Ciberataques lideram ranking de riscos para empresas brasileiras em 2026
Ameaças cibernéticas ocupam o primeiro lugar no ranking de riscos corporativos do Brasil para 2026, à frente de pressões inflacionárias, taxa de juros e risco de terceiros. O levantamento é o Executive Perspectives on Top Risks, produzido pela Protiviti em parceria com a ERM Initiative da North Carolina State University, com 1.540 conselheiros e executivos C-level ouvidos entre setembro e outubro de 2025. No recorte global, o resultado é o mesmo: risco cibernético em primeiro lugar.
Infraestrutura de TI obsoleta entrou na lista
O detalhe mais relevante para quem opera rede e data center não é o primeiro lugar, e sim quem apareceu atrás dele. No ranking brasileiro, infraestrutura de TI obsoleta ocupa a décima posição. No ranking global, desempenho da infraestrutura de TI saltou do 13º para o 4º lugar em uma única edição. É a diferença entre tratar legado como dívida técnica tolerável e tratá-lo como risco reportado ao conselho.
Do lado do orçamento, 46% dos executivos brasileiros citam modernização de infraestrutura tecnológica e de processos como prioridade de investimento, e 34% apontam cibersegurança. Os dois números andam juntos por um motivo prático: boa parte do risco cibernético é, na origem, risco de infraestrutura.
Os números que sustentam a posição
O ranking mede percepção de executivos. A telemetria conta a mesma história. O FortiGuard Labs, da Fortinet, registrou 315 bilhões de tentativas de ataque no Brasil apenas no primeiro semestre de 2025, de um total de 374 bilhões na América Latina — 84% da região concentrados em um só país. No mesmo período foram 309 bilhões de tentativas de DDoS, 52 milhões de ações ligadas a botnets e 28,1 mil incidentes de ransomware.
O impacto financeiro também está medido. O Digital Trust Insights da PwC, com mais de 4 mil executivos em 77 países, aponta que um terço das empresas brasileiras acumulou perdas de pelo menos US$ 1 milhão com ciberataques nos últimos três anos; a média global no mesmo intervalo é de US$ 3,32 milhões. Já o CIO Report da Logicalis com a Vanson Bourne indica que 80% das grandes empresas brasileiras sofreram ao menos uma tentativa de ataque em 12 meses, com 40% atingidas por malware e ransomware e 34% com vazamento de dados.
O estudo Risk-Ready or Risk-Exposed, da Cohesity, com 200 empresas brasileiras e mais de 3 mil no mundo, mostra que 55% das companhias no país sofreram ataques com dano material no último ano e que 84% já pagaram resgate em algum momento. Entre as que pagaram, 47% gastavam menos de 5% do orçamento anual de segurança em proteção. E 56% levaram de um a três dias para restaurar backups.
Por que o cibernético passou na frente
Crise econômica e instabilidade política se movem em trimestres e dão tempo de reação. Um ataque bem-sucedido derruba a operação em horas, com efeito simultâneo sobre receita, contrato, reputação e obrigação regulatória — o prazo de notificação à ANPD corre em paralelo ao incidente, não depois dele. É essa assimetria de velocidade que empurra o tema para o topo da lista do conselho.
O ângulo prático
O dado de restauração da Cohesity é o que mais interessa a quem administra ambiente: se o backup leva de um a três dias para voltar, pagar resgate vira decisão financeira, não técnica. Encurtar esse tempo é trabalho de infraestrutura, não de ferramenta de defesa isolada:
- Backup com restauração cronometrada, não apenas job verde no console. Meça RTO real, por sistema, com teste registrado.
- Segmentação de rede que barre movimentação lateral entre VLANs de servidores, estações e ambientes de terceiros — risco de terceiros é o 4º da lista brasileira.
- Janela de patch definida e inventário de ativos que a alimente. Sem inventário, não existe cobertura mensurável.
- Retenção de log suficiente para reconstruir a linha do tempo do incidente, incluindo firewall, VPN e acesso administrativo.
Nenhum desses itens é novidade. O que mudou é que eles agora aparecem no relatório que o conselho lê — e o orçamento costuma seguir a lista.
