Uma pesquisa da PwC publicada em fevereiro de 2025, a Digital Trust Insights, ouviu mais de 4 mil executivos de negócios e tecnologia em 77 países e revelou que um terço das empresas brasileiras enfrentou perdas de pelo menos um milhão de dólares com ciberataques nos últimos três anos. O dado não surpreende quando se observa o volume de investidas: o FortiGuard Labs registrou 315 bilhões de tentativas de ataque cibernético contra o Brasil apenas no primeiro semestre de 2025, concentrando 84% de todas as investidas detectadas na América Latina.

O que ainda surpreende, no entanto, é a distância entre o tamanho da ameaça e a capacidade de resposta da maioria das empresas. Apenas 2% das empresas no mundo implementaram integralmente ações de resiliência de cibersegurança, segundo a mesma pesquisa da PwC, e apenas 15% avaliam o impacto financeiro das ameaças que enfrentam. Para o decisor brasileiro, o custo de um ataque cibernético não é uma abstração estatística.

É uma combinação concreta de paralisação operacional, perda de receita, sanções regulatórias, dano à reputação e gastos de recuperação que, somados, podem comprometer a continuidade do negócio.

O custo direto: quanto a empresa paga quando a violação acontece

O relatório Cost of a Data Breach do IBM e do Ponemon Institute, publicado em 2025 com base na análise de aproximadamente 6.500 violações em 16 países, trouxe uma boa notícia global e uma má notícia para o Brasil. No mundo, o custo médio de uma violação de dados caiu pela primeira vez em cinco anos, recuando 9% para 4,44 milhões de dólares.

A redução foi impulsionada pela adoção de inteligência artificial e automação na defesa, que encurtou o tempo de detecção e contenção para 241 dias, o menor patamar em nove anos. No Brasil, porém, o custo médio por violação atingiu 7,19 milhões de reais, mantendo o país entre os mercados mais caros da América Latina para se recuperar de um incidente.

E o dado mais preocupante: em 2024, o Brasil registrou o terceiro maior aumento no custo de violação entre todos os países analisados, com alta de 11,5%, atrás apenas da Itália e da Alemanha.

Esse valor de 7,19 milhões de reais representa uma média que inclui custos de investigação forense, notificação de titulares de dados, assessoria jurídica, perda de negócios durante e após o incidente, e medidas de remediação técnica. Mas a média esconde variações significativas.

Violações que envolvem múltiplos ambientes, como infraestruturas que combinam nuvem e servidores locais, custaram em média 5,05 milhões de dólares globalmente e levaram 276 dias para serem contidas. Ataques de supply chain, nos quais o invasor compromete um fornecedor para acessar a empresa-alvo, custaram 4,91 milhões de dólares e tiveram o maior tempo de contenção entre todos os vetores: 267 dias desde a identificação até a resolução. Quando o ataque envolve ransomware com divulgação pública do incidente, o custo médio global sobe para 5,08 milhões de dólares.

O vetor de entrada também influencia o custo final. O phishing se tornou o principal vetor de ataque em 2025, responsável por 16% das violações analisadas pelo IBM, com custo médio de 4,8 milhões de dólares por incidente. Credenciais comprometidas, o vetor que liderava até o ano anterior, ainda representam um impacto severo: o tempo médio para identificar e conter uma violação iniciada por credenciais roubadas é de 246 dias, oito meses de acesso silencioso antes que a empresa sequer perceba a presença do invasor.

Ataques conduzidos por insiders maliciosos carregam o maior custo médio entre todos os vetores: 4,92 milhões de dólares, reflexo da dificuldade de detectar ameaças que operam dentro do perímetro de confiança.

Paralisação operacional: o custo que não aparece na fatura

O resgate pago ao criminoso, quando a empresa decide pagar, é apenas a ponta visível do prejuízo. A Sophos, no relatório State of Ransomware de 2025, revelou que o custo médio global de recuperação de um ataque de ransomware, excluindo o pagamento do resgate, caiu para 1,53 milhão de dólares, uma redução de 44% em relação ao ano anterior.

A queda reflete avanços nas estratégias de resposta e recuperação. Mas a paralisação operacional continua sendo o componente mais oneroso: empresas enfrentam, em média, 24 dias de inatividade após um ataque de ransomware, segundo dados consolidados pela Statista. Para uma empresa que fatura R$ 10 milhões, cada dia parado representa uma perda direta de mais de 330 mil reais em receita bruta, sem contar contratos perdidos, multas por descumprimento de prazos e o custo de oportunidade dos projetos interrompidos.

O impacto da paralisação se distribui de forma desigual entre setores. No setor de saúde, a recuperação leva mais tempo por causa das exigências de validação de sistemas antes da retomada, com o custo médio de violação atingindo 7,42 milhões de dólares globalmente, o mais alto entre todos os setores. No varejo, a interrupção de sistemas de vendas e logística transforma cada hora parada em perda mensurável de faturamento. No setor financeiro, a indisponibilidade de plataformas de transação afeta diretamente a receita e expõe a empresa a penalidades regulatórias. A Resolução CMN nº 5.274, de 2025, impôs catorze controles obrigatórios de cibersegurança para instituições financeiras brasileiras, e a incapacidade de demonstrar conformidade após um incidente agrava tanto o custo regulatório quanto o dano reputacional.

A Vultus Cybersecurity Ecosystem publicou em março de 2025 um estudo com 117 médias e grandes empresas brasileiras de dez setores da economia e projetou que 48% dessas empresas sofrerão ataques de altíssimo impacto até 2028. A pesquisa utilizou dois índices proprietários para medir o impacto potencial e a probabilidade de ocorrência dos ataques, e o resultado indicou que o índice de identificação e exploração de vulnerabilidades estava em 7,3 numa escala de zero a dez, sinalizando que a maioria das empresas analisadas opera com brechas severas que ainda não foram identificadas pelas próprias equipes de segurança. O estudo estimou que, projetando o custo médio por violação reportado pelo IBM para o universo de médias e grandes empresas brasileiras, o prejuízo acumulado pode atingir 394 bilhões de dólares nos próximos três anos.

Sanções regulatórias: o custo de não proteger dados pessoais

O arcabouço regulatório brasileiro impõe consequências financeiras e operacionais que se somam aos custos diretos do ataque. A LGPD prevê multas de até 2% do faturamento bruto anual da empresa, limitadas a 50 milhões de reais por infração. A Resolução CD/ANPD nº 15, de 2024, estabeleceu que incidentes de segurança devem ser comunicados em até três dias úteis e que os registros das violações precisam ser mantidos por cinco anos. Em 2025, a ANPD adotou uma postura mais rigorosa na fiscalização, ampliando auditorias e saindo da fase orientativa para a fase punitiva. Embora as primeiras multas aplicadas tenham sido relativamente modestas, a sinalização é clara: o cálculo da penalidade já é feito no teto permitido pela lei para o porte da empresa infratora.

Para empresas do setor financeiro, a pressão regulatória é ainda mais intensa. Além da LGPD, a Resolução CMN nº 5.274, de 2025, exige controles específicos de cibersegurança que incluem gestão de identidades, monitoramento contínuo e planos de resposta a incidentes documentados. Instituições que não demonstrarem conformidade após um incidente enfrentam sanções do Banco Central que podem incluir restrições operacionais. O Plano Nacional de Cibersegurança, cujo texto-base foi votado pelo Comitê Nacional de Cibersegurança no final de 2025, sinaliza que exigências semelhantes tendem a se estender para outros setores da economia, incluindo telecomunicações, energia e saúde.

O custo regulatório, porém, vai além da multa em si. A publicização da infração, prevista como sanção na LGPD, expõe a empresa a um dano reputacional que frequentemente supera o valor financeiro da penalidade. A suspensão parcial do banco de dados ou a proibição de atividades de tratamento de dados, sanções que a ANPD pode aplicar em casos graves, representam uma ameaça existencial para empresas cuja operação depende intensivamente de dados pessoais, como fintechs, healthtechs, plataformas de e-commerce e prestadores de serviços digitais. A combinação de multa, publicização e restrição operacional transforma o descumprimento regulatório em um multiplicador de danos que amplifica o impacto financeiro do ataque original.

Dano reputacional e perda de negócios: o custo invisível de longo prazo

O custo que mais demora para aparecer é o que mais demora para desaparecer. A perda de confiança de clientes, parceiros e investidores após um incidente de segurança gera um impacto financeiro prolongado que não se resolve com a restauração dos sistemas. O relatório do IBM de 2025 mostrou que, entre as empresas que sofreram violações, a maioria precisou de mais de 100 dias para se recuperar plenamente, e um quarto delas levou mais de 150 dias. Esse período de recuperação não é apenas técnico: inclui a reconstrução da confiança comercial, a renegociação de contratos com clientes que passaram a questionar a segurança da empresa e a recomposição de parcerias abaladas pela exposição de dados compartilhados.

No Brasil, a pesquisa da PwC de 2025 revelou que 65% dos líderes de tecnologia e 46% dos líderes de negócios consideram a mitigação de riscos cibernéticos a prioridade número um das suas empresas. Essa percepção reflete uma mudança na forma como o mercado avalia fornecedores e parceiros: a maturidade em cibersegurança deixou de ser um diferencial e se tornou um requisito de qualificação. Empresas que sofrem incidentes públicos perdem posições em processos de seleção de fornecedores, enfrentam renegociações desfavoráveis de contratos e, em setores regulados, podem ser excluídas de cadeias de fornecimento que exigem comprovação de conformidade.

O impacto sobre o valor de mercado também é mensurável. Empresas de capital aberto que sofrem violações de dados registram, em média, queda no preço das ações nos dias seguintes ao anúncio público, e a recuperação plena pode levar meses ou anos, dependendo da gravidade do incidente e da percepção do mercado sobre a capacidade de resposta da empresa. Para empresas de capital fechado, o efeito equivalente se manifesta na dificuldade de captar investimentos, na elevação do custo de crédito e na perda de oportunidades de fusões e aquisições, nas quais a due diligence de cibersegurança se tornou etapa obrigatória.

O que reduz o custo: inteligência, automação e preparação

Se o custo de um ataque é alto, o custo de não se preparar é ainda maior. O relatório do IBM de 2025 identificou os fatores que mais reduzem o impacto financeiro de uma violação. Empresas que utilizam extensivamente inteligência artificial e automação em segurança economizaram, em média, 1,9 milhão de dólares por incidente e reduziram o ciclo de vida da violação em 80 dias. O custo médio de uma violação para essas empresas ficou em 3,62 milhões de dólares, contra 5,52 milhões para empresas que não utilizam essas tecnologias. A diferença de quase 2 milhões de dólares por incidente demonstra que o investimento em tecnologias de detecção e resposta automatizada se paga na primeira violação evitada ou contida rapidamente.

A preparação para incidentes é outro fator determinante. Empresas com planos de resposta a incidentes testados e atualizados, equipes treinadas e exercícios de simulação regulares contêm violações mais rapidamente e com menor custo. O framework NIST SP 800-61 Rev. 3, publicado em abril de 2025, atualizou as diretrizes de resposta a incidentes alinhando-as ao CSF 2.0, reforçando a importância de integrar a resposta a incidentes ao ciclo contínuo de governança de segurança, e não tratá-la como um procedimento isolado acionado apenas em emergências. No Brasil, a pesquisa da Vanson Bourne de 2025 mostrou que 80% das empresas sofreram ao menos um incidente nos últimos doze meses, o que reforça que a preparação não é um exercício teórico: é a diferença entre uma contenção rápida e uma crise prolongada.

A manutenção de backups imutáveis e testados regularmente também reduz significativamente o custo de recuperação de ataques de ransomware. A Sophos reportou em 2025 que 54% das vítimas com dados criptografados restauraram o ambiente a partir de backups, a taxa mais baixa em seis anos, indicando que muitas empresas ainda não mantêm cópias confiáveis ou não testam a capacidade de restauração. As empresas que mantinham backups offline e verificados reduziram os custos de recuperação em 44% na comparação com aquelas que pagaram resgate. No contexto brasileiro, no qual o déficit de 400 mil profissionais de cibersegurança, segundo a ISC² de 2025, limita a capacidade das equipes internas, a combinação de automação, planos de resposta bem estruturados e backup imutável constitui a tríade que mais reduz o impacto financeiro de um ataque.

Investir em prevenção ou pagar pela violação: a conta que todo decisor precisa fazer

A Brasscom, em seu Relatório de Cibersegurança de 2025, projetou que o Brasil gastará 104,6 bilhões de reais em cibersegurança entre 2025 e 2028, um crescimento médio anual de 16,1%. O aumento reflete tanto a pressão regulatória quanto a consciência crescente de que o custo da prevenção é uma fração do custo da remediação. A mesma pesquisa da PwC mostrou que 100% dos líderes brasileiros entrevistados afirmaram que as regulamentações incentivaram o aumento dos investimentos em segurança nos últimos doze meses, índice superior à média global de 96%. A disposição para investir existe, mas a alocação efetiva ainda é insuficiente: a Brasscom notou que, embora a segurança de TI seja a segunda maior prioridade para as empresas brasileiras, ela aparece apenas em quarto lugar nas intenções de investimento em tecnologias digitais, revelando uma lacuna entre a percepção de importância e a alocação real de recursos.

A equação financeira é direta. O custo médio de uma violação de dados no Brasil, 7,19 milhões de reais, supera com folga o investimento anual em segurança da maioria das médias empresas brasileiras. Um programa estruturado de cibersegurança que inclua avaliação de maturidade, monitoramento contínuo por um centro de operações de segurança, plano de resposta a incidentes, treinamento de colaboradores e seguro cibernético custa uma fração desse valor e atua em múltiplas frentes de proteção. A avaliação de maturidade identifica as lacunas antes que o atacante as encontre. O monitoramento contínuo reduz o tempo de detecção. O plano de resposta encurta a contenção. O treinamento diminui a probabilidade de que um colaborador seja a porta de entrada. E o seguro cibernético transfere para a seguradora uma parcela do risco financeiro residual, funcionando como rede de proteção para os custos que nenhuma ferramenta consegue eliminar completamente.

A pergunta que todo conselho de administração e toda diretoria executiva precisa responder não é quanto custa proteger a empresa, mas quanto custa não proteger. Com 315 bilhões de tentativas de ataque no primeiro semestre, um custo médio de violação que ultrapassa 7 milhões de reais e um ambiente regulatório cada vez mais rigoroso, o investimento em cibersegurança deixou de ser uma despesa de TI e se tornou uma decisão de sobrevivência empresarial.