Levantamento da Vultus analisou 132 organizações de 11 setores e mostra que vulnerabilidades conhecidas, senhas fracas e problemas de configuração continuam abrindo caminho para invasões
Os ataques hackers no Brasil continuam explorando problemas relativamente básicos de segurança digital. Segundo o Panorama do Risco Cibernético no Brasil 2026, elaborado pela consultoria Vultus, 45,2% dos ataques começam por falhas relacionadas a software, configuração ou identidade.
O levantamento analisou 132 organizações de 11 setores da economia e identificou outro problema relevante: 26,2% dos ataques envolvem o uso de credenciais válidas. Juntos, esses dois vetores aparecem em mais de 70% das invasões consideradas pelo estudo.
Além disso, a pesquisa aponta que a probabilidade de um ataque bem-sucedido aumentou 3,7% no último ano. Ao mesmo tempo, o nível de segurança das organizações avançou 5,6%. Ainda assim, a redução do risco total ficou limitada a 2,8%, segundo os dados apresentados pela Vultus.
Falhas básicas abrem caminho para ataques
Apesar dos investimentos crescentes em segurança digital, vulnerabilidades conhecidas continuam presentes nos ambientes corporativos.
De acordo com o estudo, 45,2% dos ataques começam por falhas básicas, incluindo problemas em softwares, configurações inadequadas ou questões relacionadas à identidade dos usuários.
Além disso, 26,2% envolvem credenciais válidas. Na prática, isso significa que o invasor nem sempre precisa explorar uma vulnerabilidade tecnológica sofisticada. Em determinados casos, basta obter uma senha legítima ou aproveitar uma configuração insegura.
“Enquanto o mercado discute IA, computação quântica e investe como nunca em tecnologia e segurança, os atacantes também nunca tiveram tanto sucesso. Na corrida pelo novo, muitas empresas ainda falham no básico e repetem erros já vistos diversas vezes”, afirmou Alexandre Brum, CEO da Vultus.
Assim, o levantamento chama atenção para uma diferença importante entre investir em novas tecnologias e aplicar de maneira consistente os controles de segurança já disponíveis.
Senhas fracas e falta de autenticação aumentam exposição
Outros números apresentados no panorama reforçam esse cenário. Segundo a Vultus, 38,1% dos ambientes em nuvem analisados não utilizam autenticação multifator.
Ao mesmo tempo, 35,7% dos ataques exploram senhas fracas, enquanto 21,4% utilizam credenciais que vazaram fora das próprias empresas. Além disso, o estudo aponta que 23,8% dos ataques conseguem acesso a VPNs mesmo sem informações prévias.
Esses números mostram como o gerenciamento de identidade continua relevante para a segurança das organizações. Afinal, uma credencial comprometida pode permitir que o criminoso utilize acessos aparentemente legítimos e avance para outras áreas do ambiente corporativo.
Por isso, mecanismos como autenticação multifator, políticas adequadas de senha e monitoramento de acessos podem reduzir parte dessa exposição.
Phishing continua explorando comportamento dos usuários
A engenharia social também permanece entre os caminhos utilizados para obter informações de acesso.
Em mais de 80 mil interações simuladas consideradas pelo levantamento, a cada 34 usuários que abriram um e-mail fraudulento, três forneceram credenciais válidas.
Além disso, nos casos de phishing analisados, 51% dos usuários que clicaram acabaram fornecendo suas credenciais, segundo o estudo.
Nesse tipo de ataque, o criminoso tenta convencer a vítima a realizar uma ação, como abrir um link ou informar dados de acesso. Portanto, o ataque não depende necessariamente de romper diretamente as defesas tecnológicas da empresa.
Esse cenário também mostra por que treinamento de funcionários precisa caminhar junto com ferramentas de proteção. Mesmo sistemas robustos podem enfrentar problemas quando criminosos conseguem obter credenciais legítimas por meio de engenharia social.
Serviços, tecnologia e saúde lideram indicador de risco
O risco identificado pela pesquisa aparece em diferentes setores da economia. No entanto, serviços, tecnologia e saúdeocupam as primeiras posições do indicador apresentado pela Vultus.
O setor de serviços registrou índice de 8,21, seguido por tecnologia, com 8,12, e saúde, com 7,96. Depois aparecem financeiro, com 7,86, e mercado de capitais e telecomunicações, ambos com 7,84.
A indústria marcou 7,77, enquanto o varejo apareceu com 7,54. Seguros registrou 7,45 e o agronegócio, 7,07.
Segundo a consultoria, a complexidade operacional e a dependência de sistemas digitais ajudam a explicar a exposição de determinados segmentos. Assim, organizações com muitos sistemas conectados, usuários e dados podem enfrentar uma superfície maior para possíveis ataques.
Empresas ainda enfrentam dificuldades para reagir a incidentes
Evitar a invasão representa apenas uma parte do desafio. Depois de um incidente, a capacidade de responder rapidamente também pode determinar o tamanho do impacto sobre a empresa.
Entretanto, o levantamento aponta uma fragilidade nessa etapa. Apenas 23% das organizações analisadas possuem processos estruturados para manter a continuidade das operações depois de um incidente cibernético, segundo a Vultus.
Mesmo entre as empresas que possuem planos, o estudo identificou casos de procedimentos desatualizados ou que não refletem adequadamente os riscos enfrentados.
Dessa forma, uma organização pode até conseguir detectar uma ameaça, mas ainda enfrentar dificuldades para conter o ataque, recuperar sistemas e manter serviços essenciais funcionando.
Segurança cibernética exige prevenção e capacidade de resposta
Os resultados do Panorama do Risco Cibernético no Brasil 2026 indicam que parte relevante dos ataques hackers no Brasil ainda depende de vulnerabilidades conhecidas, credenciais comprometidas e configurações inadequadas.
Ao mesmo tempo, o crescimento de 3,7% na probabilidade de ataques bem-sucedidos mostra que a evolução das ferramentas de segurança não encerra a disputa entre empresas e criminosos digitais.
Por isso, o desafio não está apenas em adotar tecnologias mais avançadas. Corrigir vulnerabilidades conhecidas, fortalecer senhas, implementar autenticação multifator, treinar funcionários e manter planos de resposta atualizados também fazem parte da estratégia de proteção.
Além disso, os dados sobre continuidade operacional mostram que as empresas precisam se preparar não apenas para impedir ataques, mas também para responder quando uma invasão ocorrer.
