Vazamento de dados custa em média R$ 7,44 milhões no Brasil

Uma violação de dados custa, em média, R$ 7,44 milhões às organizações brasileiras em 2026, segundo o relatório Cost of a Data Breach, da IBM, divulgado em 15 de outubro. O valor representa aumento de 3,5% em relação ao levantamento anterior e inclui despesas e perdas causadas pelos incidentes, não o preço de venda dos materiais roubados.

A pesquisa analisou ocorrências em 602 organizações de diferentes países, entre março de 2025 e fevereiro de 2026, incluindo 42 empresas brasileiras. No setor de saúde, que teve o maior custo médio no país, cada ocorrência alcançou R$ 12,55 milhões.

Impactos podem continuar após a recuperação dos sistemas

Segundo Daniel Peres, executivo e especialista em cibersegurança, restabelecer a operação após um ataque não significa retomar o controle sobre as informações subtraídas. Dados roubados podem continuar sendo usados em extorsões, fraudes e comercialização ilegal por um longo período, dependendo de seu conteúdo.

Registros médicos estão entre os arquivos mais sensíveis. Um ataque à empresa americana de tecnologia em saúde Change Healthcare, ocorrido em 2024, comprometeu dados protegidos de aproximadamente 192,7 milhões de pessoas, conforme atualização divulgada pelo Departamento de Saúde e Serviços Humanos dos Estados Unidos em julho de 2025. Diagnósticos, históricos de tratamento e condições de saúde permanecem associados às pessoas, diferentemente de senhas que podem ser trocadas.

Contratos, documentos estratégicos, gravações de reuniões e imagens de segurança também podem expor rotinas, negociações e projetos ainda não anunciados. De acordo com a fonte, a divulgação desses materiais pode antecipar projetos e comprometer investimentos.

Acesso autorizado também exige atenção

O uso indevido de credenciais por funcionários, prestadores de serviço ou parceiros é outro risco apontado. Em fevereiro de 2026, o ex-executivo Peter Williams foi condenado nos Estados Unidos a 87 meses de prisão por subtrair componentes sigilosos de ferramentas cibernéticas e vendê-los a um intermediário russo. Segundo o Departamento de Justiça americano, ele recebeu US$ 1,3 milhão pelos materiais entregues.

Entre as medidas citadas para reduzir a exposição estão identificar ativos sensíveis, limitar permissões conforme cada função, monitorar movimentações suspeitas, usar criptografia e autenticação multifator, revisar acessos periodicamente e manter planos de resposta a incidentes.

No Brasil, a LGPD prevê obrigações relacionadas à segurança de dados pessoais. Lucas Paglia, advogado especialista em direito digital e cibersegurança, afirma que, após um vazamento, é preciso avaliar os riscos às pessoas afetadas, as medidas para reduzir danos e o cumprimento dos deveres de prevenção e transparência.