Incidentes de segurança no Brasil: o que mostram os dados públicos

Os dados públicos mais consistentes sobre incidentes de segurança no Brasil vêm da ANPD, que recebe as comunicações de incidentes com dados pessoais. Foram 352 comunicados em 2023, 336 em 2024 e 198 no primeiro semestre de 2025, segundo o relatório de monitoramento da autoridade. Ransomware e roubo de credenciais estão entre os tipos mais comuns. Do lado da prevenção, apenas 53% das empresas brasileiras têm política de segurança digital, segundo a TIC Empresas 2025.

Quais fontes públicas medem incidentes no Brasil?

Não existe uma estatística oficial única de todos os ataques cibernéticos no país. O que há são registros parciais, cada um com um recorte:

• Comunicados de Incidente de Segurança (CIS) à ANPD: obrigatórios pela LGPD quando o incidente com dados pessoais pode causar risco ou dano relevante aos titulares. Só cobrem incidentes que envolvem dados pessoais e que foram, de fato, comunicados.
• Reclamações de titulares à ANPD: pessoas que relatam vazamento, acesso indevido ou falta de medidas de segurança.
• Pesquisas amostrais sobre práticas de segurança: a TIC Empresas, do Cetic.br/NIC.br, e a PINTEC Semestral, do IBGE, medem o que as empresas fazem para se proteger, e não quantos ataques sofreram.
• Notificações voluntárias a grupos de resposta a incidentes, como o CERT.br. São úteis para tendências técnicas, mas dependem de quem decide notificar.

Combinar essas fontes dá um retrato melhor do que qualquer uma isolada.

Quantos incidentes com dados pessoais foram comunicados à ANPD?

O 3º Relatório de Ciclo de Monitoramento da ANPD, que cobre de julho de 2023 a junho de 2025, traz a série anual de comunicados.

A série subiu entre 2021 e 2023 e ficou estável em 2024. O primeiro semestre de 2025, com 198 comunicados, indica um ritmo anual um pouco acima do de 2024, se mantido.

Um marco no período foi a Resolução CD/ANPD nº 15/2024, publicada em 26 de abril de 2024, que regulamentou a comunicação. Ela fixou prazo de 3 dias úteis para o controlador comunicar o incidente e de 20 dias úteis para complementar as informações.

Quais tipos de incidente são mais comuns?

Ransomware lidera no acumulado. Somando os comunicados de 2021 ao primeiro semestre de 2025, a ANPD registrou:

1. Ransomware sem transferência de informações: 263 casos.
2. Exploração de vulnerabilidade: 213.
3. Ransomware com transferência de informações: 185.
4. Roubo de credenciais ou engenharia social: 177.

No ciclo mais recente, de julho de 2023 a junho de 2025, o roubo de credenciais e a engenharia social passaram ao primeiro lugar, segundo o relatório. É um sinal de que o elo explorado com mais frequência continua sendo o acesso de pessoas, e não apenas falhas técnicas.

O que os titulares de dados reclamam?

As reclamações à ANPD mostram o incidente pelo lado de quem teve os dados expostos. No ciclo de julho de 2023 a junho de 2025, a autoridade recebeu 9.629 requerimentos, entre petições e denúncias. Entre os temas mais frequentes estão exposição de dados pessoais (1.013 registros), vazamento de dados ou incidente de segurança (789), acesso indevido (532) e ausência de medidas de segurança adequadas (437). O artigo LGPD em números detalha a fiscalização que resulta desses pedidos.

As empresas brasileiras estão preparadas?

Parcialmente, e a diferença entre pequenas e grandes é grande. A tabela reúne indicadores de prevenção das duas pesquisas amostrais.

Dois pontos chamam atenção. Primeiro, quase metade das empresas com 10 ou mais pessoas não tem política formal de segurança digital. Segundo, o treinamento, que é a defesa direta contra engenharia social, é a prática menos difundida nas duas pesquisas, justamente quando o roubo de credenciais lidera os incidentes comunicados à ANPD.

Na indústria, o IBGE também registrou que 47,2% das empresas apontam riscos de segurança e privacidade como dificuldade para adotar tecnologias digitais avançadas.

Segurança está entre as prioridades de investimento?

Está, mas atrás de IA. Segundo a sondagem com executivos citada pela ABES em junho de 2026, segurança da informação e segurança em nuvem são prioridade para 41%, atrás de IA generativa e agentes (53%). A mesma ABES informou, em abril de 2026, que a segurança cibernética era prioridade para 36% das empresas em 2025. E, entre as empresas que já usam IA, 34% aplicam a tecnologia em segurança digital, segundo a TIC Empresas 2025.

Como ler esses números

Os dados públicos sobre incidentes têm limites importantes:

• Subnotificação. Comunicados à ANPD só existem quando o controlador identifica o incidente, avalia que há risco relevante e cumpre a obrigação. Incidentes não detectados ou não comunicados ficam fora da conta.
• Escopo restrito a dados pessoais. Um ataque que paralisa sistemas sem expor dados pessoais pode não gerar comunicado à ANPD.
• Mudança de regra. A Resolução CD/ANPD nº 15/2024 alterou o processo em 2024. Variações entre anos podem refletir a regra, não apenas o volume de ataques.
• Classificação declarada. O tipo de incidente é informado pelo próprio controlador, muitas vezes antes da investigação completa.
• Pesquisas medem prevenção, não ataques. TIC Empresas e PINTEC mostram práticas declaradas. Ter política escrita não garante que ela seja aplicada.
• Universos diferentes. A PINTEC cobre só indústrias com 100 ou mais pessoas, por isso seus percentuais são mais altos do que os da TIC Empresas.

Próximo passo

Se a sua empresa ainda não tem política de segurança, plano de resposta e treinamento, comece pelo básico descrito em resposta a incidentes: o que ter pronto e avalie um pentest. Para encontrar fornecedores, consulte as empresas de cibersegurança no diretório e os rankings, com metodologia pública. Se você presta serviços de segurança, crie ou reivindique o perfil gratuito na Citeo e mostre certificações, especialidades e avaliações verificadas.

Fontes

• ANPD — 3º Relatório de Ciclo de Monitoramento (jul/2023 a jun/2025) — série anual de comunicados de incidente, tipos de incidente, reclamações de titulares e prazos da Resolução CD/ANPD nº 15/2024
• Cetic.br — TIC Empresas 2025, indicador D11: política de segurança digital — 53% no total e recortes por porte
• Cetic.br — TIC Empresas 2025, indicador D16: práticas de segurança digital — riscos em reuniões, contratos e treinamento
• Cetic.br — TIC Empresas 2025, indicador H10: aplicações de IA — uso de IA em segurança digital
• IBGE — PINTEC Semestral 2024: uso de tecnologias e segurança da informação na indústria — medidas de segurança, criptografia, treinamento e riscos como dificuldade
• ABES — Setor financeiro lidera investimentos em software e serviços no Brasil (16/06/2026) — segurança como prioridade de investimento para 41%
• ABES — Brasil mantém liderança em TI na América Latina (01/04/2026) — segurança cibernética como prioridade para 36% em 2025
• Planalto — Lei nº 13.709/2018 (LGPD) — art. 48, dever de comunicar incidentes