Cibersegurança 2025: Ransomware, Engenharia Social e Falhas que Impactam o Brasil

Meta descrição: Analisamos os ataques de ransomware, deepfakes e falhas em softwares corporativos que moldam o cenário de cibersegurança brasileiro em 2025.

O ano de 2025 solidifica um cenário de cibersegurança cada vez mais hostil e complexo. Para CISOs, gestores de TI e profissionais de segurança no Brasil, a paisagem de ameaças não é apenas uma questão global; ela reverbera diretamente em nossas empresas e infraestruturas críticas. Incidentes recentes destacam uma tríade perigosa: a evolução implacável do ransomware, a sofisticação da engenharia social impulsionada por Inteligência Artificial (IA) e a persistência de vulnerabilidades em softwares corporativos e configurações de nuvem.

Historicamente, o Brasil tem sido um alvo preferencial para ataques cibernéticos, impulsionados pela digitalização acelerada, a adoção de tecnologias inovadoras e, muitas vezes, a lacuna na maturidade de segurança. A LGPD (Lei Geral de Proteção de Dados), embora um marco crucial, não elimina a ameaça, mas intensifica as consequências legais e financeiras de uma violação. À medida que nos aproximamos do final de 2025, os dados dos últimos dias, semanas e meses reforçam que a vigilância e a proatividade são mais do que nunca imperativas. Não se trata de "se" sua organização será atacada, mas "quando" e "quão bem" ela estará preparada para resistir e se recuperar.

⚡ Resumo Executivo

• Ransomware evoluído: Ataques se tornam mais direcionados e disruptivos, impactando cadeias de suprimentos globais e brasileiras.
• Engenharia Social com IA: Deepfakes e vishing aumentam a eficácia de fraudes e comprometimento de credenciais, exigindo novos treinamentos.
• Vulnerabilidades em softwares críticos: Falhas em plataformas como Oracle EBS e SAP NetWeaver, somadas a má configuração de nuvem, continuam sendo portas de entrada.
• Impacto regulatório crescente: LGPD e outras regulamentações impõem multas severas, forçando empresas a reavaliarem suas posturas de segurança.

A Ascensão do Ransomware e Ataques à Cadeia de Suprimentos: O Elo Fraco que Nos Preocupa

O ransomware consolidou-se em 2025 não apenas como uma ameaça de extorsão direta, mas como um vetor de ataque que desestabiliza ecossistemas inteiros através da cadeia de suprimentos. Incidentes recentes, como a violação da Asus Supplier em 5 de dezembro de 2025, onde um grupo de ransomware alegou ter roubado 1 TB de dados, incluindo código-fonte de câmeras e ferramentas de firmware, demonstram a facilidade com que um elo fraco pode comprometer grandes corporações. Embora a Asus tenha afirmado que seus sistemas internos e dados de clientes não foram diretamente afetados, a exposição de propriedade intelectual de um fornecedor é um alerta para o risco indireto.

Mais preocupante é a recorrência de ataques a setores críticos. O setor de saúde, por exemplo, continua sendo um alvo primário devido ao valor dos dados e à urgência de seus serviços. A atualização de janeiro de 2025 sobre o ataque à Change Healthcare (ocorrido em fevereiro de 2024), que elevou a estimativa de indivíduos afetados para impressionantes 192,7 milhões de registros nos EUA, é um lembrete sombrio. Este incidente, atribuído ao grupo BlackCat/ALPHV e facilitado por servidores de acesso remoto sem Multi-Factor Authentication (MFA), paralisou pagamentos e serviços farmacêuticos em todo o país. A escala e o impacto desse ataque em um "business associate" (parceiro de negócios) mostram que a segurança da cadeia de suprimentos não é mais uma preocupação secundária, mas uma prioridade estratégica.

O modelo Ransomware-as-a-Service (RaaS) continua a prosperar, democratizando o acesso a ferramentas e táticas para um espectro mais amplo de cibercriminosos. Isso significa que, mesmo pequenas e médias empresas, que talvez não se considerem alvos de alto valor, podem ser vítimas de ataques oportunistas lançados por operadores de RaaS. A exploração de vulnerabilidades conhecidas, a falta de patches atualizados e a ausência de controles de segurança robustos em fornecedores terceirizados criam uma superfície de ataque expandida, onde um único ponto de falha pode ter repercussões em cascata. Para o Brasil, onde muitas empresas dependem de uma vasta rede de fornecedores, a resiliência da cadeia de suprimentos é um desafio que exige não apenas auditorias, mas uma governança contínua e colaborativa em segurança.

Engenharia Social Aprimorada por IA: A Nova Fronteira do Engano

Enquanto o ransomware e as vulnerabilidades técnicas persistem, a engenharia social, impulsionada por avanços em Inteligência Artificial, emergiu como uma das táticas mais insidiosas e eficazes em 2025. Phishing, spear-phishing e, mais recentemente, vishing (phishing por voz) e deepfakes, atingiram um novo patamar de sofisticação, explorando a confiança e as falhas humanas. O Verizon DBIR 2024 (Data Breach Investigations Report) já indicava que o elemento humano estava envolvido em cerca de 74% das violações, com a engenharia social desempenhando um papel central. A velocidade com que os usuários clicam em links maliciosos ou inserem credenciais (média de 21 a 28 segundos em simulações) sublinha a eficácia dessas táticas.

Incidentes recentes reforçam essa tendência. O ataque à DoorDash, divulgado em novembro de 2025, onde um funcionário caiu em um golpe de engenharia social, resultando no acesso a dados de contato de clientes, é um exemplo prático. Em outro caso perturbador de fevereiro de 2025, um funcionário financeiro de uma empresa multinacional em Hong Kong transferiu US$ 25,6 milhões após participar de uma chamada de vídeo onde todos os participantes, incluindo o suposto CFO, eram deepfakes. Essa fraude de "executivo deepfake" destaca o perigo da IA generativa, que permite aos criminosos criar áudios e vídeos convincentes para enganar funcionários, contornando a autenticação tradicional e até mesmo a desconfiança inicial.

A pesquisa da VikingCloud de 11 de dezembro de 2025 aponta que 80% dos ataques de phishing são gerados por IA, com a capacidade de criar dezenas de e-mails de phishing a cada hora. Isso não apenas aumenta o volume de ataques, mas também sua qualidade e personalização, tornando-os quase indistinguíveis de comunicações legítimas. A tecnologia deepfake, que viu um aumento de 550% de 2019 a 2023, com projeções de 8 milhões de deepfakes de vídeo e voz compartilhados até 2025, representa um salto qualitativo nas ameaças. Organizações, incluindo a Universidade de Harvard, também foram alvo de ataques de phishing por telefone (vishing) em novembro de 2025, com o objetivo de roubar registros de doadores, demonstrando que nenhuma entidade está imune. A defesa contra essas ameaças exige uma reavaliação fundamental do treinamento de conscientização e da implementação de soluções de verificação de identidade mais robustas.

Vulnerabilidades Persistentes em Softwares Corporativos e Má Configuração de Nuvem/IAM

Apesar dos investimentos em segurança, a superfície de ataque das empresas continua a ser ampliada por vulnerabilidades não corrigidas em softwares amplamente utilizados e por configurações inadequadas em ambientes de nuvem e sistemas de Gerenciamento de Identidade e Acesso (IAM). Em 2025, vimos a exploração contínua dessas falhas resultando em sérias violações de dados.

A campanha de hackers contra o Oracle E-Business Suite (Oracle EBS), amplamente divulgado em dezembro de 2025 e afetando diversas instituições como a Universidade da Pensilvânia, a Universidade Phoenix, o Washington Post e a GlobalLogic, é um exemplo claro. A exploração de vulnerabilidades como a CVE-2025-61882 (com CVSS 9.8, indicando criticidade elevada), permitiu o acesso a dados pessoais e financeiros, incluindo SSNs e informações bancárias. Embora a Oracle tenha lançado patches em outubro de 2025, a exploração silenciosa vinha ocorrendo há meses, evidenciando a lentidão na aplicação de correções por parte das organizações.

Outros incidentes ressaltam a importância da segurança de sistemas operacionais e navegadores. As falhas de segurança no Windows BitLocker, CVE-2025-54911 e CVE-2025-54912, corrigidas no Patch Tuesday de setembro de 2025, poderiam permitir a escalada de privilégios. Da mesma forma, o Google Chrome emitiu uma atualização urgente em setembro de 2025 para corrigir vulnerabilidades críticas de execução remota de código, como CVE-2025-10200 (Use-After-Free) e CVE-2025-10201 (Inappropriate Implementation), que poderiam permitir que sites maliciosos executassem código nos sistemas dos usuários. A negligência em aplicar patches, uma prática básica de segurança, continua a ser uma das principais causas de sucesso para os atacantes.

Além disso, as configurações de segurança da nuvem permanecem um calcanhar de Aquiles. Uma auditoria do Departamento de Saúde e Serviços Humanos (HHS) dos EUA revelou sérias lacunas na segurança da nuvem, incluindo a falta de autenticação multifator (MFA) para contas privilegiadas e controles de acesso insuficientes. Essa falha básica de segurança também foi o ponto de entrada no ataque da Change Healthcare. A violação do SonicWall Cloud Backup, que afetou todos os clientes do serviço e expôs arquivos de configuração de firewall criptografados com credenciais, destaca a criticidade de proteger a infraestrutura de gerenciamento, não apenas os dados finais. No Brasil, onde a migração para a nuvem é crescente e a gestão de identidades e acessos muitas vezes não acompanha a complexidade dos ambientes, essas vulnerabilidades representam um risco substancial.

🇧🇷 Impacto no Cenário Brasileiro

O cenário de cibersegurança global de 2025 tem um eco direto e profundo no Brasil. Nossas empresas, de startups a grandes corporações, estão expostas às mesmas ameaças, e em alguns casos, com vulnerabilidades amplificadas por fatores locais.

• Setores mais afetados: O setor de Saúde no Brasil, assim como globalmente, é um alvo lucrativo devido à riqueza de dados pessoais sensíveis (incluindo informações de saúde), tornando-se vulnerável a ransomware e violações. Instituições Financeiras e o Governo também enfrentam riscos constantes de engenharia social e exploração de vulnerabilidades em sistemas legados, com impactos financeiros e de credibilidade significativos. O setor de Varejo e Serviços (como provedores de ERP e CRM) também é suscetível a ataques de cadeia de suprimentos e comprometimento de dados de clientes, exigindo conformidade rigorosa com a LGPD.

• Dados locais quando disponíveis: Embora não tenhamos dados específicos dos últimos 1-3 dias para o Brasil nesta pesquisa, a tendência global de aumento de ataques de ransomware e engenharia social se reflete no país. A ANPD (Autoridade Nacional de Proteção de Dados) tem reportado um crescimento nas notificações de incidentes, e casos de vazamento de dados por meio de ataques cibernéticos em empresas brasileiras (bancos, varejistas, planos de saúde) são frequentemente noticiados, corroborando a gravidade da situação. A exploração de vulnerabilidades em sistemas como Oracle EBS ou SAP NetWeaver, que são amplamente utilizados em grandes empresas e órgãos governamentais no Brasil, representa um risco constante.

• Contexto regulatório (LGPD, PCIDSS, BACEN):

  • LGPD: A Lei Geral de Proteção de Dados é a pedra angular da resposta a incidentes no Brasil. A má gestão de dados, falhas na proteção e a demora na notificação de violações, como visto em muitos dos incidentes citados (e.g., Change Healthcare, Google/Salesforce), resultariam em multas elevadas e sérios danos à reputação no Brasil. A ANPD tem aumentado sua atuação fiscalizatória, e a expectativa é de sanções mais severas para empresas que negligenciam a segurança de dados.
  • PCI DSS: Para empresas que processam pagamentos, a conformidade com o PCI DSS é crucial. Ataques a sistemas de ponto de venda (POS), como visto na indústria automotiva (66% dos ataques), e comprometimento de dados de cartões, como o da SogoTrade (Maio 2025) e SOGOTRADE, reforçam a necessidade de controles rigorosos, criptografia e segmentação de rede para proteger informações de pagamento.
  • BACEN: O Banco Central do Brasil, através de suas regulamentações (e.g., Resolução Conjunta nº 6, de 23/05/2023), impõe requisitos robustos de cibersegurança para instituições financeiras. O aumento de deepfakes e vishing, que visam fraudes financeiras e comprometimento de credenciais, é um alerta direto para bancos e fintechs no Brasil, que devem investir em detecção de fraude baseada em IA e autenticação forte. A violação do Habib Bank AG Zurich (Nov 2025) por ransomware, que alegou roubar 2.5 TB de dados financeiros, é um exemplo global que ressoa diretamente com as preocupações do BACEN.

A falta de profissionais qualificados em cibersegurança, exacerbada por cortes orçamentários em alguns setores, torna a defesa ainda mais desafiadora. A formação e o treinamento contínuo são, portanto, investimentos críticos para o mercado brasileiro.

🔒 Recomendações Práticas da Coneds

1. Ação Imediata: Revisão e Hardening de Acessos Privilegiados: Implemente e audite imediatamente a autenticação multifator (MFA) forte para todos os acessos privilegiados, especialmente em sistemas corporativos, nuvem e VPNs, e reavalie permissões com o princípio do menor privilégio.
2. Curto Prazo (1-4 semanas): Programa de Gestão de Patches e Vulnerabilidades Abrangente: Priorize a aplicação de patches de segurança para softwares amplamente utilizados (sistemas operacionais, navegadores, ERPs, CRMs como Oracle EBS, SAP NetWeaver, SonicWall) e realize varreduras de vulnerabilidades frequentes (diárias/semanais).
3. Médio Prazo (1-3 meses): Treinamento Contínuo e Simulações Avançadas de Engenharia Social: Desenvolva e implemente um programa de conscientização de segurança que inclua simulações de phishing (e-mail, SMS, voz) e cenários de deepfake, com feedback imediato para os usuários. Foque no reconhecimento de táticas de IA generativa.
4. Estratégia Long-term: Arquitetura Zero Trust e Segurança da Cadeia de Suprimentos: Adote uma abordagem de Zero Trust, verificando cada solicitação de acesso e segmentando redes para limitar o movimento lateral. Estabeleça um programa robusto de gerenciamento de risco de terceiros, incluindo auditorias de segurança e requisitos contratuais para fornecedores.
5. Governança: Plano de Resposta a Incidentes (IRP) e Testes de BCDR: Desenvolva e teste um IRP detalhado, incluindo planos de recuperação de desastres (BCDR) com backups isolados e imutáveis. Realize exercícios de simulação de crise envolvendo a alta gerência e as equipes de TI, jurídico e comunicação.
6. Tecnologia: Investimento em Ferramentas de Detecção e Resposta (EDR/XDR) e Segurança de Nuvem: Invista em soluções de detecção e resposta para endpoints (EDR) e estendida (XDR), e em ferramentas de segurança de nuvem (CSPM, CWPP) para identificar e corrigir misconfigurações em tempo real.
7. Conformidade Regulatória: Mantenha-se atualizado com as regulamentações (LGPD, PCI DSS, BACEN) e realize auditorias regulares de conformidade. Documente todos os controles e processos para demonstrar a diligência devida em caso de incidente.

❓ Perguntas Frequentes

P: Como os ataques de ransomware evoluíram em 2025 e o que isso significa para minha empresa no Brasil?

R: Em 2025, os ataques de ransomware não só cresceram em frequência, mas se tornaram mais sofisticados, mirando cadeias de suprimentos e utilizando técnicas de dupla extorsão. No Brasil, isso significa que sua empresa pode ser comprometida não apenas por um ataque direto, mas também através de um fornecedor terceirizado. A Coneds recomenda fortalecer a segurança da cadeia de suprimentos e investir em backups robustos e planos de recuperação testados.

P: A Inteligência Artificial (IA) realmente torna a engenharia social mais perigosa?

R: Sim, a IA transformou a engenharia social. Ferramentas de IA generativa permitem a criação de e-mails de phishing mais convincentes e a produção de deepfakes de voz e vídeo (vishing) extremamente realistas, tornando muito mais difícil para os funcionários detectarem fraudes. A Coneds enfatiza a necessidade de treinamentos de conscientização contínuos e simulações que incorporem essas novas ameaças para preparar sua equipe.

P: Minha empresa usa sistemas como Oracle EBS ou SAP NetWeaver. Quais são os riscos e o que devo fazer?

R: Sistemas corporativos amplamente usados como Oracle EBS e SAP NetWeaver são alvos constantes de ataques que exploram vulnerabilidades conhecidas. Incidentes de 2025 mostram que falhas nessas plataformas podem levar a grandes vazamentos de dados. A Coneds aconselha manter todos os softwares críticos rigorosamente atualizados com os últimos patches, realizar testes de penetração regulares e garantir que as configurações de segurança estejam otimizadas e auditadas.

P: Como a Coneds pode ajudar minha empresa a se proteger contra essas ameaças?

R: A Coneds oferece treinamentos especializados em cibersegurança, incluindo cursos avançados sobre engenharia social e detecção de deepfakes, gestão de vulnerabilidades, segurança em nuvem e desenvolvimento de planos de resposta a incidentes. Nossos programas são focados nas realidades do mercado brasileiro e nas exigências da LGPD, preparando seus profissionais e gestores para enfrentar as ameaças mais urgentes de 2025.

Conclusão

O ano de 2025 reafirma que a cibersegurança não é um custo, mas um investimento indispensável para a continuidade e a integridade dos negócios. As ameaças de ransomware, a engenharia social aprimorada por IA e as vulnerabilidades persistentes em softwares corporativos e infraestruturas de nuvem exigem uma postura de defesa adaptável e proativa. Empresas que negligenciam a atualização de sistemas, a proteção de acessos privilegiados e a capacitação de seus colaboradores tornam-se alvos fáceis e arriscam danos reputacionais e multas regulatórias significativas, especialmente sob a LGPD no Brasil.

A resposta a essa complexidade reside em uma estratégia multifacetada: investir em tecnologias de proteção avançadas, promover uma cultura de segurança robusta com treinamentos contínuos e realistas, e estabelecer processos de governança que incluam auditorias regulares e planos de resposta a incidentes bem definidos. A jornada para uma cibersegurança resiliente é contínua, e a preparação é a chave para transformar riscos em oportunidades de fortalecimento. Não espere que sua empresa se torne a próxima manchete; aja agora para proteger seus ativos mais valiosos e a confiança de seus clientes.

---

📚 Aprenda mais: Eleve a defesa da sua equipe com nossos treinamentos especializados. Visite coneds.com.br/treinamentos para cursos sobre Resposta a Incidentes, Segurança de Aplicações e Gestão de Riscos Cibernéticos.

🔗 Fontes:

• IBM. (2025). Cost of a Data Breach Report 2025. Link (Acessado em 20 de dezembro de 2025).
• BrightDefense.com. (2025). List of Recent Data Breaches in 2025. Link (Atualizado em 11 de dezembro de 2025. Acessado em 20 de dezembro de 2025).
• HIPAA Journal. (2025). Healthcare Data Breach Statistics. Link (Atualizado em 17 de dezembro de 2025. Acessado em 20 de dezembro de 2025).
• SC Media. (2025). Ransomware 2024: A year of tricks, traps, wins and losses. Link (Publicado em 19 de dezembro de 2024. Acessado em 20 de dezembro de 2025).
• SC Media. (2025). Identity: the new battleground in our emerging AI world. Link (Publicado em 19 de dezembro de 2025. Acessado em 20 de dezembro de 2025).
• Dark Reading. (2025). Change Healthcare Breach Impact Doubles to 190M People. Link (Publicado em 27 de janeiro de 2025. Acessado em 20 de dezembro de 2025).
• Cybersecurity News. (2025). Windows BitLocker Flaws Allow Privilege Escalation Through Memory Corruption. Link (Publicado em 9 de setembro de 2025. Acessado em 20 de dezembro de 2025).
• Cybersecurity News. (2025). Chrome Update Fixes Critical Remote Code Execution Vulnerability. Link (Publicado em 22 de agosto de 2025. Acessado em 20 de dezembro de 2025).
• The Hacker News. (2025). China-Linked APTs Exploit SAP CVE-2025-31324 to Breach 581 Critical Systems Globally. Link (Publicado em 21 de maio de 2025. Acessado em 20 de dezembro de 2025).
• Infosecurity Magazine. (2025). Marquis Software Under Scrutiny After Breach Exposes 788000 Financial Records. Link (Publicado em dezembro de 2025. Acessado em 20 de dezembro de 2025).
• The Harvard Crimson. (2025). Harvard Donor Cybersecurity Data Breach Follows 3 Ivy Attacks in 2025. Link (Publicado em 22 de novembro de 2025. Acessado em 20 de dezembro de 2025).
• VikingCloud. (2025). 207 Cybersecurity Stats and Facts for 2025. Link (Publicado em 11 de dezembro de 2025. Acessado em 20 de dezembro de 2025).