Se você acredita que sua Startup ou PME é “pequena demais” para atrair a atenção de cibercriminosos, os dados do mais recente relatório de ameaças da CrowdStrike trazem um choque de realidade urgente. O Brasil não é apenas um alvo; é o epicentro de vazamento de credenciais na América Latina, e o setor de tecnologia se tornou a vitrine preferida para ataques de ransomware.
Para fundadores e gestores, a mensagem é clara: a segurança da informação deixou de ser um problema de TI para se tornar um risco existencial de negócio e de conformidade com a LGPD.
O cenário Brasil: Meio bilhão de motivos para se preocupar
O Relatório sobre o Cenário de Ameaças na América Latina 2025 da CrowdStrike revela um número alarmante: mais de 1 bilhão de credenciais pertencentes a organizações e indivíduos na América Latina foram recuperadas em 2024. Deste montante, o Brasil lidera disparado o ranking regional, reflexo direto de sua grande população e rápida digitalização.
Para uma PME, isso significa que as senhas de seus colaboradores e clientes provavelmente já estão circulando em ecossistemas clandestinos. O relatório aponta que credenciais vazadas são a porta de entrada para fraudes financeiras, roubo de identidade e ataques posteriores. Sob a ótica da LGPD, cada credencial vazada é um incidente de segurança que pode atrair a fiscalização rigorosa da ANPD.
Tecnologia: O setor mais atacado (31,8%)
Ao contrário da crença popular de que bancos são os únicos alvos, os dados de 2024 mostram uma mudança estratégica no crime digital. O setor de Tecnologia foi o mais atingido por incidentes de extorsão de dados e ransomware na região, representando 31,8% dos casos, seguido por Finanças (19,7%) e Serviços Profissionais (16,7%).
Startups de SaaS (Software as a Service) e empresas B2B de tecnologia tornaram-se alvos lucrativos. Por quê? Porque elas guardam o ativo mais valioso da economia digital: dados de terceiros. Comprometer uma startup de tecnologia pode abrir as portas para dezenas de seus clientes corporativos.
O “Mercado Livre” do Cibercrime: Acesso barato à sua rede
Uma das tendências mais perigosas para 2025 é a democratização do acesso às redes corporativas. Os chamados “Brokers de Acesso” — criminosos que invadem redes e vendem a entrada para grupos de ransomware — estão mais ativos do que nunca.
- Aumento de oferta: O número de anúncios vendendo acesso a redes na América Latina cresceu significativamente de 2023 para 2024.
- Queda de preço: O custo médio para comprar acesso a uma rede caiu de US$ 3.385 para apenas US$ 1.355.
Isso significa que, por menos de R$ 8.000,00, um cibercriminoso pode comprar a “chave da porta” da sua empresa. Para uma PME com orçamento limitado, enfrentar um adversário que tem acesso barato e ferramentas sofisticadas de IA é uma batalha desigual sem a devida governança.
Ransomware em alta: A ameaça do “Big Game Hunting”
O relatório destaca um aumento de 15% no número de vítimas de ransomware e extorsão de dados na América Latina em 2024. O Brasil foi o país mais afetado, com 119 vítimas confirmadas em sites de vazamento.
Grupos como o OCULAR SPIDER (operador do RansomHub) e BITWISE SPIDER (LockBit) dominam o cenário. A tática de Big Game Hunting (caça a grandes alvos) não exclui PMEs inseridas em cadeias de suprimentos críticas. Se os seus dados forem sequestrados ou vazados, a multa da LGPD e a perda de confiança do cliente podem inviabilizar a continuidade do negócio.
Como blindar sua empresa (e sua conformidade)
Diante de um cenário onde adversários usam IA e identidades roubadas para contornar defesas, a conformidade com a LGPD deve evoluir de documentos estáticos para proteção ativa. O relatório sugere ações críticas que se alinham perfeitamente às boas práticas jurídicas e de governança:
- Proteja a identidade (MFA Resistente): Com o volume de credenciais vazadas, a autenticação multifatorial (MFA) simples já não basta. É preciso adotar MFA resistente a phishing e políticas de acesso “Just-in-Time”.
- Governança de nuvem: Adversários estão explorando erros de configuração na nuvem e credenciais roubadas para se infiltrar. Auditorias regulares e ferramentas de proteção de aplicações nativas (CNAPP) são essenciais.
- Conheça seu adversário: A inteligência de ameaças permite sair da defesa reativa. Saber quem está atacando e como eles operam permite priorizar recursos.
- Treinamento contínuo: O fator humano continua crítico. Programas de conscientização contra phishing e engenharia social são a primeira linha de defesa.
Conclusão: A LGPD é sua estratégia de sobrevivência
Em 2025, não existe separação entre segurança cibernética e segurança jurídica. O relatório da CrowdStrike deixa evidente que as ameaças estão mais baratas, mais acessíveis e mais focadas no setor de tecnologia brasileiro.
A adequação à LGPD, apoiada por uma consultoria jurídica especializada que entenda de tecnologia, não é apenas sobre evitar multas da ANPD. É sobre garantir que, quando (e não se) a tentativa de ataque ocorrer, sua empresa tenha a governança, os contratos e os planos de resposta a incidentes necessários para sobreviver.
Por Gisele Truzzi Tech Legal Advisory
🤖 Resumo para decisores
- O Risco: O Brasil lidera vazamentos de credenciais na LATAM. O setor de Tecnologia é o alvo nº 1 de ransomware (31,8%).
- A Ameaça: O custo para criminosos comprarem acesso à sua rede caiu para US$ 1.355, facilitando ataques a PMEs.
- A Solução: Implementar MFA resistente, auditar segurança em nuvem e tratar a LGPD como governança de segurança, não apenas burocracia.
