Cibersegurança 2025: Ransomware, Supply Chain e Deepfakes no Radar do CISO

Meta descrição: Descubra as ameaças mais críticas de 2025, de ransomware a deepfakes, e como elas impactam o mercado brasileiro. Proteja sua empresa com estratégias eficazes.

Em um cenário digital em constante evolução, o ano de 2025 solidifica tendências alarmantes e introduz novas complexidades para os profissionais de cibersegurança no Brasil. A batalha contra o cibercrime está mais intensa do que nunca, com adversários utilizando inteligência artificial para refinar ataques e explorar vulnerabilidades em escala massiva. Hoje, 30 de dezembro de 2025, enquanto nos preparamos para o novo ano, é imperativo que CISOs, gestores de TI e analistas de segurança compreendam as ameaças mais urgentes que moldam o panorama nacional. Ataques de ransomware continuam a ser uma praga devastadora, não apenas criptografando dados, mas também causando disrupções catastróficas na cadeia de suprimentos e expondo milhões de registros. Paralelamente, a engenharia social atingiu um novo patamar de sofisticação, com o uso de deepfakes e phishing gerados por IA tornando as campanhas de comprometimento de identidade praticamente indistinguíveis da realidade. Este artigo da Coneds visa decifrar essas tendências, fornecendo insights técnicos e práticos para fortalecer as defesas de sua organização no mercado brasileiro.

⚡ Resumo Executivo

• Ransomware Acelerado: Ataques de ransomware atingem recordes de frequência e custo em 2025, com média global de $7.42 milhões por incidente no setor de saúde.
• Cadeias de Suprimentos Fragilizadas: A exploração de fornecedores terceirizados se consolida como vetor crítico, exemplificada por incidentes como o da CDK Global em junho de 2024 e Change Healthcare em 2024.
• Engenharia Social AI-Powered: Phishing e deepfakes gerados por IA tornam-se o principal vetor de comprometimento de credenciais, sendo mais difíceis de detectar.
• Identidade como Novo Perímetro: O roubo de credenciais e o comprometimento de contas são a porta de entrada para a maioria dos ataques, reforçando a importância da gestão de identidades.

Ransomware e a Cascata na Cadeia de Suprimentos: O Desafio de 2025

O ransomware não é uma ameaça nova, mas em 2025 ele alcançou níveis sem precedentes de sofisticação e impacto. Relatórios globais de segurança, incluindo o "Cost of a Data Breach 2025" da IBM e análises da Spin.AI, indicam que os pagamentos de resgate e o número de incidentes dispararam, com danos projetados para exceder a marca dos trilhões de dólares anualmente até o final da década. No ano de 2025, observamos um crescimento contínuo, com o setor de saúde, por exemplo, enfrentando custos médios de US$ 7,42 milhões por incidente, o mais alto entre todas as indústrias.

A particularidade que eleva o ransomware a um patamar mais crítico em 2025 é a sua intrínseca relação com a cadeia de suprimentos digital. A dependência crescente de fornecedores terceirizados e plataformas SaaS transformou cada elo dessa cadeia em um vetor potencial de ataque. Um comprometimento em um único fornecedor pode desencadear uma cascata de incidentes em múltiplas organizações, como demonstrado pelos ataques do grupo CL0P. Em 2023, as explorações das vulnerabilidades em softwares de transferência de arquivos como GoAnywhere e MOVEit pela CL0P resultaram no comprometimento de milhões de indivíduos e centenas de milhões de dólares em pagamentos de resgate.

Mais recentemente, em junho de 2024, o ataque de ransomware à CDK Global, uma plataforma SaaS dominante no setor automotivo, paralisou milhares de concessionárias nos EUA e Canadá por semanas. Este incidente, embora não diretamente um CVE específico anunciado nos últimos dias de 2025, é um exemplo contundente da vulnerabilidade da cadeia de suprimentos e de como um ataque a um único provedor de serviços essencial pode ter impactos econômicos e operacionais massivos em todo um setor. De forma similar, o ataque à Change Healthcare em 2024 expôs mais de 100 milhões de registros de pacientes, evidenciando o efeito dominó que pode ser gerado quando um ponto crítico da infraestrutura de saúde é atingido. Estes incidentes de grande escala reverberam globalmente e servem como um alerta para a interconectividade e os riscos sistêmicos.

As táticas dos grupos de ransomware também evoluem rapidamente. Além da criptografia de dados, a extorsão dupla (exfiltração e ameaça de vazamento) é agora um padrão, e grupos como LockBit, ALPHV (BlackCat), CL0P, PLAY e Black Basta continuam a dominar o cenário, operando frequentemente sob o modelo de Ransomware-as-a-Service (RaaS). Este modelo democratiza o acesso a ferramentas maliciosas, permitindo que cibercriminosos com menor sofisticação técnica lancem ataques devastadores. Observamos também uma tendência de "caça a grandes alvos" (big game hunting), onde grupos de ransomware mais sofisticados miram organizações críticas, antecipando uma maior probabilidade de pagamento de resgates substanciais para evitar interrupções de serviço. A pressão é intensificada com táticas como contagens regressivas para vazamento de dados e contato direto com clientes das vítimas, e até mesmo uso de regulamentações como a LGPD para pressionar empresas a pagar, alegando falha no reporte de incidentes, como já reportado por afiliados do ALPHV.

Engenharia Social Aprimorada por IA: A Nova Fronteira do Engano

Se o ransomware ataca a infraestrutura, a engenharia social ataca o elemento humano, e em 2025, a Inteligência Artificial (IA) elevou essa ameaça a um nível sem precedentes. Relatórios da indústria, como os da KnowBe4 e da SpyCloud de 2025, mostram que mais de 80% dos e-mails de phishing agora utilizam conteúdo gerado por IA, tornando-os incrivelmente convincentes e personalizados. A IA permite que os cibercriminosos criem mensagens que mimetizam perfeitamente o estilo de comunicação de executivos, colegas ou instituições financeiras, explorando gatilhos psicológicos com uma precisão assustadora.

Os deepfakes são a manifestação mais preocupante dessa evolução. A tecnologia de deepfake, que usa IA para criar vídeos, imagens ou áudios falsos realistas, está sendo cada vez mais empregada em ataques de engenharia social. Dados indicam um aumento dramático de 550% no número de deepfakes online entre 2019 e 2023, com projeções de que esse número chegue a 8 milhões até 2025. Os cibercriminosos já utilizam deepfakes de voz em golpes de "vishing" (phishing por voz) para imitar executivos e solicitar transferências financeiras urgentes ou dados sensíveis. Há relatos de incidentes em 2024 e 2025 onde deepfakes foram usados para contornar a autenticação em instituições financeiras e em campanhas de "business email compromise" (BEC) mais convincentes.

Em setembro de 2025, um incidente de destaque ocorreu quando uma campanha sofisticada de deepfakes de voz e vídeo mirou funcionários de alto escalão de uma multinacional de tecnologia, resultando em uma tentativa (frustrada, neste caso) de fraude de milhões de dólares. A campanha utilizou informações publicamente disponíveis sobre os executivos para criar deepfakes que simulavam chamadas de vídeo e áudio solicitando acesso a sistemas internos e autorização para transações financeiras urgentes. A autenticidade percebida desses deepfakes dificultou a detecção por parte dos alvos iniciais, demonstrando o poder da IA para minar a confiança e explorar o fator humano.

Além dos deepfakes, o phishing avançado por IA se manifesta em várias formas:

• Spear Phishing Evoluído: Ataques altamente direcionados que incorporam detalhes específicos da empresa e dos funcionários, coletados por meio de reconhecimento extensivo, para criar mensagens praticamente perfeitas.
• Vishing e Smishing Sofisticados: Chamadas telefônicas e mensagens SMS fraudulentas que, graças à IA, soam e parecem mais legítimas, levando as vítimas a divulgar credenciais ou instalar malware.

A proliferação de ferramentas de IA generativa torna a criação desses ataques mais acessível, mesmo para atores menos técnicos. A facilidade de gerar textos persuasivos, imagens e áudios realistas reduz a barreira de entrada para campanhas de engenharia social em massa e direcionadas. Isso significa que as organizações precisam ir além da educação básica sobre phishing, treinando seus colaboradores para identificar nuances mais sutis e suspeitar de comunicações incomuns, mesmo que pareçam vir de fontes confiáveis.

🇧🇷 Impacto no Cenário Brasileiro

O Brasil, com sua economia digital em expansão e a constante digitalização de serviços governamentais e financeiros, é um alvo particularmente atraente para as ameaças de cibersegurança discutidas. A relevância da LGPD (Lei Geral de Proteção de Dados), BACEN e PCI DSS é amplificada por esses ataques:

• Ransomware e Cadeia de Suprimentos: Empresas brasileiras, especialmente nos setores financeiro, agronegócio e varejo, dependem fortemente de softwares e serviços de terceiros. A exploração de vulnerabilidades em um fornecedor de ERP, um gateway de pagamento ou uma plataforma de gestão logística pode paralisar operações e expor dados de milhões de brasileiros. Um ataque de ransomware a uma instituição financeira, como as que operam sob a regulamentação do BACEN, não só causaria perdas financeiras diretas, mas também uma crise de confiança e penalidades severas da reguladora. Embora não tenhamos um CVE específico de dezembro de 2025 para o Brasil, os exemplos de ataques à cadeia de suprimentos global servem como um espelho para o risco iminente que empresas brasileiras enfrentam. A interrupção de um elo crítico pode levar à indisponibilidade de serviços essenciais, resultando em danos reputacionais e multas pesadas sob a LGPD por violações de dados.

• Engenharia Social AI-Powered: O "jeitinho brasileiro" e a cultura de confiança podem ser explorados por ataques de engenharia social potencializados por IA. Deepfakes de voz de CEOs solicitando transferências urgentes, ou e-mails de phishing impecavelmente redigidos em português que mimetizam órgãos governamentais (como a Receita Federal) ou bancos populares, representam uma ameaça real. A sofisticação desses golpes dificulta a identificação, mesmo para funcionários treinados. O comprometimento de contas por phishing é consistentemente apontado como o vetor inicial mais comum em violações de dados, e com a IA, essa vulnerabilidade humana é ainda mais explorada. As consequências para as empresas brasileiras vão desde fraudes financeiras (BEC) até o roubo de dados pessoais que resultam em vazamentos massivos, exigindo conformidade com as rigorosas diretrizes da LGPD para notificação e remediação.

• Contexto Regulatório: A LGPD exige que as empresas reportem incidentes de segurança que possam acarretar risco ou dano relevante aos titulares dos dados. Ataques de ransomware que resultam em exfiltração de dados e o uso de deepfakes para fraudes financeiras ou roubo de identidade se enquadram perfeitamente neste escopo. O não cumprimento dos prazos e a falta de medidas preventivas adequadas podem resultar em multas de até 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. No setor financeiro, o BACEN impõe requisitos ainda mais específicos e rigorosos para a segurança da informação, tornando a resiliência cibernética uma questão de sobrevivência para as instituições. O PCI DSS, para empresas que processam dados de cartões de pagamento, também exige controles robustos que são diretamente impactados por essas ameaças.

🔒 Recomendações Práticas da Coneds

1. Ação Imediata: Implementar e reforçar a autenticação multifator (MFA) em todos os acessos, especialmente para contas privilegiadas e acesso remoto. Monitorar logs de autenticação para atividades anômalas.
2. Curto Prazo (1-4 semanas): Realizar treinamentos de conscientização em segurança com foco em engenharia social avançada, deepfakes e phishing gerado por IA. Simular ataques para testar a resiliência dos colaboradores e sistemas de detecção.
3. Médio Prazo (1-3 meses): Mapear e auditar a cadeia de suprimentos e provedores de serviços terceirizados (MSPs). Implementar avaliações de risco regulares e cláusulas contratuais robustas de segurança da informação.
4. Estratégia Long-term: Adotar uma arquitetura Zero Trust, verificando cada solicitação de acesso e limitando privilégios. Investir em soluções de segurança de ponta baseadas em IA para detecção e resposta a ameaças (XDR/EDR) que possam identificar comportamentos anômalos e ataques "Living Off The Land".
5. Governança: Revisar e testar planos de Resposta a Incidentes (IRP), incluindo cenários de ransomware e vazamento de dados com IA. Garantir conformidade contínua com a LGPD, BACEN e PCI DSS, com auditorias regulares e políticas claras de privacidade.
6. Treinamento: Capacitar equipes de TI e segurança em técnicas de análise forense digital e resposta a incidentes envolvendo novas ameaças, como deepfakes. Fomentar uma cultura de segurança proativa e contínua em toda a organização.

❓ Perguntas Frequentes

P: Como a IA está mudando os ataques de phishing?

R: A IA está tornando os ataques de phishing muito mais sofisticados e personalizados. Ela permite a criação de e-mails com linguagem impecável e contextualizada, imitando o estilo de comunicação de pessoas ou organizações conhecidas (deepfakes de texto/voz), dificultando a detecção e aumentando a taxa de sucesso dos golpes.

P: Qual o principal risco dos ataques à cadeia de suprimentos para empresas brasileiras?

R: O principal risco é o efeito cascata. Um ataque a um único fornecedor ou software amplamente utilizado pode comprometer dados e operações de diversas empresas clientes no Brasil, resultando em grandes perdas financeiras, interrupção de serviços e pesadas multas sob a LGPD e outras regulamentações setoriais (e.g., BACEN).

P: A Coneds oferece treinamentos sobre como se defender contra deepfakes e outras ameaças de IA?

R: Sim, a Coneds oferece treinamentos especializados que abordam as ameaças emergentes de cibersegurança, incluindo a detecção e mitigação de ataques impulsionados por IA, como deepfakes e phishing avançado. Nossos cursos são projetados para capacitar profissionais e equipes de segurança com o conhecimento e as ferramentas necessárias para enfrentar esses desafios.

Conclusão

O panorama de cibersegurança para 2025 é inegavelmente complexo e desafiador. A ascensão do ransomware com seus impactos na cadeia de suprimentos e a proliferação de ataques de engenharia social potencializados por IA e deepfakes exigem uma reavaliação urgente das estratégias de defesa. Para as empresas brasileiras, o cumprimento rigoroso da LGPD e das regulamentações específicas do setor (como as do BACEN) não é apenas uma obrigação legal, mas um pilar fundamental da resiliência cibernética. Ignorar essas ameaças é apostar no desconhecido, com o risco de perdas financeiras astronômicas, danos irreparáveis à reputação e descontinuidade operacional.

A chave para navegar neste ambiente hostil reside na proatividade, na adoção de tecnologias de segurança avançadas e, crucialmente, no investimento contínuo na capacitação humana. A tecnologia por si só não basta; é a combinação de ferramentas robustas, processos bem definidos e uma equipe altamente treinada e consciente que formará a linha de frente mais eficaz contra os cibercriminosos. A Coneds está comprometida em ser sua parceira nessa jornada, fornecendo o conhecimento e as habilidades necessárias para proteger seus ativos mais valiosos. Prepare sua organização hoje para os desafios de amanhã.

---

📚 Aprenda mais: Eleve a segurança da sua empresa. Explore nossos cursos de Defesa contra Ameaças Avançadas e Gestão de Riscos Cibernéticos em coneds.com.br. 🔗 Fontes:

• IBM. Cost of a Data Breach Report 2025. Publicado em Julho de 2025.
• Spin.AI. Ransomware Tracker 2025. Atualizado semanalmente em Dezembro de 2025.
• Cobalt.io. Healthcare Data Breach Statistics: 2025 Roundup. Publicado em 2 de Outubro de 2025.
• Canadian Centre for Cyber Security. National Cyber Threat Assessment 2025-2026. Informações disponíveis até 20 de Setembro de 2024.
• University of San Diego Online Degrees. Top Cybersecurity Threats to Watch in 2025. Publicado em 13 de Dezembro de 2024.
• SC Media. Identity: The new battleground in our emerging AI world. Publicado em 15 de Dezembro de 2025.
• SpyCloud. Cybersecurity Industry Statistics: ATO, Ransomware, Data Breaches, BEC, Fraud. Publicado em Outubro de 2025.