Ciberataques 2025: Ransomware, Supply Chain e a Era da Engenharia Social com IA no Brasil

Meta descrição: Analisamos os ciberataques mais críticos de 2025, incluindo a exploração de zero-days em ERPs, ransomware e phishing com IA, e o impacto no Brasil.

O ano de 2025 tem se consolidado como um período de intensa volatilidade e sofisticação no cenário da cibersegurança global. Para CISOs, gestores de TI e analistas de segurança no Brasil, a urgência de compreender e mitigar ameaças nunca foi tão premente. Vivemos uma era onde as fronteiras entre os ataques técnicos e a exploração do fator humano se diluem, impulsionadas pelo avanço implacável da inteligência artificial nas mãos dos cibercriminosos. Incidentes recentes, que vão desde a exploração de vulnerabilidades críticas em softwares amplamente utilizados até campanhas de ransomware massivas, servem como lembretes sombrios da necessidade de vigilância constante e de estratégias de defesa adaptativas.

A data de 16 de dezembro de 2025 nos encontra diante de um panorama onde a resiliência cibernética não é mais um diferencial, mas uma questão de sobrevivência empresarial. A proliferação de ataques à cadeia de suprimentos, a persistência devastadora do ransomware e a ascensão da engenharia social alimentada por IA estão redefinindo o conceito de superfície de ataque. Organizações que negligenciam a gestão de vulnerabilidades e a formação de seus colaboradores estão pagando um preço altíssimo, não apenas em termos financeiros, mas também na confiança de seus clientes e na continuidade de suas operações. Este artigo aprofunda as ameaças mais relevantes, destacando exemplos críticos e oferecendo um caminho prático para fortalecer as defesas no contexto brasileiro, onde a conformidade com a LGPD e as regulamentações setoriais (BACEN, PCI DSS) adicionam camadas de complexidade.

⚡ Resumo Executivo

• Ataques à Cadeia de Suprimentos em Ascensão: A exploração de vulnerabilidades em softwares de terceiros, como o Oracle E-Business Suite (CVE-2025-61882), está causando vazamentos massivos e interrupções.
• Ransomware Persistente e Aprimorado por IA: Grupos de ransomware continuam a ser uma ameaça dominante, utilizando táticas de dupla extorsão e phishing avançado com IA para comprometer alvos, especialmente no setor de saúde.
• Engenharia Social com IA: A inteligência artificial está sendo usada para criar campanhas de phishing e deepfakes ultrarrealistas, tornando a detecção mais difícil e o fator humano, ainda mais vulnerável.
• Vulnerabilidades Críticas em Software Amplamente Usado: Falhas em sistemas como BitLocker (CVE-2025-54911, CVE-2025-54912) e navegadores (Chrome CVE-2025-10200) exigem patching imediato e gestão de vulnerabilidades proativa.

Ameaças de Supply Chain: A Peste do Software e Serviços em 2025

A cadeia de suprimentos digital, embora vital para a operação moderna, tornou-se um dos vetores de ataque mais eficazes e perigosos em 2025. Cibercriminosos, percebendo que a segurança de uma organização é tão forte quanto seu elo mais fraco, têm focado na exploração de vulnerabilidades em softwares e serviços de terceiros. Um dos exemplos mais proeminentes e de alto impacto neste ano é a campanha em larga escala que explorou uma vulnerabilidade crítica no Oracle E-Business Suite (EBS).

Em outubro de 2025, foi amplamente divulgado que o grupo de ransomware Clop explorou a falha CVE-2025-61882, classificada com uma pontuação CVSS de 9.8 (Crítica), permitindo upload de arquivos não autenticados e execução remota de código em sistemas Oracle EBS. Esta vulnerabilidade se tornou um ponto de entrada para ataques que afetaram dezenas de organizações globalmente. Universidades como a University of Pennsylvania e a University of Phoenix, o Washington Post e a GlobalLogic, uma empresa de engenharia digital, confirmaram que tiveram dados acessados através da exploração dessa falha em seus ambientes Oracle EBS. No caso da Allianz UK, a mesma vulnerabilidade foi usada para comprometer sistemas que gerenciam apólices de seguro, evidenciando a amplitude do risco.

O modus operandi do grupo Clop, e de outros atores de ameaça, tem sido exfiltrar grandes volumes de dados antes de implantar ransomware, praticando a "dupla extorsão". Com a CVE-2025-61882, eles obtiveram acesso a informações sensíveis como nomes, detalhes de contato, datas de nascimento, números de Segurança Social/CPF e dados de contas bancárias, dependendo da vítima e do setor. A descoberta de que a exploração dessa vulnerabilidade começou meses antes de a Oracle lançar patches (em maio de 2025 para uma exploração ativa desde julho de 2025, conforme o CyberPress) ressalta o desafio da detecção precoce e da gestão de patches em ambientes complexos.

Além das vulnerabilidades diretas em software, a busca por credenciais e a exploração de integrações de terceiros também impulsionam os ataques à cadeia de suprimentos. Um caso notável em novembro de 2025 foi o roubo de dados do Salesforce de mais de 200 empresas, através do comprometimento de aplicativos de terceiros desenvolvidos pela Gainsight. Ataques como este, atribuídos a grupos como Scattered Lapsus Hunters e ShinyHunters, envolveram o roubo de tokens OAuth e de sessão (e.g., Salesloft/Drift) para acessar ambientes Salesforce conectados, exfiltrando dados de clientes. Empresas como Atlassian, GitLab, Malwarebytes e Verizon foram citadas como vítimas indiretas dessa campanha, mostrando como um comprometimento em um ponto da cadeia pode reverberar por toda uma rede de parceiros e clientes.

A Complexidade da Gestão de Vulnerabilidades em Ecossistemas Integrados

A gravidade desses incidentes sublinha a dificuldade de proteger ecossistemas digitais altamente interconectados. As organizações dependem de inúmeros fornecedores e softwares de terceiros, cada um representando um potencial vetor de ataque. A exploração de vulnerabilidades, como a CVE-2025-61882, em sistemas ERPs como o Oracle EBS, é particularmente preocupante, pois esses sistemas são o coração das operações de muitas empresas, contendo dados financeiros, de clientes e de funcionários. A complexidade aumenta quando se considera que essas vulnerabilidades podem permanecer indetectadas por meses, dando aos atacantes tempo suficiente para mapear redes, exfiltrar dados e planejar suas extorsões.

A gestão eficaz de vulnerabilidades deve ir além dos sistemas internos, estendendo-se a toda a cadeia de suprimentos. Isso inclui avaliações rigorosas de segurança de fornecedores (Third-Party Risk Management), auditorias regulares de APIs e integrações, e a implementação de uma estratégia de defesa em profundidade que assume que, em algum momento, um elo da cadeia será comprometido.

Ransomware e a Evolução do Phishing Impulsionado por IA

O ransomware continua a ser uma das ameaças mais persistentes e financeiramente devastadoras em 2025, com a particularidade de que sua eficácia tem sido exponencialmente amplificada pela inteligência artificial (IA). Embora o ransomware em si não seja uma novidade, as táticas de acesso inicial e de extorsão têm se tornado incrivelmente sofisticadas, graças às capacidades da IA.

O setor de saúde, por exemplo, permanece um alvo primário. Em 2024, a Change Healthcare sofreu um ataque de ransomware "catastrófico" que impactou 190 milhões de indivíduos nos EUA, com custos estimados em mais de 2,4 bilhões de dólares, tornando-o o maior vazamento de dados de saúde já registrado. Embora este incidente seja de 2024, suas consequências e lições se estendem por todo 2025, com a empresa enfrentando litígios e o setor reavaliando a fragilidade de suas infraestruturas. Em 2025, outros ataques de ransomware a hospitais e centros médicos continuaram a ocorrer, como o incidente que afetou 500.000 indivíduos no Delta County Memorial Hospital District e River Region Cardiology, expondo nomes completos, datas de nascimento e CPFs/SSNs.

A IA desempenha um papel crucial na fase inicial desses ataques, especificamente na engenharia social e no phishing. Relatórios de segurança de 2025 indicam que a engenharia social, impulsionada por IA, superou o ransomware como a principal preocupação de cibersegurança para 63% dos profissionais de TI e cibersegurança (SCWorld, out. 2025). Cerca de 82,6% dos e-mails de phishing já utilizam conteúdo gerado por IA (KnowBe4, 2025). Os atacantes usam modelos de linguagem avançados para criar e-mails de phishing e mensagens de texto (smishing) que são gramaticalmente perfeitos, contextualmente adaptados e indistinguíveis de comunicações legítimas. A capacidade de gerar deepfakes convincentes, seja de voz ou vídeo, também está sendo usada para golpes de "Business Email Compromise" (BEC), como o caso de um funcionário em Hong Kong que transferiu $25.6 milhões após uma chamada de vídeo com executivos "deepfake".

Essas táticas exploram a confiança humana de forma sem precedentes. O phishing, o vetor de ataque inicial mais comum para incidentes de ransomware (35% em 2025, SpyCloud), não se baseia mais em erros de digitação óbvios. Com a IA, os atacantes conseguem simular personas, históricos de comunicação e cenários de urgência com tal precisão que mesmo indivíduos treinados podem ser enganados. Isso torna a detecção por parte dos usuários finais extremamente difícil e exige que as defesas tecnológicas se adaptem rapidamente.

A "dupla extorsão", onde os dados são primeiro roubados e depois criptografados, continua sendo a norma. A ameaça de vazar informações sensíveis no dark web adiciona uma camada extra de pressão sobre as vítimas, muitas vezes forçando-as a pagar o resgate, mesmo sem garantia de recuperação dos dados ou de não vazamento futuro. O custo médio de um ataque de ransomware foi de US$ 5,08 milhões em 2025 (IBM), e em alguns casos, as demandas atingem dezenas de milhões de dólares.

A evolução do phishing com IA não se limita a e-mails. Ataques de "vishing" (phishing por voz) e "smishing" (phishing por SMS) também se beneficiam da IA para soar mais autênticos, dificultando a identificação de golpes. Essa proliferação de vetores de ataque, todos impulsionados por tecnologias avançadas, exige uma abordagem multifacetada e proativa de defesa.

🇧🇷 Impacto no Cenário Brasileiro

O cenário global de ciberameaças de 2025 ressoa profundamente no Brasil, onde a digitalização acelerada de setores críticos e a complexidade regulatória criam um ambiente propício para cibercriminosos. As tendências de ataques à cadeia de suprimentos, ransomware e engenharia social com IA têm um impacto direto e amplificado nas empresas nacionais.

Setores Mais Afetados e Dados Locais: O setor de saúde no Brasil, assim como globalmente, é um dos mais visados. A vasta quantidade de dados sensíveis de pacientes (prontuários, informações financeiras, CPFs) o torna um alvo lucrativo para ransomware e roubo de dados. Um ataque como o da Change Healthcare nos EUA, se replicado aqui, teria consequências devastadoras para a rede de hospitais, clínicas e operadoras de saúde, já que a interrupção dos sistemas pode comprometer diretamente a vida dos pacientes. A fragilidade de infraestruturas legadas e a falta de investimentos em segurança robusta em muitas instituições de saúde brasileiras as tornam particularmente vulneráveis.

O setor financeiro, embora mais maduro em cibersegurança devido à regulamentação do BACEN (Resolução BCB nº 65, por exemplo), não está imune. Bancos, fintechs e outras instituições lidam com ataques de phishing e BEC constantemente. A sofisticação desses ataques, agora com IA, aumenta o risco de comprometimento de credenciais e fraude financeira, afetando milhões de clientes e causando perdas bilionárias. Ataques de supply chain que afetam provedores de serviços financeiros terceirizados também são uma preocupação crescente.

O governo e infraestruturas críticas (energia, telecomunicações) também são alvos de alto valor. Vazamentos de dados de cidadãos podem ter implicações para a segurança nacional e para a confiança pública. A interrupção de serviços essenciais por ransomware pode paralisar cidades e estados, com um custo social e econômico imenso.

Contexto Regulatório (LGPD, PCI DSS, BACEN): A LGPD (Lei Geral de Proteção de Dados) é um pilar central na resposta a esses incidentes. Vazamentos de dados pessoais, sejam eles por exploração de vulnerabilidades de supply chain ou ransomware, acarretam multas significativas e exigem comunicação transparente aos titulares dos dados e à ANPD (Autoridade Nacional de Proteção de Dados). Empresas que falham em implementar medidas de segurança adequadas e planos de resposta a incidentes sob a LGPD enfrentam não apenas sanções financeiras, mas também danos reputacionais severos.

O BACEN impõe requisitos rigorosos de cibersegurança para instituições financeiras, incluindo gestão de riscos, planos de continuidade de negócios e proteção contra fraudes. As vulnerabilidades de supply chain e as ameaças de ransomware, como as que visam sistemas ERP como o Oracle EBS, representam um risco direto à conformidade com essas regulamentações. O comprometimento de um fornecedor de software ou serviço financeiro pode ter implicações regulatórias e operacionais graves para os bancos e fintechs no Brasil.

O PCI DSS (Payment Card Industry Data Security Standard) continua sendo crucial para todas as entidades que processam, armazenam ou transmitem dados de cartões de crédito. Ataques de engenharia social e exploração de vulnerabilidades podem levar ao roubo desses dados, resultando em não conformidade, multas e perda de credenciamento.

A escassez de profissionais de cibersegurança qualificados no Brasil também é um fator agravante. Com a crescente sofisticação dos ataques, a demanda por especialistas capazes de implementar arquiteturas de Zero Trust, gerenciar riscos de terceiros e desenvolver respostas a incidentes se torna mais crítica. A falta de talentos pode atrasar a implementação de defesas eficazes, deixando as empresas brasileiras mais expostas.

🔒 Recomendações Práticas da Coneds

Para navegar neste complexo cenário de ameaças, a Coneds recomenda uma abordagem multifacetada e proativa, focando em proteção, detecção e resposta:

1. Ação Imediata: Gestão Contínua de Patches e Vulnerabilidades: Mantenha todos os softwares e sistemas, especialmente ERPs (como Oracle EBS), sistemas operacionais (Windows) e navegadores (Chrome), atualizados com os patches de segurança mais recentes. Implemente um processo de varredura de vulnerabilidades proativo e automatizado, priorizando as falhas críticas (ex: CVE-2025-61882 e outras com alto CVSS).
2. Curto Prazo (1-4 semanas): Fortalecimento da Higiene de Credenciais e MFA: Implemente autenticação multifator (MFA) em todos os níveis, especialmente para acessos privilegiados e em todas as integrações de terceiros. Treine funcionários para identificar e-mails de phishing, especialmente aqueles aprimorados por IA, e use gerenciadores de senhas com senhas únicas e complexas.
3. Médio Prazo (1-3 meses): Avaliação e Mitigação de Riscos na Cadeia de Suprimentos: Realize auditorias de segurança regulares em fornecedores e parceiros de software/serviços. Implemente contratos com cláusulas de segurança rigorosas e monitore proativamente as integrações, especialmente para evitar roubo de tokens OAuth e comprometimento de contas em plataformas SaaS.
4. Estratégia Long-term: Implementação de Arquitetura Zero Trust: Adote uma abordagem "nunca confie, sempre verifique" para todos os usuários e dispositivos, independentemente de estarem dentro ou fora da rede corporativa. Segmente redes e aplique o princípio do menor privilégio para limitar o movimento lateral de atacantes em caso de violação.
5. Governança: Plano de Resposta a Incidentes Cibernéticos (PRIC) e Conformidade: Desenvolva e teste regularmente um PRIC detalhado, incluindo cenários de ransomware e vazamento de dados. Assegure que as políticas de segurança estejam alinhadas com a LGPD, PCI DSS, BACEN e outras regulamentações relevantes, com processos claros de notificação e comunicação.
6. Treinamento: Conscientização em Cibersegurança para o Fator Humano: Invista em programas contínuos de conscientização que abordem as táticas de engenharia social com IA, deepfakes e golpes de BEC. Simulações de phishing e exercícios de mesa ("tabletop exercises") são cruciais para preparar os colaboradores para ataques reais.

❓ Perguntas Frequentes

P: Como a IA está mudando a natureza dos ataques de phishing?

R: A IA permite que os cibercriminosos criem e-mails e mensagens de phishing com gramática impecável, contexto personalizado e até mesmo imitem vozes e vídeos (deepfakes). Isso torna os golpes muito mais convincentes e difíceis de serem detectados por humanos, exigindo maior atenção e soluções de segurança mais avançadas.

P: Qual o papel da LGPD diante de vazamentos de dados por ataques de supply chain?

R: A LGPD exige que as empresas brasileiras implementem medidas de segurança para proteger dados pessoais, mesmo quando operam com fornecedores terceirizados. Em caso de vazamento por um ataque de supply chain, a empresa controladora dos dados é corresponsável e deve notificar a ANPD e os titulares afetados, sob pena de multas e sanções. A due diligence em fornecedores é crucial para a conformidade com a LGPD.

P: Os programas de treinamento em cibersegurança da Coneds abordam as novas ameaças de IA e supply chain?

R: Sim, os treinamentos da Coneds são constantemente atualizados para refletir as ameaças emergentes, incluindo módulos específicos sobre como identificar e mitigar ataques de engenharia social impulsionados por IA, gestão de riscos de supply chain, e as implicações regulatórias (LGPD, BACEN) dessas ameaças no contexto brasileiro. Oferecemos capacitação prática para profissionais de TI, CISOs e equipes de segurança.

Conclusão

O ano de 2025 reforça uma verdade inegável: a cibersegurança é um desafio dinâmico que exige adaptação contínua e uma postura proativa. Os ataques à cadeia de suprimentos, exemplificados pela exploração de vulnerabilidades críticas como a CVE-2025-61882 no Oracle EBS, e a persistência do ransomware, agora turbinado pela engenharia social com IA, representam ameaças existenciais para organizações no Brasil. O custo de uma violação de dados vai muito além das multas regulatórias da LGPD ou das exigências do BACEN; ele abrange a interrupção operacional, a perda de confiança do cliente e o impacto duradouro na reputação.

Para que as empresas brasileiras prosperem neste ambiente complexo, é fundamental transcender a mera reatividade. A adoção de uma arquitetura Zero Trust, o investimento massivo em gestão de patches e vulnerabilidades, a implementação universal de MFA e, crucialmente, a capacitação constante do fator humano são passos que não podem ser adiados. A cibersegurança deve ser vista como um investimento estratégico, e não como um custo, integrando-a ao cerne da estratégia de negócios.

Na Coneds, entendemos as nuances do mercado brasileiro e as demandas específicas dos nossos profissionais de TI. Estamos comprometidos em fornecer o conhecimento e as ferramentas necessárias para construir defesas robustas e proativas. Nossos treinamentos são desenhados para capacitar suas equipes a antecipar, detectar e responder eficazmente às ameaças mais avançadas, transformando desafios em oportunidades de fortalecer a resiliência cibernética.

---

📚 Aprenda mais: Explore nossos cursos e certificações em Cibersegurança Essencial e Gestão de Riscos Avançada no site da Coneds 🔗 Fontes:

• Deepstrike.io. "Cybersecurity Statistics 2025: Key Trends & Breach Costs." Novembro de 2025.
• SecurityScorecard.com. "What is a Cyber Attack? Types and Preventive Measures." Junho de 2025.
• IBM. "What Is a Data Breach? | Cost of a Data Breach 2025 report." Outubro de 2025.
• Cobalt.io. "Healthcare Data Breach Statistics: 2025 Roundup." Outubro de 2025.
• Cybelangel.com. "Understanding Cyber Threats Targeting Healthcare [2025 Guide]." Março de 2025.
• Darkreading.com. "Biggest Cyber Threats to the Healthcare Industry Today." Março de 2025.
• Brightdefense.com. "List of Recent Data Breaches in 2025." Dezembro de 2025.
• SCWorld.com. "AI-driven social engineering surpasses ransomware as leading cybersecurity concern." Outubro de 2025.
• SCWorld.com. "Microsoft 365 environments exploited in business email attacks." Março de 2025.
• SpyCloud.com. "Cybersecurity Industry Statistics: ATO, Ransomware, Breaches & Fraud." Outubro de 2025.
• Cybersecuritynews.com. "Windows BitLocker Flaws Allow Privilege Escalation Through Memory Corruption." Setembro de 2025.
• Cybersecuritynews.com. "Chrome Update Fixes Critical Remote Code Execution Vulnerability." Setembro de 2025.