Os ciberataques em empresas brasileiras atingiram um patamar que reforça a necessidade de tratar segurança digital como risco de negócio. Segundo o ESET Security Report 2026, 62% das organizações brasileiras participantes afirmaram ter detectado ao menos uma tentativa de ataque nos últimos 12 meses. Na América Latina, a proporção ficou em 52,7%.
O estudo analisou 1.563 respostas de profissionais ligados a 962 organizações de dez países latino-americanos. Cerca de 80% dos respondentes atuam em funções relacionadas à segurança, enquanto o restante pertence a áreas não técnicas.
Entretanto, o número de ataques detectados representa apenas parte do problema.
No Brasil, 14,7% das empresas não souberam confirmar se sofreram tentativas de invasão. Além disso, entre aquelas que disseram não ter identificado ataques, 43,3% suspeitam que incidentes possam ter ocorrido sem detecção por falta de tecnologia adequada.
Portanto, a pergunta para uma empresa deixou de ser apenas “estamos sendo atacados?”.
A pergunta correta passou a ser:
“Se formos atacados hoje, conseguiremos perceber?”
62% das empresas brasileiras foram hackeadas?
Não. O relatório não afirma que 62% das empresas foram efetivamente comprometidas.
O dado mostra que 62% das organizações brasileiras pesquisadas detectaram ao menos uma tentativa de ciberataque no período analisado.
Essa distinção é importante.
Uma tentativa pode atingir um firewall, uma conta corporativa, um servidor, um funcionário por phishing ou uma aplicação vulnerável sem que o criminoso consiga concluir a invasão.
Por outro lado, não detectar um ataque também não significa que ele não aconteceu.
É justamente por isso que os números relacionados à falta de visibilidade merecem tanta atenção.
Quais setores brasileiros detectaram mais ciberataques?
Entre os setores destacados no levantamento brasileiro, bancos e instituições financeiras apresentaram a maior proporção de tentativas identificadas.
Os índices foram:
- bancário e financeiro: 66,7%;
- governo: 61,9%;
- manufatura: 58,3%;
- saúde: 50%;
- educação: 42,9%.
Entretanto, uma taxa menor não significa necessariamente menor exposição.
No setor educacional, por exemplo, o relatório também encontrou uma proporção relevante de respostas negativas ou inconclusivas sobre a ocorrência de ataques. Isso pode indicar menor capacidade de monitoramento, e não necessariamente ausência de ameaças.
Essa diferença é fundamental para interpretar pesquisas de cibersegurança.
A empresa que detecta mais incidentes pode simplesmente possuir ferramentas melhores para enxergá-los.
Phishing e engenharia social lideram os ataques
O phishing e a engenharia social continuam aparecendo como os principais vetores de ataque.
No Brasil, essas técnicas foram relatadas por 70,9% das organizações analisadas. Em seguida aparecem:
- exploração de vulnerabilidades: 49,4%;
- acessos não autorizados: 44,3%;
- infecção por malware: 41,8%;
- sequestro ou vazamento de informações: 11,4%.
Esse ranking revela duas frentes de ataque diferentes.
De um lado, o criminoso tenta explorar tecnologia: sistemas desatualizados, vulnerabilidades e configurações inadequadas.
Do outro, tenta explorar pessoas.
Um e-mail falso pode induzir um colaborador a entregar credenciais, executar um arquivo malicioso ou acessar uma página de phishing.
Por isso, segurança da informação não pode depender exclusivamente de ferramentas.
A M A Segurança Digital já abordou essa relação entre comportamento humano e proteção empresarial no conteúdo sobre segurança digital como cultura organizacional.
Por que o phishing continua funcionando?
Porque o phishing não precisa derrotar diretamente um firewall.
Ele precisa convencer uma pessoa.
Criminosos simulam bancos, fornecedores, órgãos públicos, departamentos internos e até executivos da própria organização.
Além disso, campanhas modernas podem utilizar informações reais sobre funcionários e empresas para tornar a mensagem mais convincente.
O ataque pode solicitar uma alteração bancária, uma atualização de senha, abertura de documento ou login em uma página falsa.
Depois que a vítima entrega suas credenciais, o invasor pode tentar acessar e-mail corporativo, sistemas internos, serviços em nuvem ou VPN.
Por isso, autenticação multifator, treinamento e políticas de confirmação precisam trabalhar juntos.
Em um caso analisado anteriormente pela M A Segurança Digital, criminosos exploraram inclusive a confiança em comunicações aparentemente institucionais para disseminar uma fraude. Veja a análise sobre golpes usando e-mails institucionais
A autenticação multifator ainda não é universal
Outro dado do ESET Security Report ajuda a explicar parte dessa fragilidade.
Entre colaboradores de áreas não técnicas pesquisados na América Latina, apenas 52,2% afirmaram utilizar autenticação multifator nas contas profissionais. Além disso, 26,9% disseram não aplicar nenhuma medida de segurança no telefone corporativo.
Isso representa uma superfície de ataque considerável.
Um dispositivo comprometido pode fornecer acesso a:
- e-mails;
- documentos;
- sistemas corporativos;
- aplicativos financeiros;
- VPN;
- mensagens internas;
- tokens de autenticação.
Consequentemente, proteger apenas servidores e esquecer os endpoints deixa uma parte importante da infraestrutura exposta.
Empresas usam firewall, backup e VPN, mas ainda falta inteligência
O relatório também revela uma característica interessante da maturidade de segurança na região.
Entre as organizações pesquisadas:
- 85% utilizam firewall;
- 82% possuem backups;
- 73% usam VPN;
- apenas 23% adotam plataformas de Threat Intelligence.
Em outras palavras, controles tradicionais possuem ampla adoção, enquanto mecanismos mais voltados à antecipação e compreensão das ameaças aparecem com menor frequência.
Firewall, backup e VPN continuam fundamentais.
Entretanto, eles não respondem sozinhos a perguntas como:
Quem está tentando nos atacar?
Quais vulnerabilidades estão sendo exploradas neste momento?
Uma credencial da empresa apareceu em uma infraestrutura criminosa?
Quais indicadores demonstram que um ataque está em andamento?
A resposta exige monitoramento, inteligência, logs e capacidade de investigação.
O que significa exploração de vulnerabilidades?
Quase metade das empresas brasileiras que relataram tipos de ataque apontou exploração de vulnerabilidades, com índice de 49,4%.
Uma vulnerabilidade representa uma falha que pode permitir comportamento não previsto em software, dispositivo ou serviço.
Quando uma falha recebe identificação pública, ela pode ganhar um código CVE. Sua gravidade também pode ser avaliada por sistemas como o CVSS.
Entretanto, conhecer a vulnerabilidade não resolve o problema.
A organização ainda precisa:
- identificar se utiliza o produto afetado;
- avaliar sua exposição;
- aplicar o patch ou mitigação;
- procurar indicadores de comprometimento;
- verificar se ocorreu exploração antes da correção.
Essa velocidade tornou-se ainda mais importante porque atacantes vêm automatizando partes do processo.
O relatório global de ameaças de 2026 da Fortinet observa que novas vulnerabilidades podem ser exploradas em horas ou dias, comprimindo significativamente o tempo disponível para defesa.
Malware ainda representa um risco relevante
No Brasil, 41,8% das organizações relataram infecções por malware entre os tipos de incidentes identificados.
Malware é uma categoria ampla que pode incluir:
- trojans;
- spyware;
- ransomware;
- worms;
- ferramentas para roubo de credenciais;
- códigos destinados a criar acesso remoto.
Entretanto, a infecção inicial pode ser apenas o começo.
Um malware pode servir para roubar senhas, estabelecer persistência e permitir que os criminosos avancem para outros equipamentos.
Por isso, soluções de proteção de endpoint, EDR, segmentação e monitoramento de comportamento assumem papel estratégico.
Vazamento de dados aparece menos, mas pode gerar impacto maior
O relatório aponta 11,4% para sequestro ou vazamento de informações no Brasil.
Percentualmente, é um índice menor que phishing ou malware.
Contudo, o impacto de um vazamento de dados pode ser muito maior.
Uma organização pode enfrentar paralisação, extorsão, investigação, obrigações relacionadas à LGPD, processos judiciais e danos reputacionais.
Além disso, grupos de ransomware passaram a utilizar exfiltração como instrumento de pressão mesmo quando não conseguem ou não desejam criptografar todos os sistemas.
Portanto, backup continua indispensável, mas não impede que informações roubadas sejam divulgadas.
Como uma empresa pode saber se está sendo atacada?
Não existe ferramenta única capaz de responder a essa pergunta.
Uma estratégia mais madura combina diferentes fontes de informação, como:
- firewall;
- IDS e IPS;
- proteção de endpoint;
- SIEM;
- análise de logs;
- inteligência de ameaças;
- controle de acesso;
- autenticação multifator;
- monitoramento de identidade;
- gestão de vulnerabilidades.
Além disso, pessoas precisam saber reconhecer comportamentos suspeitos.
A combinação é essencial porque diferentes ataques deixam diferentes vestígios.
Por isso, uma empresa que simplesmente instala um antivírus e considera o problema resolvido pode manter uma falsa sensação de segurança.
O maior risco pode ser aquilo que a empresa não consegue enxergar
Talvez o principal dado do ESET Security Report 2026 não seja o índice de 62%.
É o 43,3%.
Entre as empresas brasileiras que não detectaram ataques, essa parcela suspeita que incidentes possam ter ocorrido sem identificação por falta de tecnologia adequada.
Isso muda completamente a interpretação do levantamento.
O problema não está apenas na quantidade de ciberataques em empresas brasileiras.
Está também na capacidade de detectar, investigar e responder.
Uma organização pode passar meses acreditando que está segura enquanto um invasor utiliza uma credencial comprometida de maneira silenciosa.
Consequentemente, segurança precisa ser mensurada por capacidade de prevenção e de detecção.
O que as empresas devem fazer agora?
A resposta começa pelo básico bem executado.
Inventário de ativos, atualizações, backup testado, autenticação multifator, gestão de vulnerabilidades e treinamento continuam essenciais.
Contudo, organizações que possuem maior exposição também precisam avançar para:
- monitoramento centralizado;
- SIEM e correlação de eventos;
- inteligência de ameaças;
- proteção avançada de endpoints;
- gestão de identidades;
- testes de resposta a incidentes;
- análise periódica de vulnerabilidades;
- preservação adequada de logs.
Além disso, a empresa precisa definir antecipadamente quem tomará decisões quando um incidente ocorrer.
Um plano escrito somente depois da invasão já nasceu atrasado.
Conclusão: segurança não é apenas impedir ataques, é conseguir enxergá-los
Os dados do ESET Security Report 2026 mostram um Brasil altamente exposto a ameaças digitais.
62% das empresas brasileiras pesquisadas detectaram tentativas de ciberataque, enquanto phishing, engenharia social, exploração de vulnerabilidades e malware aparecem entre os vetores mais frequentes.
Entretanto, existe uma segunda vulnerabilidade menos visível.
Muitas organizações ainda não sabem dizer com segurança se foram atacadas.
Isso transforma monitoramento e capacidade de investigação em elementos tão importantes quanto prevenção.
Em cibersegurança, não detectar um ataque não significa necessariamente que ele não aconteceu. Pode significar apenas que a empresa ainda não possui instrumentos para enxergá-lo.
A M A Segurança Digital atua com palestras, treinamentos, análise preventiva, perícia digital e orientação em segurança da informação para empresas e profissionais.
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Advogado, Formado em Segurança Pública e Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital e autor do livro “Filhos Conectados, Pais Preparados”, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.
Fontes consultadas
O Poder360 apresentou os dados brasileiros do ESET Security Report 2026, incluindo exposição por setor e principais modalidades de ataque.
A ESET publicou os resultados gerais e a metodologia do levantamento latino-americano, realizado com 1.563 profissionais de 962 organizações.
A análise regional do estudo detalha as dificuldades de detecção, incidência de ataques e diferenças entre os setores econômicos.
O FortiGuard Labs complementa o cenário ao mostrar a aceleração da exploração de vulnerabilidades e do cibercrime automatizado em 2026