Cibersegurança 2026: As Ameaças Mais Urgentes para Empresas no Brasil

Meta descrição: Analisamos as ciberameaças mais críticas de fevereiro de 2026, incluindo ransomware evoluído, falhas na cadeia de suprimentos e engenharia social impulsionada por IA, com foco no impacto e na conformidade com a LGPD para o mercado brasileiro.

O cenário da cibersegurança global e, por extensão, o brasileiro, continua a ser um campo de batalha dinâmico, onde a sofisticação dos ataques avança a passos largos. Em fevereiro de 2026, observamos uma intensificação notável em táticas que exploram não apenas vulnerabilidades técnicas, mas, de forma alarmante, o elemento humano e a interconectividade das cadeias de suprimentos. A proliferação de campanhas de ransomware cada vez mais destrutivas, a exploração astuta de zero-days em softwares amplamente utilizados e o aprimoramento da engenharia social por meio de inteligência artificial generativa são tendências que exigem atenção imediata de CISOs, gestores de TI e analistas de segurança no Brasil.

A Coneds, como líder em educação especializada, monitora constantemente essas ameaças para fornecer insights acionáveis. Nos últimos dias de fevereiro de 2026, dados e alertas recentes indicam uma convergência perigosa de fatores, tornando a resiliência cibernética uma prioridade inegociável. A conformidade com a LGPD e outras regulamentações se torna ainda mais crítica em um ambiente onde cada incidente pode ter repercussões financeiras, reputacionais e legais devastadoras. Este artigo detalha as principais ameaças emergentes e oferece um guia prático para fortalecer as defesas de sua organização.

⚡ Resumo Executivo

• Ransomware 2.0: Grupos APTs (Advanced Persistent Threats) estão utilizando ransomware como serviço (RaaS) com táticas de extorsão tripla, mirando backups e infraestruturas críticas.
• Cadeia de Suprimentos Vulnerável: Zero-days em softwares de gestão de endpoints como Ivanti EPMM e falhas em plataformas SaaS de terceiros abrem portas para ataques em cascata.
• Engenharia Social AI-Powered: A inteligência artificial generativa eleva a eficácia de phishing, vishing e deepfakes, tornando o roubo de credenciais quase indetectável.
• Impacto Regulatória: A LGPD impõe multas severas e a exigência de notificação de incidentes, ampliando o risco para empresas brasileiras.
• Defesa Ativa Essencial: A combinação de monitoramento contínuo, autenticação multifator, gestão de acessos privilegiados e treinamento constante é vital para a resiliência.

Ransomware como Serviço (RaaS) e a Convergência de Táticas de APTs

O ransomware continua a ser a arma preferida dos cibercriminosos, mas sua evolução em 2026 revela uma sofisticação sem precedentes, impulsionada pela modalidade Ransomware como Serviço (RaaS) e pela adoção de táticas de grupos de Ameaças Persistentes Avançadas (APTs). O que era uma ameaça disruptiva agora se transformou em uma ferramenta de extorsão multifacetada, com os atacantes não apenas criptografando dados, mas também exfiltrando-os e, em alguns casos, utilizando-os para manipular as vítimas ou seus stakeholders.

Um exemplo alarmante, reportado em 24 de fevereiro de 2026 (Industrial Cyber), é a observação do grupo Lazarus, conhecido por suas conexões estatais e táticas de APT, adotando o ransomware Medusa para campanhas de extorsão. Essa convergência é preocupante porque combina a expertise de grupos APT em infiltração furtiva e persistência com a capacidade destrutiva e a monetização rápida do ransomware. O foco desses ataques tem se voltado para setores altamente sensíveis, como saúde e organizações sem fins lucrativos, onde a interrupção das operações e a exposição de dados podem ter consequências catastróficas, tanto humanas quanto financeiras.

Os operadores de ransomware estão cada vez mais visando não apenas os sistemas de produção, mas também os backups, na tentativa de eliminar a última linha de defesa das organizações. Relatórios de dezembro de 2025 (VikingCloud) indicam que 96% dos ataques de ransomware tentam atingir locais de backup e repositórios, e em 77% dos incidentes, o ataque é implantado em até 30 dias após o acesso inicial, e 54% em apenas sete dias. Isso demonstra a rapidez com que os atacantes buscam maximizar o dano e a pressão para o pagamento do resgate.

Além disso, a extorsão tripla (criptografia, exfiltração de dados e ameaça de ataques DDoS ou vazamento de dados adicionais) está se tornando mais comum, aumentando a complexidade da resposta e o custo total de um incidente. O valor médio dos pagamentos de resgate atingiu a marca de US$ 2 milhões em 2025, um aumento de 500% em um ano, com o custo total de recuperação de um ataque de ransomware sendo, em média, dez vezes maior que o valor do resgate exigido (VikingCloud, 11 de dezembro de 2025).

Ataques contra infraestruturas críticas, que englobam desde utilities até manufatura, saúde e logística, estão se expandindo. Esses sistemas, muitos construídos para confiabilidade e não para segurança, são notoriamente difíceis de remendar e monitorar, tornando-os alvos atrativos para grupos RaaS e APTs que buscam causar disrupção em larga escala. A emergência de malwares específicos para Tecnologia Operacional (OT), como o suposto VoltRuptor, com capacidade de suportar múltiplos protocolos e anti-forense, sinaliza uma ameaça crescente para as redes industriais em 2026 (SC Media, 26 de fevereiro de 2026).

Vulnerabilidades em Cadeias de Suprimentos e Software de Terceiros: O Caso Ivanti EPMM e Plataformas SaaS

A interdependência digital, embora benéfica para a inovação, também criou um calcanhar de Aquiles para a segurança cibernética: a cadeia de suprimentos. Em fevereiro de 2026, a exploração de vulnerabilidades em softwares de terceiros e plataformas SaaS (Software as a Service) continua a ser uma das principais portas de entrada para ataques de grande escala. Um incidente particularmente notável, que ressoa nos alertas de segurança, são as contínuas falhas de dia zero em produtos de gestão de endpoints como o Ivanti EPMM (anteriormente MobileIron Core), que "desencadeiam uma onda de explorações — novamente" (Dark Reading, 12 de fevereiro de 2026).

Embora não especificado um CVE para 2026 nos resultados da pesquisa, a reincidência de vulnerabilidades críticas em plataformas de gestão de endpoints como a Ivanti demonstra um padrão preocupante. Esses sistemas, que controlam uma vasta gama de dispositivos corporativos e acessam informações sensíveis, são alvos de alto valor. A exploração de zero-days permite que atacantes contornem as defesas tradicionais, obtenham acesso inicial e, a partir daí, realizem movimentos laterais na rede, instalem backdoors ou exfiltrem dados. A rapidez com que exploits para vulnerabilidades recém-descobertas se tornam publicamente disponíveis – em média, 14 dias após a divulgação (Microsoft Digital Defense Report, 2022, referenciado em Dark Reading) – sublinha a urgência de uma postura de patching ágil e proativa.

Além disso, o ano de 2025 viu uma série de grandes violações de dados originadas em terceiros que fornecem serviços essenciais, como plataformas de Customer Relationship Management (CRM) e de transferência de arquivos. Incidentes como a violação da Salesloft Drift em agosto de 2025, que comprometeu tokens OAuth e chaves de acesso AWS de centenas de clientes, incluindo Google e TransUnion (PKWARE, 2 de janeiro de 2026), demonstram como uma falha em um elo da cadeia de suprimentos pode ter um efeito cascata massivo. Da mesma forma, o ataque à plataforma de gerenciamento de estudantes PowerSchool no início de 2025, expondo dados de 62 milhões de estudantes e 9,5 milhões de professores, também destacou a vulnerabilidade inerente a sistemas de terceiros (CyberGlobal, Top 5 Biggest Cyber Attacks in 2025).

Esses ataques frequentemente exploram não apenas falhas de software, mas também configurações incorretas e credenciais comprometidas em ambientes de nuvem. Relatórios indicam que mais de 61% das empresas experimentam pelo menos um ataque na nuvem por ano, e 27% dos problemas de segurança na nuvem pública são causados por configurações incorretas (VikingCloud, 11 de dezembro de 2025). A complexidade do ecossistema de fornecedores e a crescente dependência de serviços em nuvem exigem uma vigilância constante e uma estratégia de segurança que se estenda para além das fronteiras tradicionais da organização.

Engenharia Social e Credenciais Comprometidas: A Era da Pós-Verdade da IA

A engenharia social continua sendo um dos vetores de ataque mais eficazes, e em fevereiro de 2026, sua eficácia foi exponencialmente amplificada pelo uso da Inteligência Artificial Generativa (IAG). O "elemento humano" permanece o elo mais fraco na maioria das defesas cibernéticas, e os cibercriminosos estão explorando isso com mensagens de phishing, vishing (phishing por voz) e deepfakes que são cada vez mais convincentes e difíceis de serem detectadas.

Um exemplo concreto, datado de 2 de fevereiro de 2026 (Dark Reading), detalha uma campanha de phishing sem malware que visa roubar credenciais do Dropbox usando iscas de PDF falsas. A campanha utiliza uma estratégia de ofuscação em várias etapas: e-mails que solicitam a revisão de "pedidos" via um PDF falso hospedado em um serviço de nuvem legítimo, que por sua vez redireciona para um site de login falso do Dropbox. A ausência de malware tradicional permite que essas iscas bypasssem muitas soluções de segurança de e-mail, e a semelhança com serviços legítimos engana até mesmo usuários vigilantes. A tática é aprimorada com atrasos de cinco segundos na página de login falsa para simular autenticação real, aumentando a credibilidade do golpe.

A IAG transforma o cenário da engenharia social ao permitir a criação de textos, áudios e vídeos sintéticos hiper-realistas em escala. Relatos de dezembro de 2025 (VikingCloud) mostram que 60% dos destinatários são vítimas de ataques de phishing impulsionados por IAG, e estima-se que 80% dos ataques de phishing são gerados por IA. Ferramentas de IA gratuitas podem gerar até 30 modelos de e-mail de phishing por hora, o que democratiza o acesso a táticas sofisticadas e permite que os criminosos operem com maior volume e personalização (VikingCloud, 11 de dezembro de 2025). Isso inclui a criação de "deepfakes" de voz e vídeo para ataques de vishing e comprometimento de e-mail corporativo (BEC), onde os atacantes personificam executivos para solicitar transferências financeiras fraudulentas.

A exploração de credenciais roubadas é um objetivo comum dessas campanhas, pois permite acesso direto a sistemas e dados sensíveis. O relatório da CrowdStrike de 2025 (mencionado em SC Media, 18 de fevereiro de 2026) indicou que quase 80% das detecções não envolviam malware, o que significa que os atacantes confiaram em técnicas como engenharia social e credenciais roubadas para se passar por usuários legítimos e escalar privilégios. A falta de autenticação multifator (MFA) consistente ou de gerenciamento abrangente de acesso privilegiado (PAM) agrava essa vulnerabilidade, como evidenciado pelo ataque à Change Healthcare em fevereiro de 2024, onde um único servidor sem MFA levou ao comprometimento de dados de mais de 190 milhões de americanos (SC Media, 18 de fevereiro de 2026).

A natureza humana da confiança e da capacidade limitada de processar grandes volumes de informação é explorada nesses ataques. A fusão da engenharia social com a capacidade da IA de criar conteúdo enganoso em massa representa um desafio fundamental para a cibersegurança em 2026, exigindo não apenas soluções tecnológicas avançadas, mas também um foco renovado na conscientização e educação do usuário.

🇧🇷 Impacto no Cenário Brasileiro

Para as empresas brasileiras, as tendências globais de ciberameaças em fevereiro de 2026 se traduzem em riscos imediatos e amplificados pelas particularidades do nosso mercado. A combinação da maturidade digital crescente com um panorama regulatório rigoroso, como a Lei Geral de Proteção de Dados Pessoais (LGPD), e a adoção de tecnologias e serviços globais, cria um ambiente complexo para CISOs e gestores de TI.

Setores Mais Afetados: Os setores de serviços financeiros, saúde e governo no Brasil são historicamente alvos preferenciais e continuam sob alta pressão. Ameaças de ransomware evoluídas, como as observadas com o grupo Lazarus/Medusa, são especialmente preocupantes para hospitais e clínicas brasileiras, que lidam com dados sensíveis de pacientes (Lei do Prontuário Eletrônico) e cuja interrupção de serviços pode ter consequências na vida real. Ataques a sistemas governamentais, que processam grandes volumes de dados pessoais e transações críticas, também representam um risco significativo, tanto para a continuidade dos serviços quanto para a privacidade dos cidadãos.

A dependência de softwares de terceiros e plataformas SaaS, uma realidade para a maioria das empresas brasileiras de todos os portes, torna as vulnerabilidades na cadeia de suprimentos um vetor de ataque crítico. A exploração de falhas em sistemas de gestão de endpoints (como o Ivanti EPMM) ou em plataformas de CRM/ERP amplamente utilizadas no Brasil pode paralisar operações e expor dados em conformidade com a LGPD. Pequenas e médias empresas (PMEs), que muitas vezes têm orçamentos e equipes de segurança limitados, são particularmente vulneráveis a esses ataques em cascata.

Contexto Regulatório (LGPD, BACEN, PCI DSS): A LGPD, em vigor desde 2020, estabelece multas que podem chegar a R$ 50 milhões por incidente ou 2% do faturamento anual da empresa. Para o cenário de fevereiro de 2026, onde incidentes de ransomware e vazamentos de dados via cadeia de suprimentos são proeminentes, a LGPD exige:

• Notificação de Incidentes: Em caso de violação de dados, a notificação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares dos dados é compulsória e deve ser feita em um prazo razoável, geralmente dias. A não conformidade com prazos e o escopo da notificação podem agravar as penalidades.
• Avaliação de Impacto à Proteção de Dados (DPIA): A necessidade de avaliar riscos e implementar medidas preventivas para o tratamento de dados pessoais é fundamental, especialmente em relação a fornecedores e softwares de terceiros.
• Responsabilidade Solidária: Empresas brasileiras podem ser responsabilizadas por incidentes que ocorram com seus parceiros da cadeia de suprimentos que tratam dados em seu nome, conforme a LGPD.

No setor financeiro, as regulamentações do Banco Central (BACEN), como as circulares que tratam da segurança cibernética (e.g., Circular nº 3.909/2018 e suas atualizações), exigem uma robustez ainda maior nas defesas, incluindo a proteção contra fraudes por engenharia social e o monitoramento contínuo de vulnerabilidades. Para empresas que lidam com dados de cartões de pagamento, o PCI DSS (Payment Card Industry Data Security Standard) impõe requisitos estritos de segurança, que são diretamente impactados por ataques de ransomware e roubo de credenciais.

Ameaças de engenharia social aprimoradas por IA são particularmente eficazes no Brasil devido à alta taxa de uso de smartphones e à familiaridade com aplicativos de mensagens. Campanhas de phishing e vishing sofisticadas podem visar funcionários de bancos, instituições governamentais e grandes corporações, buscando roubar credenciais que, se comprometidas, podem levar a fraudes financeiras massivas ou acessos a sistemas críticos.

Em suma, as empresas brasileiras não podem se dar ao luxo de ignorar essas tendências. A gestão proativa de riscos, a due diligence em fornecedores, o investimento em treinamento de conscientização e a adequação contínua às regulamentações são essenciais para construir uma postura de segurança robusta em 2026.

🔒 Recomendações Práticas da Coneds

Diante do cenário complexo e das ameaças evoluídas de fevereiro de 2026, a Coneds reitera a importância de uma estratégia de cibersegurança multifacetada e proativa. Para CISOs, gestores de TI e equipes de segurança no Brasil, as seguintes recomendações práticas são cruciais para fortalecer a resiliência de suas organizações:

1. Ação Imediata: Revisão e Hardening de Backups e Redes OT/ICS:

   • Isolamento de Backups: Garanta que cópias de segurança críticas estejam isoladas da rede principal (offline ou em ambientes air-gapped) e sejam testadas regularmente para garantir a integridade e a capacidade de recuperação. Implemente a regra 3-2-1 (3 cópias, 2 mídias diferentes, 1 off-site/offline).
   • Segmentação de Redes OT/ICS: Revise e reforce a segmentação entre redes de Tecnologia da Informação (TI) e Tecnologia Operacional (OT)/Sistemas de Controle Industrial (ICS). Monitore agressivamente o tráfego entre esses segmentos para detectar anomalias, especialmente contra malwares específicos como VoltRuptor.

2. Curto Prazo (1-4 semanas): Gestão Aprimorada de Acessos e Patching de Terceiros:

   • MFA e PAM Universais: Implemente e reforce a Autenticação Multifator (MFA) para todos os usuários, especialmente contas privilegiadas e acessos a plataformas SaaS e VPNs. Invista em soluções de Gerenciamento de Acessos Privilegiados (PAM) para monitorar e controlar o uso de credenciais de alto nível.
   • Programa de Patching para Terceiros: Estabeleça um programa robusto para monitorar e aplicar patches de segurança em softwares de terceiros e sistemas de gestão de endpoints (e.g., Ivanti EPMM). Priorize vulnerabilidades conhecidas e acompanhe de perto os advisories de segurança de seus fornecedores críticos.

3. Médio Prazo (1-3 meses): Fortalecimento da Higiene Cibernética e Due Diligence da Cadeia de Suprimentos:

   • Simulações de Engenharia Social com IA: Realize campanhas de phishing e vishing simuladas com técnicas aprimoradas por IA para educar e testar a resiliência dos funcionários. Enfatize a detecção de deepfakes de voz e vídeo.
   • Auditoria de Segurança de Fornecedores: Conduza auditorias regulares de segurança e avaliações de risco em toda a sua cadeia de suprimentos e em todos os fornecedores de SaaS, com foco em suas posturas de segurança e conformidade com a LGPD. Exija comprovantes de segurança e planos de resposta a incidentes.

4. Estratégia Long-term: Arquitetura Zero Trust e Defesa AI-Driven:

   • Implementação de Zero Trust: Desenvolva e comece a implementar uma arquitetura de Zero Trust, onde nenhum usuário, dispositivo ou aplicativo é confiado automaticamente, independentemente de sua localização. Verifique continuamente identidades e privilégios.
   • Uso Estratégico de IA na Defesa: Explore e invista em soluções de segurança baseadas em IA para detecção de ameaças, análise comportamental e resposta a incidentes, auxiliando na identificação de ataques sofisticados e na redução da fadiga de alertas.

5. Governança: Compliance e Resposta a Incidentes LGPD:

   • Revisão do Plano de Resposta a Incidentes (PRIP): Atualize seu PRIP para incluir cenários específicos de ransomware, ataques à cadeia de suprimentos e engenharia social. Garanta que o plano esteja alinhado com os requisitos de notificação da LGPD, incluindo prazos e comunicação com a ANPD e os titulares de dados.
   • Gestão de Riscos Contínua: Mantenha um registro atualizado de ativos, vulnerabilidades e riscos, priorizando os de maior impacto e probabilidade. Integre a avaliação de risco à tomada de decisões estratégicas de negócios.

6. Treinamento: Conscientização e Desenvolvimento de Habilidades:

   • Treinamento Anti-Phishing e Anti-Vishing: Capacite continuamente os funcionários a reconhecer e reportar tentativas de engenharia social, incluindo os ataques mais sofisticados com deepfakes.
   • Upskilling da Equipe de Segurança: Invista no desenvolvimento de habilidades da equipe de cibersegurança em áreas como segurança de OT/ICS, resposta a incidentes, análise de ameaças baseada em IA e conformidade regulatória (LGPD, BACEN).

❓ Perguntas Frequentes

P: Qual a principal diferença entre um ataque de ransomware tradicional e os "Ransomware como Serviço (RaaS) Aprimorados por APTs" mencionados?

R: A principal diferença reside na sofisticação e na origem. Enquanto o ransomware tradicional pode ser disseminado de forma mais indiscriminada, o RaaS aprimorado por APTs utiliza a infraestrutura e a inteligência de grupos APT (geralmente estatais ou de alto nível) para infiltrar redes de forma mais furtiva, persistente e direcionada. Isso significa que a detecção é mais difícil, os alvos são mais valiosos (infraestruturas críticas, saúde) e as táticas de extorsão são mais complexas, frequentemente envolvendo exfiltração de dados e ameaças de vazamento.

P: Como a LGPD impacta diretamente as empresas brasileiras diante das vulnerabilidades da cadeia de suprimentos?

R: A LGPD impõe uma responsabilidade compartilhada pelo tratamento de dados pessoais. Se uma vulnerabilidade em um fornecedor de software ou serviço de terceiros levar a um vazamento de dados, a empresa contratante no Brasil pode ser considerada corresponsável. Isso exige uma due diligence rigorosa na seleção de parceiros, a inclusão de cláusulas contratuais de segurança da informação e a verificação contínua da conformidade desses terceiros com os padrões da LGPD. A falha em gerenciar adequadamente esses riscos pode resultar em multas e sanções da ANPD.

P: Minha empresa é pequena/média. Essas ameaças de "alto nível" se aplicam a mim?

R: Absolutamente. Embora os grandes players sejam frequentemente noticiados, PMEs são alvos cada vez mais atraentes. Elas podem ser um elo fraco na cadeia de suprimentos de uma empresa maior ou simplesmente um alvo mais fácil devido a recursos de segurança limitados. Ransomware e engenharia social são particularmente eficazes contra PMEs, pois muitas vezes não possuem a mesma infraestrutura de defesa ou treinamento especializado. É crucial que todas as empresas, independentemente do tamanho, implementem as práticas básicas de segurança e invistam em conscientização.

P: A Coneds oferece treinamentos específicos para lidar com essas ameaças emergentes, como engenharia social com IA ou segurança de OT?

R: Sim, a Coneds é especialista em adaptar seu portfólio de treinamentos para as ameaças mais atuais. Oferecemos cursos especializados em Engenharia Social e Conscientização de Cibersegurança, Resposta a Incidentes e Análise Forense, Segurança em Ambientes de Nuvem e Segurança de Sistemas OT/ICS. Nossos programas são desenhados para equipar profissionais de TI e líderes com o conhecimento e as ferramentas necessárias para enfrentar os desafios de 2026, incluindo módulos específicos sobre o impacto da IA nos ataques e a conformidade com a LGPD.

Conclusão

O panorama da cibersegurança em fevereiro de 2026 é de constante desafio, mas também de oportunidade para fortalecer nossas defesas. A evolução do ransomware para modelos RaaS aprimorados por APTs, a exploração persistente de vulnerabilidades na cadeia de suprimentos e o uso crescente da inteligência artificial para potencializar ataques de engenharia social, exigem uma reavaliação contínua e um aprimoramento das estratégias de segurança. Para as empresas brasileiras, a LGPD atua como um catalisador adicional para a urgência dessas medidas, transformando a segurança cibernética de um custo em um imperativo estratégico e de compliance.

A resiliência cibernética não é mais um diferencial, mas uma condição para a sobrevivência e o crescimento dos negócios. É fundamental que as organizações adotem uma postura proativa, investindo em higiene cibernética robusta, treinamentos contínuos para suas equipes, e uma análise crítica de seus ecossistemas de parceiros e fornecedores. A implementação de arquiteturas de Zero Trust e a exploração estratégica da IA como ferramenta de defesa são passos essenciais para construir uma segurança capaz de resistir aos desafios atuais e futuros. Não se trata apenas de reagir, mas de antecipar e mitigar os riscos antes que se tornem crises. A hora de agir é agora.

---

📚 Aprenda mais: Eleve a postura de segurança da sua equipe com nossos cursos especializados em Defesa Cibernética Avançada e Resposta a Incidentes. Visite coneds.com.br para mais detalhes e inscrições. 🔗 Fontes:

• Dark Reading: "Ivanti EPMM Zero-Day Bugs Spark Exploit Frenzy — Again" (12 de fevereiro de 2026)
• Industrial Cyber: "Lazarus hackers adopt Medusa ransomware for extortion campaigns, targeting healthcare and nonprofits" (24 de fevereiro de 2026)
• Dark Reading: "Attackers Harvest Dropbox Logins Via Fake PDF Lures" (2 de fevereiro de 2026)
• VikingCloud: "207 Cybersecurity Stats and Facts for 2026" (11 de dezembro de 2025)
• PKWARE: "Data Breaches 2025: Biggest Cybersecurity Incidents So Far" (2 de janeiro de 2026)
• SC Media: "Critical infrastructure facing cyber surge in OT and supply chains in 2026" (26 de fevereiro de 2026)
• SC Media: "Identity: The new battleground in our emerging AI world" (18 de fevereiro de 2026)
• CyberGlobal: "Top 5 Biggest Cyber Attacks in 2025" (n.d., referenciando incidentes de 2025)
• Onlinedegrees.sandiego.edu: "Top Cybersecurity Threats to Watch in 2026" (n.d.)
• Lei Geral de Proteção de Dados Pessoais (LGPD) – Lei nº 13.709/2018.