Incidente cibernético de 2026 continua a ser considerado problema de TI?

Impacto dos Incidentes Cibernéticos nas Empresas

Nos últimos anos, o debate sobre se um incidente cibernético pode levar uma empresa à falência ganhou destaque. A resposta é afirmativa, especialmente em um contexto onde muitas organizações ainda veem esses eventos como meros problemas de TI. As evidências são claras e preocupantes, exigindo atenção de executivos e conselheiros de administração.

Empresas que Não Sobreviveram a Ataques Cibernéticos

23andMe: Em outubro de 2023, a empresa de testes genéticos enfrentou uma violação que expôs dados de cerca de 7 milhões de clientes. O resultado foi um acordo de US$ 30 milhões em ação coletiva e a falência da companhia, que demitiu 200 funcionários e viu sua CEO deixar o cargo. Em março de 2025, a 23andMe solicitou proteção sob o Capítulo 11 nos EUA devido às obrigações legais decorrentes do ataque.

AMCA (American Medical Collection Agency): Após um ataque em 2019, dados de mais de 25 milhões de pacientes foram expostos, levando a processos judiciais e ao encerramento de contratos. A empresa não sobreviveu à crise e entrou em falência em poucos meses.

MediSecure: A empresa australiana de prescrições digitais entrou em administração judicial em junho de 2024, após um ataque de ransomware que expôs dados de aproximadamente 12,9 milhões de pessoas.

Travelex: A empresa britânica de câmbio foi severamente afetada por um ataque de ransomware em 2019, que a levou a entrar em administração judicial em 2020, resultando na demissão de mais de 1.300 funcionários.

Grandes Empresas Afetadas Recentemente

Embora a falência seja menos comum entre grandes organizações, os impactos financeiros e operacionais são significativos.

Marks & Spencer, abril de 2025: Um ataque que comprometeu a infraestrutura da varejista resultou em um prejuízo de aproximadamente £ 300 milhões em lucro operacional e uma queda de mais de £ 700 milhões no valor de mercado.

Jaguar Land Rover, setembro de 2025: Um ataque cibernético paralisou a produção e vendas, resultando em uma queda de 24% na receita do trimestre e um impacto econômico estimado em £ 1,9 bilhão.

Qantas Airways, julho de 2025: Um ataque a uma plataforma terceirizada expôs dados de cerca de 6 milhões de clientes, levando a uma tentativa de extorsão relacionada ao incidente.

Nos três casos, o vetor de ataque foi externo, evidenciando a necessidade de uma gestão de riscos mais abrangente.

O que os Números Indicam para o Brasil

O Relatório IBM Cost of a Data Breach 2025 mostrou que o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões, um aumento de 6,5% em relação ao ano anterior, com os setores de saúde, finanças e serviços liderando os custos.

Um fator de risco adicional é o uso de ferramentas de IA não autorizadas, que aumentou em média US$ 670.000 ao custo global de uma violação. No Brasil, 87% das organizações não têm políticas de governança de IA, o que representa um risco crescente à medida que o uso de IA generativa se expande.

O Papel da Alta Liderança

Uma lacuna comum nos casos de impacto significativo é a falta de informação da alta liderança sobre os riscos cibernéticos. Muitas decisões estratégicas são tomadas sem considerar a exposição real da organização, resultando em respostas improvisadas quando os problemas surgem.

Para melhorar a gestão do risco cibernético, cinco aspectos são fundamentais:

O Conselho deve definir e revisar periodicamente o apetite ao risco cibernético, sem delegar essa responsabilidade ao CISO ou à área de TI.
Um membro do Conselho deve ter experiência técnica relevante em segurança ou tecnologia para garantir decisões informadas.
O tema de riscos cibernéticos deve ser discutido regularmente na agenda do Conselho, não apenas em momentos de crise.
Os riscos de terceiros devem ser tratados com a mesma seriedade que os riscos internos, dado que a superfície de ataque se estende além da organização.
Os planos de resposta a incidentes devem ser testados regularmente, incluindo simulações em nível executivo.

A questão não é mais se ataques cibernéticos podem comprometer uma empresa, mas se as lideranças estão gerenciando esse risco com a seriedade necessária, evitando esperar que a situação se torne uma emergência.

Fonte por: Its Show