Cenário · Brasil
E isso não diz nada sobre o seu risco. Estatística nacional mede o país; risco real é uma pergunta sobre o seu ambiente. Quatro verificações que respondem a segunda.
Todo fornecedor de segurança abre a conversa com um número grande. É quase sempre um número nacional, quase sempre subindo, e quase sempre inútil para quem precisa decidir o que fazer na segunda-feira.
Vamos começar pelo contrário. O número nacional caiu.
O CERT.br publica desde 1999 a série de incidentes que lhe são notificados. Os totais dos últimos anos:
| Ano | Notificações ao CERT.br |
|---|---|
| 2023 | 621.537 |
| 2024 | 516.556 |
| 2025 | 470.885 |
| 2026 (jan a jun) | 274.443 |
Três anos seguidos de queda. Se a régua fosse essa, o Brasil estaria melhorando. E o primeiro semestre de 2026, que sozinho já passou de metade do ano anterior, diria que a melhora acabou.
Nenhuma das duas leituras se sustenta, porque a notificação ao CERT.br é voluntária. A série mede quantas organizações resolveram avisar, não quantos ataques aconteceram. Uma queda pode significar menos ataque, menos gente avisando, ou mais gente tratando internamente e seguindo em frente. Não dá para separar os três olhando o gráfico.
Essa é a limitação de qualquer número nacional, não um defeito do CERT.br: ele é honesto sobre o que coleta. O problema aparece quando o número é usado para responder uma pergunta que ele nunca se propôs a responder: "e eu, estou exposto?"
Estatística de país descreve população. Risco é uma propriedade do seu ambiente: quais serviços você expõe, quais contas existem, quem consegue entrar. Nenhum desses fatos está no gráfico nacional, e nenhum deles é difícil de levantar.
O resto deste texto são quatro verificações. Cada uma parte de um dado publicado e termina numa pergunta que só o seu ambiente responde.
Durante anos a resposta padrão para "como eles entram" foi credencial roubada. Deixou de ser. No Data Breach Investigations Report de 2026 (DBIR), a Verizon aponta a exploração de vulnerabilidade como o vetor de acesso inicial mais comum, em 31% das violações, contra 18% na edição anterior. Abuso de credencial caiu para 13%, em terceiro.
Isso muda o alvo da atenção. Não é mais principalmente sobre o usuário clicar em algo: é sobre o que a sua empresa deixa exposto na borda e quanto tempo leva para corrigir.
E o mesmo relatório mostra que o tempo é o problema. Das vulnerabilidades do catálogo de falhas sabidamente exploradas da CISA, apenas 26% haviam sido totalmente remediadas, com mediana de 43 dias para fechar, pior que os 32 dias do ano anterior. São falhas com exploração confirmada em campo, não teoria.
A verificação: pegue o catálogo KEV da CISA, que é público e gratuito, e cruze com o inventário do que você expõe para a internet: VPN, firewall, webmail, portal de acesso remoto. Não é o relatório inteiro de vulnerabilidades: é só a interseção entre o que está sendo explorado no mundo e o que você publica. Costuma ser uma lista curta o bastante para caber numa tela.
Se sobrarem poucas linhas, você acabou de comprar tranquilidade barata. Se sobrarem muitas, pelo menos agora estão na ordem certa. O passo a passo está em CVSS não é prioridade: ordene pelo que é explorado.
A Sophos entrevistou 2.158 líderes de TI e segurança no primeiro trimestre de 2026 e encontrou que 79% dos ataques de ransomware começam com identidades comprometidas. As causas técnicas mais frequentes foram e-mail malicioso (26%) e phishing (24%).
O DBIR fecha o cerco pelo outro lado: 73% das vítimas de ransomware tiveram vazamento de credencial no ano anterior ao ataque, seja por infecção de infostealer, o programa que colhe silenciosamente as senhas salvas no navegador da máquina, seja por exposição em vazamentos de terceiros, e em metade dos casos isso aconteceu nos 95 dias que o antecederam.
Leia essa frase de novo, porque ela é a parte incômoda: na maioria das vezes, a credencial já estava circulando meses antes. O ataque não foi o começo da história. Foi o momento em que alguém decidiu usar o que já tinha.
A verificação, em três perguntas para levar ao seu time de TI ou ao seu fornecedor. Nenhuma exige projeto: são consultas ao que já existe.
Ainda no DBIR: ransomware apareceu em 48% de todas as violações analisadas, contra 44% na edição anterior. Na pesquisa da Sophos, 48% das organizações que tiveram dados criptografados pagaram o resgate, e dessas, 51% conseguiram negociar valor abaixo do pedido inicial.
O dado sobre pagamento costuma ser lido como dilema moral. Ele é, antes disso, um dado operacional: metade das empresas atingidas concluiu que pagar era a opção menos ruim. Isso raramente acontece quando existe restauração testada. Acontece quando o backup existe no papel e ninguém sabe quanto tempo leva para voltar.
A verificação: não é "temos backup?". É quando foi a última vez que alguém restaurou de verdade, e quanto tempo levou? Se não houver data e número de horas, o backup é uma intenção. E se o backup for alcançável com as mesmas credenciais do ambiente que ele protege, ele entra junto na criptografia.
Esta é a parte que costuma pegar as empresas de surpresa, e não é opinião: é a Resolução CD/ANPD nº 15, de 2024, o Regulamento de Comunicação de Incidente de Segurança.
Havendo incidente com dados pessoais que possa acarretar risco ou dano relevante, a comunicação à ANPD e aos titulares deve ocorrer em 3 dias úteis. Comunicações complementares, em 20 dias úteis. Para agentes de pequeno porte, os prazos contam em dobro.
O detalhe que muda tudo: o prazo corre a partir do conhecimento do incidente, não a partir do fim da investigação. Você não ganha tempo por ainda não saber o tamanho do estrago.
A verificação: se descobrissem hoje um acesso indevido, você conseguiria dizer quando ele começou e quais dados foram alcançados dentro de três dias úteis? Isso não se resolve no dia do incidente: depende de já existir log com retenção suficiente e de alguém conseguir cruzar esse log rápido.
Vale um teste de mesa, que custa uma reunião: escolha um servidor, pergunte quantos dias de log dele você ainda tem, e quanto tempo levaria para reconstruir o que uma conta específica fez ali nos últimos 60 dias. A resposta costuma ser mais desconfortável que qualquer estatística de ataque.
Se você fizer só isto e nada mais, já saiu na frente da maioria:
Nenhuma delas exige comprar nada. Todas são respondidas com o que a empresa já tem, e todas dizem mais sobre o seu risco do que qualquer gráfico nacional, inclusive o que abriu este texto.
Se alguma resposta for "não sei", esse "não sei" é o achado. Ele não fica melhor por ser adiado, e é exatamente o que um atacante procura: não a empresa mais valiosa, a mais previsível.
As quatro perguntas acima são justamente as que o Guardian mantém respondidas de forma contínua, em vez de virar um projeto que alguém refaz uma vez por ano.
A gestão de risco consolida vulnerabilidades, desvios de conformidade (CIS) e integridade de arquivos numa nota de risco por máquina, com a fila priorizada pelo que já é explorado em campo. Um item só sai da fila quando uma nova varredura confirma a correção, não porque alguém marcou como resolvido. O ITDR, que é a vigilância sobre as contas, cuida do lado de identidade: conta sem MFA, conta de serviço com privilégio, comportamento fora do padrão. O XDR, que junta os sinais de endpoint, rede e nuvem, guarda a linha do tempo que responde a pergunta da ANPD, e a IZA reconstrói o percurso do incidente em português, sem exigir que alguém escreva consulta.
Mas o essencial deste texto você faz sem nós, esta semana: são quatro perguntas e nenhuma delas depende de fornecedor. Se as respostas vierem boas, ótimo. Se vier "não sei" em duas ou mais, você descobriu o seu risco real, que é a única estatística que importa.
Uma apresentação prática e adaptada à realidade do seu ambiente: acompanhe o fluxo de investigação da IZA e entenda como centralizar detecção, exposição e resposta em um único painel.