INTELIGÊNCIA ARTIFICIAL

Ciberataques no Brasil: o que revela o ESET Security Report 2026

Levantamento com 1.563 profissionais mostra que 62% das empresas brasileiras já detectaram tentativas de ataque, mas quatro em cada dez organizações da América Latina ainda não conseguem enxergar as próprias falhas de segurança

Por Redação The Shift 27/08/2026

Não é exagero dizer que a pergunta mais reveladora do relatório “ESET Security Report 2026”, que traz um retrato da cibersegurança na América Latina, não é “quantas empresas foram atacadas”, mas “quantas empresas sabem que foram atacadas”. É justamente aí que a América Latina, com o Brasil incluso, mostra sua maior fragilidade. Mais da metade das empresas já detectaram tentativas de ataque, phishing continua sendo a porta de entrada preferida dos criminosos, a adoção de ferramentas avançadas de detecção segue muito atrás da adoção de defesas básicas de perímetro, e a governança sobre o uso de Inteligência Artificial praticamente não existe em quatro de cada dez organizações. Quando esses números são lidos ao lado dos custos crescentes de violações de dados no Brasil, medidos por outros levantamentos do setor, fica claro que o problema é também de investimento, de processo e de maturidade organizacional para lidar com uma ameaça que evolui mais rápido do que as defesas corporativas.

Começando por este dado: 52,7% das empresas da América Latina relataram ter detectado ao menos uma tentativa de ciberataque nos últimos 12 meses, o equivalente a 824 organizações participantes da pesquisa. No Brasil, esse índice foi ainda mais elevado, atingindo 62%, acima da média regional. Mas o dado mais preocupante é que 15,4% das organizações latino-americanas afirmaram não serem capazes de confirmar se foram ou não alvo de tentativas de ciberataque, o que evidencia uma deficiência crítica na capacidade de monitoramento e detecção de incidentes. No Brasil, esse percentual foi menor, chegando a 14,7% das empresas entrevistadas.

A coisa piora quando se olha para as empresas que declararam não ter detectado ataques: 25,1% delas admitem que os incidentes podem ter ocorrido sem que seus sistemas percebessem, por não contar com tecnologia suficiente para detecção. No Brasil, esse percentual é bem maior, alcançando 43,3%. Cruzando a suspeita de incidentes não identificados com a falta de conhecimento técnico declarada, o relatório conclui que quatro em cada dez organizações na América Latina não possuem capacidade analítica suficiente para auditar sua segurança real.

CADASTRE-SE GRÁTIS PARA ACESSAR 5 CONTEÚDOS MENSAIS

Já recebe a newsletter? Ative seu acesso

Comportamento por setor: onde o risco se concentra

A análise por setor mostra que a exposição ao risco está diretamente relacionada ao nível de visibilidade técnica, à incidência de ataques e às lacunas de segurança observadas em cada segmento de mercado.

A Manufatura registra a maior taxa de incidentes da região: 62,7% das empresas (Brasil, 58,3%) afirmaram ter detectado tentativas de ciberataque. O setor também concentra uma das maiores incidências de phishing, com 81,1% das organizações relatando esse tipo de ocorrência (Brasil, 85,7%). Em contrapartida, é o setor com a menor taxa de incerteza: apenas 5,1% das empresas entrevistadas declararam não saber se foram alvo de ataques, um sinal de que, apesar de mais atacado, o setor tem relativamente boa visibilidade sobre o que acontece em seus sistemas.

O Setor Bancário e Financeiro é o segundo mais visado: 57,8% ou quase três em cada cinco instituições financeiras (Brasil, 66,7%) detectaram tentativas de ciberataque no último ano. Em compensação, é o segmento que lidera a adoção de tecnologias avançadas de segurança, como DLP, com 57,6% (Brasil: 66,7%), Threat Intelligence com 37,6% (Brasil, 66,7%) e EDR com 69,1% (Brasil, 100%), o que sugere uma resposta proporcional ao nível de exposição.

No Governo, 54,5% dos órgãos participantes (Brasil, 61,9%) relataram atividade maliciosa, evidenciando uma elevada exposição de dados de cidadãos. O phishing foi o principal vetor de ataque nesse setor, citado por 72,6% das organizações (Brasil, 61,5%), seguido pelos acessos não autorizados (43%).

A Educação foi alvo de tentativas de ciberataque em exatamente 50,6% das instituições (no Brasil, 42,9%). O setor também apresentou o maior índice de incerteza de toda a pesquisa: 21,2% das organizações não sabem informar se sofreram ataques (no Brasil, 14,3%). Além disso, o phishing atingiu seu maior índice entre todos os setores analisados nesse segmento, sendo reportado por 81,4% das instituições (Brasil, 66,7%).

Já a Saúde registrou o menor percentual de organizações que confirmaram tentativas de ciberataque, com 44,7% (Brasil, 50,0%). Isso, porém, não significa necessariamente que seja o segmento menos atacado: o setor apresentou a maior proporção de respostas negativas ou incertas com 42,1% (no Brasil: 50,0%), o que pode indicar uma menor capacidade de monitoramento e detecção de incidentes. Em outras palavras, o problema pode estar mais na cegueira tecnológica do que na ausência real de ataques.

Colocando os cinco setores lado a lado em termos de taxa de ataques detectados, o ranking regional fica assim: Manufatura à frente, com cerca de 62%; Bancário/Financeiro na sequência, próximo de 58%; Governo por volta de 55%; Educação em torno de 51%; e Saúde fechando a lista, com aproximadamente 44%. O padrão sugere que os setores com maior exposição de dados sensíveis ou maior dependência de sistemas legados nem sempre são os que mais “veem” os ataques que sofrem, muitas vezes são os que menos conseguem enxergá-los.

O levantamento se baseou em 1.563 respostas de profissionais do setor, representando aproximadamente 962 organizações. A amostra tem um perfil predominantemente técnico: 80,7% dos participantes atuam diretamente na área de cibersegurança (analistas, técnicos, gerentes e diretores) e 19,3% são colaboradores de áreas não técnicas. Em termos setoriais, os participantes pertencem principalmente às áreas de Governo e Informática/Tecnologia, seguidas por segmentos estratégicos como Bancário e Financeiro, Educação e Saúde.

Vetores e tipos de ataques: phishing lidera com folga

Entre as empresas que registraram incidentes, o relatório mapeou os principais tipos de ataques identificados, evidenciando a engenharia social e o comprometimento de identidades como as principais ameaças na América Latina. No gráfico consolidado de vetores e incidentes de ciberataques na região, a hierarquia é nítida:

Phishing/Engenharia social lidera com folga, na casa dos 70%
Acessos não autorizados, próximo dos 40%
Infecção por malware, por volta de 30%
Exploração de vulnerabilidades, pouco abaixo dos 30%

Essa distância entre o primeiro vetor e os demais é um indicativo de que o fator humano (clicar num link, fornecer uma credencial, ceder a uma engenharia social bem construída) segue sendo, disparado, a porta de entrada mais explorada pelos criminosos na região, à frente de falhas puramente técnicas.

O phishing se consolidou como o principal vetor de ataque na região: 73% das organizações (Brasil: 70,9%) foram alvo de ataques de phishing ou engenharia social, afetando empresas de todos os setores. Os maiores índices foram registrados em Educação (81,4%, Brasil: 66,7%), Manufatura (81,1%, Brasil: 85,7%) e Bancário e Financeiro (79,6%, Brasil: 100%). O setor de Saúde apresentou a menor incidência desse tipo de ataque, com 67,6% (Brasil: 100%, um dado que, no caso brasileiro, inverte a tendência regional).

Os acessos não autorizados representam o segundo vetor de ataque mais frequente, atingindo 40% das empresas (Brasil: 44,3%). Envolvem técnicas como ataques de força bruta, sequestro de sessões e uso de credenciais comprometidas. O setor mais afetado foi o de Educação, com 51,2% (Brasil, 33,3%), seguido por Informática e Tecnologia com 43,3% (Brasil, 40,0%) e Governo com 43% (Brasil: 23,1%).

A infecção por malware, que inclui ransomware, trojans e spyware, atingiu 31,6% das organizações da região (no Brasil, 41,8%). O setor de Saúde registra o dobro da média regional nesse vetor, com 52,9% dos incidentes relacionados a ele (Brasil, 66,7%).

A exploração de vulnerabilidades afetou 29,2% das empresas (no Brasil, 49,4%). Esse vetor costuma estar associado à ausência de processos de aplicação de patches e atualização de sistemas. Os setores de Saúde, com 38,2% (Brasil, 66,7%) e Educação, com 30,2% (Brasil, 66,7%) lideram os índices, devido à presença de infraestruturas mais antigas e ciclos de atualização mais lentos.

Por fim, o sequestro ou vazamento de informações, que inclui incidentes como ransomware com exfiltração de dados, foi o tipo de incidente menos frequente na América Latina, atingindo 8,4% das organizações (no Brasil, 11,4%). Ainda assim, é o que apresenta o maior impacto operacional. O setor de Tecnologia da Informação registra a maior taxa desse vetor, com 12,2% (Brasil, 20,0%).

O fator inteligência artificial: entre o temor e a falta de regulamentação

O relatório dedica uma seção específica à forma como a IA é percebida como fator de risco e à falta de governança interna sobre seu uso nas empresas da região. A percepção de risco em relação ao desenvolvimento da Inteligência Artificial está concentrada principalmente na automação de ameaças avançadas e na falsificação de identidade em setores estratégicos. Segundo o levantamento, 56,3% dos profissionais (no Brasil, 49,2%) identificam o desenvolvimento de ataques mais sofisticados e automatizados como a principal ameaça associada à IA. Essa percepção chega a 74,6% no setor de Manufatura (Brasil, 25,0%) e a 63,5% na Educação (Brasil, 28,6%). A Manufatura, aliás, registra o maior nível de preocupação com esse tipo de risco em toda a América Latina. Vale notar que, no Brasil, esse mesmo setor prioriza outros riscos, como roubo de dados (33,3%) e deepfakes (25,0%).

Outros 19,6% dos entrevistados (Brasil, 20,3%) apontam a falsificação de identidade por meio de deepfakes como o principal perigo, sendo o setor de Informática/Tecnologia o mais preocupado com esse vetor, com 24,2% (no Brasil, 21,6%), números bem alinhados entre Brasil e região.

Esses dois riscos – ataques mais sofisticados e automatizados de um lado, falsificação de identidade de outro – resumem bem a dualidade da IA sob a ótica dos profissionais de segurança latino-americanos: ela é vista simultaneamente como amplificadora de capacidade ofensiva dos atacantes e como ferramenta de fraude de identidade, mas sem que a percepção de risco venha acompanhada, na maioria das organizações, de qualquer política formal de uso.

Quando o assunto é governança interna, a disparidade é grande. Segundo o relatório, 39,2% das organizações (Brasil, 45,3%) operam em um vazio regulatório absoluto, deixando a decisão de uso da IA a critério dos próprios funcionários. Outras 39,7% (Brasil, 39,1%) incentivam o uso da tecnologia seguindo diretrizes internas; 17,8% (Brasil, 14,1%) restringem o uso a casos específicos; e apenas 3,4% (Brasil, 1,6%) aplicam uma proibição total ao uso de ferramentas de IA.

Os extremos por setor também chamam atenção: a Educação é o segmento com menor nível de regulamentação: 58,8% das instituições na América Latina e 57,1% no Brasil não possuem nenhum tipo de regra sobre o uso de IA. Já no setor de Bancos e Serviços Financeiros, 47,6% das organizações da América Latina incentivam o uso da tecnologia seguindo normas internas rigorosas. No Brasil, esse padrão se inverte: 66,7% das instituições financeiras não têm regulamentação alguma, e apenas 33,3% incentivam o uso com diretrizes.

Maturidade tecnológica: a lacuna das defesas

A quarta seção do relatório analisa a assimetria entre a adoção de ferramentas perimetrais básicas e as capacidades analíticas avançadas, uma distância que, segundo a ESET, evidencia um modelo de segurança mais reativo do que proativo na região.

A tabela comparativa de adoção de tecnologias mostra o seguinte panorama, América Latina e Brasil, respectivamente: Firewall, 85% e 93,9%; Backup, 82% e 92,9%; VPN, 73% e 76,8%; Dupla autenticação (2FA), 57% e 68,7%; EDR, 52% e 68,7%; DLP, 36% e 51,5%; e Threat Intelligence, apenas 23% e 49,5%.

Quanto mais avançada e analítica a tecnologia, menor sua taxa de adoção. O Brasil, embora à frente da média regional em praticamente todos os itens, segue a mesma lógica. O setor financeiro se destaca como o mais maduro tecnologicamente, com maior adoção de tecnologias avançadas; no Brasil essa liderança é ainda mais acentuada: DLP em 66,7% das instituições financeiras, Threat Intelligence em 66,7% e EDR em 100% das respondentes do setor. Já o setor governamental registra a vulnerabilidade mais preocupante em controles de acesso: apenas 41,6% (Brasil, 38,5%) implementaram a dupla autenticação, um ponto de atenção que se repete, e até se agrava levemente, no cenário brasileiro. A Threat Intelligence é a tecnologia com menor nível de adoção na América Latina, embora no Brasil ela já esteja bem mais difundida do que a média regional.

Hábitos dos usuários: o elo humano ainda fragilizado

A última seção de dados do relatório trata do fator humano, um dos elementos mais importantes (e mais negligenciados) da cibersegurança corporativa. O levantamento apresenta dados sobre a adoção de antivírus, autenticação de dois fatores e proteção de dispositivos corporativos, com foco em funcionários não técnicos (19,3% dos entrevistados na América Latina, 22,7% no Brasil).

Embora 81,4% dos entrevistados (Brasil, 100%) utilizem antivírus em seus equipamentos de trabalho, o descuido com a proteção da identidade digital ainda é elevado: apenas 52,2% (Brasil, 65,5%) ativam a autenticação de dois fatores em suas contas corporativas.

O ponto mais crítico, porém, é a segurança em dispositivos móveis, o que o relatório chama de “o grande esquecido”. O celular corporativo se consolida como o elo mais vulnerável: 1 em cada 4 funcionários da América Latina (26,9%) reconhece não utilizar nenhuma solução ou medida de segurança em seu dispositivo móvel de trabalho. No Brasil, esse número é bem mais alto: 51,7% não usam nenhuma proteção móvel, ou seja, mais de 1 em cada 2 funcionários não técnicos deixam o celular corporativo completamente desprotegido.

O contraste chama atenção: praticamente toda a base de funcionários não técnicos entrevistados no Brasil diz usar antivírus no computador de trabalho, mas mais da metade não aplica proteção alguma no celular corporativo, o mesmo dispositivo que, em muitas empresas, acumula e-mail corporativo, aplicativos de mensagens, autenticadores e acesso a sistemas internos. Essa disparidade entre a proteção do computador e a do celular corporativo reproduz, na ponta do usuário final, a mesma lógica identificada na maturidade tecnológica das empresas: o básico e o mais visível estão relativamente bem cobertos, enquanto o que exige uma camada extra de atenção (dispositivos móveis, autenticação de dois fatores, ferramentas analíticas) ainda fica para trás.