Ataques cibernéticos acendem alerta no mercado de resseguros e expõem riscos de efeito cascata
Especialistas em risco vêm reforçando um ponto que já não pode ser ignorado: incidentes cibernéticos deixaram de ser problemas pontuais de tecnologia para se tornarem um vetor relevante de risco sistêmico. Para o mercado de seguros e, sobretudo, de resseguros, a preocupação não é apenas com a frequência dos ataques, mas com sua capacidade de gerar perdas em massa, desencadear crises reputacionais e ameaçar a continuidade de negócios inteiros.
Nos últimos anos, a sofisticação das ameaças digitais cresceu em paralelo à interdependência entre sistemas, provedores de serviços, nuvens, cadeias de fornecimento e infraestruturas críticas. Quanto mais conectadas as empresas se tornam, maior a chance de um único ponto de falha provocar um efeito cascata – atingindo diversas organizações, setores e até serviços públicos essenciais.
Um exemplo recente dessa sensibilidade foi o episódio ocorrido em um sábado (20), quando um alerta extremo da Defesa Civil foi enviado a celulares em todo o país. Ainda que o caso tenha sido pontual, ele reacendeu discussões sobre a resiliência e a segurança dos sistemas governamentais. Plataformas que concentram dados de cidadãos e controlam serviços vitais – como saúde, segurança pública, finanças e resposta a emergências – passaram a ser vistas como potenciais “epicentros” de risco digital. Uma falha, invasão ou simples indisponibilidade desses sistemas pode resultar em impactos amplos, simultâneos e de longa duração.
Nas empresas, o impacto dos ataques cibernéticos já está bem documentado. Um estudo elaborado por uma grande corretora global analisou 1.414 eventos cibernéticos em todo o mundo e identificou 56 casos que evoluíram para crises com danos reputacionais relevantes. Nessas situações, as empresas afetadas registraram, em média, queda de 27% em seu valor de mercado. O dado traduz um ponto crucial: o prejuízo não se limita à interrupção de operações ou a custos de contenção; atinge diretamente receita, confiança de clientes, percepção dos investidores e imagem corporativa.
Apesar desse quadro, o mercado global de seguros cibernéticos opera em um ambiente marcado por competição intensa. Informações de uma corretora internacional indicam que o segmento encerrou o primeiro trimestre de 2025 com redução média de 7% nas taxas, somando dez trimestres seguidos de queda nos preços. Em outras palavras, o risco se torna mais complexo, mas o prêmio médio pago por ele vem diminuindo.
Para analistas e executivos do setor, essa combinação é perigosa. Os controles de segurança, de fato, evoluem – com mais monitoramento, ferramentas de detecção e resposta, políticas de gestão de identidade e programas de conscientização. No entanto, os atacantes também se sofisticam, exploram novas superfícies de ataque e testam vulnerabilidades em cadeias inteiras de fornecedores. Assim, o risco agregado não diminui na mesma velocidade que as taxas.
Rafaela Barreda, presidente da Federação Nacional das Empresas de Resseguros (Fenaber), ressalta que a natureza do risco cibernético mudou e exige outro nível de atenção por parte dos resseguradores. Segundo ela, já não é possível tratá-lo como um simples incidente tecnológico isolado. Um ataque bem-sucedido pode afetar milhões de usuários simultaneamente, interromper operações críticas por dias ou semanas, deteriorar a reputação de grandes marcas e pressionar o capital disponível no mercado de seguros e resseguros. Esse cenário obriga o setor a adotar modelos de risco mais sofisticados, com visão de cadeia, análise de correlações e disciplina rigorosa na subscrição de apólices.
A complexidade aumenta na medida em que empresas se apoiam cada vez mais em fornecedores externos, ambientes compartilhados e serviços em nuvem. Estudos de corretoras internacionais mostram que os incidentes de ransomware reportados por clientes cresceram 24% em 2024, enquanto as exposições ligadas a terceiros permanecem entre as maiores preocupações do mercado. Em muitos casos, o ataque não acontece diretamente na empresa segurada, mas em um parceiro estratégico que tem acesso a dados, credenciais, integrações ou infraestrutura compartilhada.
No Brasil, o tema ganhou ainda mais peso após o ataque à C&M Software, empresa que atua como intermediária do sistema Pix. O episódio é apontado em análises do setor como um dos mais significativos já registrados contra a infraestrutura financeira do país. O incidente envolveu o vazamento de 392 gigabytes de dados e trouxe prejuízos estimados em mais de R$ 1 bilhão. Além do impacto financeiro direto, o caso reforçou a sensibilidade de sistemas de pagamento instantâneo e o potencial de um ataque desse porte para abalar a confiança de consumidores e do próprio mercado financeiro.
Para Barreda, o ciclo atual – marcado por ataques mais complexos ao mesmo tempo em que os preços das coberturas recuam – exige um rigor técnico redobrado na avaliação dos riscos. Segundo ela, períodos de queda de taxa podem dar a ilusão de que o risco diminuiu, mas o risco subjacente continua presente e, em muitos casos, agravado pela interconectividade. A executiva alerta para a necessidade de diferenciar movimentos saudáveis de ajuste de prêmio de situações de subprecificação estrutural. Sem base de dados robusta, sem requisitos mínimos de controle de segurança nas empresas seguradas e sem entendimento claro das correlações entre riscos, a capacidade do mercado pode ser rapidamente corroída por poucos eventos de baixa frequência e altíssimo impacto.
Para o resseguro, esse quadro representa um desafio adicional. Como o ressegurador está, em geral, na retaguarda das apólices emitidas por diversas seguradoras, ele é o elo que absorve parte expressiva das perdas em cenários de eventos extremos. Em riscos cibernéticos, isso significa lidar com a possibilidade de múltiplos sinistros simultâneos, derivados de um único ataque a um provedor de serviços em nuvem, a uma grande plataforma de pagamentos ou a um sistema governamental crítico. Essa característica de “risco de acumulação” é uma das maiores preocupações atuais do mercado.
Nesse contexto, a modelagem atuarial tradicional – baseada em séries históricas estáveis e eventos relativamente bem compreendidos – mostrou-se insuficiente. Incidentes cibernéticos têm dinâmica muito diferente de catástrofes naturais clássicas, como enchentes ou terremotos. A frequência e a severidade podem mudar rapidamente, novos vetores de ataque surgem de um ano para o outro e a própria superfície de exposição se transforma à medida que empresas adotam novas tecnologias e migram para a nuvem. Resseguradores vêm investindo em modelos específicos de risco cibernético, combinando dados de incidentes, informações técnicas de segurança, cenários de stress e simulações de eventos de massa.
Ao mesmo tempo, cresce a demanda por maior transparência e governança das empresas em relação à sua postura de segurança. Para muitas seguradoras e resseguradoras, já não basta um questionário simples na hora da subscrição. Passa a ser necessário avaliar se a organização adota autenticação multifator, segmentação de rede, backups imutáveis, planos de resposta a incidentes, testes periódicos de invasão e programas de treinamento interno contra phishing, entre outros controles. Em alguns casos, a concessão ou renovação da cobertura cibernética está condicionada à implementação de medidas específicas de proteção.
Outro ponto em discussão é a clareza das coberturas e exclusões. Com a ampliação dos riscos e o potencial de efeito cascata, seguradoras e resseguradoras revisam cláusulas contratuais para definir, por exemplo, limites em situações de ataques considerados “sistêmicos”. Há também debates sobre a caracterização de incidentes cibernéticos com conotação de guerra cibernética ou ações patrocinadas por Estados, o que pode afetar a forma de indenização. Essa revisão contratual busca equilibrar a necessidade de proteção para clientes com a preservação da solvência do mercado.
Para as empresas contratantes, o cenário exige uma visão mais madura de gestão de risco. Seguro cibernético não pode ser visto como substituto da segurança da informação, mas como uma camada adicional dentro de uma estratégia integrada de proteção. Organizações que demonstram governança sólida, processos estruturados e controles eficazes tendem a ter condições mais competitivas na contratação de seguros e resseguros, além de maior resiliência diante de incidentes inevitáveis.
Governos também entram nessa equação. Estruturas públicas críticas – como sistemas de arrecadação, benefícios sociais, saúde, justiça e defesa civil – precisam ser tratadas como pilares de segurança nacional sob a ótica digital. Planos de continuidade de negócios, redundância de sistemas, proteção de dados sensíveis e protocolos de resposta a incidentes devem ser continuamente atualizados, sob pena de um ataque causar efeitos econômicos e sociais em escala nacional. Em muitos países, discute-se a criação de marcos regulatórios específicos para riscos cibernéticos em infraestruturas essenciais.
Do ponto de vista econômico, a tendência é que o tema cibernético permaneça no centro das pautas de governança, tanto em conselhos de administração quanto em comitês de risco. Investidores, reguladores e parceiros comerciais buscam garantias de que empresas estejam preparadas para enfrentar incidentes severos e, sobretudo, para manter transparência com o mercado em caso de crises. A forma como uma organização comunica, reage e se recupera de um ataque tem peso cada vez maior na avaliação de sua credibilidade.
Para o setor de resseguros, o caminho passa por três eixos principais: aprofundamento da modelagem de risco, fortalecimento das exigências técnicas na subscrição e diálogo constante com seguradoras, empresas e reguladores. O objetivo é construir um arcabouço que permita ampliar a oferta de proteção sem comprometer a sustentabilidade financeira do sistema. A percepção é clara: ataques cibernéticos não são uma tendência passageira, mas uma característica estrutural da economia digital contemporânea.
Nesse ambiente, a discussão deixa de ser se um incidente irá ocorrer e passa a ser como o impacto será absorvido. Empresas que investem em prevenção, planos de contingência e cultura de segurança tendem a se recuperar mais rapidamente, reduzir perdas e preservar valor de mercado. Para seguradoras e resseguradoras, compreender essa maturidade e incorporá-la aos seus modelos de precificação e capacidade será decisivo para enfrentar a próxima onda de ataques que, tudo indica, será ainda mais complexa e interconectada.