Violação de dados da Ecopetrol em 2026

O impacto confirmado foi o download de arquivos corporativos de recursos de armazenamento em nuvem usados por aproximadamente 15 empresas do grupo, incluindo a Ecopetrol. A empresa informou que 3.300 era o número de contas de usuários associadas ao acesso não autorizado, e não uma contagem de registros distintos de identidade roubados. Portanto, a contagem de afetados no LeakData representa o número de contas envolvidas e não significa que dados pessoais de 3.300 pessoas tenham sido expostos.

A Ecopetrol afirmou que continuava classificando os arquivos baixados e avaliando sua criticidade; seus comunicados públicos não listaram os campos específicos contidos nesses arquivos. Este registro não inclui nomes, endereços de e-mail, números de telefone, números de identificação ou senhas como tipos de dados sem confirmação. A categoria de dados se limita à categoria confirmada de arquivos corporativos armazenados em nuvem.

Segundo a atualização de 20 de julho, as identidades dos usuários associados às 3.300 contas não foram comprometidas e nenhuma credencial de acesso de usuário foi capturada. A empresa também não constatou perda de integridade das informações, apesar das tentativas do invasor de destruir, excluir ou criptografar dados. Por isso, senhas e dados de identidade dos usuários não estão incluídos entre as categorias de dados.

A Ecopetrol informou que não houve comprometimento das soluções tecnológicas transacionais em seu ecossistema digital, em suas subsidiárias ou em sua rede de parceiros comerciais e financeiros, fornecedores e clientes. As operações continuaram sem interrupção. Essas constatações não tornam o evento insignificante: a confidencialidade dos arquivos foi violada, enquanto o impacto divulgado sobre a integridade dos sistemas e os ambientes transacionais permaneceu contido.

O invasor externo enviou exigências de extorsão, ameaçando divulgar informações extraídas ilegalmente. Esse padrão corresponde à etapa de roubo de dados da dupla extorsão, na qual as informações são roubadas antes da exigência de pagamento, mesmo quando a criptografia não é bem-sucedida. O comunicado da Ecopetrol distingue cuidadosamente a tentativa de ransomware bloqueada do download de arquivos e da extorsão que de fato ocorreram.

A empresa não identificou o autor do ataque, o malware nem o método de acesso inicial. Não foi publicada nenhuma atribuição confirmada a um grupo conhecido de ransomware, por isso este registro não especula sobre o nome de um grupo, uma vulnerabilidade ou uma técnica de invasão. Uma alegação unilateral em um site de vazamentos não deve ampliar o registro, a menos que a empresa ou uma fonte investigativa confiável a verifique.

A Ecopetrol afirmou que revogou imediatamente o acesso não autorizado, bloqueou mecanismos associados a downloads em massa e identificou e conteve as táticas, técnicas e procedimentos do invasor. A empresa buscou impor restrições à infraestrutura externa usada para armazenar ou baixar as informações. A classificação do material baixado e a avaliação de sua criticidade também fizeram parte do plano de resposta.

A empresa apresentou uma denúncia criminal à Procuradoria-Geral da Colômbia e trabalhou com o ColCERT, a diretoria especializada em crimes cibernéticos, o Comando Cibernético Conjunto das Forças Armadas e as unidades de crimes cibernéticos da polícia nacional. As equipes de seguros e de mercado de capitais foram acionadas para administrar os custos de investigação, remediação e obrigações regulatórias. Em 20 de julho, a contenção estava em fase avançada, embora a análise dos arquivos ainda estivesse em andamento.

Como a empresa afirmou que as identidades e as credenciais de acesso dos usuários não foram capturadas, este incidente não deve ser usado para alegar que todas as senhas foram roubadas. Ainda assim, as equipes que trocam arquivos com a Ecopetrol ou suas subsidiárias devem examinar downloads incomuns, links de compartilhamento, eventos envolvendo novos dispositivos e alertas de acesso, desativar links públicos desnecessários e aplicar o princípio do menor privilégio às pastas sensíveis.

Dados autênticos sobre projetos, fornecedores ou funcionários presentes em arquivos corporativos podem servir de base para phishing direcionado. Verifique por canais independentes as mensagens que dizem “pague para evitar a divulgação”, “revalide o acesso ao documento” ou “instale esta atualização de segurança”. Clientes e fornecedores podem levar em conta que não foi identificado comprometimento dos sistemas transacionais, mantendo a cautela com anexos e links inesperados enviados em nome da Ecopetrol.

O valor de 3.300 corresponde ao número de contas de usuários que a Ecopetrol associou aos dados baixados; ele não significa que informações de identidade de 3.300 pessoas tenham sido roubadas. A empresa afirmou expressamente que as identidades e as credenciais dos usuários não foram comprometidas.

Este registro abrange apenas o incidente de download de arquivos em nuvem e extorsão divulgado em julho de 2026. Ele não descreve a tentativa bloqueada de ransomware como uma criptografia bem-sucedida nem presume que os campos não divulgados dos arquivos continham dados pessoais. Se a Ecopetrol publicar posteriormente as categorias dos arquivos, a data exata da invasão ou outros impactos verificados, o registro deverá ser atualizado apenas para refletir essas novas evidências oficiais.