A nova edição do Data Breach Investigations Report (DBIR) 2025, elaborado pela Verizon com colaboração de gigantes da cibersegurança — incluindo a brasileira Apura Cyber Intelligence — revela que apenas 54% das vulnerabilidades reportadas foram efetivamente corrigidas pelas empresas no último ano, com prazo médio de 32 dias para remediação. Tempo suficiente, segundo especialistas, para que criminosos explorem as brechas e comprometam redes corporativas.
O estudo, lançado globalmente nesta quarta-feira (23), analisou 22.052 incidentes de segurança entre novembro de 2023 e outubro de 2024. Desses, 12.195 resultaram em violações de dados confirmadas, o maior número já registrado na história do relatório.
“O DBIR é um dos diagnósticos mais importantes sobre o comportamento do cibercrime no mundo. Nossa participação há sete anos consecutivos reflete o compromisso em gerar inteligência útil para decisões locais e globais”, destaca Sandro Süffert, CEO da Apura.
Inteligência artificial e falhas humanas: combinação perigosa
O DBIR 2025 identifica três vetores principais de risco: uso de inteligência artificial por cibercriminosos, falhas humanas e vulnerabilidades em dispositivos de borda, como VPNs. Equipamentos de borda representaram 22% das falhas exploradas, frente a 3% no ano anterior — evidenciando o foco dos atacantes em pontos negligenciados da infraestrutura.
Entre os fatores humanos, o estudo mostra que 60% das violações envolvem erro ou negligência de usuários. A reutilização ou compartilhamento de senhas, principalmente em ambientes externos ou por terceiros, aparece como causa comum. A presença de parceiros em 30% dos incidentes (o dobro do período anterior) também eleva o risco, segundo o relatório.
Já os chamados infostealers — malwares voltados ao roubo de dados — atingiram 30% dos dispositivos corporativos infectados. E mais alarmante: 46% desses sistemas misturavam credenciais pessoais e corporativas, consequência direta de políticas frágeis de BYOD (bring your own device).
Ransomware segue em alta, mas menos empresas pagam resgate
O ransomware foi responsável por 44% das violações confirmadas, com aumento de 37% nos casos em relação ao ciclo anterior. Apesar da alta, a mediana dos valores pagos caiu de US$ 150 mil em 2023 para US$ 115 mil em 2024, e 64% das empresas afetadas optaram por não pagar o resgate — um avanço relevante na postura defensiva do setor.
Veja também: Liderança que protege: o papel do CEO na segurança da informação
O impacto do ransomware é desproporcional: afeta 88% das PMEs atingidas, contra 39% das grandes empresas. A diferença evidencia a fragilidade do chamado middle market, que ainda luta para amadurecer suas práticas de cibersegurança.
IA generativa é novo vetor de risco
O relatório também acende o alerta sobre o uso crescente de IA generativa (GenAI) em campanhas maliciosas. O número de e-mails de phishing com conteúdo gerado por IA dobrou em relação a dois anos atrás. Do lado das empresas, 15% dos colaboradores acessam ferramentas de GenAI com frequência em dispositivos corporativos, sendo que 72% o fazem com contas pessoais — uma brecha direta para vazamento de dados.
“Há poucos anos, usar IA em ataques parecia ficção. Hoje, ela é usada para automatizar fraudes, escrever e-mails convincentes e escalar ataques em tempo recorde. Isso muda completamente o jogo da cibersegurança”, alerta Süffert.
Siga TI Inside no LinkedIn e fique por dentro das principais notícias do mercado.
