas após ordem de preservação foi agravante no recorde coreano. Multas podem cair na Justiça, como no caso Amazon, mas o processo leva anos. Sources: - Enzuzo: biggest data breach fines and settlements: https://www.enzuzo.com/blog/biggest-data-breach-fines - GDPR Local: biggest GDPR fines: https://gdprlocal.com/biggest-gdpr-fines/ - DeepStrike: GDPR fines statistics: https://deepstrike.io/blog/gdpr-fines-statistics - Chronicle.lu: Luxembourg court annuls CNPD ruling in Amazon case: https://chronicle.lu/category/legal-ip/60106-luxembourg-court-annuls-cnpd-ruling-in-amazon-data-protection-case - Digital Policy Alert: High Court upholds TikTok fine: https://digitalpolicyalert.org/event/41306-high-court-upheld-eur-530-million-gdpr-fine-against-tiktok-and-referred-fining-methodology-questions-to-court-of-justice-of-the-european-union - DLA Piper: GDPR fines and data breach survey, January 2026: https://www.dlapiper.com/en/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026 - CMS: GDPR Enforcement Tracker Report: https://cms.law/en/deu/publication/GDPR-Enforcement-Tracker-Report/numbers-and-figures - GDPR Local: top GDPR fines in 2026: https://gdprlocal.com/es/top-gdpr-fines-in-2026/ - Light Reading: SKT fined over data breach: https://www.lightreading.com/regulatory-politics/privacy-watchdog-hits-skt-with-record-97m-fine-over-data-breach - SBS Star: PIPC record fine on Coupang: https://sbsstar.net/article/N1008605711/pipc-imposes-record-fine-of-up-to-625-billion-won-on-coupang-after-13hour-deliberation - Skillcast: biggest ICO fines: https://www.skillcast.com/blog/biggest-ico-fines - Turivius: multas da LGPD em 2026: https://turivius.com/portal/multas-da-lgpd/ --- ## SEC cyber incident rule: what 8-K Item 1.05 filings reveal URL: https://cybertarget.live/en/artigos/regra-da-sec-incidentes-ciberneticos-8-k-item-1-05-licoes Date: 2026-10-18 Since December 18, 2023, US-listed companies have had to tell investors about a material cybersecurity incident within four business days of determining that it is material, using Item 1.05 of Form 8-K. Nearly three years in, the filings offer a rare public record of how companies experience and describe cyberattacks, and some clear lessons about what regulators expect. What the rule requires Item 1.05 of Form 8-K: disclose the material aspects of an incident's nature, scope and timing, and its material or reasonably likely material impact, including on financial condition and operations. The clock: four business days from the materiality determination, not from detection. Updates: information not available at the time of filing is added later through amendments. Annual disclosure: companies also describe their cyber risk management, strategy and governance in their annual report. The May 2024 clarification Early on, many companies filed under Item 1.05 even when they had not concluded an incident was material. On May 21, 2024, the SEC's Division of Corporation Finance issued a statement saying Item 1.05 should be reserved for material incidents, and that voluntary disclosure of other incidents should go under Item 8.01. If an incident first disclosed as immaterial later becomes material, the company must file under Item 1.05 within four business days of that new determination. The effect was immediate. According to a Debevoise & Plimpton review of the first year, 17 companies filed under Item 1.05 before the statement and 9 after it, while Item 8.01 filings went from 6 to 28. What companies have reported The Debevoise analysis of the first 26 Item 1.05 filers found: Indicator (first year of Item 1.05)Finding Companies filing under Item 1.0526 Reported access to or loss of dataabout 77% (20 companies) Disclosed operational disruptionabout 65% Named a threat actorabout 23% (6 companies) Filed at least one amendmentabout 50% (13 companies) Average time from detection to filingabout 7.9 business days (median 4.5) Disclosed paying a ransomnone Only seven companies identified a material impact in their initial filing, and two more did so in amendments. In other words, most companies filed while the full impact was still unknown. Volume is falling A count of all cybersecurity-related 8-Ks (Items 1.05, 8.01 and 7.01) by Board Cybersecurity shows a peak of 64 in 2023, then 55 in 2024 and 32 in 2025. Through April 19, 2026, there were 8. The 2023 and 2024 peaks were driven by supply chain waves, when one third-party breach triggered filings by many customers: MOVEit in 2023 (Genworth, Jackson Financial, Corebridge and regional banks), and CDK Global and Snowflake in 2024 (auto dealers such as AutoNation, Penske and Lithia; Live Nation, Advance Auto Parts and AT&T). The analysis cautions that fewer filings do not necessarily mean fewer incidents, only fewer crossing the materiality threshold. What the filings say about attackers Only about a quarter of first-year filers named a threat actor. Three initially pointed to a possible nation-state actor, and one later amended its filing to attribute the attack to a cybercrime group instead. That pattern shows how uncertain attribution is in the first days of an incident. The enforcement backdrop October 2024: the SEC settled with Unisys, Avaya, Check Point and Mimecast over how they described the impact of the SolarWinds-related intrusion, for about $7 million in total. December 2024: Flagstar Bancorp paid a $3.5 million penalty; the SEC found its disclosure of a 2021 incident misleading and its controls lacking guidance on materiality. July 2024: a federal judge dismissed most of the SEC's claims against SolarWinds, rejecting the use of internal accounting controls rules to police cybersecurity controls. November 20, 2025: the SEC, SolarWinds and its CISO stipulated to dismiss the remaining case with prejudice, without admission of wrongdoing. Under Chairman Paul Atkins, the SEC replaced its Crypto Assets and Cyber Unit with a Cyber and Emerging Technologies Unit (CETU) in February 2025. A compliance analysis by Vaquill reports no new cybersecurity disclosure or controls actions in fiscal 2025. Still, law firm commentary published by the Harvard Law School Forum stresses that the Form 8-K and 10-K cyber rules remain fully in effect. Lessons for companies and boards Separate detection from materiality. The four-day clock starts at the materiality determination. Document when and how that decision was made, and who made it. Look beyond dollars. The SEC staff has said materiality includes qualitative factors such as reputational harm, customer and vendor relationships, competitiveness and litigation or regulatory risk. Use the right item. Item 1.05 for material incidents; Item 8.01 or a press release for voluntary disclosure of others. Plan for amendments. Half of first-year filers updated their disclosure. Build that into the incident response playbook. Connect the teams. Incident response, legal, investor relations and the disclosure committee must talk in real time. Watch your vendors. The biggest filing waves came from third-party breaches. Contracts should guarantee timely notice. Vet public statements. The SolarWinds saga showed that security statements outside SEC filings can also create liability. Sources: - Debevoise & Plimpton – Lessons learned: one year of Form 8-K material cybersecurity incident reporting: https://www.debevoise.com/-/media/files/insights/publications/2025/02/lessons-learned-one-year-of-form-8k-material.pdf - Board Cybersecurity – SEC cybersecurity 8-K filings peaked in 2023 and have declined since: https://www.board-cybersecurity.com/blog/2026-04-20-sec-cybersecurity-disclosures-yoy - Harvard Law School Forum – SEC dismisses SolarWinds lawsuit: what CISOs need to know: https://corpgov.law.harvard.edu/2025/12/10/sec-dismisses-solarwinds-lawsuit-what-cisos-need-to-know/ - Vaquill – SEC cyber disclosure 2026 enforcement update: https://www.vaquill.ai/blog/sec-cyber-disclosure-2026-enforcement-update --- ## Regra da SEC sobre incidentes cibernéticos: o que o 8-K revelou URL: https://cybertarget.live/pt/artigos/regra-da-sec-incidentes-ciberneticos-8-k-item-1-05-licoes Date: 2026-10-18 Desde 18 de dezembro de 2023, empresas listadas nos EUA precisam informar investidores sobre um incidente cibernético material em até quatro dias úteis após concluírem que ele é material, pelo Item 1.05 do Formulário 8-K. Quase três anos depois, os registros formam um retrato público raro de como as empresas vivem e descrevem ataques. O que a regra exige Divulgar natureza, escopo, momento e impacto material (ou provável) do incidente. Prazo de quatro dias úteis a partir da decisão sobre materialidade, e não da detecção. Atualizações posteriores por emendas ao 8-K. Descrição anual da gestão de risco e da governança cibernética no relatório anual. Em 21 de maio de 2024, a área técnica da SEC esclareceu que o Item 1.05 é só para incidentes materiais; divulgações voluntárias devem usar o Item 8.01. Segundo análise do escritório Debevoise & Plimpton, 17 empresas usaram o Item 1.05 antes do esclarecimento e 9 depois, enquanto o Item 8.01 saltou de 6 para 28. O que as empresas relataram Primeiro ano do Item 1.05Resultado Empresas que usaram o Item 1.0526 Acesso ou perda de dadoscerca de 77% Interrupção operacionalcerca de 65% Identificaram o atacantecerca de 23% Fizeram emendascerca de 50% Tempo médio da detecção ao registro7,9 dias úteis (mediana 4,5) Admitiram pagar resgatenenhuma O volume caiu. Levantamento da Board Cybersecurity com todos os 8-K de cibersegurança aponta 64 em 2023, 55 em 2024, 32 em 2025 e 8 até 19 de abril de 2026. Os picos vieram de ondas de fornecedores, como MOVEit (2023), CDK Global e Snowflake (2024), quando um único incidente gerou registros de muitos clientes. Os dados também mostram a incerteza dos primeiros dias: só sete empresas apontaram impacto material já no registro inicial, e outras duas o fizeram em emendas. Apenas cerca de um quarto identificou o atacante; três citaram de início um possível ator estatal, e uma depois corrigiu a atribuição para um grupo criminoso comum. Também chama atenção que nenhuma empresa admitiu pagar resgate, e só uma mencionou essa possibilidade. A análise da Board Cybersecurity faz uma ressalva importante: menos registros não significam necessariamente menos incidentes, e sim menos casos que ultrapassam o limite de materialidade. Os registros feitos por causa de terceiros caíram de 17 em 2023 para 7 em 2025. O pano de fundo da fiscalização Out/2024: acordos com Unisys, Avaya, Check Point e Mimecast, cerca de US$ 7 milhões no total. Dez/2024: Flagstar Bancorp pagou US$ 3,5 milhões por divulgação enganosa. Jul/2024: a Justiça derrubou a maior parte da ação contra a SolarWinds; em 20/11/2025, a SEC encerrou o caso de vez. Sob o presidente Paul Atkins, a SEC criou em fevereiro de 2025 uma unidade de cibernética e tecnologias emergentes (CETU). Mesmo com menos casos novos, as regras do 8-K e do 10-K continuam em vigor. Lições para empresas e conselhos Separe detecção de materialidade e documente quem decidiu e quando. Vá além do financeiro: reputação, clientes, fornecedores e risco regulatório contam. Use o item certo: 1.05 para incidentes materiais, 8.01 para os demais. Planeje emendas: metade das empresas precisou atualizar o registro. Integre as equipes de resposta a incidentes, jurídico e relações com investidores. Cobre os fornecedores por contrato: as maiores ondas vieram de terceiros. Revise declarações públicas sobre segurança, mesmo fora de documentos da SEC. Outro ponto: a SEC já mostrou que olha para a forma como o impacto é descrito. Nos acordos de 2024, a acusação era de minimizar o efeito de invasões, e não de deixar de divulgá-las. Para empresas brasileiras com ações ou ADRs nos EUA, a regra vale integralmente e convive com a obrigação de comunicar a ANPD e o mercado local. Sources: - Debevoise & Plimpton – Lessons learned: one year of Form 8-K material cybersecurity incident reporting: https://www.debevoise.com/-/media/files/insights/publications/2025/02/lessons-learned-one-year-of-form-8k-material.pdf - Board Cybersecurity – SEC cybersecurity 8-K filings peaked in 2023 and have declined since: https://www.board-cybersecurity.com/blog/2026-04-20-sec-cybersecurity-disclosures-yoy - Harvard Law School Forum – SEC dismisses SolarWinds lawsuit: what CISOs need to know: https://corpgov.law.harvard.edu/2025/12/10/sec-dismisses-solarwinds-lawsuit-what-cisos-need-to-know/ - Vaquill – SEC cyber disclosure 2026 enforcement update: https://www.vaquill.ai/blog/sec-cyber-disclosure-2026-enforcement-update --- ## Latin America: where attacks per organization grow fastest URL: https://cybertarget.live/en/artigos/america-latina-regiao-com-mais-ataques-por-organizacao Date: 2026-10-18 Measured by attacks per organization per week, Latin America leads global growth. Check Point Research found the region's organizations faced an average of 3,065 weekly attacks in December 2025, up 26% year on year, the largest increase of any region (Intelligent CIO). The global average was 2,027. By March 2026, the region hit about 3,100 a week, roughly double the US level of just under 1,500 (Dark Reading). Regional comparison RegionQ1 2025Q2 2025Dec 2025 Global1,9251,9842,027 Africa3,2863,365n/a Asia-Pacific2,9342,874n/a Latin America2,640 (+108%)2,8033,065 (+26%) Europe1,6121,669n/a North America1,3571,430n/a Sources: Check Point via Check Point Blog and IT Edge News. Note: Africa had a higher per-organization average in the first two quarters of 2025; Latin America's lead is in growth and versus the US. Brazil at the center Phishing: 553 million blocked attempts in Brazil (Jul 2024–Jul 2025), 42.8% of the regional 1.29 billion (InfoMoney). Ransomware: 549,000 blocked attempts, over half the regional total; Mexico 237,000 (Hardware.com.br). Confirmed victims: Brazil ranked 3rd worldwide in June 2026 (TI Inside). Individuals are exposed too: 72% of adults in South America reported scam attempts (GASA/Feedzai), and Mexico's CONDUSEF logged 2.484 million fraud complaints in H1 2025 (Vanguardia). Why the region is targeted Fast payment digitization, lower security budgets (6.4% of IT spend in Brazil versus 8–12% internationally, per Brasscom via Teletime), a talent gap of 214,536 professionals in Brazil (ISC2) and a mature local criminal ecosystem. Investment is rising: Brazil spent R$22.2 billion on cybersecurity in 2025, projected to reach R$38.2 billion in 2029. What to do Cover the basics: MFA, patching and isolated backups. Train staff against phishing. Monitor leaked credentials and remote access. Use managed security services where in-house talent is short. Sources: - Intelligent CIO / Check Point: ciberataques na América Latina, dezembro de 2025: https://www.intelligentcio.com/latam/2026/01/14/global-cyberattacks-surge-across-latin-america-and-africa-as-ransomware-activity-rises/ - Check Point Blog: 1º trimestre de 2025: https://blog.checkpoint.com/?p=247359 - IT Edge News / Check Point: 2º trimestre de 2025: https://www.itedgenews.africa/global-cyber-attacks-surge-21-in-q2-2025-africa-retains-lead-position-with-highest-number-of-weekly-attacks - Dark Reading: LatAm sees 2x more cyberattacks than the US: https://www.darkreading.com/threat-intelligence/latam-2x-more-cyberattacks-us - InfoMoney / Kaspersky: Panorama de Ameaças 2025: https://www.infomoney.com.br/?p=3017469 - Hardware.com.br / Kaspersky: Brasil é alvo número 1 de ransomware: https://www.hardware.com.br/tecnologia/brasil-e-alvo-numero-1-de-ransomware-na-america-latina-em-2025/amp/ - Feedzai / GASA: Global State of Scams 2025: https://www.feedzai.com/blog/gasa-global-state-of-scams-report/ - TI Inside / Ransomware.live: Brasil entre os 10 países: https://tiinside.com.br/14/07/2026/brasil-entra-na-lista-dos-10-paises-com-mais-ataques-ransomware/ - ISC2: Cybersecurity Workforce Study 2024: https://www.isc2.org/insights/2024/09/employers-must-act-cybersecurity-workforce-growth-stalls-as-skills-gaps-widen - Teletime / Brasscom: investimentos em cibersegurança: https://teletime.com.br/28/10/2026/investimentos-ciberseguranca-brasscom/ - Vanguardia / CONDUSEF: fraudes bancarios en México: https://vanguardia.com.mx/noticias/mexico/crece-la-estafa-digital-mas-de-24-millones-de-fraudes-bancarios-en-mexico-durante-2025-MK17956794 --- ## América Latina: onde os ataques por organização mais crescem URL: https://cybertarget.live/pt/artigos/america-latina-regiao-com-mais-ataques-por-organizacao Date: 2026-10-18 Quando se mede o volume de ataques cibernéticos pelo número de tentativas que cada organização recebe por semana, a América Latina aparece no topo do crescimento global. Segundo a Check Point Research, as organizações da região sofreram em média 3.065 ataques semanais em dezembro de 2025, alta de 26% em um ano. Foi a maior alta entre todas as regiões monitoradas, de acordo com a Intelligent CIO. A média global no mesmo mês foi de 2.027 ataques por organização. Em março de 2026, a região chegou a cerca de 3.100 ataques semanais, contra pouco menos de 1.500 nos EUA, cerca do dobro, segundo a Dark Reading. A região em comparação Região1º tri/20252º tri/2025Dez/2025 Global1.9251.9842.027 África3.2863.365n/d Ásia-Pacífico2.9342.874n/d América Latina2.640 (+108%)2.8033.065 (+26%) Europa1.6121.669n/d América do Norte1.3571.430n/d Fontes: Check Point Research, via Check Point Blog (1º trimestre), IT Edge News (2º trimestre) e Intelligent CIO (dezembro). A métrica é a média de ataques semanais por organização. Uma ressalva importante Nos dois primeiros trimestres de 2025, a África teve média de ataques por organização maior que a da América Latina. A liderança latino-americana está no ritmo de crescimento, com +108% no 1º trimestre e +26% em dezembro, e na comparação com os EUA. A Check Point não divulgou, nas fontes consultadas, o detalhamento por país dentro da região. O Brasil no centro do mapa Outras medições ajudam a ver o peso do Brasil. Os dados da Kaspersky são de tentativas bloqueadas, não de ataques bem-sucedidos: Phishing: 553 milhões de tentativas bloqueadas no Brasil entre julho de 2024 e julho de 2025, 42,8% do total da América Latina (1,29 bilhão, alta de 85%), segundo o InfoMoney. Malware: 408 milhões de bloqueios no Brasil. Ransomware: 549 mil tentativas no Brasil entre agosto de 2024 e junho de 2025, mais da metade do total regional, que passou de 1,1 milhão. O México teve 237 mil, o Chile 43 mil e o Equador 37 mil (Hardware.com.br). Trojans bancários: 10 das 22 famílias mais comuns na região são brasileiras. Em vítimas confirmadas de ransomware, o Brasil ficou em 3º lugar no mundo em junho de 2026, com 23 casos, atrás de EUA e Alemanha. O México apareceu com 14 (TI Inside). Setores mais atingidos No recorte global da Check Point para o 1º trimestre de 2025, os setores com mais ataques semanais por organização foram educação (4.484), governo (2.678) e telecomunicações (2.664). São setores com muitos usuários, sistemas legados e dados valiosos, um perfil comum também na América Latina. Para escolas, órgãos públicos e operadoras da região, isso significa enfrentar ao mesmo tempo o setor mais atacado e a região de crescimento mais rápido. Golpes contra pessoas A exposição não é só das empresas. A pesquisa global da GASA com a Feedzai encontrou 72% de adultos expostos a tentativas de golpe na América do Sul, entre os maiores índices do mundo, ao lado da Oceania (73%), segundo a Feedzai. No México, a CONDUSEF recebeu 2,484 milhões de reclamações por fraude no primeiro semestre de 2025, mais de 60% delas digitais. Apenas cerca de 25% do valor reclamado foi devolvido (Vanguardia). Por que a região é tão visada As fontes não apontam uma causa única, mas alguns fatores aparecem com frequência nos dados: Digitalização acelerada de pagamentos, com sistemas instantâneos como o Pix, que tornam o dinheiro mais rápido de mover. Investimento proporcionalmente menor em defesa. No Brasil, a cibersegurança representa 6,4% do orçamento de TI, contra média internacional de 8% a 12%, segundo a Brasscom (Teletime). Falta de profissionais. O ISC2 estimou um déficit de 214.536 profissionais de cibersegurança no Brasil em 2024. A força de trabalho de toda a América Latina era de 1,27 milhão de pessoas (ISC2). Ecossistema criminoso local maduro, como mostra o peso dos trojans bancários brasileiros. O investimento está subindo A Brasscom estima que o Brasil investiu R$ 22,2 bilhões em cibersegurança em 2025, alta de 66% entre 2023 e 2025. A projeção é de R$ 25,6 bilhões em 2026 e R$ 38,2 bilhões em 2029. O que fazer Priorize o básico: autenticação multifator, correção de vulnerabilidades e backups isolados cobrem a maior parte dos vetores de ataque. Treine contra phishing, a ameaça mais volumosa da região. Monitore credenciais vazadas e acessos remotos. Considere serviços gerenciados de segurança quando faltarem profissionais internos. Revise o orçamento de segurança frente à média internacional. Sources: - Intelligent CIO / Check Point: ciberataques na América Latina, dezembro de 2025: https://www.intelligentcio.com/latam/2026/01/14/global-cyberattacks-surge-across-latin-america-and-africa-as-ransomware-activity-rises/ - Check Point Blog: 1º trimestre de 2025: https://blog.checkpoint.com/?p=247359 - IT Edge News / Check Point: 2º trimestre de 2025: https://www.itedgenews.africa/global-cyber-attacks-surge-21-in-q2-2025-africa-retains-lead-position-with-highest-number-of-weekly-attacks - Dark Reading: LatAm sees 2x more cyberattacks than the US: https://www.darkreading.com/threat-intelligence/latam-2x-more-cyberattacks-us - InfoMoney / Kaspersky: Panorama de Ameaças 2025: https://www.infomoney.com.br/?p=3017469 - Hardware.com.br / Kaspersky: Brasil é alvo número 1 de ransomware: https://www.hardware.com.br/tecnologia/brasil-e-alvo-numero-1-de-ransomware-na-america-latina-em-2025/amp/ - Feedzai / GASA: Global State of Scams 2025: https://www.feedzai.com/blog/gasa-global-state-of-scams-report/ - TI Inside / Ransomware.live: Brasil entre os 10 países: https://tiinside.com.br/14/07/2026/brasil-entra-na-lista-dos-10-paises-com-mais-ataques-ransomware/ - ISC2: Cybersecurity Workforce Study 2024: https://www.isc2.org/insights/2024/09/employers-must-act-cybersecurity-workforce-growth-stalls-as-skills-gaps-widen - Teletime / Brasscom: investimentos em cibersegurança: https://teletime.com.br/28/10/2026/investimentos-ciberseguranca-brasscom/ - Vanguardia / CONDUSEF: fraudes bancarios en México: https://vanguardia.com.mx/noticias/mexico/crece-la-estafa-digital-mas-de-24-millones-de-fraudes-bancarios-en-mexico-durante-2025-MK17956794 --- ## US healthcare data breaches: Change Healthcare and the HIPAA landscape URL: https://cybertarget.live/en/artigos/vazamentos-na-saude-eua-change-healthcare-hipaa Date: 2026-10-17 In February 2024, criminals logged into a remote access portal at Change Healthcare, a UnitedHealth Group unit that processes a huge share of US medical claims. The portal did not have multifactor authentication. Nine days later, ransomware hit. What followed became the largest healthcare data breach in US history and a turning point for how Washington thinks about health sector cybersecurity. The Change Healthcare attack, step by step February 12, 2024: attackers use compromised credentials to access a Citrix portal without MFA, according to UnitedHealth CEO Andrew Witty's testimony as reported by TechTarget. February 21, 2024: Change Healthcare discloses network disruptions after ransomware is deployed. The BlackCat/ALPHV group is behind it. Ransom: UnitedHealth confirmed it paid; a wallet linked to the group received $22 million. BlackCat then shut down, and the affiliate reportedly took the data to RansomHub to demand more. May 1, 2024: Witty testifies before Congress that about a third of Americans may be affected. Provider fallout: pharmacies and providers lost access to claims processing; UnitedHealth's temporary loans to affected providers peaked above $8.9 billion. Cost: UnitedHealth estimated the total 2024 cost of the attack at about $2.87 billion, per BankInfoSecurity. July 31, 2025: the company updates the HHS Office for Civil Rights: 192.7 million individuals affected, up from 100 million in October 2024. Exposed data likely included names, Social Security numbers, medical histories, insurance claims and payment details. The bigger picture: breach numbers Change Healthcare is an extreme case, but not an outlier in kind. HIPAA Journal's tally of large breaches (500 or more records) reported to OCR shows the scale: YearLarge breaches reportedIndividuals affected 2023745record at the time (up 193% vs 2022) 2024741more than 289 million 2025772 (per the text; 805 in its entity table)about 138.5 million 2026 (Jan–Apr)252not yet totaled Hacking and IT incidents accounted for more than 80% of large breaches in 2025. Other recent mega-breaches include Conduent Business Services (about 62.2 million, 2025), Aflac (about 13.9 million, 2025) and DentaQuest (15 million, 2026). Why health care is such a target Valuable data: medical and insurance records combine identity, financial and health information that cannot be changed like a password. Pressure to pay: outages delay care and prescriptions, raising the stakes of ransomware. Concentration risk: clearinghouses and business associates sit between thousands of providers and payers. A single failure, as at Change, spreads nationwide. The business associate problem HIPAA Journal counts 139 large breaches reported by business associates in 2025 and 79 in the first four months of 2026, and notes these figures understate the problem because covered entities often report vendor breaches themselves. Change Healthcare itself is a clearinghouse serving more than 30,000 pharmacies, which is why its outage reached patients across the country. The initial HHS breach portal entry listed just 500 individuals as a placeholder, a reminder that early breach counts can be wildly off. The financial toll UnitedHealth's numbers show how ransomware costs pile up. By the third quarter of 2024 it had booked about $1.7 billion in direct response costs and about $747 million in business disruption costs for the year to date. Providers had repaid about $3.2 billion of the emergency loans at that point. The company told investors it expected to rebuild the business to pre-attack levels during 2025. The HIPAA landscape The HIPAA Security Rule, which sets safeguards for electronic protected health information, had not been substantially updated in more than a decade. In January 2025, HHS's Office for Civil Rights published a proposed overhaul. According to Morgan Lewis, the proposal would: require encryption of ePHI at rest and in transit; require multifactor authentication; eliminate the distinction between "required" and "addressable" safeguards, making all specifications mandatory; add compliance timelines, documentation and more specific risk analysis requirements. Comments closed on March 7, 2025. The proposal drew strong criticism from providers over cost. As of July 2026, the rule was not final, and the federal regulatory agenda projected a final action date of July 2027, according to Holland & Knight. What organizations should do now Enforce MFA everywhere, starting with remote access portals, VPNs and email. Change Healthcare's entry point was a single portal without it. Map your business associates and their access; require breach notice and security commitments by contract. Plan for outages: test how you would bill, prescribe and schedule if a clearinghouse went down for weeks. Encrypt and segment sensitive data, and keep offline, tested backups. Do not wait for the final rule: the proposed controls already reflect what investigators and insurers expect. What patients can do Read breach notices carefully and enroll in any free credit monitoring offered. Consider a credit freeze if your Social Security number was exposed. Review insurer explanation-of-benefits statements for services you never received. Be wary of calls or emails referencing the breach: scammers exploit the news. Sources: - TechTarget – Change Healthcare breached via Citrix portal with no MFA: https://www.techtarget.com/cybersecurity/news/366582824/Change-Healthcare-breached-via-Citrix-portal-with-no-MFA?amp=1 - BankInfoSecurity – Change Healthcare attack cost estimate reaches nearly $2.9B: https://www.bankinfosecurity.net/change-healthcare-attack-cost-estimate-reaches-nearly-29b-a-26541 - CyberInsider – Change Healthcare revises breach impact to 192.7 million: https://cyberinsider.com/change-healthcare-revises-breach-impact-to-192-7-million-individuals/ - HIPAA Journal – Healthcare data breach statistics: https://www.hipaajournal.com/healthcare-data-breach-statistics/ - Morgan Lewis – HHS proposes major 2025 update to HIPAA Security Rule: https://morganlewis.com/pubs/2025/01/hhs-proposes-major-2025-update-to-hipaa-security-rule - Holland & Knight – HIPAA Security Rule amendments now projected for July 2027: https://www.hklaw.com/en/insights/publications/2026/07/hipaa-security-rule-amendments-now-projected-for-july-2027 --- ## Vazamentos na saúde dos EUA: o caso Change Healthcare e a HIPAA URL: https://cybertarget.live/pt/artigos/vazamentos-na-saude-eua-change-healthcare-hipaa Date: 2026-10-17 Em fevereiro de 2024, criminosos entraram num portal de acesso remoto da Change Healthcare, empresa do UnitedHealth Group que processa grande parte das cobranças médicas dos EUA. O portal não tinha autenticação multifator. Nove dias depois, veio o ransomware. O resultado foi o maior vazamento de dados de saúde da história americana. O ataque, passo a passo 12/fev/2024: acesso com credenciais roubadas a um portal Citrix sem MFA. 21/fev/2024: a empresa divulga a pane; o grupo BlackCat/ALPHV assume o ataque. Resgate: a UnitedHealth confirmou o pagamento; uma carteira ligada ao grupo recebeu US$ 22 milhões. Depois, o afiliado teria levado os dados ao grupo RansomHub para exigir mais. Impacto: farmácias e clínicas ficaram sem processar cobranças; os empréstimos emergenciais da UnitedHealth a prestadores passaram de US$ 8,9 bilhões. Custo: cerca de US$ 2,87 bilhões estimados para 2024. 31/jul/2025: o número de afetados sobe para 192,7 milhões de pessoas. Os números do setor AnoGrandes vazamentos (500+)Pessoas afetadas 2024741mais de 289 milhões 2025772cerca de 138,5 milhões 2026 (jan–abr)252em apuração Segundo o HIPAA Journal, ataques hacker e incidentes de TI responderam por mais de 80% dos grandes vazamentos em 2025. Outros casos recentes: Conduent (cerca de 62,2 milhões), Aflac (cerca de 13,9 milhões) e DentaQuest (15 milhões). A saúde é alvo preferencial porque reúne dados que não podem ser trocados como uma senha, porque a interrupção do atendimento pressiona pelo pagamento do resgate e porque intermediários como a Change concentram o fluxo de milhares de prestadores. O problema dos fornecedores O HIPAA Journal contabiliza 139 grandes vazamentos informados por "business associates" (fornecedores com acesso a dados) em 2025, número que subestima o problema porque muitos são reportados pelos próprios hospitais. A Change atende mais de 30 mil farmácias, e por isso sua pane chegou a pacientes do país inteiro. O primeiro registro no portal do HHS listava só 500 pessoas, como estimativa provisória. A conta do ransomware Até o terceiro trimestre de 2024, a UnitedHealth havia contabilizado cerca de US$ 1,7 bilhão em custos diretos de resposta e US$ 747 milhões em custos de interrupção dos negócios no ano. Os prestadores tinham devolvido cerca de US$ 3,2 bilhões dos empréstimos emergenciais. A reforma da HIPAA Em janeiro de 2025, o Departamento de Saúde (HHS) propôs a primeira grande revisão da Regra de Segurança da HIPAA em mais de uma década. Pelo texto, seriam obrigatórios criptografia de dados de saúde em repouso e em trânsito, autenticação multifator e todas as salvaguardas hoje apenas "recomendáveis". A proposta sofreu críticas do setor pelo custo e, segundo o escritório Holland & Knight, a versão final só deve sair por volta de julho de 2027. Os dados expostos na Change provavelmente incluíram nomes, números de Seguro Social, históricos médicos, informações de seguro e dados de pagamento. O CEO Andrew Witty chegou a dizer ao Congresso, em maio de 2024, que cerca de um terço da população americana poderia ter sido afetada. O que fazer Organizações: exigir MFA em todo acesso remoto, mapear fornecedores com acesso a dados, testar planos de contingência para semanas sem o intermediário de cobrança e manter backups off-line. Pacientes: ler os avisos de vazamento, aderir ao monitoramento de crédito oferecido, considerar congelar o crédito e conferir extratos do plano de saúde. Todos: desconfiar de ligações e e-mails que citam o vazamento; golpistas exploram a notícia. Para o Brasil, a lição é direta: hospitais, operadoras e laboratórios lidam com dados sensíveis sob a LGPD, e um único fornecedor sem MFA pode parar uma rede inteira. Sources: - TechTarget – Change Healthcare breached via Citrix portal with no MFA: https://www.techtarget.com/cybersecurity/news/366582824/Change-Healthcare-breached-via-Citrix-portal-with-no-MFA?amp=1 - BankInfoSecurity – Change Healthcare attack cost estimate reaches nearly $2.9B: https://www.bankinfosecurity.net/change-healthcare-attack-cost-estimate-reaches-nearly-29b-a-26541 - CyberInsider – Change Healthcare revises breach impact to 192.7 million: https://cyberinsider.com/change-healthcare-revises-breach-impact-to-192-7-million-individuals/ - HIPAA Journal – Healthcare data breach statistics: https://www.hipaajournal.com/healthcare-data-breach-statistics/ - Morgan Lewis – HHS proposes major 2025 update to HIPAA Security Rule: https://morganlewis.com/pubs/2025/01/hhs-proposes-major-2025-update-to-hipaa-security-rule - Holland & Knight – HIPAA Security Rule amendments now projected for July 2027: https://www.hklaw.com/en/insights/publications/2026/07/hipaa-security-rule-amendments-now-projected-for-july-2027 --- ## BEC and real estate wire fraud in the US: how it works, how to stop it URL: https://cybertarget.live/en/artigos/bec-e-fraude-de-transferencia-imobiliaria-nos-eua Date: 2026-10-16 A homebuyer receives an email that looks exactly like it came from their closing attorney: new wiring instructions, a polite tone, a deadline. They send the down payment. The money lands in an account controlled by criminals. Variations of this story, aimed at both families and businesses, are what the FBI calls business email compromise (BEC), and it remains one of the most expensive cybercrimes in the United States. The numbers Indicator (FBI IC3, 2025)Figure BEC complaints24,768 BEC reported losses$3.05 billion Real estate fraud complaints12,368 (9,359 in 2024) Real estate fraud losses$275 million ($173 million in 2024) BEC losses among victims 60+$568 million (4,566 complaints) BEC losses are concentrated: about 2.5% of all IC3 complaints, but roughly 15% of all reported losses. Real estate fraud losses rose about 59% in a year, according to the National Association of Realtors' reading of the FBI data, though they remain below the 2022 peak of $397 million. How BEC works The FBI describes BEC as targeting businesses and individuals who regularly send wire payments. Criminals take over or impersonate email accounts, phone numbers or even virtual meeting tools, through social engineering or intrusion, to redirect payments. Reconnaissance: scammers study who pays whom, when invoices are due and who approves transfers. Access or impersonation: they phish an employee's credentials, compromise a vendor's mailbox, or register a look-alike domain. The ask: a "CEO" asks finance for an urgent, confidential payment, or a "supplier" sends new bank details. Cash-out: funds move quickly through mule accounts, often abroad, or are converted to crypto. The FBI warns that criminals now use AI chat tools to write convincing emails that mimic executives, and voice cloning to request payments by phone. The real estate variant Home purchases are an ideal target: large one-time wires, many parties (buyer, agents, lender, title company, attorney) and emails flying in the final days before closing. A compromised agent or title mailbox lets criminals send instructions at exactly the right moment. NAR cites one case where a couple wired more than $449,000 after an email impersonating their attorneys; the funds were recovered only because the IC3 Recovery Asset Team froze them at the receiving bank. Why BEC keeps working BEC needs no malware and often no hacking at all: a convincing message at the right moment is enough. It exploits normal business processes such as vendor payments, payroll changes and closing schedules. Because wire transfers settle fast and are hard to reverse, a few hours of delay can make the difference between recovery and total loss. Older adults are also exposed: victims over 60 reported $568 million in BEC losses in 2025, and BEC and real estate cases were the second most common type among elder cases handled by the Financial Fraud Kill Chain. Speed matters: the Financial Fraud Kill Chain The domestic side of the Kill Chain accounted for 3,574 incidents and about $507 million frozen in 2025, and the international side for 326 incidents and about $172 million. The IC3 Recovery Asset Team works with banks to freeze funds through the Financial Fraud Kill Chain. In 2025 it handled 3,900 incidents involving about $1.16 billion in attempted theft and froze about $679 million, a 58% success rate. The process works best when victims report within hours, before money leaves the receiving bank. Controls that work For businesses Out-of-band verification: confirm any new or changed bank details by calling a number already on file, never one in the email. Dual approval for wires above a threshold and for changes to vendor master data. Phishing-resistant MFA on email, plus alerts for suspicious inbox forwarding rules. Email authentication (SPF, DKIM, DMARC) and flags for external senders and look-alike domains. Training on urgency and secrecy cues, including deepfake voice and video requests. A rehearsed playbook: who calls the bank, who files with IC3, within what time. For homebuyers and sellers At the start of the deal, get the title company's or attorney's phone number in person or from their official site. Treat any email that changes wiring instructions as fraud until verified by phone. Call to confirm receipt immediately after wiring. Brokers should provide regular wire fraud and AI awareness training to agents, NAR recommends. Red flags in an email A last-minute change to bank details or payment method. Urgency combined with a request for secrecy. A sender address that differs by one character from the real one. A request to move the conversation to a personal phone or messaging app. A voice or video call from an "executive" that cannot be verified on a known number. If you have been hit Call your bank immediately and ask for a recall of the wire. Policies vary, so ask what help they offer. File at ic3.gov regardless of the amount, with full transaction details. Secure the mailbox: reset passwords, review forwarding rules and check for other altered payments. Warn counterparties who may receive follow-up fraudulent requests. Sources: - FBI IC3 – 2025 Internet Crime Report (PDF copy): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - National Association of Realtors – Online real estate fraud climbed to $275M in 2025, FBI says: https://www.nar.realtor/news/real-estate-news/online-real-estate-fraud-climbed-to-275m-in-2025-fbi-says - The Record – Cyber fraud surges to $17 billion: FBI IC3: https://therecord.media/cyber-fraud-surges-to-17-billion-fbi-ic3 - HousingWire – FBI: seniors cybercrime 2025: https://www.housingwire.com/articles/fbi-seniors-cybercrime-2025/ --- ## BEC e fraude imobiliária nos EUA: como funciona e como evitar URL: https://cybertarget.live/pt/artigos/bec-e-fraude-de-transferencia-imobiliaria-nos-eua Date: 2026-10-16 O comprador de um imóvel recebe um e-mail idêntico ao do advogado responsável pelo fechamento: novos dados bancários, tom educado, prazo apertado. Ele transfere a entrada. O dinheiro cai na conta de criminosos. Variações dessa história, contra famílias e empresas, formam o que o FBI chama de BEC (business email compromise), o golpe do e-mail corporativo. Os números de 2025 Indicador (FBI IC3)Valor Queixas de BEC24.768 Perdas com BECUS$ 3,05 bilhões Fraude imobiliária: queixas12.368 (9.359 em 2024) Fraude imobiliária: perdasUS$ 275 milhões (US$ 173 milhões em 2024) O BEC representa cerca de 2,5% das queixas, mas aproximadamente 15% de todas as perdas registradas pelo IC3. Como o golpe funciona Reconhecimento: os criminosos estudam quem paga quem e quem aprova transferências. Acesso ou imitação: roubam a senha de um funcionário, invadem o e-mail de um fornecedor ou registram um domínio parecido. O pedido: um falso "CEO" pede pagamento urgente e sigiloso, ou um falso fornecedor envia nova conta. Saque: o dinheiro passa rapidamente por contas de laranjas ou é convertido em cripto. O FBI alerta que golpistas já usam IA para redigir e-mails convincentes e clonagem de voz para pedir pagamentos por telefone. A variante imobiliária Compras de imóveis envolvem transferências altas, muitos participantes e troca intensa de e-mails nos dias finais. A Associação Nacional de Corretores (NAR) cita um casal que transferiu mais de US$ 449 mil após um e-mail falso; o dinheiro só foi recuperado porque a equipe de recuperação do IC3 o congelou no banco recebedor. Por que o BEC continua funcionando O golpe dispensa vírus e, muitas vezes, até invasão: basta uma mensagem convincente no momento certo. Ele explora processos normais, como pagamento a fornecedores, mudança de conta-salário e cronograma de escritura. Como transferências são liquidadas rápido e difíceis de reverter, poucas horas de atraso separam a recuperação da perda total. Idosos também são alvo: vítimas acima de 60 anos relataram US$ 568 milhões em perdas com BEC em 2025. Sinais de alerta Mudança de última hora nos dados bancários. Urgência combinada com pedido de sigilo. Endereço de e-mail com um caractere diferente do verdadeiro. Pedido para continuar a conversa por celular pessoal ou aplicativo. Ligação de voz ou vídeo de um "diretor" que não pode ser confirmada. Velocidade é tudo Em 2025, a equipe de recuperação do IC3 atuou em 3.900 incidentes, com cerca de US$ 1,16 bilhão em tentativas de desvio, e congelou cerca de US$ 679 milhões, taxa de sucesso de 58%. Quanto antes a denúncia, maior a chance. Controles que funcionam Confirmação por outro canal: ligue para um número já cadastrado antes de aceitar novos dados bancários. Dupla aprovação para transferências altas e mudanças no cadastro de fornecedores. MFA resistente a phishing no e-mail e alertas para regras de encaminhamento suspeitas. SPF, DKIM e DMARC ativos e alerta para remetentes externos e domínios parecidos. Treinamento sobre urgência, sigilo e deepfakes de voz e vídeo. Compradores de imóveis: anote o telefone do cartório, escritório ou empresa de escrow no início e trate qualquer e-mail que mude dados bancários como fraude até confirmar por telefone. O congelamento funciona pela chamada Financial Fraud Kill Chain: a vertente doméstica respondeu por 3.574 incidentes e cerca de US$ 507 milhões bloqueados em 2025. Se aconteceu Ligue imediatamente para o banco e peça o recall da transferência; nos EUA, registre em ic3.gov com todos os dados da operação; troque senhas, revise regras de encaminhamento e avise parceiros que possam receber novos pedidos falsos. No Brasil, a lógica é a mesma: acione o banco na hora e registre boletim de ocorrência. Sources: - FBI IC3 – 2025 Internet Crime Report (PDF copy): https://ppc.land/content/files/2026/07/2025_IC3Report.pdf - National Association of Realtors – Online real estate fraud climbed to $275M in 2025, FBI says: https://www.nar.realtor/news/real-estate-news/online-real-estate-fraud-climbed-to-275m-in-2025-fbi-says - The Record – Cyber fraud surges to $17 billion: FBI IC3: https://therecord.media/cyber-fraud-surges-to-17-billion-fbi-ic3 - HousingWire – FBI: seniors cybercrime 2025: https://www.housingwire.com/articles/fbi-seniors-cybercrime-2025/ --- ## Salt and Volt Typhoon: what is known about China's US network hacks URL: https://cybertarget.live/en/artigos/salt-typhoon-volt-typhoon-ataques-chineses-telecom-eua Date: 2026-10-15 Two China-linked hacking campaigns have reshaped how the United States thinks about its networks. Salt Typhoon broke into major telecom carriers and reached the systems used for court-authorized wiretaps. Volt Typhoon quietly embedded itself in power, water, transport and communications networks, in what US agencies describe as preparation for disruption in a crisis. Here is what has been made public. Salt Typhoon: espionage through the phone network What happened The campaign became public in October 2024. US officials and later reporting have named Verizon, AT&T, Lumen, Charter Communications, Consolidated Communications and Windstream among affected carriers; T-Mobile said it was targeted but that hackers did not reach customer calls, texts or voicemail. According to BleepingComputer, the intruders accessed core systems used for lawful intercept requests. Reporting compiled by TechCrunch says the hacks gave access to call records, text messages and captured audio of senior US officials, which led the FBI to recommend encrypted messaging apps. Nextgov reported that the phones of Donald Trump and JD Vance were among those targeted. The August 2025 advisory On August 27, 2025, the FBI, CISA, NSA and the Defense Department's Cyber Crime Center, with agencies from Australia, Canada, the Czech Republic, Finland, Germany, Italy, the Netherlands, New Zealand, Poland, Spain and the UK, published a joint alert. Key points: The activity has been under way since at least 2019, according to FBI cyber division director Brett Leatherman. It reached more than 80 countries and at least 200 US organizations, beyond the nine telecom victims previously identified. The FBI notified at least 600 organizations that the group had shown interest in their systems. Targets extend beyond telecom to government, transportation, lodging and military infrastructure. The alert named Chinese companies said to support the operations. A declassified DHS memo cited by Nextgov said a state's National Guard network was compromised, and that between January and March 2024 the group stole configuration files tied to other government and critical infrastructure entities. How they got in The main entry point has been network edge devices, especially Cisco routers. Some exploited flaws date back to 2018 and had patches that many carriers never installed. Abroad, victims or confirmed activity have been reported in Canada, the UK, Norway, the Netherlands, Italy, South Africa and Myanmar, among others, and Trend Micro observed activity in Brazil. Why lawful intercept matters US carriers are required by the 1994 Communications Assistance for Law Enforcement Act (CALEA) to build networks that can carry out court-ordered wiretaps. Those systems hold the targets of US surveillance requests. Reaching them gives an adversary insight into who US law enforcement is watching, on top of the content of calls and texts. Several carriers' lawful intercept systems were breached, according to Nextgov, and Viasat was reported compromised in 2025 in a way that gave access to similar tools, according to TechCrunch. Volt Typhoon: pre-positioning in critical infrastructure On February 8, 2024, CISA, NSA and the FBI, joined by the Energy Department, EPA, TSA and Five Eyes partners, warned that Volt Typhoon had compromised IT networks in the communications, energy, transportation and water sectors, in the continental US and in territories including Guam. Purpose: the agencies assessed the group was pre-positioning to disrupt operations, including operational technology, during a major crisis or conflict. The activity does not fit traditional espionage. Persistence: some intrusions lasted at least five years. Tactics: "living off the land", using built-in tools and valid accounts to avoid detection, and exploiting internet-facing VPNs, firewalls and routers. Researchers cited by TechCrunch link Salt Typhoon to a wider cluster of activity aimed at helping China prepare for a possible conflict over Taiwan. Taken together, the two campaigns point to different goals: Salt Typhoon collects intelligence, while Volt Typhoon appears designed to hold infrastructure at risk. The US response DateAction Feb 2024Joint advisory on Volt Typhoon Jan 2025Treasury's OFAC sanctions Sichuan Juxinhe Network Technology, linked to Salt Typhoon; FCC declaratory ruling says CALEA requires carriers to secure networks Apr 2025State Department offers up to $10 million for information on government-linked hackers Aug 202513-country Salt Typhoon advisory Nov 2025FCC rescinds the January 2025 ruling and withdraws proposed cyber rules for carriers The FCC reversal is contested. The agency called the earlier ruling unlawful and ineffective and said carriers had strengthened security voluntarily. Commissioner Anna Gomez, the lone dissent, said the rollback was not a cybersecurity strategy. What remains unknown Whether all intruders have been removed from carrier networks. The Register reported in August 2025 that the threat was ongoing. The full list of victims and of data stolen. How much Volt Typhoon access remains in place after remediation efforts. What organizations should do The advisories converge on a short list: Patch internet-facing devices first, prioritizing actively exploited vulnerabilities in routers, VPNs and firewalls. Replace end-of-life equipment that no longer receives updates. Use phishing-resistant MFA and limit administrative access to network gear. Centralize and protect logs; living-off-the-land intrusions are only visible through good telemetry. Hunt for persistence using the indicators published by CISA and partners. For individuals, the FBI's advice after Salt Typhoon was simple: prefer end-to-end encrypted messaging and calling apps for sensitive conversations. Sources: - Nextgov/FCW – Salt Typhoon hackers targeted over 80 countries, FBI says: https://www.nextgov.com/cybersecurity/2025/08/salt-typhoon-hackers-targeted-over-80-nations-fbi-says/407719 - CyberScoop – Salt Typhoon campaign goes beyond previously disclosed targets: https://cyberscoop.com/salt-typhoon-hacking-campaign-goes-beyond-previously-disclosed-targets-world-cyber-agencies-say/ - TechCrunch – Salt Typhoon: who has been hacked: https://techcrunch.com/2026/03/09/salt-typhoon-china-who-has-been-hacked-global-telecom-giants/ - BleepingComputer – FCC rolls back cybersecurity rules for telcos: https://www.bleepingcomputer.com/news/security/fcc-rolls-back-cybersecurity-rules-for-telcos-despite-state-hacking-risks/ - BleepingComputer – FBI seeks help to unmask Salt Typhoon hackers: https://www.bleepingcomputer.com/news/security/fbi-seeks-help-to-unmask-salt-typhoon-hackers-behind-telecom-breaches/amp/ - Australian Cyber Security Centre – PRC state-sponsored actors compromise US critical infrastructure (joint advisory, Feb 2024): https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/prc-state-sponsored-actors-compromise-and-maintain-persistent-access-us-critical-infrastructure - The Register – Salt Typhoon alert, August 2025: https://www.theregister.com/2025/08/28/china_salt_typhoon_alert/ --- ## Salt e Volt Typhoon: o que se sabe dos ataques chineses aos EUA URL: https://cybertarget.live/pt/artigos/salt-typhoon-volt-typhoon-ataques-chineses-telecom-eua Date: 2026-10-15 Duas campanhas de hackers ligados à China mudaram a forma como os Estados Unidos enxergam suas redes. O Salt Typhoon invadiu grandes operadoras de telefonia e chegou aos sistemas usados para grampos autorizados pela Justiça. O Volt Typhoon se instalou em redes de energia, água, transporte e comunicações, no que as agências americanas descrevem como preparação para sabotagem numa crise. Salt Typhoon: espionagem pela rede telefônica O caso veio a público em outubro de 2024. Entre as operadoras afetadas estão Verizon, AT&T, Lumen, Charter, Consolidated Communications e Windstream; a T-Mobile disse ter sido alvo, sem acesso a ligações e mensagens de clientes. Os invasores chegaram aos sistemas de interceptação legal, e reportagens apontam acesso a registros de chamadas, mensagens e áudios de autoridades. Os telefones de Donald Trump e JD Vance estiveram entre os alvos, segundo a Nextgov. Em 27 de agosto de 2025, FBI, CISA, NSA e agências de mais 12 países publicaram um alerta conjunto: A atividade ocorre desde pelo menos 2019. Atingiu mais de 80 países e ao menos 200 organizações americanas. O FBI avisou ao menos 600 organizações de que o grupo demonstrou interesse em seus sistemas. Os alvos vão além das teles: governo, transporte, hotelaria e infraestrutura militar. A principal porta de entrada foram equipamentos de borda, sobretudo roteadores Cisco, com falhas algumas de 2018 que já tinham correção. Há atividade registrada também no Canadá, Reino Unido, Noruega, Holanda, Itália, África do Sul e, segundo a Trend Micro, no Brasil. Um memorando do Departamento de Segurança Interna (DHS), tornado público e citado pela Nextgov, relatou que a rede da Guarda Nacional de um estado foi comprometida e que, entre janeiro e março de 2024, o grupo roubou arquivos de configuração ligados a outros órgãos de governo e de infraestrutura crítica. O alerta de agosto de 2025 também nomeou empresas chinesas apontadas como apoio às operações. Volt Typhoon: posicionamento para sabotagem Em 8 de fevereiro de 2024, CISA, NSA e FBI alertaram que o grupo comprometeu redes de comunicações, energia, transporte e água nos EUA e em Guam. As agências avaliaram que o objetivo era se preparar para interromper operações numa crise ou conflito, e não espionagem tradicional. Algumas invasões duravam ao menos cinco anos, com técnicas "living off the land", que usam ferramentas legítimas do próprio sistema para não serem detectadas. As agências recomendaram corrigir sistemas expostos à internet, adotar MFA resistente a phishing, centralizar logs e planejar a troca de tecnologia obsoleta. O que ainda não se sabe Se todos os invasores foram expulsos das redes das operadoras; em agosto de 2025, o The Register relatou que a ameaça continuava ativa. A lista completa de vítimas e dos dados roubados. Quanto do acesso do Volt Typhoon ainda persiste. A resposta americana DataMedida Jan/2025Tesouro sanciona a Sichuan Juxinhe, ligada ao Salt Typhoon; FCC diz que a lei CALEA obriga teles a proteger redes Abr/2025Recompensa de até US$ 10 milhões por informações Ago/2025Alerta conjunto de 13 países Nov/2025FCC revoga a decisão de janeiro e retira proposta de regras de segurança para teles A revogação é polêmica: a FCC alegou que a regra era ilegal e ineficaz e que as teles reforçaram a segurança voluntariamente; a conselheira Anna Gomez, voto vencido, disse que o recuo "não é uma estratégia". O que fazer Corrigir primeiro roteadores, VPNs e firewalls expostos à internet. Substituir equipamentos fora de suporte. Usar MFA resistente a phishing e restringir acesso administrativo. Centralizar e proteger logs para detectar invasões silenciosas. Para conversas sensíveis, preferir aplicativos com criptografia de ponta a ponta, como recomendou o FBI. Sources: - Nextgov/FCW – Salt Typhoon hackers targeted over 80 countries, FBI says: https://www.nextgov.com/cybersecurity/2025/08/salt-typhoon-hackers-targeted-over-80-nations-fbi-says/407719 - CyberScoop – Salt Typhoon campaign goes beyond previously disclosed targets: https://cyberscoop.com/salt-typhoon-hacking-campaign-goes-beyond-previously-disclosed-targets-world-cyber-agencies-say/ - TechCrunch – Salt Typhoon: who has been hacked: https://techcrunch.com/2026/03/09/salt-typhoon-china-who-has-been-hacked-global-telecom-giants/ - BleepingComputer – FCC rolls back cybersecurity rules for telcos: https://www.bleepingcomputer.com/news/security/fcc-rolls-back-cybersecurity-rules-for-telcos-despite-state-hacking-risks/ - BleepingComputer – FBI seeks help to unmask Salt Typhoon hackers: https://www.bleepingcomputer.com/news/security/fbi-seeks-help-to-unmask-salt-typhoon-hackers-behind-telecom-breaches/amp/ - Australian Cyber Security Centre – PRC state-sponsored actors compromise US critical infrastructure (joint advisory, Feb 2024): https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/prc-state-sponsored-actors-compromise-and-maintain-persistent-access-us-critical-infrastructure - The Register – Salt Typhoon alert, August 2025: https://www.theregister.com/2025/08/28/china_salt_typhoon_alert/ --- ## China's data protection regime: PIPL, DSL and the 2025–2026 changes URL: https://cybertarget.live/en/artigos/protecao-de-dados-na-china-pipl-dsl-transferencia-internacional Date: 2026-10-14 China's data rules are built on three laws: the Cybersecurity Law (CSL, in force since 2017), the Data Security Law (DSL, since September 2021) and the Personal Information Protection Law (PIPL, since November 2021). Over 2025 and 2026, regulators filled in the details with implementing regulations, audit rules, a new certification route for data exports and a tougher, amended CSL. For any company handling data of people in China, the framework is now both more workable and more enforceable. The three pillars LawFocus Cybersecurity Law (2017; amended, in force Jan 1, 2026)Network security, critical information infrastructure (CII), multi-level protection scheme Data Security Law (2021)Data classification, "important data" and "core data", national security PIPL (2021)Personal information: consent, individual rights, cross-border transfers Under PIPL Article 66, serious violations can draw fines of up to RMB 50 million or 5% of the prior year's turnover, plus fines on responsible individuals. Cross-border transfers: the current map PIPL offers three routes for exporting personal information: a CAC security assessment, a standard contract filed with the CAC, or certification by an approved body. The March 22, 2024 Provisions on Promoting and Regulating Cross-Border Data Flows set thresholds and exemptions, as summarized by WilmerHale: Situation (non-CII operator, counted since Jan 1 of the year)Requirement Important data, or any export by a CII operatorSecurity assessment Non-sensitive PI of more than 1 million people, or sensitive PI of more than 10,000Security assessment Non-sensitive PI of 100,000 to 1 million, or sensitive PI below 10,000Standard contract or certification Non-sensitive PI of fewer than 100,000Exempt Exemptions also cover data needed to perform a contract with the individual (such as cross-border shopping or visa applications) and cross-border HR management. Pilot free trade zones can publish "negative lists" that free other data from the formal routes. What changed in 2025–2026 Network Data Security Management Regulations (Jan 1, 2025) Issued by the State Council in September 2024, these regulations apply to foreign entities that offer products or services to people in China or analyze their behavior. They require processors of important data, or of personal information of more than 10 million people, to appoint a data security lead and a management body, keep processing records for at least three years and notify affected parties of incidents. Personal information compliance audits (May 1, 2025) The CAC's audit measures require processors handling data of more than 10 million people to audit compliance at least every two years. Those handling more than 1 million must designate a personal information protection officer and file with the provincial CAC. Certification route finalized (Jan 1, 2026) On October 14, 2025, the CAC and SAMR issued measures on certification for cross-border personal information transfers, completing the third PIPL route for mid-volume exporters. Amended Cybersecurity Law (Jan 1, 2026) Passed by the NPC Standing Committee on October 28, 2025, the amendments mainly raise liability: The maximum fine for general violations by entities rises from RMB 100,000 to RMB 500,000; for severe cases, up to RMB 10 million. Individuals face up to RMB 1 million. Penalties can apply to the violation itself, without proof of "serious consequences". Extraterritorial reach extends to any overseas activity that endangers China's cybersecurity, with possible asset freezes for serious cases. Network operators must follow the Civil Code and PIPL when processing personal information, harmonizing the three laws. A new article commits the state to AI ethics norms and AI risk monitoring. Standards GB/T 45574-2025 on sensitive personal information took effect November 1, 2025, and GB/T 46068-2025 on cross-border processing on March 1, 2026. Both are recommended standards, but Arnold & Porter notes they are often used as benchmarks in enforcement. Penalties in the amended CSL, by article Bird & Bird lists the new ranges for companies: Article 61 (general security obligations) rises to RMB 50,000–500,000; Article 65 (certification, testing, risk assessment and disclosure) to RMB 100,000–1 million; Article 69 (illegal information) to RMB 500,000–2 million. Supply chain violations involving uncertified network equipment carry fines tied to illegal gains. Serious cases can lead to business suspension or license revocation. At the same time, the law imports Administrative Penalty Law provisions allowing lighter or waived penalties for cooperation or minor first-time violations. Enforcement: the Dior case In 2025, Shanghai public security authorities penalized Dior's local subsidiary under the PIPL after investigating a data breach discovered in May. According to CMS, investigators found that customer data had been sent to the French headquarters without any of the three approved mechanisms, without separate consent and without adequate encryption or de-identification. The fine was not disclosed. The lesson: a breach investigation can expose underlying transfer compliance gaps. Checklist for companies Count your exports: track how many individuals' data leaves China each calendar year, separating sensitive data. Pick the right route and keep filings current; consider certification for intra-group transfers. Get separate consent and update privacy notices for overseas transfers. Schedule audits if you pass 10 million individuals, and appoint a PI protection officer above 1 million. Identify important data by monitoring sector catalogs. Prepare for incidents: China now requires reporting within hours for serious events, and breach investigations can trigger wider penalties. Sources: - Arnold & Porter – China data privacy and cybersecurity: 2025 year in review: https://www.arnoldporter.com/en/perspectives/advisories/2026/02/china-data-privacy-and-cybersecurity-2025-year-in-review - Latham & Watkins – China's Cybersecurity Law amendments increase penalties: https://www.lw.com/en/insights/chinas-cybersecurity-law-amendments-increase-penalties-broaden-extraterritorial-enforcement - Bird & Bird – Key revisions of the PRC Cybersecurity Law: https://cm.twobirds.com/en/insights/2026/china/key-revisions-and-compliance-recommendations-of-the-prc-cybersecurity-law - WilmerHale – China finalizes rules to ease data export compliance burden: https://www.wilmerhale.com/en/insights/client-alerts/20240326-china-finalizes-rules-to-ease-data-export-compliance-burden - China Briefing – Network Data Security Management Regulations: https://china-briefing.com/news/China-issues-new-regulations-on-network-data-security-management-effective-january-1-2025 - CMS – MNC in China receives administrative penalty for cross-border transfer: https://cms.law/en/chn/legal-updates/mnc-in-china-receives-administrative-penalty-for-non-compliant-cross-border-personal-information-transfer --- ## Proteção de dados na China: PIPL, DSL e as mudanças de 2025–2026 URL: https://cybertarget.live/pt/artigos/protecao-de-dados-na-china-pipl-dsl-transferencia-internacional Date: 2026-10-14 O regime de dados da China se apoia em três leis: a Lei de Cibersegurança (CSL, de 2017), a Lei de Segurança de Dados (DSL, de setembro de 2021) e a Lei de Proteção de Informações Pessoais (PIPL, de novembro de 2021), equivalente chinesa da LGPD. Em 2025 e 2026, os reguladores detalharam as regras e endureceram as punições. Os três pilares CSL: segurança de redes e infraestrutura crítica; revisada, vigora desde 1º/1/2026. DSL: classificação de dados, "dados importantes" e "dados centrais". PIPL: consentimento, direitos do titular e transferência internacional. Multas de até 50 milhões de yuans ou 5% do faturamento anual em casos graves. Transferência internacional A PIPL prevê três vias: avaliação de segurança da CAC (Administração do Ciberespaço), contrato-padrão registrado ou certificação. As regras de março de 2024 definiram limites: Situação (operador comum, por ano)Exigência Dados importantes ou operador de infraestrutura críticaAvaliação de segurança Mais de 1 milhão de pessoas, ou dados sensíveis de mais de 10 milAvaliação de segurança 100 mil a 1 milhão, ou dados sensíveis de menos de 10 milContrato-padrão ou certificação Menos de 100 mil (dados não sensíveis)Isento Também estão isentos dados necessários para executar contrato com o titular e para gestão de RH. Zonas de livre comércio podem publicar "listas negativas" com regras mais leves. O que mudou em 2025–2026 Regulamento de Segurança de Dados de Rede (1º/1/2025): alcança estrangeiros que oferecem produtos a pessoas na China; exige responsável por segurança de dados para quem trata dados importantes ou de mais de 10 milhões de pessoas. Auditorias obrigatórias (1º/5/2025): quem trata dados de mais de 10 milhões de pessoas deve auditar a conformidade a cada dois anos; acima de 1 milhão, é preciso nomear encarregado e registrá-lo na CAC provincial. Certificação (1º/1/2026): CAC e SAMR finalizaram a terceira via de transferência. CSL revisada (1º/1/2026): multa máxima para infrações gerais sobe de 100 mil para 500 mil yuans; casos graves chegam a 10 milhões; pessoas físicas, até 1 milhão. A punição não depende mais de "consequências graves", e o alcance extraterritorial abrange qualquer atividade no exterior que ameace a cibersegurança chinesa. Penalidades por artigo Segundo o escritório Bird & Bird, a CSL revisada eleva as multas do Artigo 61 (obrigações gerais) para 50 mil a 500 mil yuans; do Artigo 65 (certificação, testes e avaliação de risco) para 100 mil a 1 milhão; e do Artigo 69 (informação ilegal) para 500 mil a 2 milhões. Em casos graves, pode haver suspensão das atividades ou cassação de licenças. A lei também passou a prever atenuação ou isenção de pena para quem coopera ou comete infração leve pela primeira vez, e ganhou um artigo sobre ética e monitoramento de riscos de inteligência artificial. Duas normas técnicas completam o quadro: a GB/T 45574-2025, sobre dados pessoais sensíveis (desde 1º/11/2025), e a GB/T 46068-2025, sobre tratamento transfronteiriço (desde 1º/3/2026). São recomendadas, mas, segundo o Arnold & Porter, servem de referência na fiscalização. O caso Dior Em 2025, a polícia de Xangai puniu a subsidiária local da Dior com base na PIPL após investigar um vazamento. Segundo o escritório CMS, dados de clientes foram enviados à matriz francesa sem nenhuma das três vias legais, sem consentimento específico e sem criptografia adequada. O valor da multa não foi divulgado. Checklist para empresas Contar quantos titulares têm dados enviados ao exterior por ano, separando dados sensíveis. Escolher a via correta e manter registros atualizados. Obter consentimento específico para a transferência. Agendar auditorias e nomear encarregado quando aplicável. Preparar a resposta a incidentes: a China agora exige comunicação em horas. Para empresas brasileiras com operação ou clientes na China, a lógica lembra a da LGPD, mas com limites numéricos objetivos, mais papel do Estado e multas que agora pesam mais. Sources: - Arnold & Porter – China data privacy and cybersecurity: 2025 year in review: https://www.arnoldporter.com/en/perspectives/advisories/2026/02/china-data-privacy-and-cybersecurity-2025-year-in-review - Latham & Watkins – China's Cybersecurity Law amendments increase penalties: https://www.lw.com/en/insights/chinas-cybersecurity-law-amendments-increase-penalties-broaden-extraterritorial-enforcement - Bird & Bird – Key revisions of the PRC Cybersecurity Law: https://cm.twobirds.com/en/insights/2026/china/key-revisions-and-compliance-recommendations-of-the-prc-cybersecurity-law - WilmerHale – China finalizes rules to ease data export compliance burden: https://www.wilmerhale.com/en/insights/client-alerts/20240326-china-finalizes-rules-to-ease-data-export-compliance-burden - China Briefing – Network Data Security Management Regulations: https://china-briefing.com/news/China-issues-new-regulations-on-network-data-security-management-effective-january-1-2025 - CMS – MNC in China receives administrative penalty for cross-border transfer: https://cms.law/en/chn/legal-updates/mnc-in-china-receives-administrative-penalty-for-non-compliant-cross-border-personal-information-transfer --- ## China vs scam centers: 258,000 cases, mass transfers and executions URL: https://cybertarget.live/en/artigos/china-fraude-telecom-ofensiva-centros-de-golpe-mianmar-camboja Date: 2026-10-13 For years, Chinese citizens were among the main victims, and the main workforce, of industrial-scale scam centers along China's southern borders. Since 2023, Beijing has responded with one of the largest cross-border policing campaigns in its history: mass repatriations from Myanmar, high-profile extraditions from Cambodia, tens of thousands of prosecutions and, in 2026, executions of crime family leaders. The numbers IndicatorFigureSource Telecom and online fraud cases solved by police, 2025258,000Ministry of Public Security Suspects transferred to China via international cooperation, 202558,000MPS, via CGTN People charged with telecom/online fraud, 2025about 69,000Supreme People's Procuratorate Fraud cases concluded by courts, 202541,000 (+1.2%)Supreme People's Court Arrest warrants approved since 2023 (special operation)49,000SPP Chinese nationals escorted back from Myawaddy, Myanmarmore than 7,600MPS, via Global Times (Jan 2026) "Financiers", ringleaders and key members arrested542MPS At a June 12, 2026 press conference, police said reported telecom fraud cases had fallen year on year for eight consecutive months since October 2025, according to CGTN. Myanmar: from Kokang to Myawaddy The northern Myanmar crime families The first major wave targeted the Kokang region of Shan State, on the Chinese border, long dominated by a handful of families. In January 2024, Myanmar authorities handed Bai Suocheng and other high-profile suspects to Chinese police, Caixin reported. On September 29, 2025, the Wenzhou Intermediate People's Court sentenced 11 members of the Ming family syndicate to death for fraud, kidnapping and murder. China Daily reported that the group was linked to 14 Chinese deaths and to gambling and fraud proceeds above 10 billion yuan (about $1.5 billion). The 11 were executed on January 29, 2026, after approval by the Supreme People's Court. One incident cited in the case: in October 2023, guards opened fire on fraud workers being relocated, killing four Chinese nationals. In November 2025, a Shenzhen court sentenced five members of another northern Myanmar syndicate to death; China Daily said the group was linked to six Chinese deaths and 41 compounds. One, Bay Saw Chain, died of illness after sentencing, and the remaining four were executed in early February 2026 after SPC approval. Myawaddy and the Thai border Attention then shifted to Myawaddy, on the Thai border, home to compounds such as KK Park. China set up a trilateral coordination mechanism with Myanmar and Thailand. From February 20, 2025, Chinese police began escorting suspects back in large batches: more than 6,600 by early December 2025, including 1,178 in the first week of December alone, according to China Daily Hong Kong, and more than 7,600 by January 2026. Cambodia: the Chen Zhi case Cambodia became the other front. After the US and UK sanctioned the Prince Group and US prosecutors indicted its chairman Chen Zhi in October 2025, China's Ministry of Public Security announced in January 2026 that Chen had been escorted from Phnom Penh to China. The Global Times described it as a major achievement of China-Cambodia law enforcement cooperation, and Cambodia's central bank ordered Prince Bank liquidated, citing CNA. The prosecution pipeline The reports submitted to the National People's Congress in March 2026 show the scale of the judicial effort. In 2025, prosecutors charged 285 people for fraud, homicide and injury against Chinese citizens committed under the protection of northern Myanmar gangs. Since the special operation began in 2023, prosecutors have approved arrest warrants for 49,000 people and prosecuted 47,000. Chinese courts have handed down 16 death sentences to members of family-run Myanmar syndicates. Police have also published wanted notices for 100 fugitive financiers and key members. How the scam centers work Forced labor: recruits are lured with fake job offers, then confined; US Treasury describes confiscated passports, violence and arbitrary fines. Scripts: fake investment platforms, romance scams, fake police or customer service calls. Money flows: proceeds move through mule accounts, underground banks and stablecoins, which is why Chinese police target "financiers" in operations named "cutting off flows" and "breaking chains". Why the US and China are on the same side Washington and Beijing rarely cooperate on cyber issues, but scam compounds are an exception in practice. The US Treasury estimated Americans lost at least $10 billion to Southeast Asia-based scams in 2024, while the same compounds have targeted Chinese citizens for years. US sanctions and the record bitcoin seizure in the Prince Group case were followed within months by Chen Zhi's transfer to China. Singapore, Thailand, Hong Kong and Taiwan also reported seizing or freezing Chen-linked assets, according to the Global Times. Assessment Chinese prosecutors say the campaign has "effectively deterred" cross-border fraud offenders. Independent observers point out that compounds have displaced to new locations and that many workers are themselves trafficking victims. Both can be true: pressure has disrupted the biggest hubs, but the business model, based on cheap coerced labor and hard-to-trace crypto, adapts quickly. How to protect yourself Be wary of overseas job offers with high pay, vague duties and travel paid by the employer, especially to border regions of Myanmar, Cambodia or Laos. Never trust investment tips from people met online, however long the relationship. Hang up on anyone claiming to be police or a bank and asking you to move money; call the institution back on an official number. Report suspected trafficking or fraud to local police and to your country's embassy. Sources: - Global Times – MPS 2025 telecom fraud crackdown figures (Jan 2026): https://www.globaltimes.cn/page/202601/1352674.shtml - CGTN – China's telecom fraud cases fall for 8 straight months: https://news.cgtn.com/news/2026-06-12/China-s-telecom-fraud-cases-fall-for-8-straight-months-1NUTOyd8ozm/share_amp.html - China Daily – Nation intensifies crackdown on telecom, online fraud (SPP/SPC reports): https://subsites.chinadaily.com.cn/spp/2026-03/10/c_1166480.htm - Caixin Global – China executes 11 in Myanmar border scam syndicate crackdown: https://www.caixinglobal.com/2026-01-29/china-executes-11-in-myanmar-border-scam-syndicate-crackdown-102409299.html - China Daily Hong Kong – 1,178 telecom fraud suspects returned from Myawaddy: https://www.chinadailyhk.com/article/625019 - U.S. Treasury – Action against Prince Group (Oct 2025): https://home.treasury.gov/news/press-releases/sb0278 --- ## China contra os centros de golpe: 258 mil casos e execuções em 2026 URL: https://cybertarget.live/pt/artigos/china-fraude-telecom-ofensiva-centros-de-golpe-mianmar-camboja Date: 2026-10-13 Por anos, chineses foram ao mesmo tempo as principais vítimas e a principal mão de obra dos centros de golpe instalados nas fronteiras do sul da China. Desde 2023, Pequim reage com uma das maiores ofensivas policiais transfronteiriças de sua história: repatriações em massa de Mianmar, extradições do Camboja, dezenas de milhares de processos e, em 2026, execuções de chefes de clãs criminosos. Os números IndicadorValor Casos de fraude telecom e on-line resolvidos pela polícia (2025)258 mil Suspeitos transferidos à China por cooperação internacional (2025)58 mil Pessoas denunciadas pelo Ministério Público (2025)cerca de 69 mil Processos concluídos nos tribunais (2025)41 mil Chineses trazidos de Myawaddy, Mianmarmais de 7.600 Financiadores e chefes presos542 Em junho de 2026, a polícia informou que os casos registrados de fraude telecom caíam havia oito meses seguidos, desde outubro de 2025. Mianmar: dos clãs de Kokang a Myawaddy A primeira onda mirou a região de Kokang, no estado de Shan, dominada por poucas famílias. Em janeiro de 2024, Mianmar entregou à China Bai Suocheng e outros suspeitos de destaque. Em setembro de 2025, um tribunal de Wenzhou condenou à morte 11 membros do clã Ming por fraude, sequestro e homicídio; o grupo foi ligado a 14 mortes de chineses e a mais de 10 bilhões de yuans em receitas de jogo e fraude. Os 11 foram executados em 29 de janeiro de 2026. Em novembro de 2025, um tribunal de Shenzhen condenou à morte cinco membros de outro grupo, ligado a 41 complexos; quatro foram executados em fevereiro de 2026. Depois, o foco passou a Myawaddy, na fronteira com a Tailândia, onde ficam complexos como o KK Park. Com um mecanismo trilateral China–Mianmar–Tailândia, a polícia chinesa passou a repatriar suspeitos em grandes grupos a partir de fevereiro de 2025. Camboja: o caso Chen Zhi Depois que EUA e Reino Unido sancionaram o Prince Group e a Justiça americana denunciou seu presidente, Chen Zhi, em outubro de 2025, a China anunciou em janeiro de 2026 que Chen havia sido levado de Phnom Penh ao país. O banco central cambojano mandou liquidar o Prince Bank. Os relatórios apresentados ao Congresso Nacional do Povo em março de 2026 mostram o tamanho do esforço judicial: desde 2023, foram aprovados mandados de prisão contra 49 mil pessoas e 47 mil foram processadas. Em 2025, 285 pessoas responderam por fraude, homicídio e lesão corporal contra chineses cometidos sob proteção de gangues do norte de Mianmar. A polícia também divulgou alertas de procurados para 100 financiadores foragidos. Cingapura, Tailândia, Hong Kong e Taiwan relataram apreensões ou bloqueios de bens ligados a Chen Zhi. Como os centros operam Os trabalhadores são atraídos por falsas ofertas de emprego e mantidos em cárcere, com passaportes confiscados. Aplicam golpes de investimento, romance e falsa central. O dinheiro passa por contas de laranjas, bancos clandestinos e stablecoins, por isso a polícia chinesa mira os "financiadores". Em março de 2026, a Suprema Corte informou que os tribunais concluíram 41 mil processos de fraude telecom em 2025, alta de 1,2% sobre o ano anterior. Balanço A Procuradoria chinesa afirma que a ofensiva teve efeito dissuasório. Observadores lembram que os complexos se deslocam e que muitos trabalhadores também são vítimas de tráfico humano. A pressão desmontou os maiores polos, mas o modelo de negócio se adapta rápido. Como se proteger Desconfie de vagas no exterior com salário alto, função vaga e passagem paga, sobretudo para Mianmar, Camboja ou Laos. Não siga dicas de investimento de pessoas conhecidas pela internet. Desligue se alguém, dizendo ser polícia ou banco, pedir para mover dinheiro. Denuncie suspeitas de tráfico ou fraude à polícia e à embaixada do seu país. Sources: - Global Times – MPS 2025 telecom fraud crackdown figures (Jan 2026): https://www.globaltimes.cn/page/202601/1352674.shtml - CGTN – China's telecom fraud cases fall for 8 straight months: https://news.cgtn.com/news/2026-06-12/China-s-telecom-fraud-cases-fall-for-8-straight-months-1NUTOyd8ozm/share_amp.html - China Daily – Nation intensifies crackdown on telecom, online fraud (SPP/SPC reports): https://subsites.chinadaily.com.cn/spp/2026-03/10/c_1166480.htm - Caixin Global – China executes 11 in Myanmar border scam syndicate crackdown: https://www.caixinglobal.com/2026-01-29/china-executes-11-in-myanmar-border-scam-syndicate-crackdown-102409299.html - China Daily Hong Kong – 1,178 telecom fraud suspects returned from Myawaddy: https://www.chinadailyhk.com/article/625019 - U.S. Treasury – Action against Prince Group (Oct 2025): https://home.treasury.gov/news/press-releases/sb0278 --- ## China's crypto ban and USDT: how underground banks launder billions URL: https://cybertarget.live/en/artigos/china-proibicao-cripto-lavagem-bancos-clandestinos-usdt Date: 2026-10-12 Cryptocurrency trading has been illegal in mainland China since 2021. Yet Chinese courts keep hearing cases in which the stablecoin USDT sits at the center of illegal foreign exchange schemes and money laundering. The pattern is consistent: clients pay yuan domestically, the network converts it into USDT, and the value reappears abroad in another currency, bypassing China's capital controls. The legal framework 2021 notice: the People's Bank of China (PBOC) and nine other departments issued the Notice on Further Preventing and Resolving the Risks of Virtual Currency Trading and Speculation, classifying related business activities as illegal financial activities. Anti-Money Laundering Law (revised): adopted in November 2024 and in force since January 1, 2025, it replaced the 2007 law with 65 articles and a risk-based approach. Foreign exchange rules: moving money across the border outside official channels exposes operators to criminal liability, as the cases below show, with SAFE (the State Administration of Foreign Exchange) monitoring suspicious flows. November 2025: the ban reaffirmed On November 28, 2025, the PBOC convened a meeting with 12 other bodies, including the Ministry of Public Security, the Supreme People's Court and Procuratorate, the CAC, SAFE, the NFRA and the CSRC. According to the PBOC's official statement: virtual currencies are not legal tender and related activities are illegal financial activities; stablecoins are a form of virtual currency and cannot adequately meet customer identification and AML requirements; they carry risks of use in money laundering, fundraising fraud and illicit cross-border transfers; the prohibitive stance will be maintained. Enforcement cases CaseAmountOutcome Chengdu underground bank (announced May 2024)at least 13.8 billion yuan (~$1.9 billion)193 arrests; ~149 million yuan frozen Beijing, Haidian court (judgment March 2025)1.182 billion yuan (~$166 million)5 sentenced to 2–4 years Shanghai, Jing'an prosecutors (reported July 2026)more than 200 million yuan (~$29 million)5 sentenced to 2.5–6 years; fines up to 1.5 million yuan Chengdu: USDT as an FX desk Police in Chengdu, Sichuan, said a group led by people surnamed Lin, Weng and Chen had used USDT for currency exchange since January 2021, mainly for people smuggling medicine and cosmetics or buying assets abroad, The Block reported. Beijing: the stablecoin "bridge" In the Haidian case, presented at the 2025 Financial Street Forum, clients' yuan were converted to USDT on trading platform accounts and moved across borders through bank accounts in the defendants' names between January and August 2023. Prosecutors described USDT as a "bridge" for disguised foreign exchange trading. Shanghai: wealthy clients, three years The Shanghai network helped wealthy clients move money abroad to buy property, emigrate or pay for study. SAFE flagged unusual transactions in July 2024; nine people were arrested. One client manager alone handled more than 170 million yuan before setting up her own currency conversion business. Why USDT Prosecutors in Shanghai said the anonymity of on-chain transactions made the money harder to trace. Stablecoins also hold a steady dollar value, settle in minutes and can be bought and sold peer to peer without a licensed exchange. For someone trying to bypass China's capital controls, that combination makes USDT a practical tool. The PBOC's November 2025 statement concluded that stablecoins cannot adequately meet customer identification and AML requirements. The global dimension The same infrastructure serves international criminals. Chainalysis estimated that Chinese-language money laundering networks processed about $16.1 billion in illicit crypto in 2025, roughly $44 million a day and almost 20% of the $82 billion in on-chain laundering it tracked. It found flows into these networks grew far faster than flows to centralized exchanges since 2020, and named guarantee marketplaces such as Huione and Xinbi as key venues. Experts quoted in the report say these networks have shifted from traditional informal value transfer, such as fei qian, to crypto. That overlap explains why the US Treasury cut Cambodia's Huione Group off from the US financial system in 2025, and why Chinese police target the "financiers" behind scam compounds. Where the money goes The clients in these cases were not only criminals. Chengdu's network served smugglers of medicine and cosmetics but also people buying assets abroad; Shanghai's served families paying for overseas property, emigration and study. That mix makes underground banks hard to eradicate: demand comes from ordinary wealth flight as well as from fraud and gambling proceeds, and the same channels serve both. What compliance teams should watch Customers moving funds to or from mainland China via P2P crypto trades or OTC desks. Many personal accounts receiving yuan or foreign currency from unrelated parties, a classic underground bank pattern. Use of USDT on Tron or Ethereum by clients with no clear business reason. Links to guarantee marketplaces on Telegram and to sanctioned entities such as Huione. Payments for overseas property, tuition or emigration without visible official FX conversion. For individuals Selling USDT to a stranger or lending a bank account can make you part of a laundering chain. In China, that can lead to prison; elsewhere, accounts get frozen and criminal liability follows. Never rent out accounts or accept crypto conversions for people you don't know. Sources: - People's Bank of China – Joint meeting to curb speculation in virtual currency trading (Nov 2025): https://www.pbc.gov.cn/en/3688110/3688172/5552468/2025121116132332435/index.html - The Block – China busts $1.9 billion underground banking operation using USDT: https://www.theblock.co/post/294777/china-busts-1-9-billion-underground-banking-operation-using-usdt - Yahoo Finance/Cryptonews – China jails five for $166M crypto money laundering scheme: https://finance.yahoo.com/news/china-jails-five-166m-crypto-091732963.html - The Block – Shanghai court sentences five over $29 million crypto forex scheme: https://theblock.co/post/406827/china-sentences-five-prison-crypto-foreign-exchange - Security Boulevard – Chinese crime networks launder 20% of illicit crypto: Chainalysis: https://securityboulevard.com/2026/02/fast-growing-chinese-crime-networks-launder-20-of-illicit-crypto-chainalysis/ - China Daily – China revises Anti-Money Laundering Law: https://subsites.chinadaily.com.cn/npc/2024-11/11/c_1043745.htm --- ## China, cripto e USDT: como bancos clandestinos lavam bilhões URL: https://cybertarget.live/pt/artigos/china-proibicao-cripto-lavagem-bancos-clandestinos-usdt Date: 2026-10-12 Negociar criptomoedas é ilegal na China continental desde 2021. Mesmo assim, os tribunais chineses seguem julgando casos em que a stablecoin USDT está no centro de esquemas de câmbio ilegal e lavagem de dinheiro. O padrão se repete: o cliente paga em yuan na China, a rede converte em USDT e o valor reaparece no exterior em outra moeda, driblando o controle de capitais. O arcabouço legal Aviso de 2021: o Banco do Povo da China (PBOC) e outros nove órgãos classificaram as atividades com moeda virtual como financeiras ilegais. Lei Antilavagem revisada: aprovada em novembro de 2024, em vigor desde 1º de janeiro de 2025, com abordagem baseada em risco. Câmbio: a SAFE, autoridade cambial, monitora fluxos suspeitos; operar fora dos canais oficiais pode configurar crime. Em 28 de novembro de 2025, o PBOC reuniu outros 12 órgãos, entre eles polícia, tribunais, CAC e SAFE. O comunicado oficial reafirmou a proibição e disse que as stablecoins são moeda virtual, não cumprem exigências de identificação de clientes e antilavagem e trazem risco de lavagem, fraude e remessas ilegais. Casos recentes CasoValorResultado Chengdu (anunciado em maio/2024)ao menos 13,8 bi de yuans (~US$ 1,9 bi)193 presos Pequim, tribunal de Haidian (mar/2025)1,182 bi de yuans (~US$ 166 mi)5 condenados a 2–4 anos Xangai, Jing'an (jul/2026)mais de 200 mi de yuans (~US$ 29 mi)5 condenados a 2,5–6 anos e multas Em Chengdu, o grupo usava USDT para câmbio desde 2021, atendendo contrabandistas de remédios e cosméticos e compradores de bens no exterior. Em Pequim, os promotores descreveram o USDT como uma "ponte" para o câmbio disfarçado. Em Xangai, a rede atendia clientes ricos que queriam comprar imóveis, emigrar ou estudar fora; a SAFE detectou as operações suspeitas em julho de 2024. Por que o USDT Os promotores de Xangai disseram que o anonimato das transações on-chain dificultou o rastreamento. A stablecoin mantém valor estável em dólar, é liquidada em minutos e pode ser negociada diretamente entre pessoas, sem corretora licenciada. Para quem quer driblar o controle de capitais, é uma ferramenta prática. Em Xangai, uma única gerente de clientes movimentou mais de 170 milhões de yuans antes de abrir seu próprio negócio de câmbio. A dimensão global A Chainalysis estima que redes de lavagem de língua chinesa movimentaram cerca de US$ 16,1 bilhões em cripto ilícita em 2025, perto de 20% dos US$ 82 bilhões lavados on-chain que a empresa rastreou. Mercados de "garantia" como Huione e Xinbi aparecem como peças centrais. Especialistas dizem que essas redes trocaram sistemas informais tradicionais, como o fei qian, pela cripto. É a mesma infraestrutura usada pelos centros de golpe do Sudeste Asiático, o que explica por que os EUA isolaram o Huione Group do sistema financeiro americano. Os clientes desses esquemas não eram só criminosos: incluíam famílias pagando imóveis e estudos no exterior. Essa mistura de fuga de capitais comum com dinheiro de fraude e jogo torna os bancos clandestinos difíceis de erradicar. O que o compliance deve observar Clientes que enviam ou recebem recursos da China via cripto P2P ou mesas OTC. Contas pessoais recebendo valores de muitas pessoas sem relação entre si. Uso intenso de USDT sem justificativa econômica. Ligação com mercados de garantia no Telegram ou entidades sancionadas. Pagamentos de imóveis, estudos ou imigração no exterior sem câmbio oficial visível. Para pessoas físicas Vender USDT a desconhecidos ou emprestar a conta bancária pode tornar você parte de uma cadeia de lavagem. Na China, isso dá prisão; em outros países, gera bloqueio de contas e responsabilidade criminal. Nunca alugue contas nem faça conversões de cripto para desconhecidos. Sources: - People's Bank of China – Joint meeting to curb speculation in virtual currency trading (Nov 2025): https://www.pbc.gov.cn/en/3688110/3688172/5552468/2025121116132332435/index.html - The Block – China busts $1.9 billion underground banking operation using USDT: https://www.theblock.co/post/294777/china-busts-1-9-billion-underground-banking-operation-using-usdt - Yahoo Finance/Cryptonews – China jails five for $166M crypto money laundering scheme: https://finance.yahoo.com/news/china-jails-five-166m-crypto-091732963.html - The Block – Shanghai court sentences five over $29 million crypto forex scheme: https://theblock.co/post/406827/china-sentences-five-prison-crypto-foreign-exchange - Security Boulevard – Chinese crime networks launder 20% of illicit crypto: Chainalysis: https://securityboulevard.com/2026/02/fast-growing-chinese-crime-networks-launder-20-of-illicit-crypto-chainalysis/ - China Daily – China revises Anti-Money Laundering Law: https://subsites.chinadaily.com.cn/npc/2024-11/11/c_1043745.htm --- ## China's 1-hour cyber incident reporting: what foreign firms must do URL: https://cybertarget.live/en/artigos/china-notificacao-de-incidentes-ciberneticos-1-hora-4-horas Date: 2026-10-11 On November 1, 2025, China's Measures on National Cybersecurity Incident Reporting took effect. Issued by the Cyberspace Administration of China (CAC) on September 11, 2025, they set some of the world's shortest deadlines: as little as one hour for critical infrastructure operators and four hours for other network operators. Linklaters called it the world's strictest regime of its kind. Any company that runs networks or systems in mainland China, including subsidiaries of foreign groups, needs a plan. Who is covered The measures apply to all network operators in the PRC: owners, administrators and service providers of networks. That includes critical information infrastructure operators (CIIOs) and state organs. Mayer Brown notes the measures do not create new substantive duties; they standardize procedures under the Cybersecurity Law, Data Security Law and PIPL. The four severity levels Incidents are graded as particularly major, major, relatively major or general. Meeting any single threshold is enough. Selected thresholds, per Latham & Watkins: MetricParticularly majorMajorRelatively major Personal information leaked>100 million people>10 million>1 million Direct economic loss>RMB 100 million>RMB 20 million>RMB 5 million CII overall outage>6 hours>1 hour>10 minutes CII main functions outage>24 hours>3 hours>30 minutes Leaks of "important data" are at least relatively major, and loss of "core data" at least major. General incidents are not subject to the fast timelines, though sector rules may still apply. The deadlines CIIOs: 1 hour. Report relatively major or higher incidents to the CII protection department and public security. For major incidents, that department escalates to the CAC and Ministry of Public Security within 30 minutes. State organs: 2 hours to the relevant CAC office. Other network operators: 4 hours to the provincial CAC, which escalates major incidents to the national CAC within one hour. Follow-up: if the cause or impact is unclear, file what is known and supplement later. Post-incident: a full report within 30 days after the incident is resolved, covering root cause, response, impact, accountability and lessons. The measures do not say exactly when the clock starts; Latham reads it as running from awareness of the incident. Financial institutions face a parallel PBOC regime, in force since August 1, 2025, requiring a brief report within one hour and a detailed one within 24 hours for significant incidents. What the report must contain Entity and system details; time, type, level and impact; measures taken; for ransomware, the amount, method and date of any demand; preliminary cause; threat intelligence and forensic leads; planned remediation; and security controls in place. Reports go through channels including the 12387 hotline and the CAC's online platform. How it compares The four-hour clock for ordinary operators is far tighter than the four business days US public companies get under the SEC's Form 8-K rule, which also runs from a materiality determination rather than from awareness. The difference reflects purpose: China's regime is designed to feed real-time situational awareness to the state, not to inform investors. Penalties and incentives The measures set no fines of their own. Failure to report, late reporting or falsified reports can be punished under the CSL, DSL and PIPL, and the CSL amendments in force since January 1, 2026 raised fines to as much as RMB 10 million for entities and RMB 1 million for individuals in severe cases. Conversely, penalties may be reduced or waived if the operator had reasonable protections, followed its emergency plan, limited the damage and reported on time. Sector and AI rules The national measures sit on top of sector rules. Mayer Brown points out that sector-specific duties may require reporting even below the national thresholds, and Linklaters notes a non-binding practice guide for generative AI services that covers incident classification and emergency response. Companies in finance, telecom, energy or AI should check both layers. What foreign companies must do Direct obligations A foreign group's Chinese subsidiary that operates networks is a network operator and is in scope. Linklaters notes the measures do not explicitly create direct liability for offshore businesses, but they can be affected indirectly: offshore recipients under China's standard contract must notify Chinese partners of breaches, and PIPL's extraterritorial reach still applies. Practical steps Map China-based systems and data, including which might count as CII, important data or large volumes of personal information, so severity can be graded quickly. Create a China annex to the global incident response plan, with local decision makers empowered to file within four hours without waiting for headquarters. Prepare templates in Chinese that cover every required field. Identify regulators and contacts at the provincial CAC and sector authorities in advance. Amend vendor contracts so IT and security providers must notify you promptly and help with reporting, with defined timelines and audit rights. Run tabletop exercises that test the one- and four-hour clocks, including night and weekend scenarios. Align with other regimes: the same incident may trigger SEC, GDPR or LGPD notices; coordinate messaging. Line up breach counsel and forensics with China capability before an incident. Sources: - Latham & Watkins – China CAC announces new cybersecurity incident reporting measures: https://www.lw.com/en/insights/2025/10/china-cac-announces-new-cybersecurity-incident-reporting-measures - Linklaters – China: world's strictest 1-hour cybersecurity incident reporting regime now in force: https://techinsights.linklaters.com/post/102luqp/china-worlds-strictest-1-hour-cybersecurity-incident-reporting-regime-now-in - Mayer Brown – China's cybersecurity incident reporting measures come into effect: https://www.mayerbrown.com/pt/insights/publications/2025/12/chinas-cybersecurity-incident-reporting-measures-come-into-effect - Arnold & Porter – China data privacy and cybersecurity: 2025 year in review: https://www.arnoldporter.com/en/perspectives/advisories/2026/02/china-data-privacy-and-cybersecurity-2025-year-in-review --- ## China exige aviso de incidente em 1 a 4 horas: o que as empresas fazem URL: https://cybertarget.live/pt/artigos/china-notificacao-de-incidentes-ciberneticos-1-hora-4-horas Date: 2026-10-11 Desde 1º de novembro de 2025 vigoram na China as Medidas de Notificação de Incidentes de Cibersegurança, editadas pela Administração do Ciberespaço (CAC) em setembro. Elas fixam alguns dos prazos mais curtos do mundo: uma hora para operadores de infraestrutura crítica e quatro horas para os demais. Qualquer empresa que opere redes ou sistemas na China continental, inclusive subsidiárias de grupos estrangeiros, precisa estar preparada. Quem está sujeito Todos os operadores de rede na China: donos, administradores e prestadores de serviço de redes, inclusive operadores de infraestrutura crítica (CIIOs) e órgãos públicos. As medidas padronizam deveres já previstos na Lei de Cibersegurança, na Lei de Segurança de Dados e na PIPL. Os níveis de gravidade CritérioParticularmente graveGraveRelativamente grave Dados pessoais vazados>100 milhões de pessoas>10 milhões>1 milhão Prejuízo direto>100 mi de yuans>20 mi>5 mi Queda total de infraestrutura crítica>6 horas>1 hora>10 minutos Basta atingir um critério. Vazamento de "dados importantes" é no mínimo relativamente grave. Incidentes "gerais" ficam fora dos prazos curtos. Os prazos Infraestrutura crítica: 1 hora para o órgão setorial e a polícia; casos graves sobem à CAC e ao Ministério da Segurança Pública em 30 minutos. Órgãos públicos: 2 horas. Demais operadores: 4 horas para a CAC provincial. Relatório final: em até 30 dias após o encerramento, com causa, resposta, impacto e lições. O relatório deve trazer dados do sistema, tipo e nível do incidente, medidas tomadas, valor e forma de pagamento exigidos em caso de ransomware, causa preliminar e pistas forenses. O setor financeiro tem regra paralela do banco central, desde agosto de 2025: aviso breve em 1 hora e detalhado em 24 horas. Quando o relógio começa As medidas não dizem exatamente quando começa a contagem; o escritório Latham & Watkins entende que é a partir do conhecimento do incidente. Se a causa ou o impacto ainda não forem conhecidos no prazo, a empresa deve enviar o que sabe e complementar depois. Os canais incluem a linha 12387 e a plataforma on-line da CAC. Também é obrigatório que contratos com prestadores de TI e segurança prevejam aviso imediato de incidentes detectados. Penalidades As medidas não fixam multas próprias; a omissão é punida pelas três leis-base. Com a Lei de Cibersegurança revisada, em vigor desde janeiro de 2026, as multas chegam a 10 milhões de yuans para empresas e 1 milhão para pessoas físicas em casos graves. Quem tinha proteções razoáveis, seguiu seu plano e reportou no prazo pode ter a pena reduzida ou perdoada. Comparação O prazo de quatro horas para operadores comuns é muito mais apertado que os quatro dias úteis que a SEC dá a empresas abertas nos EUA, contados a partir da decisão sobre materialidade. A diferença reflete o objetivo: o regime chinês serve para dar ao Estado visão em tempo real, e não para informar investidores. Regras setoriais podem exigir aviso mesmo abaixo dos limites nacionais. O que empresas estrangeiras devem fazer Mapear sistemas e dados na China para classificar a gravidade rapidamente. Criar um anexo China no plano global de resposta, com responsáveis locais autorizados a notificar em quatro horas sem esperar a matriz. Preparar modelos de relatório em chinês com todos os campos exigidos. Identificar contatos na CAC provincial e nos órgãos setoriais. Revisar contratos com fornecedores para exigir aviso imediato e apoio na notificação. Treinar com simulações, inclusive à noite e no fim de semana. Coordenar com outras regras (SEC, GDPR, LGPD) que o mesmo incidente pode acionar. Segundo o escritório Linklaters, empresas sem operação na China não têm obrigação direta, mas podem ser alcançadas por contrato-padrão de transferência de dados, que exige avisar o parceiro chinês sobre vazamentos, e pelo alcance extraterritorial da PIPL. Sources: - Latham & Watkins – China CAC announces new cybersecurity incident reporting measures: https://www.lw.com/en/insights/2025/10/china-cac-announces-new-cybersecurity-incident-reporting-measures - Linklaters – China: world's strictest 1-hour cybersecurity incident reporting regime now in force: https://techinsights.linklaters.com/post/102luqp/china-worlds-strictest-1-hour-cybersecurity-incident-reporting-regime-now-in - Mayer Brown – China's cybersecurity incident reporting measures come into effect: https://www.mayerbrown.com/pt/insights/publications/2025/12/chinas-cybersecurity-incident-reporting-measures-come-into-effect - Arnold & Porter – China data privacy and cybersecurity: 2025 year in review: https://www.arnoldporter.com/en/perspectives/advisories/2026/02/china-data-privacy-and-cybersecurity-2025-year-in-review --- ## NIS2 explained: scope, obligations, fines and transposition status URL: https://cybertarget.live/en/artigos/nis2-explicada-quem-esta-coberto-obrigacoes-multas-e-transposicao Date: 2026-10-10 Directive (EU) 2022/2555, known as NIS2, is the EU's main horizontal cybersecurity law. It replaced the original NIS Directive, broadened the sectors covered and introduced GDPR-style fines. Almost two years after the transposition deadline, implementation is still uneven and Brussels has already proposed changes. For Brazilian and US companies that serve European customers, NIS2 is not a distant issue: it reaches entities that provide services in the EU, and the Commission now wants non-EU essential and important entities offering services in the Union to appoint an EU representative. Who is covered NIS2 splits organisations into two groups. According to Freshfields, essential entities operate in highly critical sectors such as energy, transport, banking, water, financial market infrastructure, health, digital infrastructure, B2B ICT service management, public administration and space. Important entities sit in other critical sectors, including food, manufacturing, chemicals and digital providers. Classification turns on sector, size and the criticality of the service, as McCann FitzGerald explains. Essential entities face proactive (ex ante) supervision, including on-site inspections and audits. Important entities are supervised reactively (ex post), when there is evidence of non-compliance. Core obligations The directive requires "appropriate and proportionate" technical, operational and organisational measures. The minimum, non-exhaustive list covers: Risk analysis and information system security policies. Incident handling. Business continuity and crisis management. Supply chain security, including supplier due diligence. Management bodies must approve these measures, oversee their implementation and can be held liable for infringements. Incident reporting DeadlineReport 24 hoursEarly warning 72 hoursIncident notification 1 monthFinal report Fines National laws set penalties, but maximums must be at least the higher of €10 million or 2% of worldwide turnover for essential entities, and €7 million or 1.4% for important entities. Transposition status The deadline was 17 October 2024. Wavestone reports that the Commission sent formal notices in November 2024 and reasoned opinions to 19 member states in May 2025. By January 2026, 20 of 27 had transposed; Ireland, Luxembourg, France, Spain, the Netherlands, Poland and Bulgaria had not. Germany's law took effect on 6 December 2025. By May 2026, Cullen International counted four member states still missing, with Luxembourg's law in force since 10 May 2026. Wikipedia also lists the Czech law (in force 1 November 2025) and Sweden's Cybersecurity Act (2025:1506). NIS2, revised On 20 January 2026 the Commission proposed targeted amendments, reported by Covington's Inside Privacy: a new "small mid-cap" category (fewer than 750 staff and under €150 million turnover) generally treated as important entities; richer ransomware reporting, including ransom amount and payment method on request; a bar on extra national technical requirements where Commission implementing acts exist; and scope tweaks for chemicals distribution and DNS providers. DLA Piper notes that submarine cable operators and European Digital Identity Wallet providers would become essential entities. Adoption is expected in late 2026 or, more likely, 2027, followed by 12 months for national implementation. Checklist Map every EU country where you provide services and check each national law. Determine whether you are essential, important or out of scope. Register with national authorities where required. Get board sign-off on risk-management measures. Rehearse the 24h/72h/one-month reporting workflow. Add security clauses to critical supplier contracts. Sources: - Freshfields – NIS2 Directive: https://freshfields.com/en/our-thinking/campaigns/tech-data-and-ai-the-digital-frontier/eu-digital-strategy/nis2-directive - McCann FitzGerald – Are you subject to NIS 2?: https://www.mccannfitzgerald.com/knowledge/cyber-security/impending-cybersecurity-obligations-are-you-subject-to-nis-2 - Wavestone – NIS 2 transposition tracker (jan. 2026): https://www.wavestone.com/en/insight/nis-2-european-countries-transposing-directive/ - Cullen International – How are EU member states transposing NIS2 (mai. 2026): https://www.cullen-international.com/news/2026/05/How-are-EU-member-states-transposing-NIS2-.html - Wikipedia – NIS2 Directive: https://en.wikipedia.org/wiki/NIS2_Directive - Covington Inside Privacy – Commission proposes targeted amendments to NIS2: https://www.insideprivacy.com/data-security/cybersecurity/european-commission-proposes-targeted-amendments-to-nis2-to-simplify-compliance-and-align-with-proposed-cybersecurity-act-2/ - DLA Piper Privacy Matters – EU NIS2 update (fev. 2026): https://privacymatters.dlapiper.com/2026/02/eu-nis2-update-eu-moves-to-harmonise-cyber-controls-refine-scope-and-add-new-in-scope-entities/ --- ## NIS2 explicada: quem está coberto, obrigações, multas e transposição URL: https://cybertarget.live/pt/artigos/nis2-explicada-quem-esta-coberto-obrigacoes-multas-e-transposicao Date: 2026-10-10 A Diretiva (UE) 2022/2555, conhecida como NIS2, é hoje a principal lei horizontal de cibersegurança da União Europeia. Ela substituiu a primeira diretiva NIS, ampliou o número de setores cobertos e trouxe multas no estilo do GDPR. Quase dois anos depois do prazo de transposição, porém, o mapa europeu ainda é desigual, e Bruxelas já propôs ajustes no texto. Para empresas brasileiras e americanas que prestam serviços na Europa, entender a NIS2 deixou de ser opcional: a diretiva alcança entidades que atuam no mercado europeu, e a Comissão quer estender a obrigação de nomear um representante na UE. Quem está coberto A NIS2 divide as organizações em duas categorias. Segundo o resumo do escritório Freshfields, as entidades essenciais atuam em setores altamente críticos, como energia, transporte, bancos, água, infraestruturas do mercado financeiro, saúde, infraestrutura digital, gestão de serviços de TIC entre empresas, administração pública e espaço. As entidades importantes estão em outros setores críticos, como produção e distribuição de alimentos, indústria, químicos e provedores digitais. O enquadramento depende de três fatores: setor, porte e criticidade do serviço prestado, como explica o escritório irlandês McCann FitzGerald. Por isso, cada empresa precisa fazer sua própria avaliação, país a país. Supervisão diferente para cada grupo As entidades essenciais ficam sujeitas a supervisão proativa (ex ante): inspeções no local, auditorias regulares e direcionadas e varreduras de vulnerabilidade. As importantes são supervisionadas de forma reativa (ex post), quando há indícios de descumprimento. As principais obrigações A diretiva exige medidas técnicas, operacionais e organizacionais "apropriadas e proporcionais" para gerenciar riscos aos sistemas de rede e informação. A lista mínima, que não é exaustiva, inclui: políticas de análise de risco e de segurança dos sistemas de informação; tratamento de incidentes; continuidade de negócios e gestão de crises; segurança da cadeia de suprimentos, incluindo diligência sobre fornecedores e exigências contratuais de segurança. Um ponto que mudou a conversa nos conselhos: os órgãos de administração precisam aprovar as medidas de gestão de risco e supervisionar sua implementação, e podem ser responsabilizados por infrações da entidade. Prazos de notificação de incidentes Para incidentes significativos, a NIS2 criou um rito em três etapas: PrazoO que enviar 24 horasAlerta inicial (early warning) 72 horasNotificação do incidente 1 mêsRelatório final Ameaças cibernéticas significativas também devem ser comunicadas, sem demora indevida, aos destinatários de serviços potencialmente afetados. Multas As sanções são definidas pelas leis nacionais, mas a diretiva fixa pisos para o valor máximo: Entidades essenciais: pelo menos o maior valor entre € 10 milhões ou 2% do faturamento anual mundial; Entidades importantes: pelo menos o maior valor entre € 7 milhões ou 1,4% do faturamento anual mundial. Status da transposição Os Estados-membros tinham até 17 de outubro de 2024 para transpor a diretiva, e a maioria perdeu o prazo. De acordo com o rastreador da consultoria Wavestone, a Comissão Europeia enviou cartas de notificação em novembro de 2024 e, em maio de 2025, emitiu pareceres fundamentados a 19 países. Na atualização de janeiro de 2026, a Wavestone contava 20 dos 27 países com transposição concluída. Ficavam de fora Irlanda, Luxemburgo, França, Espanha, Holanda, Polônia e Bulgária. Alguns marcos citados: Bélgica: lei em vigor desde 18 de outubro de 2024; Itália: decreto legislativo em vigor desde 16 de outubro de 2024; Alemanha: lei publicada em 5 de dezembro de 2025, em vigor no dia seguinte; Áustria: NISG 2026 publicada em 23 de dezembro de 2025; França: projeto aprovado pelo Senado em março de 2025, ainda em tramitação na Assembleia no início de 2026. A Wikipedia registra ainda a lei tcheca (em vigor desde 1º de novembro de 2025) e a lei sueca de cibersegurança (2025:1506). Em maio de 2026, a Cullen International informava que restavam quatro Estados-membros sem transposição e que a lei de Luxemburgo havia entrado em vigor em 10 de maio de 2026. O que vem por aí: a NIS2 revisada Em 20 de janeiro de 2026, a Comissão apresentou um pacote de cibersegurança com emendas pontuais à NIS2, segundo o blog Inside Privacy, do escritório Covington. Entre as mudanças propostas: uma nova categoria de "small mid-caps" (menos de 750 empregados e faturamento inferior a € 150 milhões), tratadas em regra como entidades importantes; notificações de ransomware com informações sobre vetor de ataque e, a pedido da autoridade, valor e meio de pagamento do resgate; veto a exigências técnicas nacionais adicionais quando houver ato de execução da Comissão; exclusão da "distribuição" de químicos do anexo II e regras de porte para provedores de DNS. O escritório DLA Piper acrescenta que operadores de cabos submarinos e provedores das carteiras europeias de identidade digital entrariam como entidades essenciais. A aprovação é esperada para o fim de 2026 ou, mais provavelmente, 2027, com 12 meses de prazo para os países implementarem. Checklist: por onde começar Mapeie em quais países da UE sua empresa presta serviços e verifique a lei nacional de cada um. Confirme se a organização é essencial, importante ou está fora do escopo. Faça o registro junto à autoridade nacional, quando exigido. Leve a política de gestão de riscos à aprovação formal do conselho ou da diretoria. Ensaie o fluxo 24h/72h/1 mês com jurídico, TI e comunicação. Revise contratos com fornecedores críticos para incluir cláusulas de segurança. Sources: - Freshfields – NIS2 Directive: https://freshfields.com/en/our-thinking/campaigns/tech-data-and-ai-the-digital-frontier/eu-digital-strategy/nis2-directive - McCann FitzGerald – Are you subject to NIS 2?: https://www.mccannfitzgerald.com/knowledge/cyber-security/impending-cybersecurity-obligations-are-you-subject-to-nis-2 - Wavestone – NIS 2 transposition tracker (jan. 2026): https://www.wavestone.com/en/insight/nis-2-european-countries-transposing-directive/ - Cullen International – How are EU member states transposing NIS2 (mai. 2026): https://www.cullen-international.com/news/2026/05/How-are-EU-member-states-transposing-NIS2-.html - Wikipedia – NIS2 Directive: https://en.wikipedia.org/wiki/NIS2_Directive - Covington Inside Privacy – Commission proposes targeted amendments to NIS2: https://www.insideprivacy.com/data-security/cybersecurity/european-commission-proposes-targeted-amendments-to-nis2-to-simplify-compliance-and-align-with-proposed-cybersecurity-act-2/ - DLA Piper Privacy Matters – EU NIS2 update (fev. 2026): https://privacymatters.dlapiper.com/2026/02/eu-nis2-update-eu-moves-to-harmonise-cyber-controls-refine-scope-and-add-new-in-scope-entities/ --- ## DORA since January 2025: what changed and supervisory priorities URL: https://cybertarget.live/en/artigos/dora-o-que-mudou-desde-janeiro-de-2025-e-as-prioridades-de-supervisao Date: 2026-10-09 The Digital Operational Resilience Act (DORA, Regulation (EU) 2022/2554) has applied since 17 January 2025. Nearly two years on, supervisors have published their first incident statistics, designated the first critical tech providers and placed ICT resilience at the top of their agendas. For banks, insurers, asset managers, payment institutions and fintechs operating in the EU, DORA has moved from a compliance project to day-to-day supervision. What DORA requires The regulation harmonised ICT risk rules across the financial sector. Since January 2025 firms have needed: A board-approved ICT risk-management framework. Classification and reporting of major ICT-related incidents. Digital resilience testing, including threat-led penetration testing (TLPT) for designated firms. Third-party risk management and a register of information on ICT contracts. According to Walkers, national authorities had to submit registers to the European Supervisory Authorities (ESAs) by 30 April 2025. Reporting clock Austria's FMA summarises the timelines: an initial notification within 4 hours of classifying an incident as major and no later than 24 hours after becoming aware; an intermediate report within 72 hours; a final report within one month of the latest intermediate report. An incident is major when it hits critical services and either involves malicious unauthorised access that may cause data loss or meets two or more materiality thresholds, such as clients affected, duration, geographic spread or economic impact. Recurring incidents with the same root cause, at least twice in six months, can be aggregated. DORA is lex specialis to NIS2 and replaced PSD2 incident reporting for in-scope payment providers. Year one: 3,383 major incidents On 3 June 2026 the ESAs released their first report: 3,383 major ICT incidents in 2025, about 0.18 per entity. Roughly a third had cross-border impact and only about 10% were cybersecurity incidents; system failures and external events dominated. Ropes & Gray adds that credit institutions accounted for over 60% of incidents and payments for 16%, that only 30 incidents hit a million or more transactions, and that almost a third stemmed from third-party failures. On 7 July 2026, the ESRB raised its systemic cyber risk assessment from "elevated" to "severe", citing frontier AI threats. Critical providers under direct oversight On 18 November 2025 the ESAs published the first list of critical ICT third-party providers (CTPPs). Morgan Lewis counts 19, spanning hyperscale cloud, data centres, network infrastructure and financial-services technology. The ESAs can issue recommendations, publicise non-compliance and, as a last resort, require financial entities to suspend or terminate contracts. CTPPs pay annual oversight fees and must name an EU coordination entity. Supervisory priorities to 2028 The ECB's 2026–2028 priorities, summarised by A&L Goodbody, include follow-up on ICT remediation, on-site inspections on cybersecurity and DORA third-party risk, TLPT, an ICT change-management review a deep dive into cloud dependency, and workshops on generative AI use alongside cooperation under the AI Act. Checklist Reconcile your register of information against the 19 CTPPs. Plan exit strategies for concentrated providers, listed or not. Drill the 4h/24h/72h clock. Strengthen change management, since system failures drive most incidents. Prepare for TLPT and third-party inspections. Sources: - Walkers – Navigating DORA: key compliance steps from 17 January 2025: https://www.walkersglobal.com/en/Insights/2025/01/Navigating-DORA-Key-compliance-steps-from-17-January-2025 - FMA (Áustria) – DORA ICT-related incidents: https://www.fma.gv.at/en/dora-ict-related-incidents/ - ESMA – ESAs publish the first report on DORA major ICT-related incidents: https://www.esma.europa.eu/press-news/esma-news/esas-publish-first-report-dora-major-ict-related-incidents - Ropes & Gray – Lessons from the ESAs' first DORA major incident report: https://www.ropesgray.com/en/insights/viewpoints/102nbyc/lessons-from-the-european-supervisory-authorities-first-dora-major-incident-repo - EBA – ESAs designate critical ICT third-party providers under DORA: https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital%5C - Morgan Lewis – DORA: EU regulators announce list of critical ICT third-party providers: https://www.morganlewis.com/blogs/sourcingatmorganlewis/2025/11/dora-eu-regulators-announce-list-of-critical-ict-third-party-providers - A&L Goodbody – ECB supervisory priorities 2026-2028: https://www.algoodbody.com/insights-publications/ecb-supervisory-priorities-for-2026-2028-focus-on-resilience-to-geopolitical-climate-and-ict-risks --- ## DORA: o que mudou desde janeiro de 2025 e as prioridades de supervisão URL: https://cybertarget.live/pt/artigos/dora-o-que-mudou-desde-janeiro-de-2025-e-as-prioridades-de-supervisao Date: 2026-10-09 O Regulamento de Resiliência Operacional Digital, o DORA (Regulamento UE 2022/2554), passou a ser aplicado em 17 de janeiro de 2025. Quase dois anos depois, já é possível medir o que mudou: os supervisores europeus publicaram o primeiro balanço de incidentes graves, designaram os primeiros fornecedores críticos de tecnologia e incluíram o tema entre as prioridades de supervisão bancária até 2028. Para bancos, seguradoras, gestoras, instituições de pagamento e fintechs que operam na União Europeia, o DORA deixou de ser projeto de adequação e virou rotina de supervisão. O que o DORA exige O regulamento unificou regras de gestão de risco de tecnologia da informação e comunicação (TIC) no setor financeiro. Na prática, as instituições precisaram, desde janeiro de 2025: manter uma estrutura de gestão de risco de TIC aprovada pela administração; classificar e reportar incidentes graves de TIC às autoridades; testar a resiliência digital, incluindo testes de intrusão baseados em ameaças (TLPT) para entidades designadas; gerenciar o risco de terceiros de TIC e manter um registro de informações de todos os contratos com fornecedores de tecnologia. Segundo o escritório Walkers, as autoridades nacionais precisavam enviar esses registros às Autoridades Europeias de Supervisão (ESAs) até 30 de abril de 2025, o que obrigou as empresas a prepará-los ainda em abril. Os prazos de notificação de incidentes A autoridade austríaca FMA resume o rito de notificação de incidentes graves de TIC: EtapaPrazo Notificação inicialEm até 4 horas após classificar o incidente como grave e no máximo 24 horas após tomar conhecimento Relatório intermediárioEm até 72 horas após a notificação inicial Relatório finalEm até 1 mês após o último relatório intermediário Para ser considerado grave, o incidente precisa afetar serviços críticos e, além disso, envolver acesso malicioso com risco de perda de dados ou atingir dois ou mais limites de materialidade (clientes afetados, duração, alcance geográfico, impacto econômico, entre outros). Incidentes recorrentes com a mesma causa, ao menos duas vezes em seis meses, podem ser somados. A FMA lembra também que o DORA é lex specialis em relação à NIS2 e substituiu o reporte de incidentes da PSD2 para prestadores de pagamento abrangidos. O primeiro balanço: 3.383 incidentes graves Em 3 de junho de 2026, as ESAs publicaram o primeiro relatório sobre incidentes graves de TIC sob o DORA. Foram 3.383 incidentes reportados por entidades financeiras da UE, cerca de 0,18 por entidade sujeita ao regulamento. Um terço teve impacto transfronteiriço, e apenas cerca de 10% eram incidentes de cibersegurança: falhas de sistema e eventos externos foram os principais motores. A análise do escritório Ropes & Gray detalha o retrato: o setor de crédito respondeu por mais de 60% dos incidentes e o de pagamentos por 16%; cerca de dois terços dos casos causaram nenhuma ou pouca interrupção; só 30 incidentes (cerca de 1%) afetaram um milhão ou mais de transações; entre os incidentes de cibersegurança, DDoS (33%) e exfiltração ou manipulação de dados (31%) foram as técnicas mais comuns; quase um terço dos incidentes graves teve origem em falhas atribuídas a terceiros. O mesmo texto registra que, em 7 de julho de 2026, o Conselho Europeu de Risco Sistêmico (ESRB) elevou sua avaliação do risco cibernético sistêmico de "elevado" para "severo", citando ameaças ligadas a IA de fronteira. Fornecedores críticos sob supervisão direta Em 18 de novembro de 2025, EBA, EIOPA e ESMA publicaram a lista dos primeiros fornecedores terceiros críticos de TIC (CTPPs). Segundo a Morgan Lewis, são 19 empresas, entre provedores de nuvem em hiperescala, data centers, infraestrutura e rede e tecnologia específica para serviços financeiros. Esses fornecedores passam a ser supervisionados diretamente pelas ESAs, que podem emitir recomendações de correção. Se o CTPP não cumprir, a autoridade pode tornar o fato público e, em último caso, exigir que as instituições financeiras suspendam ou encerrem os contratos. Cada CTPP precisa designar uma entidade jurídica na UE como ponto de coordenação e pagar taxas anuais de supervisão. Prioridades de supervisão até 2028 O Banco Central Europeu colocou resiliência operacional e capacidades de TIC entre suas prioridades de supervisão para 2026–2028. Segundo o resumo do escritório A&L Goodbody, o plano inclui: acompanhamento da remediação em bancos com deficiências materiais em segurança de TIC, resiliência cibernética e terceirização; inspeções no local sobre gestão de cibersegurança e risco de terceiros alinhadas ao DORA; testes TLPT para identificar vulnerabilidades; revisão direcionada de gestão de mudanças em TIC; análise aprofundada da dependência de provedores de nuvem; workshops sobre aplicações de IA generativa e cooperação no âmbito do AI Act. Checklist para instituições financeiras Cruze o registro de informações com a lista dos 19 CTPPs designados. Planeje cláusulas contratuais e estratégias de saída para fornecedores concentrados, inclusive os que não estão na lista. Teste o relógio de 4h/24h/72h com exercícios simulados. Reforce a gestão de mudanças: falhas de sistema lideram os incidentes. Prepare-se para TLPT e inspeções sobre risco de terceiros. Sources: - Walkers – Navigating DORA: key compliance steps from 17 January 2025: https://www.walkersglobal.com/en/Insights/2025/01/Navigating-DORA-Key-compliance-steps-from-17-January-2025 - FMA (Áustria) – DORA ICT-related incidents: https://www.fma.gv.at/en/dora-ict-related-incidents/ - ESMA – ESAs publish the first report on DORA major ICT-related incidents: https://www.esma.europa.eu/press-news/esma-news/esas-publish-first-report-dora-major-ict-related-incidents - Ropes & Gray – Lessons from the ESAs' first DORA major incident report: https://www.ropesgray.com/en/insights/viewpoints/102nbyc/lessons-from-the-european-supervisory-authorities-first-dora-major-incident-repo - EBA – ESAs designate critical ICT third-party providers under DORA: https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital%5C - Morgan Lewis – DORA: EU regulators announce list of critical ICT third-party providers: https://www.morganlewis.com/blogs/sourcingatmorganlewis/2025/11/dora-eu-regulators-announce-list-of-critical-ict-third-party-providers - A&L Goodbody – ECB supervisory priorities 2026-2028: https://www.algoodbody.com/insights-publications/ecb-supervisory-priorities-for-2026-2028-focus-on-resilience-to-geopolitical-climate-and-ict-risks --- ## EU AI Act and deepfakes: duties and timeline for security teams URL: https://cybertarget.live/en/artigos/ai-act-e-deepfakes-obrigacoes-e-prazos-para-seguranca-e-privacidade Date: 2026-10-08 In 2024 a finance employee at Arup's Hong Kong office joined a video call with people he believed were the CFO and colleagues. They were deepfakes. He approved 15 transfers totalling HK$200 million (about US$25.6 million), CNN reported. Europol's IOCTA 2025, summarised by eucrim, warns that generative AI makes social engineering more targeted and scalable. The EU AI Act is not an anti-fraud law, but its transparency rules on synthetic content matter to anyone building, using or targeted by deepfakes, and its timeline has just shifted. Article 50 duties The transparency duties in Article 50 are the most relevant for deepfakes. According to Usercentrics: Generative AI providers must mark synthetic audio, images, video and text in a machine-readable format (Art. 50(2)). Deployers must disclose AI-generated or manipulated deepfakes (Art. 50(4)). People must be told when they are interacting with an AI system unless that is obvious (Art. 50(1)). AI-generated text on matters of public interest must be disclosed unless it has human editorial review. The Cloud Security Alliance notes fines of up to €15 million or 3% of worldwide turnover for these breaches, and points out that the burden of proving timely disclosure sits with the organisation. The Act's top tier, for the most serious violations, reaches €35 million or 7%. A new prohibition The Omnibus also adds to Article 5 a ban on AI systems designed to generate non-consensual intimate imagery or child sexual abuse material, the so-called nudifier apps, from 2 December 2026. Taylor Wessing reports it covers systems where such output is the intended purpose or reasonably foreseeable without safeguards. The post-Omnibus timeline A political deal on the AI "Digital Omnibus" was reached on 7 May 2026 (Taylor Wessing); Parliament approved it on 16 June and the Council on 29 June 2026. DateWhat applies 2 Feb 2025Prohibited practices 2 Aug 2025General-purpose AI obligations 2 Aug 2026Most Art. 50 duties, including deployer deepfake disclosure 2 Dec 2026Machine-readable marking for generative systems on the market before 2 Aug 2026; new "nudifier" ban 2 Dec 2027Annex III high-risk obligations 2 Aug 2028Annex I product-embedded high-risk AI The timeline follows Elevate. The CSA stresses that only the technical marking got a grace period; disclosure duties took effect on 2 August 2026, and systems placed on the market after that date get no runway. Watermarks are not enough Deepfakes often circulate stripped of metadata or re-encoded, watermarks have been defeated in research, and non-EU providers cannot be compelled to label content reaching EU users. Detection on the receiving side remains essential. The Commission has published voluntary labelling icons, and a Code of Practice on marking is still being drafted. Checklist Require call-back on a pre-registered channel for urgent payment requests, even after a video call. Use dual approval and limits for unusual payments. Train finance teams with real cases such as Arup. Map Art. 50 duties if you use generative AI in the EU. Assess synthetic-media detection for onboarding and customer service. Sources: - Taylor Wessing – The EU Digital Omnibus on AI: what the political deal means: https://taylorwessing.com/en/insights-and-events/insights/2026/05/the-eu-digital-omnibus-on-ai-what-the-political-deal-means - Usercentrics – EU AI Act high-risk delay and Article 50 transparency: https://usercentrics.com/knowledge-hub/eu-ai-act-high-risk-delay-article-50-transparency-consent/ - Cloud Security Alliance – Research note: EU AI Act Article 50 transparency (jul. 2026): https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/07/CSA_research_note_eu_ai_act_article_50_transparency_20260729-csa-styled-1.pdf - Elevate Consult – EU AI Act timeline 2026 deadlines: https://elevateconsult.com/insights/eu-ai-act-timeline-2026-deadlines/ - eucrim – Europol IOCTA 2025: https://eucrim.eu/news/iocta-2025/ - CNN – Arup revealed as victim of deepfake scam: https://edition.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk --- ## AI Act e deepfakes: obrigações e prazos para segurança e privacidade URL: https://cybertarget.live/pt/artigos/ai-act-e-deepfakes-obrigacoes-e-prazos-para-seguranca-e-privacidade Date: 2026-10-08 Em 2024, um funcionário do escritório da Arup em Hong Kong entrou numa videochamada com quem acreditava ser o diretor financeiro e outros colegas. Eram recriações por deepfake. Convencido, ele autorizou 15 transferências que somaram HK$ 200 milhões (cerca de US$ 25,6 milhões), segundo a CNN. O caso virou referência de como a inteligência artificial generativa mudou a fraude corporativa. A resposta regulatória mais ampla a esse tipo de risco é o AI Act europeu. Ele não é uma lei antifraude, mas cria deveres de transparência sobre conteúdo sintético que afetam diretamente quem desenvolve, usa ou é alvo de deepfakes. E o calendário acabou de mudar. O problema: IA a serviço da engenharia social O relatório IOCTA 2025 da Europol, publicado em 11 de julho de 2025 e resumido pela revista eucrim, aponta a engenharia social como técnica particularmente prevalente para obter dados pessoais. Sua eficácia cresce à medida que criminosos adotam grandes modelos de linguagem e outras ferramentas de IA generativa, que permitem mensagens mais direcionadas e automação de processos criminosos. O que o Artigo 50 exige As obrigações de transparência do Artigo 50 são as mais relevantes para deepfakes. Segundo o guia da Usercentrics: Provedores de IA generativa devem marcar áudio, imagem, vídeo e texto sintéticos em formato legível por máquina (Art. 50(2)); Usuários profissionais (deployers) devem informar quando um conteúdo é deepfake gerado ou manipulado por IA (Art. 50(4)); quem opera sistemas que interagem com pessoas deve avisar que se trata de IA, salvo quando for óbvio pelo contexto (Art. 50(1)); textos gerados por IA sobre assuntos de interesse público precisam ser sinalizados, exceto se houver revisão humana e responsabilidade editorial. A nota de pesquisa da Cloud Security Alliance estima multas de até € 15 milhões ou 3% do faturamento mundial por violações dessas regras e lembra que cabe à organização provar que fez a divulgação a tempo. Para as infrações mais graves do AI Act, o teto chega a € 35 milhões ou 7% do faturamento global, segundo a Usercentrics. O novo calendário depois do Digital Omnibus Em 7 de maio de 2026, Parlamento e Conselho chegaram a um acordo político sobre o "Digital Omnibus" de IA, informa o escritório Taylor Wessing. A Usercentrics registra a aprovação do Parlamento em 16 de junho e a adoção pelo Conselho em 29 de junho de 2026. O resultado, segundo as fontes consultadas: DataO que passa a valer 2 fev. 2025Práticas de IA proibidas 2 ago. 2025Obrigações de modelos de IA de uso geral 2 ago. 2026Maior parte das regras de transparência do Art. 50, incluindo a divulgação de deepfakes por deployers 2 dez. 2026Marcação legível por máquina para sistemas generativos já no mercado antes de 2 ago. 2026; nova proibição de apps de "nudificação" 2 dez. 2027Obrigações de alto risco do Anexo III (adiadas de ago. 2026) 2 ago. 2028Alto risco de sistemas embarcados em produtos (Anexo I) A cronologia segue a consultoria Elevate. A CSA ressalta que o adiamento de quatro meses vale só para a marcação técnica: as obrigações de divulgação de deepfakes e de sistemas interativos começaram em 2 de agosto de 2026. Sistemas colocados no mercado a partir dessa data não têm período de carência. A nova proibição O Omnibus acrescentou ao Artigo 5 a proibição de sistemas de IA destinados a gerar imagens íntimas não consentidas ou material de abuso sexual infantil, os chamados apps de "nudificação", a partir de 2 de dezembro de 2026. Segundo o Taylor Wessing, a proibição alcança sistemas cuja finalidade seja essa geração ou nos quais ela seja razoavelmente previsível sem salvaguardas. Os limites da marca d'água A regulação não resolve sozinha o problema. A CSA observa que deepfakes costumam chegar ao público sem metadados, recodificados ou em plataformas que não preservam a procedência. Pesquisas já mostraram que marcas d'água podem ser removidas, e provedores fora da UE não são obrigados a sinalizar conteúdo que alcança usuários europeus. Por isso, a detecção do lado de quem recebe continua essencial. Para empresas brasileiras e americanas, o efeito é indireto, mas real: quem oferece ferramentas de IA generativa a usuários europeus, ou usa avatares e vozes sintéticas em campanhas na UE, precisa cumprir o Artigo 50. E quem é alvo de golpes continua dependendo sobretudo de controles internos. A Comissão publicou um conjunto voluntário de ícones para rotular conteúdo gerado ou modificado por IA, e o AI Office ainda trabalha num Código de Prática sobre marcação e rotulagem, cujo segundo rascunho saiu em março de 2026. Checklist contra fraude por deepfake Exija confirmação por um segundo canal, previamente cadastrado, para qualquer pedido urgente de transferência, mesmo vindo de videochamada. Defina limites de alçada e dupla aprovação para pagamentos fora do padrão. Treine as equipes financeiras com exemplos reais, como o caso Arup. Se a empresa usa IA generativa em marketing ou atendimento na UE, mapeie as obrigações do Art. 50. Avalie ferramentas de detecção de mídia sintética no onboarding e no atendimento. Sources: - Taylor Wessing – The EU Digital Omnibus on AI: what the political deal means: https://taylorwessing.com/en/insights-and-events/insights/2026/05/the-eu-digital-omnibus-on-ai-what-the-political-deal-means - Usercentrics – EU AI Act high-risk delay and Article 50 transparency: https://usercentrics.com/knowledge-hub/eu-ai-act-high-risk-delay-article-50-transparency-consent/ - Cloud Security Alliance – Research note: EU AI Act Article 50 transparency (jul. 2026): https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/07/CSA_research_note_eu_ai_act_article_50_transparency_20260729-csa-styled-1.pdf - Elevate Consult – EU AI Act timeline 2026 deadlines: https://elevateconsult.com/insights/eu-ai-act-timeline-2026-deadlines/ - eucrim – Europol IOCTA 2025: https://eucrim.eu/news/iocta-2025/ - CNN – Arup revealed as victim of deepfake scam: https://edition.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk --- ## EU AMLA and the new AML package: banks, fintechs and crypto URL: https://cybertarget.live/en/artigos/amla-e-o-novo-pacote-antilavagem-da-ue-bancos-fintechs-e-cripto Date: 2026-10-07 Europe is replacing 27 national anti-money laundering regimes with a single rulebook and a central authority. The AML package has three parts: the AML Regulation (AMLR), the Sixth AML Directive (AMLD6) and the Anti-Money Laundering Authority (AMLA). For crypto firms it sits on top of MiCA and the Travel Rule. AMLA in Frankfurt Created by Regulation (EU) 2024/1620, AMLA became operational on 1 July 2025, and on 1 January 2026 the EBA completed the transfer of its AML/CFT mandates, according to FinTech Global. It will supervise a select group of high-risk entities directly and steer national supervisors through common methodology and peer reviews. Suspicious transaction reports still go only to national FIUs. Jones Day sets out the timeline: selection starts on 1 July 2027 and runs six months; direct supervision of 40 groups or entities active in at least six member states begins on 1 January 2028. The first wave is expected to include large banking groups plus payment, e-money and crypto-asset service providers. AMLR: one rulebook The AMLR applies directly from 10 July 2027. Key changes include: A €10,000 cap on cash payments by traders of goods and services, with exceptions for private payments and deposits at financial institutions (CMS). A ban on anonymous accounts at banks, financial institutions and CASPs, including crypto accounts using anonymity-enhancing coins. The end of bearer shares, with deadlines in 2029 and 2030. New obliged entities such as crowdfunding platforms and non-bank consumer lenders. Crypto: MiCA and the Travel Rule RuleMilestoneEffect Travel Rule (TFR)Applies since 30 Dec 2024Originator and beneficiary data travel with every crypto transfer MiCATransition ended 1 Jul 2026No MiCA licence, no service to EU clients AMLR / AMLA10 Jul 2027 / 1 Jan 2028Uniform AML rules and direct supervision The Dutch central bank (DNB) explains that CASPs must transmit originator and beneficiary information for every crypto transfer and verify ownership or control of self-hosted wallets for transactions above €1,000. Incomplete transfers must be suspended or rejected and may trigger a suspicious transaction report. ESMA stated on 17 April 2026 that unauthorised CASPs had to implement orderly wind-down plans by 1 July 2026, moving client assets to an authorised CASP or a self-hosted wallet. Elliptic counted 213 CASP entries across 23 jurisdictions in ESMA's interim register by late June 2026, with December 2025 the busiest month at 41 authorisations. What it means by firm type Cross-border banks active in six or more countries are natural candidates for direct AMLA supervision from 2028 and should review KYC data quality and transaction monitoring now. Payment and e-money fintechs may also be in the first wave, and even under national supervision they will be assessed against AMLA's common methodology. Exchanges and custodians need a MiCA licence, Travel Rule data on every transfer, self-hosted wallet checks above €1,000 and no anonymity-enhancing products. Brazilian and US firms serving EU clients need an authorised EU entity for crypto services and should expect tougher due diligence from European banking partners. Checklist Check whether your group operates in six or more member states and its risk profile. Update cash-handling policies before July 2027. Remove products enabling anonymity or transaction obfuscation. Test Travel Rule interoperability with non-EU counterparties. Track AMLA technical standards due during 2026. Sources: - FinTech Global – EU's AMLA puts high-risk banks on notice for 2028: https://fintech.global/2026/07/31/eus-amla-puts-high-risk-banks-on-notice-for-2028/ - Jones Day – Direct supervisory powers of the new European AML Authority: https://www.jonesday.com/ja/insights/2025/07/direct-supervisory-powers-of-the-new-european-antimoney-laundering-authority - CMS Luxembourg – New limit to large cash payments and prohibition of anonymous instruments: https://cms.law/en/lux/publication/new-limit-to-large-cash-payments-and-prohibition-of-anonymous-instruments - ESMA – Statement on the end of transitional periods under MiCA (abr. 2026): https://www.esma.europa.eu/sites/default/files/2026-04/ESMA75-113276571-1679_Statement_on_the_end_of_transitional_periods_under_MiCA.pdf - Elliptic – What the end of MiCA's transitional period means for crypto businesses: https://www.elliptic.co/blog/the-end-of-micas-transitional-period - De Nederlandsche Bank – Transfer of Funds Regulation (TFR): https://www.dnb.nl/en/sector-information/open-book-supervision/open-book-supervision-themes/supervision-of-financial-crime-prevention-integrity-supervision/transfer-of-funds-regulation-tfr/ --- ## AMLA e o novo pacote antilavagem da UE: bancos, fintechs e cripto URL: https://cybertarget.live/pt/artigos/amla-e-o-novo-pacote-antilavagem-da-ue-bancos-fintechs-e-cripto Date: 2026-10-07 A Europa está trocando um mosaico de 27 regimes nacionais de prevenção à lavagem de dinheiro por um conjunto único de regras e uma autoridade central. O novo pacote antilavagem (AML) tem três peças: o Regulamento AML (AMLR), a Sexta Diretiva (AMLD6) e a Autoridade Europeia de Combate à Lavagem de Dinheiro, a AMLA. Para o setor cripto, ele se soma ao MiCA e à Travel Rule, que já estão em vigor. AMLA: a nova supervisora em Frankfurt Criada pelo Regulamento (UE) 2024/1620, a AMLA tem sede em Frankfurt e começou a operar em 1º de julho de 2025, segundo a FinTech Global. Em 1º de janeiro de 2026, a Autoridade Bancária Europeia (EBA) concluiu a transferência de seus mandatos de AML e financiamento ao terrorismo para a nova agência. A AMLA atuará em duas frentes: Supervisão direta de um grupo seleto de instituições de alto risco com atuação em pelo menos seis Estados-membros; Supervisão indireta, com metodologia comum, revisões por pares dos supervisores nacionais e poder de intervir quando uma autoridade nacional falhar. Supervisores nacionais, como BaFin e CSSF, seguem na linha de frente para a maioria das empresas, mas aplicarão cada vez mais os padrões da AMLA. A agência também apoia as unidades de inteligência financeira (FIUs) em análises transfronteiriças; os relatórios de operações suspeitas continuam indo só às FIUs. Quem será supervisionado diretamente O escritório Jones Day explica o calendário: a seleção das entidades começa em 1º de julho de 2027 e dura seis meses; a supervisão direta começa em 1º de janeiro de 2028. Serão 40 grupos ou entidades, escolhidos entre os mais expostos a riscos de lavagem e com atuação em ao menos seis países. A AMLA poderá aplicar sanções pecuniárias às instituições selecionadas. A primeira leva deve reunir sobretudo grandes grupos bancários, além de instituições de pagamento, emissores de moeda eletrônica e prestadores de serviços de criptoativos (CASPs), segundo a FinTech Global. AMLR: regras iguais para todos O AMLR passa a ser diretamente aplicável em 10 de julho de 2027. Por ser regulamento, não depende de lei nacional. Entre as mudanças: Limite de € 10 mil para pagamentos em espécie por quem vende bens ou presta serviços, em uma operação ou em várias aparentemente ligadas, com exceções para pagamentos entre pessoas físicas não profissionais e depósitos em instituições financeiras (CMS); Proibição de contas e instrumentos anônimos em bancos, instituições financeiras e CASPs, incluindo contas cripto que permitam anonimizar o titular ou ofuscar transações, como as que usam anonymity-enhancing coins; fim das ações ao portador, com suspensão de direitos a partir de 10 de julho de 2029 e cancelamento em 10 de julho de 2030 das não convertidas; ampliação do escopo para plataformas de crowdfunding e credores não bancários ao consumidor (FinTech Global). Cripto: MiCA, AML e Travel Rule O pacote coloca todos os CASPs autorizados pelo MiCA plenamente no escopo AML. Na prática, três camadas se sobrepõem: RegraMarcoEfeito Travel Rule (TFR)Aplicável desde 30 dez. 2024Dados de remetente e beneficiário acompanham cada transferência cripto MiCATransição encerrada em 1º jul. 2026Sem licença MiCA, sem serviço a clientes da UE AMLR / AMLA10 jul. 2027 / 1º jan. 2028Regras AML uniformes e supervisão direta de grupos de alto risco Travel Rule Segundo o banco central holandês (DNB), o Regulamento de Transferências de Fundos (TFR) está plenamente aplicável desde 30 de dezembro de 2024. Os CASPs precisam transmitir informações do remetente e do beneficiário em cada transferência de criptoativos. Em operações acima de € 1.000 com carteiras autocustodiadas, devem verificar se o cliente possui ou controla a carteira. Se faltarem dados, a transferência deve ser suspensa ou rejeitada, e a ausência pode motivar comunicação de operação suspeita à FIU. Fim da transição do MiCA Em declaração de 17 de abril de 2026, a ESMA lembrou que o período de transição terminou em toda a UE em 1º de julho de 2026. Quem não obteve licença precisava ter planos ordenados de encerramento, avisar os clientes e transferir seus ativos para um CASP autorizado ou uma carteira autocustodiada. A empresa de análise Elliptic contava 213 registros de CASPs em 23 jurisdições no registro provisório da ESMA no fim de junho de 2026, com dezembro de 2025 como o mês recorde, com 41 autorizações. O que muda para cada tipo de empresa Bancos com atuação em seis ou mais países: candidatos naturais à supervisão direta a partir de 2028; vale revisar já a qualidade de dados de KYC e monitoramento. Fintechs de pagamento e moeda eletrônica: também podem entrar na primeira leva e terão de seguir a metodologia comum da AMLA mesmo sob supervisão nacional. Exchanges e custodiantes cripto: licença MiCA, Travel Rule sem limite mínimo para dados de transferência, verificação de carteiras próprias acima de € 1.000 e veto a instrumentos de anonimização. Empresas brasileiras e americanas que atendem clientes europeus: precisam de entidade autorizada na UE para serviços cripto e devem esperar diligência mais rígida de bancos parceiros europeus. Checklist Verifique se o grupo opera em seis ou mais Estados-membros e qual o seu perfil de risco. Revise políticas de pagamento em espécie antes de julho de 2027. Elimine produtos que permitam anonimato ou ofuscação de transações. Teste a integração da Travel Rule com contrapartes fora da UE. Acompanhe os padrões técnicos da AMLA, muitos previstos para 2026. Sources: - FinTech Global – EU's AMLA puts high-risk banks on notice for 2028: https://fintech.global/2026/07/31/eus-amla-puts-high-risk-banks-on-notice-for-2028/ - Jones Day – Direct supervisory powers of the new European AML Authority: https://www.jonesday.com/ja/insights/2025/07/direct-supervisory-powers-of-the-new-european-antimoney-laundering-authority - CMS Luxembourg – New limit to large cash payments and prohibition of anonymous instruments: https://cms.law/en/lux/publication/new-limit-to-large-cash-payments-and-prohibition-of-anonymous-instruments - ESMA – Statement on the end of transitional periods under MiCA (abr. 2026): https://www.esma.europa.eu/sites/default/files/2026-04/ESMA75-113276571-1679_Statement_on_the_end_of_transitional_periods_under_MiCA.pdf - Elliptic – What the end of MiCA's transitional period means for crypto businesses: https://www.elliptic.co/blog/the-end-of-micas-transitional-period - De Nederlandsche Bank – Transfer of Funds Regulation (TFR): https://www.dnb.nl/en/sector-information/open-book-supervision/open-book-supervision-themes/supervision-of-financial-crime-prevention-integrity-supervision/transfer-of-funds-regulation-tfr/ --- ## Payment fraud in Europe: APP scams, UK refunds and the EU PSR URL: https://cybertarget.live/en/artigos/fraude-em-pagamentos-na-europa-app-fraud-reembolso-britanico-e-psr Date: 2026-10-06 Europe's fastest-growing fraud is the one where victims authorise the payment themselves, tricked by someone posing as their bank, a supplier, an investment adviser or a romantic partner. The UK calls it authorised push payment (APP) fraud and already mandates reimbursement; the EU is responding with verification of payee and a new Payment Services Regulation. The EU picture The joint EBA-ECB report of 15 December 2025 found total payment fraud in the EEA rose to €4.2 billion in 2024 from €3.5 billion (EBA). Credit transfer fraud reached €2.2 billion, up 16%, and users bore about 85% of those losses, mostly from scams that led them to initiate payments. Strong customer authentication still works against the fraud it was designed for; card fraud was 17 times higher when the payee was outside the EEA. UK: the reimbursement experiment UK Finance data reported by Neopay show payment fraud losses of £1.28 billion in 2025 (+4%). APP fraud reached £576.4 million (+19%) across 248,070 cases; investment scams were the largest category at £221.5 million (+40%). Some 66% of APP cases started online and 17% via telecoms. Since 7 October 2024, payment firms must reimburse APP victims on Faster Payments up to £85,000, with an optional £100 excess. The PSR dashboard shows 88% of money lost (£316 million) was returned over the 18 months to 31 March 2026, and 89% in Q1 2026. Only 3% of claims were rejected for lack of consumer caution. MetricEU (2024)UK Total payment fraud€4.2bn£1.28bn (2025) Credit transfer / APP fraud€2.2bn£576.4m (2025) Who bears losses~85% users88% reimbursed EU verification of payee Under the Instant Payments Regulation, euro-area payment providers have had to offer free verification of payee since 9 October 2025; non-euro states follow by 9 July 2027 (PwC Legal). It covers all SEPA credit transfers between payment accounts and returns match, close match, no match or other. Payers may proceed, but if they do after a warning they bear the risk of a misdirected transfer. The Payment Services Regulation A provisional deal on the PSR and PSD3 was struck on 27 November 2025 (William Fry). According to Taylor Wessing, it includes mandatory name-identifier checks, fraud data sharing between providers, full refunds for bank-employee impersonation scams when the victim reports to police and the provider, liability for providers lacking adequate fraud controls, and liability of online platforms towards reimbursing banks when they fail to remove reported fraudulent content. It also restricts platforms and search engines from advertising financial services by firms not authorised in the relevant member state. The texts still need formal adoption, and a transition of about 21 months was expected. Two models The UK chose broad, bank-funded reimbursement for authorised scams. The EU, for now, leans on prevention (verification of payee, data sharing) and targeted refunds for bank-impersonation fraud, while pushing part of the bill onto the digital platforms where many scams begin. For Brazil, where Pix scams follow the same pattern, both approaches are useful benchmarks. Checklist Treat a "no match" payee warning as a stop sign. Hang up on callers claiming to be your bank and call back on the official number. Check that investment advertisers are authorised. Businesses: confirm supplier bank-detail changes on a second channel. Report to police and your bank immediately. Sources: - EBA – Joint EBA-ECB report on payment fraud (dez. 2025): https://www.eba.europa.eu/publications-and-media/press-releases/joint-eba-ecb-report-payment-fraud-strong-authentication-remains-effective-fraudsters-are-adapting - Neopay – UK Finance Fraud Report 2026: losses reach £1.28 billion: https://www.neopay.co.uk/uk-finance-fraud-report-2026-payment-fraud-losses-reach-1-28-billion/ - Payment Systems Regulator – APP scams reimbursement dashboard: https://www.psr.org.uk/information-for-consumers/app-scams-reimbursement-dashboard/ - William Fry – PSR/PSD3: EU payment services legislation is agreed: https://www.williamfry.com/knowledge/psr-psd3-eu-payment-services-legislation-is-agreed/ - Taylor Wessing – EU lawmakers strike a deal on payments reforms: https://www.taylorwessing.com/en/insights-and-events/insights/2025/11/eu-lawmakers-strike-a-deal-on-payments-reforms - PwC Legal – Verification of Payee requirements under the Instant Payments Regulation: https://legal.pwc.de/en/news/articles/verification-of-payee-requirements-vop-under-the-eus-instant-payments-regulation-ipr --- ## Fraude em pagamentos na Europa: APP fraud, reembolso britânico e PSR URL: https://cybertarget.live/pt/artigos/fraude-em-pagamentos-na-europa-app-fraud-reembolso-britanico-e-psr Date: 2026-10-06 A fraude que mais cresce na Europa não é a clonagem de cartão nem a invasão de conta. É aquela em que a própria vítima autoriza o pagamento, enganada por um golpista que se passa por banco, empresa, investidor ou par romântico. No Reino Unido ela tem nome técnico, APP fraud (authorised push payment), e já tem regra de reembolso obrigatório. Na União Europeia, a resposta está chegando com a verificação do beneficiário e o novo Regulamento de Serviços de Pagamento. É um debate familiar para o Brasil, onde o golpe via Pix segue a mesma lógica. O tamanho do problema na UE O relatório conjunto da Autoridade Bancária Europeia e do Banco Central Europeu, publicado em 15 de dezembro de 2025, mostra que a fraude total em pagamentos no Espaço Econômico Europeu subiu para € 4,2 bilhões em 2024, ante € 3,5 bilhões em 2023 (EBA). A fraude em transferências chegou a € 2,2 bilhões, alta de 16%. O dado mais revelador: os usuários arcaram com cerca de 85% das perdas com fraude em transferências, principalmente por golpes que os levaram a iniciar as transações. O relatório conclui que a autenticação forte (SCA) continua eficaz contra as fraudes para as quais foi desenhada, mas que a manipulação do pagador está em alta. No cartão, a fraude foi 17 vezes maior quando o recebedor estava fora do EEE, onde a SCA não é exigida. Reino Unido: o laboratório do reembolso Segundo o relatório anual da UK Finance, resumido pela Neopay, as perdas com fraude em pagamentos somaram £ 1,28 bilhão em 2025, alta de 4%. A APP fraud respondeu por £ 576,4 milhões (+19%) em 248.070 casos (+7%). Golpes de investimento foram a maior categoria por valor, com £ 221,5 milhões (+40%). A origem dos golpes ajuda a entender o debate sobre responsabilidade: 66% dos casos de APP começaram online e 17% por telecomunicações. Os canais online responderam por 32% das perdas, e os de telecom, por 28%. Como funciona o reembolso obrigatório Desde 7 de outubro de 2024, o regulador britânico de sistemas de pagamento (PSR) obriga os prestadores a reembolsar vítimas de APP fraud em pagamentos Faster Payments, com teto de £ 85 mil por caso e franquia opcional de £ 100. O custo é dividido entre o banco que envia e o que recebe. O painel do PSR, atualizado em julho de 2026, mostra que 88% do dinheiro perdido (£ 316 milhões) foi devolvido nos 18 meses até 31 de março de 2026; no primeiro trimestre de 2026 a taxa foi de 89%. Apenas 3% das reclamações foram recusadas por falta de cautela do consumidor. IndicadorUE (2024)Reino Unido Perdas totais com fraude em pagamentos€ 4,2 bi£ 1,28 bi (2025) Fraude por transferência / APP€ 2,2 bi£ 576,4 mi (2025) Quem arca com as perdas~85% os usuários88% reembolsado pelos bancos UE: verificação do beneficiário já em vigor O primeiro passo europeu veio pelo Regulamento de Pagamentos Instantâneos. Desde 9 de outubro de 2025, os prestadores da zona do euro precisam oferecer a verificação do beneficiário (VoP), que confere se o nome informado corresponde ao IBAN; fora da zona do euro, o prazo é 9 de julho de 2027 (PwC Legal). A checagem vale para todas as transferências SEPA entre contas de pagamento, não só as instantâneas, e deve ser gratuita. O resultado pode ser "correspondência", "correspondência aproximada", "sem correspondência" ou "outro". O pagador pode seguir mesmo assim, mas, se autorizar a transferência após o alerta, passa a responder pelo envio a um destinatário errado. O que traz o Regulamento de Serviços de Pagamento Em 27 de novembro de 2025, Conselho e Parlamento chegaram a um acordo político provisório sobre o Regulamento de Serviços de Pagamento (PSR) e a PSD3 (William Fry). As principais medidas antifraude, segundo o escritório Taylor Wessing: verificação obrigatória de que nome e identificador do beneficiário coincidem; compartilhamento de informações sobre fraude entre prestadores; reembolso integral em golpes de falsa central, quando o fraudador se passa por funcionário do banco, desde que a vítima registre boletim de ocorrência e avise o prestador; responsabilidade do prestador que não mantiver mecanismos antifraude adequados; responsabilidade das plataformas online perante os bancos que reembolsaram clientes, se foram avisadas de conteúdo fraudulento e não o removeram; restrição a anúncios de serviços financeiros por plataformas e buscadores quando o anunciante não for autorizado no país. Os textos ainda precisam de adoção formal. O Taylor Wessing indicava um período de transição esperado de 21 meses antes de o regime funcionar plenamente. Diferenças de modelo O Reino Unido optou por um reembolso amplo para golpes autorizados, financiado pelos bancos. A UE, por ora, prefere prevenção (VoP, compartilhamento de dados) e reembolso direcionado a golpes de falsa identidade bancária, empurrando parte da conta para as plataformas digitais onde a fraude começa. Checklist para consumidores e empresas Leve a sério o alerta de "sem correspondência" na verificação do beneficiário. Desconfie de quem liga dizendo ser do banco: desligue e retorne pelo número oficial. Em ofertas de investimento nas redes sociais, confirme a autorização do anunciante no regulador. Empresas: confirme mudanças de dados bancários de fornecedores por um segundo canal. Registre ocorrência e avise o banco imediatamente; os prazos contam. Sources: - EBA – Joint EBA-ECB report on payment fraud (dez. 2025): https://www.eba.europa.eu/publications-and-media/press-releases/joint-eba-ecb-report-payment-fraud-strong-authentication-remains-effective-fraudsters-are-adapting - Neopay – UK Finance Fraud Report 2026: losses reach £1.28 billion: https://www.neopay.co.uk/uk-finance-fraud-report-2026-payment-fraud-losses-reach-1-28-billion/ - Payment Systems Regulator – APP scams reimbursement dashboard: https://www.psr.org.uk/information-for-consumers/app-scams-reimbursement-dashboard/ - William Fry – PSR/PSD3: EU payment services legislation is agreed: https://www.williamfry.com/knowledge/psr-psd3-eu-payment-services-legislation-is-agreed/ - Taylor Wessing – EU lawmakers strike a deal on payments reforms: https://www.taylorwessing.com/en/insights-and-events/insights/2025/11/eu-lawmakers-strike-a-deal-on-payments-reforms - PwC Legal – Verification of Payee requirements under the Instant Payments Regulation: https://legal.pwc.de/en/news/articles/verification-of-payee-requirements-vop-under-the-eus-instant-payments-regulation-ipr --- ## Ransomware: pay or not? OFAC sanctions, insurance and the data URL: https://cybertarget.live/en/artigos/ransomware-pagar-ou-nao-ofac-seguro-e-o-que-mostram-os-dados Date: 2026-10-05 When systems go dark and a ransom note appears, every company faces the same question: pay or not? The answer involves sanctions risk, insurer requirements, reporting duties and a growing body of data showing most victims now refuse. What the data say Chainalysis tracked about $820 million in ransomware payments in 2025, likely to approach $900 million as more are attributed (The Record), even as claimed attacks rose about 50%. The payment rate fell to a record 28%, from 62.8% in 2024 and 78.9% in 2022, while the median payment jumped from $12,738 to about $59,500 (BleepingComputer). Coveware saw only 23% of victims pay in Q3 2025, and 19% in data-theft-only cases, with an average payment of $376,941 and a median of $140,000 (Security Affairs). Verizon's 2025 DBIR found 64% of victims did not pay, up from 50% two years earlier, and ransomware in 44% of breaches (Help Net Security). The shift reflects a change in the criminal business model. Coveware notes that groups such as Akira and Qilin run high-volume, low-demand campaigns against mid-sized firms, while large companies increasingly refuse to pay because a payment rarely stops stolen data from leaking. Remote access compromise featured in more than half of its Q3 2025 cases. SourceMetricValue Chainalysis2025 payment rate28% Chainalysis2025 total paid~$820m CovewareQ3 2025 payment rate23% Verizon DBIR 2025Victims not paying64% Sanctions: OFAC's warning OFAC's updated advisory of 21 September 2021 says civil penalties apply on a strict liability basis; that insurers, incident response firms and financial institutions that facilitate payments are exposed; and that licence applications face a presumption of denial. Prompt reporting to law enforcement or CISA and full cooperation are significant mitigating factors. The US government strongly discourages payments, warning that they fund criminals, encourage further attacks and do not guarantee data recovery. Bans and reporting The UK is developing a payment ban for the public sector and critical national infrastructure, a pre-payment notification regime for others and mandatory incident reporting; 72% of consultation respondents backed the ban, but no law had passed by February 2026 (Goodwin). In the US, CIRCIA will require covered critical-infrastructure entities to report ransom payments within 24 hours; the final rule went to White House review on 1 October 2026 (Paubox). Insurance Cyber policies may cover extortion, but only if declared controls are real. A September 2026 alert in the National Law Review cites a 2022 US case where a policy was rescinded because MFA existed only on the firewall, not enterprise-wide as declared. Decision checklist Do you have clean, offline, tested backups? Paying rarely stops leaks of stolen data. Screen the group and wallets for sanctions exposure. Notify your insurer before negotiating. Report early to authorities. Make it a documented board-level decision with legal advice. Prevention Keep immutable backups and rehearse restoration. Protect remote access with phishing-resistant MFA. Agree in advance who decides on payment, and on what criteria. Keep insurer, counsel, forensics and law-enforcement contacts ready. Sources: - BleepingComputer – Ransomware payment rate drops to record low (Chainalysis): https://www.bleepingcomputer.com/news/security/ransomware-payment-rate-drops-to-record-low-despite-attack-surge - The Record – Ransomware payments in 2025 (Chainalysis): https://therecord.media/ransomware-payments-chainalysis-cybercrime - Security Affairs – Ransomware payments hit record low: only 23% pay in Q3 2025 (Coveware): https://securityaffairs.com/183941/cyber-crime/ransomware-payments-hit-record-low-only-23-pay-in-Q3-2025.html - Help Net Security – Verizon 2025 DBIR: https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/ - OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments (2021): https://ofac.treasury.gov/media/912981/download - Goodwin – The UK's ransomware strategy (fev. 2026): https://goodwinlaw.com/en/insights/publications/2026/02/alerts-technology-dpc-the-uks-ransomware-strategy - Paubox – CIRCIA final rule: White House review (out. 2026): https://www.paubox.com/blog/circia-final-rule-white-house-deadlines-set-scope-open - National Law Review – How cyber insurance carriers are raising the bar: https://natlawreview.com/article/client-alert-tightening-gate-how-cyber-insurance-carriers-are-raising-bar --- ## Ransomware: pagar ou não? OFAC, seguro e o que mostram os dados URL: https://cybertarget.live/pt/artigos/ransomware-pagar-ou-nao-ofac-seguro-e-o-que-mostram-os-dados Date: 2026-10-05 Quando os sistemas param e a nota de resgate aparece, toda empresa enfrenta a mesma pergunta: pagar ou não? A resposta envolve muito mais do que a chance de recuperar os dados. Há risco de sanções, exigências de seguradoras, deveres de notificação e um dado cada vez mais claro: a maioria das vítimas já não paga. O que dizem os números A empresa de análise de blockchain Chainalysis estima que os pagamentos de ransomware rastreados em 2025 somaram cerca de US$ 820 milhões, valor que deve se aproximar de US$ 900 milhões à medida que mais transações forem atribuídas (The Record). Ao mesmo tempo, os ataques reivindicados cresceram cerca de 50%. A conta só fecha porque menos vítimas pagam. Segundo a BleepingComputer, a taxa de pagamento caiu para 28% em 2025, recorde de baixa, contra 62,8% em 2024 e 78,9% em 2022. Em contrapartida, o pagamento mediano saltou de US$ 12.738 para cerca de US$ 59,5 mil. A consultoria de resposta a incidentes Coveware vê a mesma tendência em seus casos. No terceiro trimestre de 2025, apenas 23% das vítimas pagaram, o menor índice da série; quando o ataque envolvia só roubo de dados, sem criptografia, a taxa caiu para 19% (Security Affairs). O pagamento médio foi de US$ 376.941 e o mediano, US$ 140 mil. O relatório DBIR 2025 da Verizon aponta na mesma direção: 64% das vítimas não pagaram resgate, ante 50% dois anos antes, e o valor mediano pago caiu para US$ 115 mil (Help Net Security). O ransomware esteve presente em 44% das violações analisadas. Os números indicam uma mudança de modelo: grupos como Akira e Qilin apostam em volume alto e pedidos menores contra empresas de porte médio, enquanto grandes companhias recusam cada vez mais o pagamento por saberem que ele raramente impede o vazamento dos dados roubados, segundo a Coveware. FonteIndicadorValor ChainalysisTaxa de pagamento 202528% ChainalysisTotal pago em 2025~US$ 820 milhões CovewareTaxa de pagamento 3º tri 202523% CovewarePagamento mediano 3º tri 2025US$ 140 mil Verizon DBIR 2025Vítimas que não pagaram64% O risco de sanções: o alerta da OFAC Nos Estados Unidos, o principal risco jurídico de pagar é o de sanções. O aviso atualizado do Escritório de Controle de Ativos Estrangeiros (OFAC), de 21 de setembro de 2021, deixa claro que: a responsabilidade civil é objetiva: pode haver multa mesmo que a empresa não soubesse que o destinatário era sancionado; o risco alcança quem facilita o pagamento, como instituições financeiras, seguradoras cibernéticas e empresas de forense e resposta a incidentes; pedidos de licença para pagar a sancionados são analisados com presunção de negativa; reportar o ataque rapidamente às autoridades, como a CISA, e cooperar integralmente são fatores atenuantes significativos. O governo americano desencoraja fortemente o pagamento, lembrando que ele financia criminosos, estimula novos ataques e não garante a recuperação dos dados. Proibições e deveres de reporte O Reino Unido discute ir além. Segundo o escritório Goodwin, o governo segue desenvolvendo três propostas: proibir pagamentos por órgãos públicos e operadores de infraestrutura crítica; exigir que as demais organizações avisem as autoridades antes de pagar; e tornar obrigatória a notificação de incidentes de ransomware. Na consulta, 72% apoiaram a proibição para o setor público e infraestrutura crítica. Até fevereiro de 2026 não havia lei aprovada. Nos EUA, a lei CIRCIA prevê que entidades de infraestrutura crítica reportem à CISA em 24 horas qualquer pagamento de resgate. A regra final foi enviada à Casa Branca para revisão em 1º de outubro de 2026 e ainda não estava publicada, segundo a Paubox. E o seguro? As apólices cibernéticas muitas vezes cobrem extorsão, mas a cobertura depende dos controles declarados. Um alerta publicado na National Law Review em setembro de 2026 descreve seguradoras exigindo MFA, EDR, backups imutáveis e testados e gestão de acessos privilegiados, e cita um caso de 2022 em que um tribunal americano anulou a apólice porque a empresa declarou ter MFA em toda a rede, mas só o tinha no firewall. Como decidir: o que ponderar Backups: há cópias íntegras, offline e testadas? Se sim, o pagamento perde sentido. Dados roubados: pagar raramente impede o vazamento; a Coveware nota que grandes empresas recusam cada vez mais por isso. Sanções: faça triagem do grupo e das carteiras com assessoria especializada. Seguro: acione a seguradora antes de qualquer negociação e siga o painel de fornecedores aprovado. Autoridades: notifique cedo; isso pesa a favor da empresa. Governança: a decisão deve ser da alta administração, documentada e com parecer jurídico. Checklist preventivo Mantenha backups imutáveis e ensaie a restauração. Proteja acessos remotos com MFA resistente a phishing; acesso remoto comprometido esteve em mais da metade dos casos da Coveware no 3º trimestre de 2025. Defina antes do incidente quem decide sobre pagamento e com quais critérios. Tenha contatos prontos de seguradora, advogado, forense e autoridades. Sources: - BleepingComputer – Ransomware payment rate drops to record low (Chainalysis): https://www.bleepingcomputer.com/news/security/ransomware-payment-rate-drops-to-record-low-despite-attack-surge - The Record – Ransomware payments in 2025 (Chainalysis): https://therecord.media/ransomware-payments-chainalysis-cybercrime - Security Affairs – Ransomware payments hit record low: only 23% pay in Q3 2025 (Coveware): https://securityaffairs.com/183941/cyber-crime/ransomware-payments-hit-record-low-only-23-pay-in-Q3-2025.html - Help Net Security – Verizon 2025 DBIR: https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/ - OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments (2021): https://ofac.treasury.gov/media/912981/download - Goodwin – The UK's ransomware strategy (fev. 2026): https://goodwinlaw.com/en/insights/publications/2026/02/alerts-technology-dpc-the-uks-ransomware-strategy - Paubox – CIRCIA final rule: White House review (out. 2026): https://www.paubox.com/blog/circia-final-rule-white-house-deadlines-set-scope-open - National Law Review – How cyber insurance carriers are raising the bar: https://natlawreview.com/article/client-alert-tightening-gate-how-cyber-insurance-carriers-are-raising-bar --- ## Supply chain attacks: from SolarWinds and MOVEit to 2026 URL: https://cybertarget.live/en/artigos/cadeia-de-suprimentos-de-solarwinds-e-moveit-aos-ataques-de-2026 Date: 2026-10-04 Breaking into companies one by one is hard work. Compromising the software vendor, integration tool or code library they all use is far more efficient. Verizon's 2025 DBIR found third-party involvement in 30% of breaches, double the previous year's 15% (Help Net Security). The trust placed in a supplier can become the attacker's way in overnight. A legitimate update, an over-permissioned integration token or an automatically pulled open-source library can carry an intrusion past traditional controls. The defining cases SolarWinds (2020): Russian spies backdoored the Orion monitoring suite; about 18,000 organisations downloaded the poisoned update and roughly 100 were hacked. The SEC sued the company and its CISO, a judge set aside most claims in July 2024, and the SEC moved to dismiss on 20 November 2025 (The Register). MOVEit (2023): Cl0p exploited a file-transfer flaw, hitting 2,773 organisations and over 95.7 million individuals, 78.9% of known victims in the US (Emsisoft). 2025: tokens and packages Salesloft Drift: attackers accessed Salesloft's GitHub between March and June 2025, reached Drift's AWS environment and stole OAuth tokens to raid customers' Salesforce instances. Cloudflare said "hundreds" of firms were hit, including Google, Zscaler, Palo Alto Networks and CyberArk (The Register). Google attributed the activity to UNC6395. One broadly permissioned SaaS connector was enough to expose data at hundreds of customers. Shai-Hulud: CISA warned in September 2025 of a self-replicating worm that compromised more than 500 npm packages, stealing GitHub tokens and AWS, Google Cloud and Azure keys and spreading by publishing tainted versions under compromised developers' names (CISA). CISA advised pinning dependencies to releases before 16 September 2025, rotating all developer credentials immediately and mandating phishing-resistant MFA on GitHub and npm. 2026: same playbook, larger scale CM-Alliance lists TanStack's "Mini Shai-Hulud" compromise (attributed to TeamPCP, with OpenAI and Grafana among those affected), the "Megalodon" campaign that infected over 5,500 GitHub repositories in May 2026, a Vimeo–Anodot token breach exposing about 119,000 users, and a Trellix source-code breach. The pattern is consistent: attackers now target developer environments, CI/CD pipelines and access tokens rather than only the finished product. CaseYearVectorReach SolarWinds2020Poisoned update~18,000 downloads MOVEit2023File-transfer flaw2,773 orgs Salesloft Drift2025OAuth tokensHundreds of firms Shai-Hulud2025npm packages500+ packages Megalodon2026Malicious commits5,500+ repos Supply chain attacks also blur accountability. When the vendor is breached, the customer still owns the notification duties, the regulatory exposure and the reputational damage, which is why contracts and response playbooks matter as much as technical controls. Regulators are watching NIS2 lists supply chain security among minimum measures (McCann FitzGerald), and almost a third of major ICT incidents reported under DORA in 2025 stemmed from third parties (Ropes & Gray). Third-party risk checklist Inventory vendors, SaaS integrations and code dependencies. Prioritise those with privileged access or sensitive data. Review and expire OAuth tokens; revoke unused ones. Pin dependencies and monitor lock files. Enforce phishing-resistant MFA for developer accounts. Write notification deadlines, audit rights and exit plans into contracts. Prepare a response playbook for when the vendor is the one breached. Sources: - The Register – SEC drops SolarWinds lawsuit (nov. 2025): https://www.theregister.com/2025/11/20/sec_bails_on_solarwinds_lawsuit/ - Emsisoft – Unpacking the MOVEit breach: statistics and analysis: https://emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/ - Help Net Security – Verizon 2025 DBIR: third-party breaches double: https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/ - The Register – Drift breach entry via Salesloft GitHub: https://www.theregister.com/2025/09/08/drift_breach_entry_salesloft_github/ - CISA – Widespread supply chain compromise impacting npm ecosystem: https://www.cisa.gov/news-events/alerts/2025/09/23/widespread-supply-chain-compromise-impacting-npm-ecosystem - CM-Alliance – 5 of the biggest supply chain attacks of 2026 so far: https://www.cm-alliance.com/cybersecurity-blog/5-of-the-biggest-supply-chain-attacks-of-2026-so-far - Ropes & Gray – Lessons from the ESAs' first DORA major incident report: https://www.ropesgray.com/en/insights/viewpoints/102nbyc/lessons-from-the-european-supervisory-authorities-first-dora-major-incident-repo - McCann FitzGerald – Are you subject to NIS 2?: https://www.mccannfitzgerald.com/knowledge/cyber-security/impending-cybersecurity-obligations-are-you-subject-to-nis-2 --- ## Cadeia de suprimentos: de SolarWinds e MOVEit aos ataques de 2026 URL: https://cybertarget.live/pt/artigos/cadeia-de-suprimentos-de-solarwinds-e-moveit-aos-ataques-de-2026 Date: 2026-10-04 Atacar uma empresa de cada vez dá trabalho. Atacar o fornecedor de software, a ferramenta de integração ou a biblioteca de código usada por milhares de empresas é muito mais eficiente. Essa é a lógica dos ataques à cadeia de suprimentos, que passaram de exceção a padrão na última meia década. O relatório DBIR 2025 da Verizon mostra a dimensão: a participação de terceiros apareceu em 30% das violações analisadas, o dobro dos 15% do ano anterior (Help Net Security). Para quem decide, o desafio é que a confiança depositada num fornecedor vira, de uma hora para outra, a porta de entrada do invasor. Uma atualização legítima, um token de integração com permissão ampla ou uma biblioteca de código aberto baixada automaticamente podem carregar o ataque para dentro da rede sem acionar os controles tradicionais. Os casos que definiram o problema SolarWinds (2020) Espiões russos inseriram uma porta dos fundos no software de monitoramento Orion, da SolarWinds. Cerca de 18 mil organizações baixaram a atualização contaminada e aproximadamente 100 foram efetivamente invadidas pelo grupo conhecido como Cozy Bear, segundo o The Register. O caso teve também um capítulo jurídico: a SEC processou a empresa e seu CISO por falhas de divulgação, um juiz rejeitou a maior parte das acusações em julho de 2024 e, em 20 de novembro de 2025, a SEC pediu o arquivamento da ação. MOVEit (2023) O grupo Cl0p explorou uma falha no software de transferência de arquivos MOVEit e extraiu dados em massa. A contagem da Emsisoft chegou a 2.773 organizações e mais de 95,7 milhões de pessoas afetadas, com 78,9% das vítimas conhecidas nos EUA; educação (39,1%) e saúde (20,1%) foram os setores mais atingidos (Emsisoft). 2025: tokens, integrações e pacotes de código Salesloft Drift Em 2025, invasores entraram na conta GitHub da Salesloft entre março e junho, chegaram ao ambiente AWS da Drift e roubaram tokens OAuth das integrações de clientes. Com eles, acessaram instâncias Salesforce de várias empresas. A Cloudflare estimou "centenas" de companhias comprometidas; entre as vítimas citadas estão Google, Zscaler, Cloudflare, Palo Alto Networks, CyberArk e Elastic (The Register). O Google atribuiu os ataques ao grupo UNC6395. O caso mostrou que um único conector de SaaS, com permissões amplas e sem expiração curta, pode abrir o acesso a dados de centenas de clientes de uma vez. Shai-Hulud no npm Em setembro de 2025, a CISA alertou para um worm autorreplicante chamado Shai-Hulud que comprometeu mais de 500 pacotes no npm, o maior repositório de JavaScript. O malware buscava tokens do GitHub e chaves de nuvem (AWS, Google Cloud, Azure) e se espalhava publicando versões contaminadas em nome dos desenvolvedores invadidos (CISA). As credenciais roubadas eram enviadas a um servidor dos atacantes e expostas em um repositório público. A agência recomendou fixar dependências em versões anteriores a 16 de setembro de 2025, trocar imediatamente todas as credenciais de desenvolvedores e exigir MFA resistente a phishing nas contas de GitHub e npm. 2026: a mesma tática, em escala Levantamento da CM-Alliance publicado em junho de 2026 lista alguns dos maiores casos do ano: TanStack ("Mini Shai-Hulud"): pacotes populares adulterados para roubar credenciais do GitHub, segredos de nuvem e tokens de CI/CD; a OpenAI relatou dois dispositivos de funcionários afetados e a Grafana recusou um pedido de extorsão. Atribuído ao grupo TeamPCP; Campanha "Megalodon": commits maliciosos disfarçados de contribuições automáticas infectaram mais de 5.500 repositórios no GitHub em maio de 2026; Vimeo–Anodot: tokens de um fornecedor de análise de dados expuseram cerca de 119 mil usuários do Vimeo; Trellix: vazamento de código-fonte divulgado em maio de 2026, ligado à mesma atividade do TeamPCP. CasoAnoVetorAlcance SolarWinds2020Atualização de software adulterada~18 mil baixaram; ~100 invadidas MOVEit2023Falha em transferência de arquivos2.773 organizações Salesloft Drift2025Tokens OAuth de integração"Centenas" de empresas Shai-Hulud2025Pacotes npm500+ pacotes Megalodon2026Commits maliciosos no GitHub5.500+ repositórios O padrão se repete: os alvos passaram a ser o ambiente do desenvolvedor, o pipeline de integração contínua e os tokens de acesso, e não mais apenas o produto final. O que os reguladores já cobram Na Europa, a NIS2 inclui a segurança da cadeia de suprimentos entre as medidas mínimas, com diligência sobre fornecedores e exigências contratuais (McCann FitzGerald). No setor financeiro, o primeiro relatório do DORA mostrou que quase um terço dos incidentes graves de TIC em 2025 veio de falhas de terceiros (Ropes & Gray). Como gerenciar o risco de terceiros Inventário: saiba quais fornecedores, integrações SaaS e bibliotecas de código acessam seus dados e sistemas. Classificação: priorize os que têm acesso privilegiado ou guardam dados sensíveis. Tokens e integrações: revise permissões OAuth, revogue as que não são usadas e defina validade curta. Dependências de código: fixe versões, revise arquivos de lock e monitore pacotes, como recomendou a CISA. Credenciais de desenvolvedores: exija MFA resistente a phishing no GitHub e no npm e troque segredos após qualquer alerta. Contratos: inclua prazos de notificação de incidentes, direito de auditoria e plano de saída. Resposta: tenha um roteiro para quando o fornecedor for o invadido. Sources: - The Register – SEC drops SolarWinds lawsuit (nov. 2025): https://www.theregister.com/2025/11/20/sec_bails_on_solarwinds_lawsuit/ - Emsisoft – Unpacking the MOVEit breach: statistics and analysis: https://emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/ - Help Net Security – Verizon 2025 DBIR: third-party breaches double: https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/ - The Register – Drift breach entry via Salesloft GitHub: https://www.theregister.com/2025/09/08/drift_breach_entry_salesloft_github/ - CISA – Widespread supply chain compromise impacting npm ecosystem: https://www.cisa.gov/news-events/alerts/2025/09/23/widespread-supply-chain-compromise-impacting-npm-ecosystem - CM-Alliance – 5 of the biggest supply chain attacks of 2026 so far: https://www.cm-alliance.com/cybersecurity-blog/5-of-the-biggest-supply-chain-attacks-of-2026-so-far - Ropes & Gray – Lessons from the ESAs' first DORA major incident report: https://www.ropesgray.com/en/insights/viewpoints/102nbyc/lessons-from-the-european-supervisory-authorities-first-dora-major-incident-repo - McCann FitzGerald – Are you subject to NIS 2?: https://www.mccannfitzgerald.com/knowledge/cyber-security/impending-cybersecurity-obligations-are-you-subject-to-nis-2 --- ## Passkeys, MFA and the end of passwords: what stops account takeover URL: https://cybertarget.live/en/artigos/passkeys-mfa-e-o-fim-das-senhas-o-que-barra-a-tomada-de-conta Date: 2026-10-03 Passwords remain the weakest link. Microsoft's Digital Defense Report 2025 says identity attacks rose 32% in the first half of 2025 and 97% were password spray or brute force (Expert Insights). Verizon's 2025 DBIR found stolen credentials were the top breach vector at 22% (Help Net Security). Account takeover is the gateway to many other crimes: bank fraud, scams run from a victim's social media profile, business email compromise and network intrusions that end in ransomware. A single reused password can open all of those doors. Not all MFA is equal Microsoft says modern MFA blocks more than 99% of unauthorised access attempts. But attackers have learned to bypass weaker forms. CISA's guidance, summarised by Bricker Graydon, ranks them: MethodCISA viewMain threats FIDO/WebAuthn (passkeys, security keys) and PKIPhishing-resistantLow exposure App OTP or pushVulnerableReal-time phishing, push bombing SMS, voice, emailLast resortSIM swap, SS7 flaws Where push remains, CISA recommends number matching and a phased migration starting with email, file servers, remote access and high-value users. Passkeys Passkeys are FIDO credentials bound cryptographically to the legitimate site, so there is nothing to hand over on a fake page. FIDO's first Passkey Index (14 October 2025), with data from Amazon, Google, Microsoft, PayPal, Target, TikTok and others, found 93% of accounts eligible, 36% enrolled, 26% of sign-ins using passkeys, a 93% success rate versus 63% for other methods, 8.5-second logins versus 31.2 seconds and an 81% drop in login help-desk incidents (FIDO Alliance). The 2026 Index (15 October) reports 36% of successful sign-ins now use a passkey, with 93% success against 78% for traditional MFA; every participant measuring phishing saw fewer successful attacks, and every participant reporting cost data saw lower SMS one-time-password spending (FIDO Alliance). Usage is growing faster than enrolment, a sign that people who set up a passkey keep using it. NIST's password rules The final NIST SP 800-63B, reviewed by Intercede, drops forced periodic changes and composition rules, supports passphrases of at least 15 characters, requires screening against breached-password lists and clarifies the use of syncable authenticators such as passkeys at AAL2 and AAL3. Synced or device-bound? Synced passkeys live in platform credential managers and move across a user's devices, which suits most consumers. Device-bound passkeys, such as hardware security keys, never leave the device and are preferable for administrators and very high-value accounts. Either is far stronger than a password plus SMS code. Remaining gaps Session-token and machine-credential theft bypass login altogether. The 2025 Shai-Hulud npm worm hunted GitHub tokens and cloud keys; CISA urged credential rotation and phishing-resistant MFA for developers (CISA). Weak account recovery can also undo a strong login. Checklist Turn on passkeys or FIDO keys for email, banking and cloud. Start with admins, remote access and finance teams. Enable number matching if you keep push. Retire SMS where alternatives exist. Harden account recovery. Monitor and expire session and API tokens. Block passwords found in breach lists. Sources: - Expert Insights – 97% of identity attacks involve passwords (Microsoft Digital Defense Report 2025): https://expertinsights.com/news/97-of-identity-attacks-involve-passwords-says-microsoft - Bricker Graydon – CISA guidance discourages app-based, SMS and voice MFA: https://www.bricker.com/hitech-law/cisa-guidance-discourages-use-of-app-based-sms-and-voice-mfas-and-encourages-phishing-resistant-mfas - FIDO Alliance – Passkey Index 2025: https://fidoalliance.org/fido-alliance-launches-passkey-index-revealing-significant-passkey-uptake-and-business-benefits/ - FIDO Alliance – Passkey Index 2026: https://fidoalliance.org/passkey-index-2026/ - Intercede – From draft to final: NIST's latest password guidance: https://www.intercede.com/from-draft-to-final-whats-new-in-nists-latest-password-guidance/ - Help Net Security – Verizon 2025 DBIR: https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/ - CISA – Widespread supply chain compromise impacting npm ecosystem: https://www.cisa.gov/news-events/alerts/2025/09/23/widespread-supply-chain-compromise-impacting-npm-ecosystem --- ## Passkeys, MFA e o fim das senhas: o que barra a tomada de conta URL: https://cybertarget.live/pt/artigos/passkeys-mfa-e-o-fim-das-senhas-o-que-barra-a-tomada-de-conta Date: 2026-10-03 A senha continua sendo o elo mais fraco da segurança digital. Segundo o relatório Microsoft Digital Defense Report 2025, os ataques de identidade cresceram 32% no primeiro semestre de 2025, e 97% deles foram de password spray ou força bruta (Expert Insights). No DBIR 2025 da Verizon, credenciais roubadas foram o principal vetor de violação, com 22% dos casos (Help Net Security). A tomada de conta (account takeover) é a porta de entrada de muitos outros crimes: fraude bancária, golpes com o perfil da vítima em redes sociais, comprometimento de e-mail corporativo e invasões de rede que terminam em ransomware. Uma única senha reaproveitada pode abrir todas essas portas. A boa notícia é que existe defesa eficaz. A má é que nem todo segundo fator protege igual. MFA funciona, mas há MFA e MFA A Microsoft afirma que ferramentas modernas de autenticação multifator bloqueiam mais de 99% das tentativas de acesso não autorizado e chama o MFA de a medida de segurança mais importante que uma organização pode adotar. Mas os criminosos aprenderam a contornar as versões mais simples. A agência americana CISA publicou em outubro de 2022 uma hierarquia que segue como referência, resumida pelo escritório Bricker Graydon: MétodoAvaliação da CISAPrincipais ameaças FIDO/WebAuthn (passkeys, chaves físicas) e PKI (smart cards)Resistente a phishing, recomendadoBaixa exposição App com código ou notificação pushVulnerávelPhishing em tempo real, "fadiga de MFA" (push bombing) SMS, voz ou e-mailÚltimo recursoSIM swap, falhas do protocolo SS7, phishing Para quem ainda usa push, a CISA recomenda ativar a correspondência de números (o usuário digita no app o número exibido na tela de login), o que reduz a aprovação por cansaço. E sugere migrar por fases, começando por e-mail, servidores de arquivos, acesso remoto e usuários de alto valor, como administradores, advogados e RH. Passkeys: a senha que não pode ser roubada As passkeys são credenciais baseadas no padrão FIDO. Em vez de uma senha que o usuário digita e que pode ser capturada num site falso, o dispositivo guarda uma chave criptográfica vinculada ao endereço legítimo do serviço. Sem o site certo, não há o que entregar ao golpista. O primeiro Passkey Index da FIDO Alliance, lançado em 14 de outubro de 2025 com dados de empresas como Amazon, Google, Microsoft, PayPal, Target e TikTok, mostrou (FIDO Alliance): 93% das contas eram elegíveis a passkeys e 36% já tinham uma cadastrada; 26% dos logins usavam passkey; taxa de sucesso de login de 93%, contra 63% de outros métodos; tempo médio de 8,5 segundos, contra 31,2 segundos; queda de 81% nos chamados de suporte ligados a login. A edição de 2026, publicada em 15 de outubro, indica que 36% dos logins bem-sucedidos já usam passkey, acima dos 26% de 2025, com taxa de sucesso de 93% contra 78% do MFA tradicional (FIDO Alliance). Todos os participantes que medem phishing relataram menos ataques bem-sucedidos após a adoção, e todos os que informaram custos registraram economia com SMS. O que diz o NIST sobre senhas Na prática, a adoção cresce mais rápido no uso do que no cadastro: o índice de 2026 registra que o número de contas com passkey avançou mais devagar que o de logins feitos com ela, sinal de que quem cadastra passa a usar com frequência. Sincronizada ou presa ao dispositivo? Há dois tipos de passkey. As sincronizáveis ficam guardadas no gerenciador do sistema (como as contas Apple, Google ou Microsoft) e passam de um aparelho para outro, o que facilita a vida do usuário comum. As vinculadas a um dispositivo, como chaves físicas de segurança, não saem dele e são preferidas para administradores e contas de altíssimo valor. A escolha depende do risco: para a maioria das pessoas, qualquer passkey já é muito superior a senha com SMS. A versão final da diretriz NIST SP 800-63B, analisada pela empresa Intercede, consolidou mudanças que contrariam práticas antigas: nada de troca periódica obrigatória; a senha só deve mudar se houver indício de comprometimento; regras de composição (maiúscula, número, símbolo) são desnecessárias e podem piorar a segurança; usuários devem poder criar frases-senha de pelo menos 15 caracteres; senhas devem ser checadas contra listas de credenciais vazadas; autenticadores sincronizáveis, como passkeys, passam a ter uso esclarecido nos níveis AAL2 e AAL3. Onde ainda há brechas Passkeys não resolvem tudo. Ataques que roubam tokens de sessão ou credenciais de máquina contornam o login. O worm Shai-Hulud, que atingiu o npm em 2025, buscava justamente tokens do GitHub e chaves de nuvem; a CISA recomendou trocar credenciais de desenvolvedores e exigir MFA resistente a phishing nessas contas (CISA). Processos de recuperação de conta por SMS ou atendimento telefônico também podem reabrir a porta que a passkey fechou. Checklist contra tomada de conta Ative passkeys ou chaves FIDO em e-mail, banco, nuvem e redes sociais. Nas empresas, comece por administradores, acesso remoto e equipes financeiras. Se usar push, ligue a correspondência de números. Abandone SMS como segundo fator onde houver alternativa. Endureça a recuperação de conta: ela não pode ser mais fraca que o login. Monitore e expire tokens de sessão e de API. Bloqueie senhas presentes em listas de vazamento. Sources: - Expert Insights – 97% of identity attacks involve passwords (Microsoft Digital Defense Report 2025): https://expertinsights.com/news/97-of-identity-attacks-involve-passwords-says-microsoft - Bricker Graydon – CISA guidance discourages app-based, SMS and voice MFA: https://www.bricker.com/hitech-law/cisa-guidance-discourages-use-of-app-based-sms-and-voice-mfas-and-encourages-phishing-resistant-mfas - FIDO Alliance – Passkey Index 2025: https://fidoalliance.org/fido-alliance-launches-passkey-index-revealing-significant-passkey-uptake-and-business-benefits/ - FIDO Alliance – Passkey Index 2026: https://fidoalliance.org/passkey-index-2026/ - Intercede – From draft to final: NIST's latest password guidance: https://www.intercede.com/from-draft-to-final-whats-new-in-nists-latest-password-guidance/ - Help Net Security – Verizon 2025 DBIR: https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/ - CISA – Widespread supply chain compromise impacting npm ecosystem: https://www.cisa.gov/news-events/alerts/2025/09/23/widespread-supply-chain-compromise-impacting-npm-ecosystem --- ## Cyber insurance market: prices, exclusions and insurer demands URL: https://cybertarget.live/en/artigos/seguro-cibernetico-precos-exclusoes-e-o-que-as-seguradoras-exigem Date: 2026-10-02 Cyber insurance has gone through a full cycle in a few years: soaring premiums, tougher underwriting and now a softer, more competitive market. But insurers want proof that declared controls exist, and exclusions have become sharper. Market size Munich Re estimates global cyber premiums at nearly $15 billion in 2025 and projects about $28 billion by 2030, though growth has slowed for three years (Munich Re). It also says most cyber risk remains uninsured, nearly nine in ten executives feel inadequately protected, and ransomware, data breaches, business email compromise and DDoS drive insured losses, mostly at micro and small firms (Munich Re). Prices Marsh reported on 21 October 2026 that global cyber rates fell 4% in Q3 2026, the thirteenth straight quarterly decline. US rates were flat after a long run of cuts; the UK, Latin America, the Pacific and Europe saw reductions (Marsh). Across all commercial lines, composite rates fell 5%. For buyers, the soft market is a chance to negotiate broader cover, but it has not loosened the evidence insurers expect at underwriting and at claim time. Brazil CNseg data cited by CQCS show Brazilian cyber premiums of about R$134.6 million in January–April 2026 (+71.1%) and claims paid of almost R$30 million (+253.1%). The regulator Susep issued a guidance manual on cybersecurity for supervised insurers. MetricValueSource Global premiums 2025~$15bnMunich Re 2030 projection~$28bnMunich Re Global rate change Q3 2026-4%Marsh US rate change Q3 2026FlatMarsh Brazil premiums Jan–Apr 2026R$134.6m (+71.1%)CNseg What insurers require A September 2026 alert in the National Law Review lists MFA on remote access, email and privileged accounts (SMS seen as inadequate), EDR on every endpoint, immutable offline backups with tested restores, patch deadlines for critical flaws, privileged access management, evidenced training, tested incident response plans, DMARC/DKIM/SPF and segmentation. High-limit markets increasingly want independent evidence such as scans, penetration tests or SOC 2 reports. It cites Travelers v. International Control Services (2022), where a US court allowed rescission because the application claimed enterprise-wide MFA for remote and administrative access but investigators found it only on the firewall. Courts may permit denial or rescission even for negligent or good-faith misstatements if they were material to the risk, and carriers attribute many non-payment outcomes to inadequate controls, misrepresentations and late notice. Key exclusions Since 31 March 2023, Lloyd's has required stand-alone cyber policies to carry a state-backed cyber-attack exclusion under bulletin Y5381, covering war and attacks that severely impair a state, with a robust attribution method (Kennedys). In the US, OFAC warns that insurers facilitating ransom payments to sanctioned parties face strict liability (OFAC). Checklist Answer applications precisely and by system, disclosing exceptions. Keep dated evidence of MFA, EDR, backups and training. Read war, state-act and infrastructure definitions. Check sublimits for extortion, social engineering and business interruption. Confirm claim-notice deadlines and the insurer's mandatory response-vendor panel. Use the soft market to negotiate limits and retentions, not just price. Sources: - Munich Re – Global Cyber Risk and Insurance Survey 2026: https://www.munichre.com/en/insights/cyber/global-cyber-risk-and-insurance-survey-2026.content.html - Munich Re – Cyber insurance: Risks and trends 2026: https://www.munichre.com/en/insights/cyber/cyber-insurance-risks-and-trends-2026.html - Marsh – Global commercial insurance rates fall 5% in Q3 2026: https://www.marsh.com/en/corp/about/news/global-commercial-insurance-falls-5-percent-q3-2026.html - CQCS/CNseg – Indenizações do seguro cibernético crescem 253% (jul. 2026): https://cqcs.com.br/noticia/indenizacoes-do-seguro-cibernetico-crescem-253-enquanto-susep-reforca-orientacoes-para-seguranca-digital/ - Kennedys – New Lloyd's Market Bulletin addresses state-backed cyber attacks: https://kennedyslaw.com/thought-leadership/article/new-lloyd-s-market-bulletin-addresses-state-backed-cyber-attacks - National Law Review – How cyber insurance carriers are raising the bar on conditions precedent: https://natlawreview.com/article/client-alert-tightening-gate-how-cyber-insurance-carriers-are-raising-bar - OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments: https://ofac.treasury.gov/media/912981/download --- ## Seguro cibernético: preços, exclusões e o que as seguradoras exigem URL: https://cybertarget.live/pt/artigos/seguro-cibernetico-precos-exclusoes-e-o-que-as-seguradoras-exigem Date: 2026-10-02 O seguro cibernético passou por um ciclo completo em poucos anos: explosão de prêmios, endurecimento das regras de contratação e, agora, um mercado mais competitivo, com preços em queda. Mas a facilidade é só aparente. As seguradoras querem provas de que os controles declarados existem, e as exclusões ficaram mais precisas. O tamanho do mercado A resseguradora Munich Re estima que os prêmios globais de seguro cibernético chegaram a quase US$ 15 bilhões em 2025 e projeta cerca de US$ 28 bilhões em 2030 (Munich Re). A empresa observa que o crescimento desacelerou nos últimos três anos, depois de uma alta excepcional, e sua pesquisa de 2026, com mais de 9.500 entrevistados em 20 países, aponta grande potencial de expansão. Em outra análise, a Munich Re afirma que a maior parte dos riscos cibernéticos ainda não tem seguro, embora seja segurável, e que quase nove em cada dez executivos ouvidos não se sentem adequadamente protegidos (Munich Re). Ransomware, vazamento de dados, fraude por e-mail corporativo (BEC) e DDoS são os quatro principais motores de perdas seguradas, e a maior parte dos incidentes atinge microempresas e pequenas e médias empresas. Preços: 13 trimestres de queda Segundo o índice global da corretora Marsh, divulgado em 21 de outubro de 2026, as taxas de seguro cibernético caíram 4% no terceiro trimestre de 2026, a 13ª queda trimestral consecutiva. Nos Estados Unidos, as taxas ficaram estáveis depois de um longo período de reduções; Reino Unido, América Latina, Pacífico e Europa também tiveram cortes (Marsh). No conjunto dos seguros empresariais, a queda foi de 5%. Brasil: mercado pequeno, sinistros em alta No Brasil, dados da Confederação Nacional das Seguradoras (CNseg) citados pelo CQCS mostram que, de janeiro a abril de 2026, os prêmios de seguro cibernético somaram cerca de R$ 134,6 milhões, alta de 71,1% sobre o mesmo período de 2025. As indenizações pagas cresceram ainda mais rápido: quase R$ 30 milhões, alta de 253,1%. A Susep publicou um Manual de Orientações sobre Segurança Cibernética, de caráter orientativo, para ajudar seguradoras, resseguradoras e demais supervisionadas a cumprir os requisitos mínimos de segurança previstos na regulação. IndicadorValorFonte Prêmios globais 2025~US$ 15 bilhõesMunich Re Projeção 2030~US$ 28 bilhõesMunich Re Variação de taxas, 3º tri 2026 (global)-4%Marsh Variação de taxas, 3º tri 2026 (EUA)EstávelMarsh Prêmios no Brasil, jan–abr 2026R$ 134,6 milhões (+71,1%)CNseg Indenizações no Brasil, jan–abr 2026~R$ 30 milhões (+253,1%)CNseg O que as seguradoras exigem Um alerta do escritório Shumaker, publicado na National Law Review em setembro de 2026, descreve o que as seguradoras passaram a tratar como condição para cobertura: MFA em acesso remoto, e-mail e contas privilegiadas; verificação por SMS é vista como insuficiente; EDR em todos os endpoints, com monitoramento contínuo; backups imutáveis e offline, separados do ambiente alcançável pelo invasor, com testes de restauração documentados; gestão de patches com prazos para vulnerabilidades críticas; gestão de acessos privilegiados e menor privilégio; treinamento de conscientização com evidências, plano de resposta a incidentes testado, autenticação de e-mail (DMARC, DKIM, SPF) e segmentação de rede. Mercados de limites altos pedem cada vez mais provas independentes, como varreduras externas, testes de intrusão ou relatórios SOC 2. O risco de declarar o que não tem O mesmo texto cita o caso Travelers v. International Control Services (2022), nos EUA: a empresa declarou ter MFA em toda a rede para acessos remotos e administrativos, mas a investigação encontrou MFA apenas no firewall. O tribunal anulou a apólice por declaração falsa relevante. Segundo o alerta, seguradoras atribuem muitas recusas a controles inadequados, declarações incorretas e aviso tardio do sinistro. As exclusões que mais pesam Guerra e ataques patrocinados por Estados Desde 31 de março de 2023, o Lloyd's de Londres exige que os sindicatos incluam em apólices cibernéticas autônomas uma exclusão para ataques patrocinados por Estados, conforme o boletim Y5381 (Kennedys). A cláusula deve excluir perdas de guerra e de ataques estatais que prejudiquem gravemente o funcionamento de um país, esclarecer o tratamento de sistemas fora do Estado atacado e prever um método robusto de atribuição. Pagamentos a sancionados Nos EUA, a OFAC lembra que seguradoras que facilitam pagamentos de resgate a pessoas sancionadas podem ser multadas mesmo sem saber da sanção (OFAC). Por isso, a cobertura de extorsão vem acompanhada de triagem de sanções e de exigência de notificação às autoridades. Checklist antes de contratar ou renovar Responda ao questionário com precisão e por sistema, informando exceções e planos de correção. Guarde evidências datadas de MFA, EDR, backups e treinamentos. Leia as definições de guerra, ato estatal e falha de infraestrutura. Verifique sublimites para extorsão, fraude de engenharia social e interrupção de negócios. Confira prazos de aviso de sinistro e o painel obrigatório de fornecedores de resposta. Aproveite o mercado em queda para negociar limites e franquias, não só preço. Sources: - Munich Re – Global Cyber Risk and Insurance Survey 2026: https://www.munichre.com/en/insights/cyber/global-cyber-risk-and-insurance-survey-2026.content.html - Munich Re – Cyber insurance: Risks and trends 2026: https://www.munichre.com/en/insights/cyber/cyber-insurance-risks-and-trends-2026.html - Marsh – Global commercial insurance rates fall 5% in Q3 2026: https://www.marsh.com/en/corp/about/news/global-commercial-insurance-falls-5-percent-q3-2026.html - CQCS/CNseg – Indenizações do seguro cibernético crescem 253% (jul. 2026): https://cqcs.com.br/noticia/indenizacoes-do-seguro-cibernetico-crescem-253-enquanto-susep-reforca-orientacoes-para-seguranca-digital/ - Kennedys – New Lloyd's Market Bulletin addresses state-backed cyber attacks: https://kennedyslaw.com/thought-leadership/article/new-lloyd-s-market-bulletin-addresses-state-backed-cyber-attacks - National Law Review – How cyber insurance carriers are raising the bar on conditions precedent: https://natlawreview.com/article/client-alert-tightening-gate-how-cyber-insurance-carriers-are-raising-bar - OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments: https://ofac.treasury.gov/media/912981/download --- ## How to build an incident response plan: the first 72 hours URL: https://cybertarget.live/en/artigos/como-montar-um-plano-de-resposta-a-incidentes-as-primeiras-72-horas Date: 2026-10-01 The clock on a cyber incident starts long before anyone understands what happened. Within 72 hours a company may need to contain the attack, preserve evidence, call its insurer, notify regulators in several countries and talk to customers. NIST's updated incident response guide, SP 800-61 Rev. 3 (April 2025), replaces the 2012 version and ties response to CSF 2.0 risk management (NIST). Its core message: response starts with preparation, not with the alarm. Companies that improvise in the first three days usually lose a deadline, evidence or customer trust, and often all three. Before: the plan A named crisis team: security, legal, privacy, communications, finance and executives. Severity criteria and clear decision rights. Ready contacts: insurer, counsel, forensics, authorities. Out-of-band communication channels. A regulatory map of deadlines by country and sector. Annual tabletop exercises. Hours 0–24: contain and preserve Record when the company became aware; many deadlines run from that moment. Isolate systems without destroying evidence. Rotate exposed credentials, privileged ones first. Notify the insurer before hiring vendors. Open a time-stamped decision log; regulators and lawyers will ask for it. Check 4-hour and 24-hour duties under DORA, NIS2 or CIRCIA. Hours 24–72: assess and notify RuleDeadlineRecipient Brazil LGPD (ANPD Res. 15/2024)3 business daysANPD and data subjects EU GDPR Art. 3372 hoursData protection authority EU NIS224h / 72h / 1 monthCSIRT or authority EU DORA4h after classification (max 24h) / 72h / 1 monthFinancial supervisor US SEC 8-K Item 1.054 business days after materialityInvestors US CIRCIA (rule pending)72h incident / 24h ransom paymentCISA US states30–60 days in 20 statesConsumers; AG in 36 states In Brazil, ANPD Resolution 15/2024 counts three business days from awareness that personal data were affected, doubled for small agents, with 20 business days to supplement and five-year record keeping (Cescon Barrieu). Under the GDPR, authorities must be notified within 72 hours unless the breach is unlikely to create risk, and every breach must be documented (AEPD). NIS2 requires a 24-hour early warning (Freshfields); DORA an initial notice within 4 hours of classification (FMA). In the US, listed companies file an 8-K within four business days of determining materiality, with a possible Attorney General delay (Hunton). CIRCIA's final rule was under White House review in October 2026 (Paubox). Twenty states set 30-to-60-day consumer deadlines (Privacy Rights Clearinghouse). For ransomware, OFAC treats prompt reporting and cooperation as significant mitigating factors (OFAC). Communication Legal notices and public messaging must tell the same story. Inconsistent statements to regulators, customers and the press are a common source of later liability. Speak early, with confirmed facts only, and avoid speculating about cause or attribution. Align statements with counsel and insurer. Tell customers what to do: change passwords, watch accounts, distrust unexpected contacts. Prepare spokespeople and a call-centre FAQ. Brief employees before the press. Update on a predictable schedule. 72-hour checklist Awareness time logged. Systems isolated, evidence preserved. Insurer and counsel engaged. Deadlines mapped and notices sent. Public and internal messages approved. Sources: - NIST – SP 800-61 Rev. 3: Incident Response Recommendations and Considerations: https://csrc.nist.gov/pubs/sp/800/61/r3/final - Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança: https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/ - AEPD – Notification of a personal data breach to the supervisory authority: https://www.aepd.es/en/rights-and-duties/fulfill-your-duties/measures-compliance/communication-of-personal-data-breaches-to-data-subjects - Freshfields – NIS2 Directive: https://freshfields.com/en/our-thinking/campaigns/tech-data-and-ai-the-digital-frontier/eu-digital-strategy/nis2-directive - FMA (Áustria) – DORA ICT-related incidents: https://www.fma.gv.at/en/dora-ict-related-incidents/ - Hunton – SEC finalizes cybersecurity disclosure requirements: https://www.hunton.com/insights/legal/sec-finalizes-cybersecurity-disclosure-requirements - Paubox – CIRCIA final rule: White House review (out. 2026): https://www.paubox.com/blog/circia-final-rule-white-house-deadlines-set-scope-open - Privacy Rights Clearinghouse – Data breach notification laws: 50-state survey (2026): https://privacyrights.org/resources-tools/reports/data-breach-notification-laws-50-state-survey-2026-edition - OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments: https://ofac.treasury.gov/media/912981/download --- ## Como montar um plano de resposta a incidentes: as primeiras 72 horas URL: https://cybertarget.live/pt/artigos/como-montar-um-plano-de-resposta-a-incidentes-as-primeiras-72-horas Date: 2026-10-01 O relógio de um incidente cibernético começa a correr muito antes de a empresa entender o que aconteceu. Em 72 horas, uma organização pode precisar conter o ataque, preservar provas, avisar a seguradora, notificar reguladores em mais de um país e falar com clientes. Quem improvisa nesse período quase sempre perde prazo, dados ou reputação. O NIST atualizou em abril de 2025 seu guia de resposta a incidentes, o SP 800-61 Rev. 3, que substituiu a versão de 2012 e integra a resposta à gestão de risco do Cybersecurity Framework 2.0 (NIST). A mensagem central: a resposta começa na preparação, não no alarme. Antes do incidente: o plano no papel Comitê de crise com nomes e substitutos: TI/segurança, jurídico, privacidade (DPO/encarregado), comunicação, finanças e a alta administração. Critérios de severidade e de quem decide desligar sistemas, acionar a seguradora ou considerar pagamento de resgate. Contatos prontos: seguradora, advogado, empresa de forense, autoridades e fornecedores críticos. Canais alternativos de comunicação, caso e-mail e chat corporativos estejam comprometidos. Mapa regulatório com os prazos aplicáveis em cada país e setor. Exercícios simulados pelo menos uma vez por ano. Horas 0 a 24: conter e preservar Confirme o incidente e registre a hora em que a empresa tomou conhecimento; muitos prazos legais contam a partir daí. Isole sistemas afetados sem apagar evidências: imagens de disco, logs e memória valem mais do que uma reinstalação apressada. Troque credenciais expostas, a começar pelas privilegiadas. Acione a seguradora antes de contratar fornecedores, para não perder cobertura. Abra um registro cronológico de decisões; ele será pedido por reguladores e advogados. Avalie se há prazos de 4 ou 24 horas aplicáveis (DORA, NIS2, CIRCIA). Horas 24 a 72: avaliar e notificar É a fase em que o jurídico assume o protagonismo. A tabela resume os principais prazos no Brasil, nos EUA e na UE: Jurisdição / normaPrazoPara quem Brasil – LGPD (Res. CD/ANPD 15/2024)3 dias úteisANPD e titulares UE – GDPR (art. 33)72 horasAutoridade de proteção de dados UE – NIS224h alerta / 72h notificação / 1 mês relatório finalCSIRT ou autoridade nacional UE – DORA4h após classificar (máx. 24h) / 72h / 1 mêsAutoridade financeira EUA – SEC (8-K, item 1.05)4 dias úteis após concluir que é materialInvestidores (empresas abertas) EUA – CIRCIA (regra final pendente)72h incidente / 24h pagamento de resgateCISA EUA – leis estaduais30 a 60 dias em 20 estados; demais "sem demora injustificada"Consumidores e, em 36 estados, procurador-geral ou agência Brasil A Resolução CD/ANPD nº 15/2024 fixa 3 dias úteis para comunicar à ANPD e aos titulares, contados de quando o controlador sabe que o incidente afetou dados pessoais. Agentes de pequeno porte têm prazo em dobro. Informações complementares podem ser enviadas em até 20 dias úteis, e os registros devem ser guardados por pelo menos cinco anos (Cescon Barrieu). União Europeia No GDPR, a notificação à autoridade deve ocorrer em até 72 horas após a ciência da violação, salvo quando improvável que gere risco aos titulares; se o risco for alto, os titulares também devem ser informados, e todas as violações precisam ser documentadas (AEPD). A NIS2 exige alerta em 24 horas, notificação em 72 horas e relatório final em um mês (Freshfields). No setor financeiro, o DORA pede notificação inicial em até 4 horas após a classificação como grave e no máximo 24 horas após a ciência (FMA). Estados Unidos Empresas abertas devem divulgar incidentes materiais no formulário 8-K em quatro dias úteis após concluir pela materialidade, decisão que deve ser tomada sem demora injustificada; o procurador-geral pode adiar a divulgação por razões de segurança nacional (Hunton). A lei CIRCIA prevê 72 horas para incidentes e 24 horas para pagamentos de resgate em infraestrutura crítica, mas a regra final ainda estava em revisão na Casa Branca em outubro de 2026 (Paubox). Nos estados, 20 fixam prazos de 30 a 60 dias para avisar consumidores, e 36 exigem aviso ao procurador-geral ou a outra agência (Privacy Rights Clearinghouse). Em caso de ransomware, a OFAC considera a comunicação rápida às autoridades e a cooperação integral fatores atenuantes relevantes (OFAC). Comunicação: o que dizer e quando Fale cedo, com fatos confirmados, e evite especular sobre causa ou autoria. Alinhe a mensagem com jurídico e seguradora antes de publicar. Diga aos clientes o que eles devem fazer (trocar senha, monitorar contas, desconfiar de contatos). Prepare porta-vozes e um FAQ para atendimento. Comunique funcionários antes da imprensa, para evitar vazamentos desencontrados. Atualize em intervalos previsíveis, mesmo sem novidades. Checklist das primeiras 72 horas Hora da ciência registrada. Sistemas isolados e evidências preservadas. Seguradora e advogado acionados. Prazos regulatórios mapeados por país e setor. Notificações enviadas ou agendadas. Mensagem pública e interna aprovada. Registro de decisões atualizado. Sources: - NIST – SP 800-61 Rev. 3: Incident Response Recommendations and Considerations: https://csrc.nist.gov/pubs/sp/800/61/r3/final - Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança: https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/ - AEPD – Notification of a personal data breach to the supervisory authority: https://www.aepd.es/en/rights-and-duties/fulfill-your-duties/measures-compliance/communication-of-personal-data-breaches-to-data-subjects - Freshfields – NIS2 Directive: https://freshfields.com/en/our-thinking/campaigns/tech-data-and-ai-the-digital-frontier/eu-digital-strategy/nis2-directive - FMA (Áustria) – DORA ICT-related incidents: https://www.fma.gv.at/en/dora-ict-related-incidents/ - Hunton – SEC finalizes cybersecurity disclosure requirements: https://www.hunton.com/insights/legal/sec-finalizes-cybersecurity-disclosure-requirements - Paubox – CIRCIA final rule: White House review (out. 2026): https://www.paubox.com/blog/circia-final-rule-white-house-deadlines-set-scope-open - Privacy Rights Clearinghouse – Data breach notification laws: 50-state survey (2026): https://privacyrights.org/resources-tools/reports/data-breach-notification-laws-50-state-survey-2026-edition - OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments: https://ofac.treasury.gov/media/912981/download --- ## Data protection and cybercrime laws by country - Brazil: LGPD (Lei 13.709/2018) – General Data Protection Law — authority ANPD (regulatory agency since 25 Feb 2026, Lei 15.352/2026) — max fine 2% of Brazilian revenue, capped at BRL 50M per infraction; ECA Digital: up to 10% of the group's Brazilian revenue — breach notification 3 business days to the ANPD and data subjects (Res. CD/ANPD 15/2024) (https://cybertarget.live/en/regulacao/BR) - United States: No general federal law; sectoral laws (FTC Act §5, HIPAA, COPPA) and 24 state laws (e.g. CCPA/CPRA) — authority FTC, SEC, HHS/OCR, CPPA (California), NYDFS and state attorneys general — max fine Per violation, varies by law; CPPA record: US$1.35M; breach settlements up to US$700M (Equifax) — breach notification SEC 8-K: 4 business days after materiality; NYDFS: 72h (extortion payment 24h); CIRCIA (pending): 72h / 24h (https://cybertarget.live/en/regulacao/US) - Mexico: LFPDPPP (Official Gazette, 20 Mar 2025) — authority Secretaría Anticorrupción y Buen Gobierno (INAI's successor) — max fine Set in UMA units (cap not verified) — breach notification — (https://cybertarget.live/en/regulacao/MX) - Colombia: Ley 1581 de 2012 (Data Protection Law) — authority SIC (Superintendencia de Industria y Comercio) — max fine Up to 2,000 monthly minimum wages (art. 23) — breach notification — (https://cybertarget.live/en/regulacao/CO) - Chile: Ley 21.719 (personal data) and Ley 21.663 (Ley Marco de Ciberseguridad) — authority Agencia de Protección de Datos Personales and ANCI (cybersecurity) — max fine Law 21.719: up to 20,000 UTM or 4% of revenue (repeat offense); Law 21.663: up to 40,000 UTM for OIVs — breach notification ANCI: early warning in 3h, preliminary report in 72h (24h for OIVs), final report in 15 days (https://cybertarget.live/en/regulacao/CL) - Argentina: Ley 25.326 (2000) – Personal Data Protection Law — authority AAIP (Agencia de Acceso a la Información Pública) — max fine — — breach notification — (https://cybertarget.live/en/regulacao/AR) - Peru: Ley 29.733 + Regulation DS 016-2024-JUS — authority ANPD-Peru (Ministry of Justice and Human Rights) — max fine — — breach notification 48h (2024 Regulation) (https://cybertarget.live/en/regulacao/PE) - Uruguay: Ley 18.331 (2008) – Personal Data Protection Law — authority URCDP (Unidad Reguladora y de Control de Datos Personales) — max fine — — breach notification 72h (Ley 19.670/2018) (https://cybertarget.live/en/regulacao/UY) - European Union: GDPR (Regulation 2016/679) — authority National data protection authorities + EDPB — max fine €20M or 4% of global turnover — breach notification GDPR: 72h; NIS2: 24h early warning, 72h notification, final report in 1 month (https://cybertarget.live/en/regulacao/EU) - Germany: GDPR + StGB (computer crimes) — authority BfDI (federal authority) — max fine €20M or 4% (GDPR); e.g. Vodafone €45M (2025) — breach notification 72h (GDPR) (https://cybertarget.live/en/regulacao/DE) - France: GDPR + Code pénal (art. 323-1 et seq.) — authority CNIL — max fine €20M or 4% (GDPR); e.g. Google €325M (2025) — breach notification 72h (GDPR) (https://cybertarget.live/en/regulacao/FR) - Italy: GDPR — authority Garante per la protezione dei dati personali — max fine €20M or 4% (GDPR); e.g. Enel Energia €79M (2024) — breach notification 72h (GDPR) (https://cybertarget.live/en/regulacao/IT) - United Kingdom: UK GDPR + Data (Use and Access) Act 2025 — authority ICO (Information Commissioner's Office) — max fine £17.5M or 4% (UK GDPR; extended to PECR by the DUAA) — breach notification — (https://cybertarget.live/en/regulacao/GB) - India: DPDP Act 2023 + DPDP Rules 2025 — authority Data Protection Board of India (appeals to TDSAT) — max fine Up to ₹250 crore (security safeguards); ₹200 crore (unreported breach or children); ₹50 crore (other) — breach notification Data principals: "without delay" (https://cybertarget.live/en/regulacao/IN) - China: PIPL + Cybersecurity Law (CSL, amended) — authority CAC (Cyberspace Administration of China) — max fine PIPL: RMB 50M or 5% of annual revenue; CSL: up to RMB 10M in serious cases — breach notification Relatively serious incident: preliminary in 4h, full report in 72h, analysis within 30 days (https://cybertarget.live/en/regulacao/CN) - Japan: APPI (Act on the Protection of Personal Information) — authority PPC (Personal Information Protection Commission) — max fine Up to ¥100M for companies that breach orders — breach notification Preliminary "promptly" (about 3–5 days); final within 30 days (60 if wilful) (https://cybertarget.live/en/regulacao/JP) - Singapore: PDPA (Personal Data Protection Act) — authority PDPC (Personal Data Protection Commission) — max fine 10% of local turnover (if > S$10M) or S$1M — breach notification 3 calendar days after assessment (https://cybertarget.live/en/regulacao/SG) - South Korea: PIPA (Personal Information Protection Act) — authority PIPC (Personal Information Protection Commission) — max fine — — breach notification — (https://cybertarget.live/en/regulacao/KR) - Australia: Privacy Act 1988 (POLA Act 2024 reform) — authority OAIC (Office of the Australian Information Commissioner) — max fine Greatest of A$50M, 3x the benefit obtained or 30% of adjusted turnover — breach notification — (https://cybertarget.live/en/regulacao/AU)