Organizações em todo o mundo vão gastar US$ 183,9 bilhões em cibersegurança em 2026 — um aumento de 15% em relação ao ano anterior. Mesmo assim, o custo médio de um vazamento de dados subiu para US$ 4,88 milhões, e as empresas levam em média 277 dias para identificar e conter uma invasão. Os dados, compilados pela ORDR a partir de relatórios da IBM e da Verizon, expõem uma contradição brutal: mais investimento não se traduz em mais segurança.

O problema não é a ferramenta

De acordo com o ORDR Cybersecurity Statistics 2026 Report, 31% de todos os vazamentos começam com credenciais roubadas — não com exploração de vulnerabilidades zero-day ou ataques sofisticados a infraestrutura. Phishing responde por mais 16%. Juntos, esses dois vetores — ambos ligados ao fator humano — representam quase metade de todos os incidentes.

O especialista em segurança ofensiva Arthur Aires, líder do Red Team da Elytron Cybersecurity, discute exatamente isso no episódio 3 do Elytron Talks: “Muitas organizações acreditam que investir nas ferramentas mais avançadas do mercado é suficiente para garantir proteção. Mas a realidade é bem diferente.” O problema, segundo Aires, é que as empresas compram tecnologia antes de resolver processos e comportamentos.

Números que explicam o fracasso

O relatório da ORDR revela dados que contradizem a lógica de que mais gasto equivale a mais proteção. Nos Estados Unidos, onde o investimento por empresa é o mais alto do mundo, o custo médio por vazamento atinge US$ 9,44 milhões — quase o dobro da média global. O setor de saúde, que lidera investimentos em compliance, paga US$ 9,80 milhões por incidente, um aumento de 10,6% em relação ao ano anterior.

Vetor de ataque % dos vazamentos Custo médio
Credenciais roubadas 31% US$ 4,50 milhões
Ransomware 24% US$ 5,13 milhões
Phishing 16% US$ 4,88 milhões
Configuração incorreta na nuvem 15% US$ 4,14 milhões
Ameaças internas 15% US$ 4,99 milhões

O ransomware afeta 76% das organizações anualmente, e 96% dos ataques visam explicitamente os backups para impedir a recuperação e maximizar a pressão para pagamento do resgate. A fabricação registou o maior aumento de custos (+18%), refletindo a crescente ameaça de grupos ransomware que visam tecnologia operacional e cadeias de suprimentos.

Onde o dinheiro realmente faz diferença

Nem todo investimento é inútil. Organizações que implementam ferramentas de segurança com IA detectam invasões 108 dias mais rápido do que as que dependem de métodos tradicionais — uma economia média de US$ 1,8 milhão por incidente. Automação de segurança reduz o custo do vazamento em US$ 2,2 milhões por ano.

AADO Zero Trust, cujo mercado vale US$ 48,4 bilhões em 2026, é apontado como o modelo mais eficaz: em vez de confiar em qualquer dispositivo ou usuário dentro da rede, cada acesso é verificado individualmente. A previsão é que esse mercado salte para US$ 102 bilhões até 2031.

Daniel Tupinambá, CISO da Elytron, reforça que o ponto de virada não está na próxima ferramenta, mas na mudança de mentalidade: segurança precisa ser uma decisão de negócio, não uma atribuição exclusiva do departamento de TI.

O fator humano como ponto cego

95% dos vazamentos envolvem algum elemento humano — seja clicar num link de phishing, reutilizar senhas entre serviços ou configurar incorretamente uma nuvem. Programas de treinamento com simulações realistas de ameaças reduzem incidentes causados por funcionários em até 40%.

O problema é que apenas 10% do orçamento de cibersegurança vai para conscientização e treinamento. O restante é absorvido por ferramentas, licenças e infraestrutura — a mesma infraestrutura que não impede 31% dos ataques que entram por uma senha roubada.

Referências


O que observar agora

Para equipes de seguranca, o ponto principal em “Por que US$ 183 bi em segurança não impedem ataques” e transformar o alerta em verificacao objetiva. Antes de assumir impacto, vale confirmar ativos expostos, versoes em uso, logs recentes e dependencias que possam ampliar o risco. Esse processo reduz ruido, evita pânico e ajuda a priorizar o que realmente precisa de resposta imediata.

Tambem e importante registrar evidencias. Guarde indicadores, horarios, sistemas afetados e decisoes tomadas durante a triagem. Mesmo quando o caso nao evolui para incidente, essa disciplina melhora a resposta futura e facilita explicar para lideranca por que uma acao foi tomada, adiada ou descartada.