# Ataques Conti à Costa Rica 2022 > [!critical] Primeira vez que ransomware levou país a declarar emergência nacional > Em abril e maio de 2022, o grupo **Conti** executou uma série de ataques devastadores contra o governo da **Costa Rica**, levando o presidente recém-empossado Rodrigo Chaves a declarar **emergência nacional** - a primeira vez na história que um país declarou estado de emergência específicamente em resposta a um ataque de ransomware. O ataque paralisou 30 agências governamentais. ## Visão Geral O ataque do [[conti-ransomware-campaigns]] à Costa Rica em abril de 2022 representou um marco histórico na evolução do cibercrime: pela primeira vez, um ataque de ransomware forçou um governo soberano a declarar estado de emergência nacional. O incidente expôs a vulnerabilidade crítica de governos com infraestrutura digital subestimada e demonstrou como grupos criminosos organizados podem paralisar os serviços fundamentais de um Estado. O grupo Conti, um dos mais sofisticados e prolíficos grupos de ransomware até então, iniciou os ataques em 17 de abril de 2022, pouco antes da transmissão de cargo presidencial na Costa Rica. O timing foi interpretado como deliberado - atacar durante uma transição de governo para maximizar a desordem e pressão. O Ministério da Fazenda foi o primeiro e mais impactado alvo, comprometendo sistemas de arrecadação de impostos, importações e exportações. Os ataques se expandiram para pelo menos 27 agências governamentais costarriquenhas, incluindo o Instituto Costarriquense de Electricidad (ICE), a Caja Costarricense de Seguro Social (CCSS) e o Ministerio de Salud. A extensão dos danos foi avaliada em dezenas de milhões de dólares, com o sistema tributário paralisado por semanas, atrasando exportações e causando prejuízo econômico significativo. O contexto LATAM é fundamental: o ataque à Costa Rica serviu como alerta para toda a América Latina sobre a vulnerabilidade de governos regionais a ataques de ransomware sofisticados. Brasil, México, Chile e outros países aceleraram investimentos em cibersegurança governamental após o incidente. O setor [[government]] em toda a região passou a ser considerado alvo prioritário de alto valor. > [!latam] Relevância para o Brasil > O ataque **Conti à Costa Rica** é o caso de referência obrigatório para planejamento de cibersegurança governamental no Brasil. O modelo de ataque — **comprometer ministérios durante transição de governo para maximizar caos** — é replicável contra qualquer governo da região. O Brasil, com sistemas tributários (Receita Federal), previdenciários (INSS) e de saúde (SUS) amplamente digitalizados, representa um alvo de altíssimo valor. A decisão da Costa Rica de **não pagar o resgate** se tornou política de referência para a região inteira. ## Cronologia dos Ataques ```mermaid timeline title Ataques Conti à Costa Rica 2022 2022-04-17 : Ataque inicial ao Ministério da Fazenda 2022-04-20 : Conti reivindica ataque, exige USD 10M 2022-04-24 : Múltiplos ministérios comprometidos 2022-05-08 : Presidente Chaves declara emergência nacional 2022-05-22 : Conti eleva demanda para USD 20M 2022-06-01 : Conti ameaça "derrubada do governo" 2022-07-00 : Conti anuncia encerramento das operações ``` ## Análise Técnica ### Impacto por Agência ```mermaid graph TB subgraph "Agências Comprometidas - Costa Rica 2022" A["💰 Ministério da Fazenda<br/>Tributação / Importação"] --> G["📢 Emergência Nacional"] B["⚡ ICE - Energia e Telecom<br/>Serviços essenciais"] --> G C["🏥 CCSS - Previdência Social<br/>Sistema de saúde nacional"] --> G D["📊 Ministério da Ciência<br/>e Tecnologia"] --> G E["🌊 Ministério do Ambiente<br/>e Energia (MINAE)"] --> G F["27+ Agências<br/>Governo Federal"] --> G end ``` ### Demandas e Negociação O Conti inicialmente demandou USD 10 milhões, dobrando para USD 20 milhões após a recusa do governo. Em comúnicados incomuns para um grupo de ransomware, o Conti afirmou ter como objetivo "derrubar o governo" - uma declaração política que ia além da extorsão financeira típica. O governo Costa Rica, sob orientação dos EUA e outros parceiros, recusou-se a pagar qualquer resgate, uma postura que ficou conhecida como modelo de resposta. Os EUA ofereceram USD 10 milhões de recompensa por informações sobre líderes do Conti e enviaram equipes de resposta a incidentes para auxiliar. ## TTPs MITRE ATT&CK | Técnica | ID | Descrição | |---------|-----|-----------| | Data Encrypted for Impact | [[t1486-data-encrypted-for-impact\|T1486]] | Criptografia de sistemas governamentais | | Inhibit System Recovery | [[t1490-inhibit-system-recovery\|T1490]] | Deleção de backups e shadow copies | | Exfiltration Over C2 Channel | [[t1041-exfiltration-over-c2-channel\|T1041]] | Roubo de dados governamentais sensíveis | | Valid Accounts | [[t1078-valid-accounts\|T1078]] | Abuso de credenciais de funcionários | | Exploit Public-Facing Application | [[t1190-exploit-public-facing-application\|T1190]] | Exploração de serviços expostos | ## Lições para LATAM O ataque à Costa Rica gerou lições valiosas para toda a América Latina: 1. **Planos de continuidade**: Governos devem ter planos de continuidade para operações manuais durante ataques digitais 2. **Backup air-gapped**: Sistemas tributários e de saúde devem ter backups offline mandatórios 3. **Triagem de ativos**: Identificar os sistemas mais críticos e protegê-los com defesas proporcionais 4. **Coordenação regional**: Compartilhamento de inteligência via [[cert-br]], [[lacnic-csirt]] e outros CERTs regionais ## Detecção e Defesa ### Indicadores de Comprometimento > [!ioc]- IOCs - Conti Ransomware (TLP:GREEN) > **Extensão de criptografia Conti:** > Extensão aleatória de 5 caracteres adicionada aos arquivos > > **Nota de resgate:** > `README.txt` ou `CONTI_README.txt` > > **Ferramentas associadas:** > - Cobalt Strike (acesso e movimento lateral) > - Mimikatz (dumping de credenciais) > - Rclone (exfiltração para cloud) > - AdFind (reconhecimento de AD) > > **Fontes:** [CISA - Conti Ransomware Advisory AA21-265A](https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-265a) ## Referências - [CISA Advisory AA21-265A - Conti Ransomware](https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-265a) - [Costa Rica National Emergency Declaration - May 2022](https://www.presidencia.go.cr) - [Mandiant - Conti Group Analysis](https://www.mandiant.com/resources/blog/conti-leaks-examining-the-panama-papers-of-ransomware) - [OAS Report - Cyberattack on Costa Rica](https://www.oas.org)