A exploração de vulnerabilidades de software respondeu por 31% das violações de dados analisadas pela Verizon em seu relatório de cibersegurança de 2026, superando o roubo de credenciais como principal vetor inicial de invasão. Ao mesmo tempo, a inteligência artificial amplia as possibilidades de automação de ataques, enquanto o uso de ferramentas não autorizadas nas empresas cria novos riscos para informações corporativas. Nesse cenário, as organizações estão reforçando a gestão de identidades, o monitoramento de sistemas, a segurança de fornecedores e os planos de resposta a incidentes para reduzir os impactos financeiros e operacionais de uma violação.
O desafio envolve tanto a capacidade de impedir uma invasão quanto a de identificar rapidamente uma atividade suspeita, conter sua propagação e restabelecer os serviços afetados. A segurança digital precisa considerar redes corporativas, aplicações em nuvem, dispositivos conectados, sistemas de terceiros e ferramentas de inteligência artificial utilizadas pelas equipes. Uma falha em qualquer um desses pontos pode comprometer dados, interromper operações e afetar a relação com clientes e parceiros.
O custo financeiro também pressiona as decisões de investimento. No Brasil, o custo médio de uma violação de dados chegou a R$ 7,19 milhões em 2025, ante R$ 6,75 milhões no ano anterior, segundo o estudo Relatório do custo das violações de dados, da IBM. Já a edição global de 2026 registrou custo médio de US$ 4,99 milhões por violação, alta de 12% em relação ao ano anterior.
Vulnerabilidades e fornecedores ampliam a exposição das empresas
O Data Breach Investigations Report (DBIR), da Verizon, analisou incidentes de segurança ocorridos entre novembro de 2024 e outubro de 2025. Além da exploração de vulnerabilidades de software, o envolvimento de terceiros também aumentou: fornecedores ou outros parceiros estavam relacionados a 48% das violações, alta de 60% em relação à edição anterior. O relatório ainda identificou ransomware em 48% dos casos analisados.
Os dados mostram por que a segurança corporativa não pode se limitar à infraestrutura diretamente administrada pela organização. Sistemas expostos à internet, equipamentos sem atualização, serviços em nuvem mal configurados e acessos concedidos a prestadores podem criar caminhos para invasões.
Uma empresa que contrata um fornecedor de tecnologia, por exemplo, precisa avaliar quais informações ele acessa, quais permissões utiliza e como protege seus ambientes. Também deve prever procedimentos para suspender acessos em caso de incidente e exigir comunicação rápida sobre falhas que possam afetar seus sistemas.
A gestão de vulnerabilidades exige inventário atualizado dos ativos digitais, acompanhamento de falhas conhecidas e priorização das correções conforme a exposição e o impacto potencial. A recomendação é dar atenção especial a sistemas acessíveis externamente e a vulnerabilidades que já estejam sendo exploradas por agentes maliciosos.
Como a inteligência artificial está mudando os ataques
A inteligência artificial pode apoiar criminosos na elaboração de mensagens de phishing, na pesquisa de alvos, na criação de códigos maliciosos e na adaptação de ferramentas durante uma operação. A tecnologia também permite produzir mensagens personalizadas em escala, reduzindo a dependência de textos genéricos que poderiam ser identificados por erros de linguagem.
Em novembro de 2025, o Google Threat Intelligence Group (GTIG) publicou uma análise sobre o uso de IA por grupos de ameaças. O levantamento documentou tentativas de utilização de modelos de linguagem para reconhecimento de alvos, criação de mensagens fraudulentas e desenvolvimento de malware capaz de alterar seu comportamento durante a execução. O grupo também identificou ferramentas de IA oferecidas em mercados clandestinos indicando a disseminação desses recursos no ambiente do cibercrime.
Em fevereiro de 2026, uma atualização do mesmo grupo apontou a incorporação crescente da IA em diferentes etapas das operações maliciosas, incluindo reconhecimento, engenharia social e desenvolvimento de malware.
Essas evidências indicam que a IA já integra parte das operações observadas por equipes de inteligência de ameaças. Isso não significa que todos os ataques sejam automatizados ou que a tecnologia, por si só, explique o aumento das violações. Técnicas tradicionais, como exploração de falhas, roubo de senhas e engenharia social, continuam relevantes.
Para as empresas, a preparação envolve combinar ferramentas de detecção com procedimentos de verificação de identidade. Solicitações de transferência financeira, alteração de dados bancários ou liberação de informações confidenciais devem ser confirmadas por um canal independente, especialmente quando chegam por mensagens ou chamadas inesperadas.
O uso de IA pelos funcionários também exige controles
O risco não está restrito ao uso malicioso da inteligência artificial. Funcionários podem inserir contratos, dados de clientes, códigos-fonte ou informações estratégicas em plataformas não aprovadas pela organização. Essa prática, conhecida como shadow AI, dificulta a governança dos dados e pode expor informações protegidas.
O DBIR 2026, da Verizon, também aponta um aumento no uso de ferramentas de IA não autorizadas em dispositivos corporativos, de 15% para 45% dos funcionários pesquisados, ampliando as preocupações com possíveis vazamentos de dados.
A resposta requer uma política que defina quais ferramentas podem ser utilizadas, que tipos de informação podem ser compartilhados e quais medidas técnicas devem impedir o envio de dados sensíveis a serviços não autorizados. Bloqueios isolados nem sempre resolvem o problema: as equipes também precisam de alternativas aprovadas e orientação sobre os riscos envolvidos.
A governança deve abranger ainda as aplicações de IA desenvolvidas ou contratadas pela própria empresa. Isso inclui controlar permissões, proteger dados de treinamento, testar aplicações contra tentativas de manipulação e acompanhar possíveis exposições de informações nos resultados gerados pelos sistemas.
Quanto custa uma violação de dados
O impacto de um ataque inclui despesas com investigação, recuperação de sistemas, comunicação com clientes, assessoria jurídica e medidas regulatórias. A interrupção de atividades também pode provocar perda de receita, atrasos e comprometer contratos.
No Brasil, a IBM estimou em R$ 7,19 milhões o custo médio de uma violação de dados, aumento de 6,5% em relação a 2024. A pesquisa também apontou custos médios 26% menores entre organizações brasileiras que ampliaram o uso seguro de IA e automação em suas operações de segurança. O resultado é uma associação observada na pesquisa, e não uma garantia de economia para toda empresa que adote essas ferramentas.
Na edição global de 2026, a IBM informou que uma em cada quatro violações maliciosas analisadas envolveu IA. Esses incidentes tiveram custo médio de US$ 6 milhões, acima da média global de US$ 4,99 milhões. A pesquisa também identificou uma economia média próxima de US$ 1,93 milhão entre organizações que utilizavam IA e automação de forma extensiva em suas operações de segurança, em comparação com aquelas que não adotavam essas tecnologias.
Os resultados reforçam a importância de avaliar os investimentos em cibersegurança pelo risco que a organização precisa administrar. A adoção de ferramentas deve considerar a capacidade de integrá-las aos processos existentes, a qualidade dos dados monitorados e a preparação das equipes para responder aos alertas.
Como fortalecer a proteção contra ataques cibernéticos
A prevenção de ataques depende de controles técnicos, procedimentos operacionais e responsabilidades definidas. Entre as medidas que devem integrar um programa de cibersegurança estão:
- Gestão de vulnerabilidades: manter inventário de ativos, acompanhar falhas conhecidas e corrigir prioritariamente aquelas com maior risco de exploração.
- Proteção de identidades: adotar autenticação multifator resistente a phishing, restringir privilégios administrativos e revisar permissões de funcionários e fornecedores.
- Monitoramento contínuo: reunir e analisar registros de redes, dispositivos, aplicações e serviços em nuvem para identificar comportamentos suspeitos.
- Segurança da cadeia de fornecedores: avaliar os controles dos parceiros, limitar acessos e definir requisitos de comunicação e resposta a incidentes nos contratos.
- Proteção e recuperação de dados: manter cópias de segurança isoladas dos ambientes de produção e testar periodicamente a restauração de arquivos e sistemas.
- Governança da IA: estabelecer regras para ferramentas autorizadas, proteger informações confidenciais e avaliar os riscos de aplicações próprias e de terceiros.
- Treinamento das equipes: orientar funcionários a reconhecer tentativas de fraude, confirmar solicitações financeiras e comunicar incidentes rapidamente.
Essas medidas precisam ser acompanhadas por indicadores, como tempo para corrigir vulnerabilidades críticas, prazo para identificar uma invasão, tempo de contenção, taxa de sucesso dos testes de restauração e quantidade de acessos privilegiados sem necessidade operacional.
O objetivo é verificar se os controles funcionam na prática. A existência de uma política de segurança, por exemplo, não comprova que os acessos estão sendo revisados ou que os dados podem ser recuperados após um ataque.
Plano de resposta a incidentes e continuidade operacional
Mesmo com medidas preventivas, uma organização pode sofrer uma invasão. Por isso, precisa definir previamente quem lidera a resposta, quais sistemas podem ser isolados, como as evidências serão preservadas e quais equipes devem ser acionadas.
O relatório M-Trends 2025, da Mandiant, baseado em investigações de atividades direcionadas conduzidas em 2024, registrou tempo mediano global de permanência de invasores de 11 dias, ante 10 dias em 2023. O indicador representa o período entre a entrada do invasor e sua identificação, conforme a metodologia do estudo. O resultado evidencia a importância do monitoramento e da capacidade de investigação para reduzir o tempo em que uma ameaça permanece no ambiente.
Um plano de resposta deve prever cenários como roubo de credenciais, indisponibilidade de sistemas, vazamento de dados e ataques de ransomware. Simulações ajudam a verificar se as equipes conhecem suas responsabilidades e se os procedimentos funcionam quando os sistemas principais estão indisponíveis.
A recuperação também depende de cópias de segurança protegidas e testadas, ambientes alternativos e prioridades claras para restabelecer serviços essenciais. Sem esses recursos, mesmo uma invasão contida pode causar uma interrupção prolongada.
O que muda com a LGPD
No Brasil, incidentes que envolvem dados pessoais também exigem avaliação das obrigações legais. A Resolução CD/ANPD nº 15/2024 determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares a ocorrência de incidentes que possam acarretar risco ou dano relevante, observados os critérios e as condições do regulamento.
O prazo previsto é de até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, ressalvadas as hipóteses previstas em legislação específica. A norma também permite comunicação em etapas quando não houver informações completas disponíveis no prazo inicial.
Por isso, o plano de resposta deve envolver as áreas de tecnologia, jurídico, privacidade, comunicação e gestão. A avaliação sobre a necessidade de notificação precisa fazer parte do processo de resposta, e não ser iniciada apenas depois da recuperação dos sistemas.
Em suma, as empresas precisam administrar riscos relacionados a vulnerabilidades, credenciais, fornecedores e uso de inteligência artificial. Essa preparação envolve reduzir a exposição, detectar atividades suspeitas e assegurar a recuperação das operações em caso de incidente.
Para a liderança, a prioridade é vincular os investimentos à criticidade dos sistemas, aos dados sob responsabilidade da organização e aos impactos de uma interrupção. Isso exige orçamento, responsáveis definidos, testes periódicos e acompanhamento de indicadores.
A capacidade de responder a ataques depende menos da presença isolada de uma ferramenta e mais da integração entre tecnologia, processos e pessoas. Em um ambiente no qual a IA pode apoiar tanto a defesa quanto as operações criminosas, revisar controles e testar a capacidade de recuperação são medidas centrais para proteger os dados, os serviços e a continuidade dos negócios.
