Maturidade em segurança avança, mas explosão de phishing expõe novo ponto cego no Brasil
Entre 2021 e 2026, o cenário de segurança da informação nas empresas brasileiras mudou de forma profunda – e de maneira aparentemente contraditória. De um lado, a maturidade avançou com rapidez: a proporção de organizações que mantêm mais de cinco anos de investimentos contínuos em segurança saltou de 14% para 67%. De outro, os ataques de phishing mais que dobraram no mesmo intervalo, passando de 28% para 58% das companhias.
Os números fazem parte do Brazilian CyberSecurity Index, levantamento conduzido pela BugHunt com 240 empresas ao longo de cinco anos. O estudo traça um retrato detalhado da evolução da maturidade em cibersegurança, dos investimentos realizados e das principais ameaças que hoje pressionam o ambiente corporativo brasileiro.
Hoje, praticamente não existe mais empresa alheia ao tema: 96% das organizações no país afirmam investir em segurança da informação, ante 72% em 2021. A pauta deixou de ser exclusividade de grandes corporações de tecnologia ou de setores regulados, como bancos e telecomunicações, e se tornou agenda permanente também em varejistas, indústrias, serviços e negócios de médio porte.
Apesar dessa disseminação, o ritmo de expansão dos orçamentos começa a dar sinais de cansaço. O estudo indica que 39% das empresas não pretendem ampliar o volume de recursos destinados à segurança até 2026. Outras 37% projetam apenas incrementos de até 10% – algo que, na prática, tende a acompanhar ou até ficar abaixo da inflação, significando mais uma recomposição de perdas do que um reforço efetivo. Somente 24% das organizações planejam aumentos reais, capazes de elevar de fato a capacidade de proteção.
Esse quadro cria um paradoxo: a maturidade formal cresce, programas e políticas se institucionalizam, mas os orçamentos começam a ficar estáveis em um momento em que o ambiente de ameaças se torna mais complexo, sofisticado e volumoso. Em vez de um “ponto de chegada”, o novo ciclo de maturidade abre um capítulo de pressão por eficiência, priorização e criatividade na gestão de riscos.
É nesse contexto que o phishing se consolida como protagonista indesejado. O relatório mostra que esse tipo de ataque – em que criminosos tentam enganar usuários por e-mail, mensagens instantâneas ou páginas falsas para roubar credenciais e dados sensíveis – tornou-se a principal ameaça às organizações brasileiras. Mais do que isso: foi o único vetor que cresceu de forma contínua em todas as edições do estudo.
Para Caio Telles, CEO da BugHunt, o fenômeno traduz um problema estrutural: “o phishing continua como o principal vetor de ataque às organizações brasileiras. Isso mostra que segurança não é apenas uma questão de tecnologia, mas também de implementação de processos, treinamento de usuários e validação contínua”. Em outras palavras, firewalls e antivírus evoluíram, mas o elo humano permanece altamente explorável.
Enquanto isso, outras ameaças historicamente tratadas como prioritárias perderam fôlego relativo. A incidência de malware caiu de 24% em 2021 para 15% em 2026. O ransomware, que chegou a ser o grande vilão global em 2022, recuou de 25% para 12% no período analisado. Esses movimentos não significam que o problema foi resolvido, mas sugerem que medidas de contenção e proteção, como backups mais maduros, segmentação de redes e políticas de atualização de sistemas, começaram a trazer resultados.
O espaço aberto pela redução de alguns ataques foi rapidamente ocupado por novas frentes de risco. Falhas de autenticação foram relatadas por 31% das empresas, indicando que a gestão de identidades e acessos ainda é um calcanhar de Aquiles importante. A exploração de vulnerabilidades em sistemas, muitas vezes decorrente de aplicações desatualizadas ou configuradas de forma inadequada, atingiu 23% das organizações. Já a indisponibilidade de serviços, causada tanto por incidentes de segurança quanto por problemas operacionais, afetou 19% das companhias.
Esse movimento reforça uma conclusão central do estudo: a cibersegurança deixou de ser um desafio estritamente técnico para se tornar um problema de gestão. Não basta implantar ferramentas; é preciso garantir governança sobre acessos, processos consistentes de detecção e resposta, ciclos de atualização contínua e integração entre times de tecnologia, negócios e segurança.
Uma das respostas encontradas por parte das organizações brasileiras para acelerar esse amadurecimento é a adoção de programas de Bug Bounty. Segundo o Brazilian CyberSecurity Index, 48% das empresas já utilizam esse modelo ou pretendem implementá-lo nos próximos dois anos, o dobro da taxa registrada em 2021, quando o índice era de 24%. Entre as que conhecem a prática, 56% se declaram defensoras da abordagem.
Esses programas remuneram pesquisadores de segurança independentes pela identificação responsável de vulnerabilidades em aplicações e infraestruturas corporativas. Na prática, funcionam como uma extensão da equipe interna, ampliando a superfície de observação e trazendo um olhar externo capaz de encontrar brechas que, muitas vezes, passam despercebidas pelos times tradicionais.
Ao apostar em Bug Bounty, as empresas indicam uma mudança de mentalidade: em vez de ver o pesquisador como inimigo em potencial, passam a tratá-lo como aliado estratégico. Essa lógica se alinha a uma visão mais moderna de segurança, baseada em colaboração, transparência e testes constantes, e menos em controles rígidos e isolamento.
O horizonte de investimentos também revela tendências importantes para o próximo ciclo de maturidade. A inteligência artificial desponta como prioridade para 63% das empresas entrevistadas, consolidando-se como principal foco para os próximos dois anos. A expectativa é utilizar IA tanto para automatizar análises de grandes volumes de dados e logs quanto para aprimorar a detecção de anomalias, antecipar comportamentos suspeitos e reduzir o tempo de resposta a incidentes.
Logo em seguida aparecem automação e orquestração, citadas por 51% das organizações. Essas iniciativas buscam integrar ferramentas, padronizar fluxos de trabalho de segurança e diminuir a dependência de atuação manual em tarefas repetitivas, como correlação de alertas, abertura de chamados e aplicação de bloqueios. Em um cenário de escassez de profissionais qualificados, tornar o time mais produtivo por meio de automação deixou de ser um luxo para se tornar necessidade.
As arquiteturas Zero Trust, mencionadas por 49% dos respondentes, completam o trio de prioridades. A lógica de “nunca confiar, sempre verificar” contrasta com o antigo modelo de perímetro, em que tudo o que estava dentro da rede corporativa era presumido como confiável. Com o trabalho remoto consolidado, aplicações em nuvem e cadeias de fornecimento complexas, o acesso se tornou distribuído e dinâmico. Nesse contexto, controlar identidades, contextos de acesso e níveis mínimos de privilégio passa a ser mais importante do que demarcar fronteiras físicas de rede.
A contradição entre o aumento da maturidade e a escalada de phishing também revela um aspecto comportamental crucial. Campanhas de conscientização pontuais, realizadas uma ou duas vezes por ano, já não são suficientes para conter a sofisticação das fraudes. Ataques são personalizados, utilizam informações reais sobre a rotina da vítima, simulam comunicação de clientes, parceiros ou órgãos oficiais e, muitas vezes, exploram momentos de maior vulnerabilidade emocional, como mudanças internas, períodos de pagamento ou crises setoriais.
Nesse cenário, treinar colaboradores vai além de “não clicar no link suspeito”. Envolve construir uma cultura em que todos se sintam responsáveis pela segurança, tenham clareza sobre como reportar incidentes, compartilhem alertas internamente e vejam a área de segurança como parceira, e não apenas como fiscalizadora. Empresas que conseguirão virar o jogo contra o phishing tendem a ser aquelas que combinam controles tecnológicos (filtros de e-mail, autenticação multifator, monitoramento de domínio) com educação contínua, testes de simulação e feedback estruturado.
Outro desafio apontado por especialistas é o risco de acomodação em função da queda de alguns vetores, como ransomware. A redução de incidentes pode induzir a uma sensação falsa de controle, justamente no momento em que criminosos diversificam seus modelos de ataque, combinando engenharia social, invasões silenciosas, extorsão baseada em vazamento de dados e exploração de cadeias de terceiros. A “pandemia” da fraude digital, impulsionada pelo crescimento do comércio eletrônico e dos pagamentos digitais, amplia ainda mais o campo de atuação dos golpistas.
Diante de orçamentos mais estáticos, o caminho passa por escolhas duras. Organizações terão de priorizar iniciativas capazes de gerar maior impacto em risco: proteção de identidades, segmentação de acessos críticos, revisão de processos de autenticação, gestão de vulnerabilidades baseada em risco de negócio e fortalecimento das capacidades de resposta a incidentes. Ferramentas sofisticadas desconectadas da realidade operacional tendem a gerar menos valor do que controles bem desenhados, aplicados em pontos-chave da operação.
Uma consequência direta desse novo ciclo é a necessidade de envolver a alta liderança de forma mais profunda. Ao se tornar questão estratégica, a segurança da informação precisa estar integrada ao planejamento corporativo, a decisões de novos produtos e serviços e à gestão de reputação. Conselhos de administração e diretoria executiva começam a ser chamados a discutir não apenas “quanto se gasta”, mas “onde se investe” e “quais riscos se aceita”, alinhando expectativas entre negócio e tecnologia.
O avanço da maturidade em segurança no Brasil é inegável – os dados do Brazilian CyberSecurity Index comprovam isso. Porém, o crescimento explosivo do phishing e o surgimento de novas fragilidades deixam claro que esse amadurecimento não significa fim da jornada, e sim mudança de fase. A próxima etapa exigirá menos foco em volume de ferramentas e mais ênfase em integração, cultura, governança e inteligência aplicada ao contexto de cada organização.
Em um ambiente em que quase todas as empresas já investem em segurança, a diferença competitiva tenderá a ser determinada não por quem gasta mais, mas por quem consegue transformar esses recursos em resiliência real diante de um cenário de ameaças em constante mutação.