(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
Terceiro lugar num ranking de vítimas de ciberataque costuma ser lido como atestado de que as empresas de um país se protegem mal. O relatório que colocou o Brasil nessa posição sustenta uma leitura diferente. Entre outubro de 2025 e março de 2026, o levantamento da Trellix registrou o país com 3,45% das vítimas reportadas no mundo, atrás apenas de Estados Unidos e Índia. Esse recorte reúne eventos tornados públicos pela indústria de segurança, uma base que depende de quem decide reportar. No topo da lista estão economias grandes, digitalizadas e com muita infraestrutura crítica conectada, e o Brasil cabe nessa descrição há anos.
Lido com a metodologia ao lado, o número indica onde a pressão dos atacantes cresce. Para o CISO e para o gerente de TI, ele devolve uma pergunta sobre a própria casa: a capacidade da empresa de detectar e responder evoluiu no mesmo ritmo das ameaças que chegam até ela?
O Brasil está no radar dos ciberataques porque reúne uma economia grande e digitalizada, um sistema de pagamento instantâneo com bilhões de transações por ano e serviços essenciais conectados. Muitas empresas ainda somam sistemas legados a ambientes híbridos. Dentro da empresa, a exposição se mede pela capacidade de enxergar o próprio ambiente e responder antes de o incidente se espalhar.
Relatórios de ameaças medem coisas diferentes, e o lugar do Brasil muda conforme o que se conta. No CyberThreat Report de abril de 2026, da Trellix, a lista de vítimas reportadas começa pelos Estados Unidos, com 6,80%, e pela Índia, com 5,27%. O Brasil aparece logo depois, com 3,45%, à frente de Canadá, Rússia e Japão.
Segundo a própria Trellix, essa tabela sai de eventos divulgados publicamente pela indústria e não se baseia necessariamente nas detecções dos produtos da empresa, o que faz o percentual depender de quem reporta e de como reporta. Na telemetria própria de APTs, os grupos de ameaça persistente avançada, o topo fica com Estados Unidos e Turquia, que somam 31,7% e 27,7% das detecções.
Na mesma edição, o Brasil aparece em seis campanhas de ransomware documentadas no período, a maior presença da América Latina. Nos sites onde grupos de extorsão publicam suas vítimas, o país soma 46 registros e ocupa a décima posição. Governo voltou ao topo dos setores mais citados nos reportes da indústria, seguido por finanças. Entre os setores atribuídos aos APTs, as telecomunicações concentraram 47% da atividade, com foco em espionagem e em coleta de dados de assinantes.
Do lado brasileiro, o CERT.br recebeu 470.885 notificações de incidentes em 2025, contra 516.556 em 2024 e 621.537 em 2023. A notificação é voluntária e retrata só as redes que decidiram reportar, o que faz da série um termômetro de tendência, com cobertura parcial. Varreduras em busca de serviços expostos responderam por 83,66% do volume de 2025. Das 24.030 notificações classificadas como fraude, 22.818 eram phishing, ou 94,96% da categoria.
Entre janeiro e agosto de 2026, o centro já somava 431.524 notificações, com julho e agosto acima de 77 mil, os dois meses mais altos do ano. Juntos, os dois retratos mostram um volume alto de tentativas contra alvos brasileiros e o engano do usuário como porta mais usada. Ransomware e espionagem, por sua vez, se concentram em empresas grandes e em serviços essenciais.
Digitalização acelerada, concentração de dados, serviços essenciais conectados e ambientes híbridos com nuvem, Data Center próprio e sistemas antigos explicam juntos a exposição do país. Segundo o Relatório de Gestão do Pix 2026, do Banco Central, o arranjo processou 79,8 bilhões de transações em 2025 e movimentou mais de R$ 35 trilhões.
Dos 240,8 bilhões de transações bancárias de 2025 contabilizadas pela Febraban, 83% aconteceram em canais digitais e 78% no celular. Um país que resolve quase tudo pelo aparelho móvel abre ao atacante um caminho direto até a pessoa. O phishing que domina as notificações do CERT.br é a versão brasileira dessa oportunidade. Como o Pix funciona de madrugada, no fim de semana e no feriado, a superfície exposta fica aberta o tempo todo.
Setores estratégicos recebem atenção proporcional ao que sustentam, e no cenário global da Trellix as telecomunicações lideram a atividade de APTs. No Brasil, o setor opera sob o Regulamento de Segurança Cibernética da Anatel, a Resolução nº 740/2020, ampliada pela Resolução nº 767/2024. A norma obriga as prestadoras a manter política de segurança cibernética, notificar incidentes relevantes e exigir política compatível dos fornecedores. Entre bancos e instituições de pagamento, a nova regulação de cibersegurança no setor financeiro caminha na mesma direção. Em energia, saúde e governo o raciocínio se repete, porque a interrupção de qualquer um deles vira problema público em poucas horas.
No mesmo relatório da Trellix, o tempo médio entre a divulgação de uma falha e o primeiro ataque que a explora aparece em queda acelerada. Eram 23,2 dias em 2025, e o intervalo caiu para 1,3 dia no primeiro trimestre de 2026. Nesse trimestre, 69,7% das vulnerabilidades exploradas eram zero-days, atacadas no dia da divulgação ou antes dele. Para uma empresa com ciclo mensal de correção, boa parte das brechas exploradas já estava em uso quando o boletim de atualização chegou.
Economia grande e concentração de dados tornam o país atraente para perfis diferentes de atacante ao mesmo tempo. Do grupo de ransomware que procura empresa grande ao operador de golpe que explora o Pix, os interesses se sobrepõem e mantêm o Brasil no radar.
Incidentes raramente dependem de uma falha só, e a sequência típica encadeia credencial comprometida, configuração inadequada, sistema sem atualização e rede sem segmentação, até chegar a um comportamento anormal que ninguém viu a tempo. No Data Breach Investigations Report 2026, da Verizon, a exploração de vulnerabilidade em software passou a abrir 31% das violações.
Pela primeira vez em 19 anos de relatório, essa porta de entrada superou o roubo de credenciais. As violações com participação de terceiros chegaram a 48% do total, alta de 60% em um ano, o que coloca fornecedor e prestador de serviço dentro da superfície de ataque.
Depois da entrada, a Trellix encontrou o uso de contas legítimas em 32% das campanhas de ransomware documentadas, a mesma proporção da exploração de aplicações expostas na internet. Uma única ferramenta legítima de acesso remoto apareceu em 16 dessas campanhas. Atacante que se move com a conta certa e a ferramenta certa se confunde com a rotina do time de TI, e por isso o alerta isolado raramente basta para reconhecê-lo.
Segundo o Cost of a Data Breach 2026, da IBM, uma violação custou em média US$ 4,99 milhões no mundo. Uma em cada quatro violações maliciosas já envolveu inteligência artificial do lado do ataque, com custo médio de US$ 6 milhões. Identificar e conter um incidente ativo leva 247 dias na média de todos os setores. No Brasil, a edição de 2025 do mesmo estudo calculou R$ 7,19 milhões por violação, 6,5% acima do ano anterior. Saúde, finanças e serviços ocuparam as três primeiras posições, e o phishing foi o vetor inicial de 18% dos casos.
| Gap | Como aparece na operação | O que ele custa |
| Ausência de visão integrada do ambiente | Inventário de ativos desatualizado, nuvem e Data Center monitorados por equipes diferentes | Ativo crítico sem dono e sem log, descoberto durante o incidente |
| Excesso de ferramentas sem contexto compartilhado | Firewall, EDR, IAM e SIEM, todos com console e fila de alertas próprios | Correlação feita à mão, depois do dano |
| Monitoramento sem capacidade de resposta | Painel que acusa, e ninguém com mandato para isolar a máquina às 3h da madrugada | Janela entre alerta e contenção medida em dias |
| Vulnerabilidades e ativos legados | Sistema que sustenta o negócio, não aceita atualização e fica exposto por dependência | Exploração de falha conhecida, hoje o vetor mais comum |
| Gestão inadequada de identidades e privilégios | Conta administrativa compartilhada, MFA parcial, acesso de ex-colaborador ainda ativo | Credencial válida usada como chave-mestra |
| Equipes sobrecarregadas por volume de alertas | Milhares de eventos por dia para dois analistas, triagem por ordem de chegada | Alerta relevante enterrado no ruído |
Maturidade em segurança se mede pela capacidade de transformar dado, alerta e evento em decisão e ação, mais do que pela quantidade de ferramentas contratadas. O sinal que denuncia o ataque costuma morar na relação entre eventos de camadas diferentes, e ler essa relação exige identidade, endpoint, rede e nuvem trocando contexto. Enxergar o ambiente inteiro é o tema do post sobre visibilidade contínua na cibersegurança.
Avaliação de maturidade em cibersegurança é o exercício de medir, com critério declarado, o quanto a organização consegue governar risco, identificar ativos, proteger, detectar, responder e recuperar. Com esse retrato em mãos, a direção decide onde o próximo real deve entrar.
Publicado em 26 de fevereiro de 2024, o NIST Cybersecurity Framework 2.0 organiza exatamente essas seis funções. O documento também descreve quatro níveis de prática, de Parcial a Adaptativo, numa progressão que vai da resposta informal e improvisada até a gestão de risco ágil e contínua.
| Nível do NIST CSF 2.0 | O que descreve | Sinal prático |
| Parcial | Gestão de risco informal e reativa, sem prioridade definida pela organização | Segurança acionada pelo incidente e pelo fornecedor |
| Informado pelo risco | Prioridades aprovadas pela direção, com aplicação ainda desigual entre as áreas | A política existe, e parte do ambiente não a segue |
| Repetível | Práticas formalizadas em política, revisadas e aplicadas em toda a organização | Processo de resposta testado, com papéis definidos |
| Adaptativo | Melhoria contínua a partir de lições aprendidas e de indicadores preditivos | Controle ajustado antes do incidente, com base em telemetria |
As perguntas abaixo dispensam glossário, e a resposta da direção a elas indica em que nível do NIST a empresa está.
Vista assim, maturidade é uma capacidade operacional que precisa se sustentar ao longo do tempo. O nível medido hoje envelhece na velocidade em que a empresa abre filial, troca de ERP, migra carga para a nuvem ou contrata um parceiro com acesso à rede. Por isso, avaliação séria vem com data e com plano de reavaliação.
Receber o alerta é o começo da operação de segurança, e o tempo entre alerta e contenção pesa nos 247 dias que uma violação leva, em média, para ser identificada e contida. Um login fora do horário parece pouco quando visto sozinho.
Seguido de uma consulta ao diretório, de uma cópia de arquivos para um serviço de nuvem desconhecido e de uma conexão para um domínio recém-registrado, o mesmo login descreve uma intrusão em andamento. Só que os quatro eventos moram em ferramentas diferentes, e a correlação precisa acontecer enquanto a sessão ainda está aberta.
Serviços gerenciados de segurança, os MSS, existem para sustentar essa rotina com equipe especializada e processo de tratamento definido, de dia e de madrugada, sem depender do tamanho do time interno. O SOC 24×7 faz a detecção, a análise e a mitigação com equipe dedicada e análise comportamental de usuários. A camada de SOC Analytics correlaciona essas informações e prioriza os riscos, para que o analista receba o alerta com o contexto que decide a resposta.
Métricas, logs e traces de aplicação e infraestrutura chegam a essa correlação pela observabilidade do ambiente. Quanto mais cedo esse contexto chega, menores ficam o tempo médio de identificação, o MTTI, e o de resposta, o MTTR.
Tratar a ameaça é o que separa monitoramento de proteção, e muitas operações encerram o trabalho em identificar e analisar. A etapa seguinte isola o host, revoga a credencial, bloqueia o domínio e acompanha o ambiente até a normalização. Nela o alerta vira proteção efetiva, e a Teletex assume essa etapa dentro do MSS, sem devolver o incidente para a equipe do cliente resolver sozinha no meio da noite.
Reduzir exposição é trabalho de evolução contínua, com prioridades definidas pelos riscos reais da operação, e a sequência começa pela avaliação e termina na revisão do próprio plano, que recomeça o ciclo com o ambiente já mudado.
A meta realista dessas etapas é reduzir a superfície exposta, identificar a ameaça mais cedo e limitar o impacto quando o incidente acontece, o que se pode chamar de menor risco possível.
No setor bancário, a Pesquisa Febraban de Tecnologia Bancária 2026 projeta R$ 50,4 bilhões de orçamento em tecnologia para este ano. Todos os 25 bancos consultados atribuem prioridade alta ou média à cibersegurança. A IBM, no estudo de 2026, mediu que empresas com IA e automação na operação de segurança reduziram o custo da violação em quase US$ 2 milhões. Pelo dado da IBM, o orçamento rende na capacidade de detectar e responder, que é o caminho da segurança preditiva com IA.
Numa avaliação de maturidade, um achado típico é o ativo crítico que ninguém monitora. Pode ser o servidor de arquivos de uma filial, que sustenta a operação local e nunca enviou um log ao SIEM. Começar por ele, com dono, coleta de log e regra de alerta, tira do escuro um sistema que sustenta a operação da filial.
Porque reúne uma economia grande e digitalizada, um sistema de pagamento instantâneo com 79,8 bilhões de transações por ano, serviços essenciais conectados e muitas empresas com ambientes híbridos e sistemas legados. Esse conjunto atrai perfis diferentes de atacante ao mesmo tempo, do grupo de ransomware que procura empresa grande ao operador de golpe que explora o Pix.
Depende do relatório e do que ele mede. No levantamento da Trellix sobre vítimas reportadas entre outubro de 2025 e março de 2026, os Estados Unidos lideram com 6,80%, seguidos pela Índia, com 5,27%, e pelo Brasil, com 3,45%. Em detecções de APT, a mesma edição coloca Estados Unidos e Turquia no topo, com 31,7% e 27,7%.
Pelas notificações ao CERT.br em 2025, varreduras em busca de serviços expostos responderam por 83,66% dos incidentes, e o phishing por 94,96% das fraudes reportadas. Entre as campanhas de ransomware documentadas pela Trellix no mundo, o uso de credencial válida e a exploração de aplicação exposta na internet aparecem em 32% dos casos, na mesma proporção.
É o grau em que a organização consegue governar risco, identificar ativos, proteger, detectar, responder e recuperar de forma consistente e verificável. O NIST Cybersecurity Framework 2.0 descreve quatro níveis, de Parcial a Adaptativo, e a avaliação de maturidade mede em qual deles a empresa está antes de decidir onde investir.
No Brasil, a IBM calculou um custo médio de R$ 7,19 milhões por violação de dados na edição de 2025 do estudo Cost of a Data Breach, com saúde e finanças acima de R$ 8,9 milhões. No mundo, a edição de 2026 registrou US$ 4,99 milhões de média e 247 dias para identificar e conter um incidente ativo.
Leia também:
A posição do Brasil nos levantamentos de ameaças é sinal para tratar cibersegurança como capacidade permanente do negócio, com o cuidado que se dá ao caixa, porque atrás de todo ambiente exposto existem pessoas e histórias que dependem de ele continuar de pé.
A Teletex acompanha essa evolução desde a avaliação de maturidade do ambiente, com a metodologia SafeX de risk assessment, até a operação contínua da segurança, com MSS, SOC 24×7 e SOC Analytics para ampliar a visibilidade, correlacionar informações, priorizar riscos e tratar ameaças.
Sua empresa sabe qual é o nível real de maturidade da própria segurança? Converse com os especialistas da Teletex para identificar gaps, priorizar riscos e evoluir para uma estratégia de proteção contínua.