Toda a gente pergunta isto: porque parece haver tantos ataques cibernéticos? A resposta curta é que não estamos perante uma onda misteriosa. Estamos perante uma mudança de economia: atacar ficou mais barato, o crime organizou-se em serviços e a defesa continua a depender do trabalho de cada empresa, uma a uma.
Os números recentes ajudam a perceber a escala. Em setembro de 2026, as organizações enfrentaram, em média, 2.803 ataques por semana — mais 48% do que no mesmo mês do ano anterior. Na Europa, o crescimento foi de 61%. No mesmo mês, foram reportados 824 ataques de ransomware, mais 53% do que em setembro de 2025. E, em casos de falhas críticas, a exploração pode começar entre 24 e 48 horas depois da divulgação.
Estes números não significam que cada empresa tenha sofrido milhares de intrusões bem-sucedidas por semana. Contam tentativas e actividade detectada, não violações confirmadas. Ainda assim, mostram a pressão constante a que os sistemas estão sujeitos. O relatório de setembro reúne vários destes indicadores.
A ideia que resume a mudança é simples: atacar tornou-se um serviço de subscrição; defender continua a ser um trabalho de artesão.
1. A IA reduz o trabalho necessário para atacar
A inteligência artificial não torna um ataque mágico. Torna mais rápidas tarefas que antes exigiam horas de trabalho: procurar alvos, preparar mensagens de phishing convincentes, analisar formulários e adaptar técnicas a sistemas diferentes.
O phishing é uma mensagem fraudulenta concebida para te levar a clicar num link, abrir um anexo ou revelar informação. Em setembro, uma em cada 91 mensagens de correio electrónico foi classificada como phishing. Entre essas mensagens, 81% continham links. É um método eficaz porque explora não só falhas técnicas, mas também a confiança e a pressa de quem recebe a mensagem.
Há outro dado que merece atenção: o volume global de tentativas de força bruta — tentativas repetidas de adivinhar credenciais — caiu 22%, mas continua a representar cerca de 185 milhões de eventos por dia. Menos tentativas não significa necessariamente menos perigo. Pode significar que os atacantes estão a escolher melhor os alvos e a testar credenciais com mais eficiência.
Para uma pequena empresa, isto muda a lógica. Já não basta pensar que o negócio é demasiado pequeno para interessar a alguém. Se o custo de tentar mais um alvo é baixo, o ataque pode ser lançado em larga escala e a selecção das vítimas pode acontecer automaticamente.
2. O crime organizou-se como uma cadeia de serviços
O retrato do atacante solitário, que descobre e executa tudo sozinho, está incompleto. Hoje, o crime pode dividir-se em tarefas: alguém rouba credenciais, outra pessoa vende acessos, outra aluga ferramentas de ransomware e outra negoceia a extorsão. Cada interveniente fornece uma peça.
Os kits de crime como serviço — ferramentas ofensivas vendidas como produtos — ajudam a baixar ainda mais a barreira de entrada. Alguns automatizam partes do reconhecimento ou da análise de sistemas. Para participar, já não é sempre necessário saber construir um ataque de raiz. Pode bastar saber comprar acesso e seguir instruções.
Os dados roubados por infostealers também alimentam este mercado. Um infostealer é um tipo de malware que recolhe informação de um dispositivo, como credenciais guardadas no navegador, cookies e sessões iniciadas. Segundo os dados indicados para este período, estes registos representam 67,12% dos conjuntos de dados anunciados nos mercados clandestinos. Uma sessão já aberta pode ser mais útil para um atacante do que uma palavra-passe que ainda teria de tentar descobrir.
O resultado é uma economia especializada: o mesmo acesso roubado pode ser usado por diferentes intervenientes, e a mesma ferramenta pode ser aplicada contra muitas empresas. O custo de repetir o ataque diminui.
3. A identidade passou a ser o perímetro
Antes, era natural pensar na segurança como uma barreira à volta dos servidores. Agora, muitas aplicações estão na cloud e os colaboradores acedem a partir de vários dispositivos e locais. A identidade — quem és e que permissões tens — tornou-se uma das principais portas de entrada.
Os incidentes de cloud analisados recentemente tiveram, em grande medida, origem em credenciais roubadas, expostas ou mal utilizadas, e não na exploração directa da infraestrutura. Por outras palavras, a porta pode não ter sido arrombada: alguém usou uma chave válida.
Cada nova integração acrescenta acessos. Cada conta de serviço, chave de API ou ferramenta de IA pode criar outra credencial para gerir. Uma chave de API é uma credencial técnica que permite a uma aplicação comunicar com outra; se ficar exposta ou tiver permissões excessivas, pode dar acesso a mais do que a tarefa exige. O caso das chaves de IA roubadas no breach do OpenCode mostra como uma credencial comprometida pode gerar utilização e custos que o titular não autorizou.
A própria utilização de IA generativa também cria exposição. Em setembro, um em cada 39 prompts empresariais apresentava risco elevado de fuga de dados sensíveis. Um prompt é a instrução ou o conteúdo que escreves para uma ferramenta de IA. Os dados observados incluíam informação sobre redes e sistemas de TI, finanças, questões legais, recursos humanos e dados pessoais.
A superfície de ataque cresceu por dentro. Nem sempre alguém invadiu uma empresa: por vezes, a própria empresa abriu mais portas, ferramenta a ferramenta, sem manter uma lista clara de quem tem acesso a quê.
4. A defesa é individual; o ataque pode ser replicado
Um atacante pode usar o mesmo método contra centenas de empresas. A defesa, pelo contrário, tem de ser implementada em cada organização: rever contas, actualizar sistemas, configurar acessos e treinar pessoas.
É aqui que está a assimetria. O esforço de quem ataca pode ser reutilizado. O esforço de quem defende tem de ser repetido em cada servidor, cada conta e cada empresa — por pessoas que também têm de atender clientes, produzir e fechar o mês.
A janela para reagir está a encurtar. O tempo entre a divulgação pública de uma falha crítica e a sua exploração pode ser de 24 a 48 horas em episódios de maior aceleração. No caso do PHP2Shell, a análise publicada pela AWS identificou tentativas de exploração antes da divulgação pública das falhas. A data do comunicado, portanto, não é necessariamente o momento em que o risco começa.
Uma empresa que só actualiza sistemas críticos duas semanas depois está a operar com um prazo que pode já não ser suficiente. Não é motivo para entrar em pânico. É motivo para definir, antecipadamente, quem actua e em quanto tempo.
O que isto significa para o teu negócio
Não tens de ser uma grande empresa nem guardar informação especialmente valiosa para seres um alvo. O critério pode ser simplesmente a facilidade de acesso.
Os serviços a empresas representaram 31,3% das vítimas de ransomware reportadas em setembro. A razão é prática: um prestador pode guardar dados ou ter acessos a sistemas de vários clientes. Um incidente numa empresa de contabilidade, numa consultora ou numa agência pode, por isso, afectar também os seus clientes.
O impacto não se limita a um eventual resgate. Pode incluir dias de paragem, perda de dados, custos de recuperação, clientes que deixam de confiar em ti e tempo gasto a perceber o que aconteceu. Os dados anuais indicados para o período apontam para cerca de 7.831 vítimas confirmadas de ransomware, face a aproximadamente 1.600 no ano anterior. São números de incidentes conhecidos, não um registo completo de todos os casos.
O que fazer primeiro — sem comprar pânico
Não precisas de começar por comprar mais uma ferramenta. Começa por reduzir a superfície exposta e tornar a resposta mais rápida.
- Faz um inventário de credenciais e acessos. Regista as contas, chaves, integrações e pessoas com acesso. Inclui as ferramentas de IA e as contas de serviço. Revoga o que já não é necessário.
- Activa a autenticação de dois passos nas contas importantes. É uma confirmação adicional além da palavra-passe. Usa-a sobretudo no correio electrónico, na gestão do teu site, na cloud, na faturação e nas contas de administração. Um gestor de palavras-passe ajuda-te a manter credenciais únicas.
- Define prazos para actualizações. Para falhas críticas em sistemas expostos à Internet, estabelece um processo que permita avaliar e aplicar correcções em 24 a 48 horas, sempre que possível. Se dependes de um fornecedor, pergunta qual é o prazo e regista-o por escrito.
- Cria uma regra clara para o uso de IA. Define que dados nunca devem ser incluídos num prompt — por exemplo, credenciais, dados de clientes, contratos ou informação de recursos humanos — e que ferramentas estão autorizadas.
- Escreve um plano para a primeira hora de um incidente. Quem corta acessos? Quem contacta o fornecedor? Quem fala com clientes? Onde estão os registos? Se estiverem envolvidos dados pessoais e existir risco para as pessoas, podem aplicar-se obrigações de notificação ao abrigo do RGPD, incluindo o prazo de 72 horas para comunicar à autoridade de controlo, quando aplicável.
- Prepara-te para detectar, não apenas para impedir. Define alertas para acessos invulgares, alterações inesperadas e utilização anormal de serviços. Um controlo simples que alguém verifica pode ser mais útil do que uma ferramenta sofisticada que ninguém acompanha.
A segurança depende também de quem mantém o software
O episódio do PHP relembra que a segurança da tua empresa depende de componentes que talvez não conheças nem controles directamente. Uma linguagem de programação, um plugin, um serviço de alojamento ou uma biblioteca podem estar na base do teu site. Quando surge uma falha, importa saber quem acompanha as actualizações e como chegam ao teu servidor.
Por isso, pergunta aos teus fornecedores não apenas se têm uma firewall, mas também como recebem avisos de segurança, quem aplica as correcções e quanto tempo demora uma actualização crítica. Se a tua actividade depende de software aberto, contribuir para a sua manutenção pode ser também uma forma de gerir o risco da tua cadeia de fornecimento.
Os ataques estão a aumentar porque a IA reduziu o custo do trabalho ofensivo, o crime se organizou em serviços e cada nova ferramenta acrescentou identidades e acessos para proteger. A defesa, por sua vez, continua a exigir decisões concretas dentro de cada empresa.
Não controlas o volume de ataques. Podes controlar quantas portas deixas abertas, quanto tempo demoras a fechá-las e o que fazes quando descobres um acesso indevido. Se amanhã perceberes que alguém entrou com uma credencial da tua empresa, sabes quem deve agir nos primeiros 60 minutos?