Cibersegurança 2025: As Ameaças Mais Urgentes para Líderes de TI no Brasil

Meta descrição: Analisamos as ciberameaças mais urgentes de dezembro de 2025 para CISOs e gestores de TI no Brasil, focando em ataques à cadeia de suprimentos SaaS, engenharia social com IA e vulnerabilidades críticas, com recomendações práticas.

O cenário da cibersegurança global e, em particular, o brasileiro, segue em constante ebulição. Como especialistas do blog Coneds, observamos um aumento na sofisticação e no impacto dos ataques, exigindo que CISOs, analistas de segurança e gestores de TI mantenham-se à frente das táticas adversárias. Dezembro de 2025 nos traz um alerta sobre a persistência de vetores de ataque já conhecidos, mas agora potencializados por novas tecnologias, especialmente a Inteligência Artificial, e uma crescente dependência de ecossistemas de terceiros. A velocidade com que vulnerabilidades são exploradas e dados são comprometidos torna a vigilância contínua e a implementação de defesas proativas não apenas uma boa prática, mas uma necessidade crítica para a sobrevivência e a conformidade das empresas brasileiras. Os incidentes recentes demonstram que a linha entre a teoria e o impacto real é cada vez mais tênue, com perdas financeiras e reputacionais atingindo níveis alarmantes. Este artigo detalha as ameaças mais prementes e oferece diretrizes claras para fortalecer a resiliência cibernética de sua organização.

⚡ Resumo Executivo

• Ataques à Cadeia de Suprimentos via SaaS: Plataformas como Salesforce são vetores críticos de comprometimento por meio de integrações de terceiros.
• Engenharia Social com IA: Deepfakes e vishing impulsionados por IA tornam a detecção humana mais desafiadora.
• Vulnerabilidades Críticas em Software: Falhas em sistemas como Oracle E-Business Suite e componentes de SO exigem patches imediatos.
• Setor da Saúde como Alvo: Continua sendo o mais visado e com maiores custos de violação de dados globalmente.
• Conformidade e Governança: A LGPD no Brasil impõe responsabilidades rigorosas, tornando a gestão de riscos de terceiros e o treinamento essenciais.

O Risco Crescente da Cadeia de Suprimentos SaaS e as Plataformas Críticas

A dependência de soluções SaaS (Software as a Service) trouxe inúmeros benefícios em termos de flexibilidade e escalabilidade para as empresas, mas também expandiu dramaticamente a superfície de ataque. Os últimos meses de 2025 evidenciam uma tendência preocupante: atores de ameaça estão explorando vulnerabilidades em aplicações de terceiros conectadas a plataformas SaaS amplamente utilizadas, como o Salesforce. Incidentes envolvendo empresas como Qantas, Gainsight, Stellantis, Workday e até mesmo o Google ilustram como um ponto fraco na cadeia de suprimentos de software pode se transformar em uma violação de dados massiva.

Em novembro de 2025, hackers roubaram dados hospedados no Salesforce de mais de 200 empresas ao comprometer aplicativos de terceiros desenvolvidos pela Gainsight. Esse ataque, atribuído ao grupo "Scattered Lapsus Hunters", explorou conexões de aplicativos externos, não falhas na plataforma Salesforce em si. Nomes de empresas como Atlassian, GitLab, Malwarebytes e Verizon foram listados como vítimas. A tática de utilizar tokens de autenticação roubados de outras aplicações, como o Salesloft Drift, para então acessar ambientes Salesforce conectados e exfiltrar dados, demonstra a complexidade e a interconexão desses ataques à cadeia de suprimentos.

Outro caso notório é o da Logitech, que em novembro de 2025, relatou uma violação após hackers explorarem uma falha de dia zero em uma plataforma de software de terceiros, copiando dados de seu sistema de TI interno. Embora a Logitech não tenha confirmado publicamente, o grupo Clop afirmou ter acessado a empresa através de um dia zero no Oracle E-Business Suite. Embora não haja um CVE específico divulgado publicamente para este incidente da Logitech no Oracle E-Business Suite até o momento da redação, a série de ataques a sistemas Oracle em julho de 2025, com a exploração de CVE-2025-61882 (uma falha crítica com CVSS 9.8) que afetou a Allianz UK, ressalta a vulnerabilidade de softwares corporativos amplamente difundidos e a necessidade urgente de gerenciamento de patches e segurança de fornecedores.

Esses incidentes sublinham que a segurança de uma organização não se limita às suas próprias fronteiras. A confiança depositada em fornecedores e integradores de SaaS cria um vetor de risco significativo. A exploração de credenciais roubadas e tokens OAuth, muitas vezes obtidos por meio de campanhas de engenharia social direcionadas, permite que os atacantes contornem defesas robustas e acessem dados sensíveis. A natureza dessas violações exige que as empresas adotem uma abordagem de "confiança zero" para todas as interações e acessos, especialmente aqueles que envolvem terceiros.

A Ascensão da Engenharia Social Impulsionada por IA e os Deepfakes

A engenharia social sempre foi um dos vetores de ataque mais eficazes, explorando a falha humana. Em 2025, a Inteligência Artificial elevou essa ameaça a um novo patamar, tornando-a mais sofisticada e difícil de detectar. Ataques de phishing, vishing (phishing por voz) e, principalmente, deepfakes, estão sendo usados para enganar indivíduos e organizações, com consequências financeiras devastadoras.

Um exemplo chocante ocorreu em fevereiro de 2025, quando um funcionário financeiro de uma empresa multinacional em Hong Kong foi induzido a transferir aproximadamente US$ 25,6 milhões após participar de uma chamada de vídeo onde todos os participantes, incluindo o suposto CFO, eram deepfakes. Inicialmente cético, o funcionário foi convencido pela recriação realista de seus colegas, feita a partir de filmagens de vídeo publicamente disponíveis. Este incidente destaca como a IA está sendo utilizada para criar fraudes altamente convincentes, capazes de enganar até mesmo os mais cautelosos.

A IA acelera a velocidade e a escala dos ataques. Segundo a SpyCloud, 82,6% dos e-mails de phishing já apresentam algum uso de IA, e 92% das organizações concordam que o cibercrime impulsionado por IA, incluindo iscas e páginas de phishing geradas por IA, intensificou o risco. Ferramentas como o ChatGPT, disponíveis publicamente, podem gerar milhares de modelos de e-mail de phishing por hora, aumentando exponencialmente o volume e a personalização dos ataques.

Os deepfakes representam um desafio qualitativo ainda maior. A capacidade de criar vídeos e áudios falsos realistas dificulta a verificação de identidade, especialmente em cenários de trabalho remoto ou híbrido, onde a interação face a face é menos frequente. A tendência é que essa ameaça se torne ainda mais prevalente nos próximos anos, exigindo novas camadas de verificação e detecção para qualquer tecnologia de "gatekeeper" que decide conceder acesso a um ativo. A exploração da identidade digital se tornou o novo campo de batalha, e a IA é a arma preferida dos adversários.

Vulnerabilidades Críticas em Softwares Essenciais e Ransomware Persistente

Enquanto novas táticas surgem, as vulnerabilidades em softwares amplamente utilizados e a persistência do ransomware continuam a ser pilares das preocupações em cibersegurança. A manutenção de sistemas atualizados e a gestão eficaz de vulnerabilidades são cruciais para mitigar riscos que podem levar a interrupções operacionais e vazamentos de dados.

Em setembro de 2025, a Microsoft corrigiu duas falhas significativas no BitLocker do Windows (rastreadas como CVE-2025-54911 e CVE-2025-54912). Essas vulnerabilidades de "Use-After-Free" poderiam permitir que um atacante com acesso existente elevasse seus privilégios para o nível SYSTEM, assumindo controle total do dispositivo afetado. Embora a exploração exija certo nível de acesso inicial e interação do usuário, o potencial de controle total do sistema torna esses CVEs de importância "Importante" extremamente relevantes para qualquer organização que utilize ambientes Windows. A falha no BitLocker, um recurso de criptografia fundamental, expõe a necessidade de patching imediato.

Outra vulnerabilidade relevante é a falha de alta gravidade na implementação HTTP/2 do Apache Tomcat (CVE-2025-48989), conhecida como ataque "Made You Reset". Esta brecha, revelada em setembro de 2025, afeta diversas versões do Tomcat e permite que atacantes esgotem a memória do servidor através de reinicializações de stream HTTP/2, levando a condições de negação de serviço (DoS) e OutOfMemoryErrors. Milhares de aplicações web globalmente podem estar em risco se o HTTP/2 estiver habilitado. A Apache Software Foundation já lançou versões corrigidas (Tomcat 11.0.10, 10.1.44 e 9.0.108), reforçando a urgência da atualização.

O ransomware, por sua vez, continua a ser uma das ameaças mais disruptivas. Embora os dados mais recentes de ataques específicos a sistemas brasileiros nos últimos dias não estejam disponíveis na busca, a tendência global é de aumento constante. Relatórios de 2025 indicam que 85% das organizações foram afetadas por ransomware em alguma capacidade, com um aumento de 2,6x no pagamento médio de resgates. No setor da saúde, por exemplo, o custo médio de uma violação de dados é o mais alto, atingindo cerca de US$ 9,8 milhões em 2025, impulsionado em grande parte por ataques de ransomware. A persistência dessa ameaça exige estratégias robustas de backup, recuperação e detecção de ameaças.

Subseção: A Intersecção de Vulnerabilidades e Ransomware

A combinação de vulnerabilidades em softwares populares com táticas de ransomware é um cenário de pesadelo para muitas empresas. Ataques que exploram credenciais roubadas ou falhas de configuração em serviços de nuvem ou em appliances de rede, como firewalls e VPNs, são frequentemente precursores de ataques de ransomware. A vulnerabilidade CVE-2025-53704 no SonicWall SSL VPN, por exemplo, que permite o vazamento de cookies de troca e IDs de sessão, poderia ser utilizada por atacantes para ignorar a autenticação multifator (MFA) e sequestrar sessões existentes, abrindo caminho para a implantação de ransomware.

🇧🇷 Impacto no Cenário Brasileiro

Para o Brasil, a persistência dessas ameaças, especialmente em setores críticos e regulados, é um alerta vermelho.

• Setores mais afetados: O setor da saúde no Brasil, assim como globalmente, é um alvo preferencial devido ao valor dos dados de saúde e à sua frequentemente complexa infraestrutura legada e interconectada. Bancos e instituições financeiras, embora mais maduros em cibersegurança, enfrentam o desafio dos ataques à cadeia de suprimentos e à engenharia social avançada, especialmente com a regulamentação do BACEN e o volume de transações digitais. Setores de infraestrutura crítica e o governo também estão sob constante ameaça.
• Dados locais: A LGPD (Lei Geral de Proteção de Dados) impõe multas severas e obrigações de notificação em caso de incidentes. Violações de dados de PII (Informações Pessoais Identificáveis), como as resultantes de ataques à cadeia de suprimentos SaaS ou engenharia social, podem resultar em penalidades significativas e danos reputacionais irreparáveis no cenário brasileiro, onde a conscientização sobre privacidade de dados está crescendo. Embora não haja CVEs específicos para sistemas governamentais ou bancários brasileiros mencionados nos últimos dias, a exploração de vulnerabilidades em softwares genéricos como Oracle E-Business Suite ou componentes do Windows e Apache Tomcat teria um impacto direto, dado o uso generalizado dessas tecnologias.
• Contexto regulatório (LGPD, BACEN, PCI DSS): A LGPD exige a demonstração de medidas de segurança adequadas e um plano de resposta a incidentes. Ataques que comprometem dados pessoais resultam em pesadas sanções. Para o setor financeiro, o BACEN e o PCI DSS (para processamento de cartões) demandam controles de segurança ainda mais rigorosos, com auditorias e conformidade contínuas. A falta de gestão eficaz da segurança da cadeia de suprimentos ou a falha em mitigar os riscos de engenharia social com IA podem levar a não-conformidade com essas regulamentações, expondo as empresas a multas e interrupções operacionais.

🔒 Recomendações Práticas da Coneds

1. Ação Imediata: Implemente autenticação multifator (MFA) robusta em todos os acessos, especialmente para contas privilegiadas e integrações de terceiros. Revise e redefina credenciais de serviços e APIs.
2. Curto Prazo (1-4 semanas): Realize um inventário completo de todas as integrações de SaaS e aplicativos de terceiros que acessam dados sensíveis. Avalie os riscos de cada integração e implemente o princípio do menor privilégio. Atualize imediatamente todos os softwares com patches de segurança disponíveis, priorizando CVE-2025-54911, CVE-2025-54912 (Windows BitLocker) e CVE-2025-48989 (Apache Tomcat), além de quaisquer patches para sistemas Oracle.
3. Médio Prazo (1-3 meses): Invista em treinamentos de conscientização de segurança para todos os funcionários, com foco em engenharia social avançada, detecção de deepfakes e phishings sofisticados (vishing e smishing). Simule ataques de deepfake internamente para testar a resiliência humana.
4. Estratégia Long-term: Adote uma arquitetura de segurança Zero Trust, segmentando redes e sistemas para minimizar o raio de explosão de um possível comprometimento. Desenvolva e teste regularmente planos de resposta a incidentes que contemplem ataques de ransomware e violações de dados na cadeia de suprimentos.
5. Governança: Revise e atualize as políticas de segurança de fornecedores, incluindo cláusulas contratuais que exijam conformidade com padrões de segurança rigorosos e auditorias regulares. Estabeleça um programa de monitoramento contínuo de riscos de terceiros.
6. Tecnologia: Considere a implementação de ferramentas de detecção de anomalias baseadas em IA e machine learning para identificar padrões incomuns em interações de usuários e tráfego de rede, especialmente para combater a engenharia social e os deepfakes. Implemente soluções de backup imutável para proteção contra ransomware.

❓ Perguntas Frequentes

P: Como os deepfakes de IA estão sendo usados em ataques cibernéticos?

R: Deepfakes são usados para criar áudios e vídeos falsos extremamente convincentes, imitando executivos ou funcionários para enganar vítimas em chamadas de vídeo (vishing) ou mensagens, induzindo-as a realizar ações maliciosas, como transferências de fundos ou divulgação de informações confidenciais.

P: Qual a relação entre a LGPD e as vulnerabilidades em softwares como o Oracle E-Business Suite?

R: As vulnerabilidades em softwares amplamente utilizados, como o Oracle E-Business Suite, podem levar a violações de dados que incluem informações pessoais. Se essas informações forem de cidadãos brasileiros, a empresa será responsabilizada sob a LGPD por não ter garantido a segurança adequada dos dados, podendo sofrer multas e outras sanções.

P: A Coneds oferece treinamentos específicos para combater ataques de engenharia social com IA?

R: Sim, a Coneds está constantemente atualizando seu portfólio de treinamentos para abordar as ameaças mais emergentes, incluindo módulos específicos sobre reconhecimento e defesa contra engenharia social avançada e deepfakes, capacitando equipes a identificar e mitigar esses riscos.

Conclusão

O panorama da cibersegurança em dezembro de 2025 é inegavelmente complexo, marcado pela intersecção de ataques sofisticados à cadeia de suprimentos SaaS, a ascensão vertiginosa da engenharia social impulsionada por IA e a persistência de vulnerabilidades críticas em softwares essenciais. Para as empresas brasileiras, o cumprimento da LGPD não é apenas uma questão legal, mas um imperativo estratégico para proteger ativos e a reputação. A complacência não é uma opção; a proatividade é a única defesa eficaz.

É fundamental que CISOs e gestores de TI no Brasil reconheçam que a segurança é uma jornada contínua, que exige investimento constante em tecnologia, processos e, sobretudo, pessoas. A educação e o treinamento contínuos da força de trabalho são a primeira linha de defesa contra as táticas mais insidiosas dos cibercriminosos. Desenvolver uma cultura de segurança robusta, onde cada funcionário é um sensor e um defensor, é tão vital quanto implementar as soluções tecnológicas mais avançadas. A colaboração interna e a gestão de riscos de terceiros se tornam pilares para construir uma postura de segurança resiliente.

Não espere ser a próxima manchete. Prepare-se hoje.

---

📚 Aprenda mais: Eleve a postura de segurança da sua equipe com os cursos especializados da Coneds. Conheça nossos treinamentos em Gestão de Riscos, Segurança de Aplicações e Treinamento em Conscientização de Cibersegurança para Blindar sua Empresa contra Ameaças Emergentes em coneds.com.br. 🔗 Fontes:

• Bright Defense: "List of Recent Data Breaches in 2025", atualizado em 28 de novembro de 2025.
• The HIPAA Journal: "Healthcare Data Breach Statistics", publicado em 26 de outubro de 2025.
• Dark Reading: "Scattered Spider Taps CFO Credentials in 'Scorched Earth' Attack", 27 de junho de 2025.
• Dark Reading: "Zero Trust: Strengths and Limitations in the AI Attack Era", 19 de setembro de 2025.
• SC World: "AI-driven social engineering surpasses ransomware as leading cybersecurity concern", 5 de dezembro de 2025.
• Cybersecurity News: "Windows BitLocker Flaws Allow Privilege Escalation Through Memory Corruption", 9 de setembro de 2025.
• Cybersecurity News: "Apache Tomcat Vulnerabilities Allow DoS Attacks", agosto de 2025.
• SpyCloud: "Cybersecurity Industry Statistics: ATO, Ransomware, Breaches & Fraud", 28 de julho de 2025.
• VikingCloud: "207 Cybersecurity Stats and Facts for 2025", 16 de setembro de 2025.