Vazamentos 2025: Cadeia de Suprimentos, Oracle e Ransomware no Brasil

Meta descrição: Análise profunda dos vazamentos de dados de 2025, destacando ataques à cadeia de suprimentos, engenharia social e ransomware, com foco no impacto e na LGPD no Brasil.

O cenário da cibersegurança em 2025 se mostra cada vez mais complexo e desafiador para líderes e profissionais de TI no Brasil. O ritmo acelerado das inovações tecnológicas, a crescente dependência de ecossistemas digitais interconectados e a sofisticação das táticas dos cibercriminosos têm gerado um ambiente de ameaças em constante evolução. Nos últimos meses, observamos uma proliferação alarmante de incidentes que não apenas expõem dados sensíveis, mas também paralisam operações críticas e geram perdas financeiras substanciais. A percepção de que "estamos seguros" é uma ilusão perigosa em um mundo onde a resiliência cibernética é a única garantia.

Violações em cadeias de suprimentos, outrora consideradas ameaças complexas e raras, tornaram-se uma rota privilegiada para atacantes. A confiança depositada em parceiros e fornecedores, muitas vezes sem a devida diligência em segurança, abre portas para a exfiltração de dados e a interrupção de serviços. Paralelamente, a engenharia social, impulsionada por ferramentas de Inteligência Artificial (IA) generativa, atinge novos patamares de persuasão, transformando a "falha humana" em um vetor de ataque ainda mais potente. E, como uma sombra persistente, o ransomware continua a assolar organizações de todos os portes, com o setor de saúde se destacando como um alvo particularmente visado, onde a interrupção de serviços pode ter consequências diretas sobre a vida humana. Para CISOs, gestores de TI e analistas de segurança, compreender essas dinâmicas é fundamental para construir defesas robustas e garantir a continuidade dos negócios em solo brasileiro, em conformidade com regulamentações como a LGPD e as diretrizes do BACEN e PCI DSS.

⚡ Resumo Executivo

• Cadeia de Suprimentos Vulnerável: Ataques via terceiros, como Salesforce e Drift, expuseram milhões de registros globalmente em 2025, demonstrando o alto risco de fornecedores.
• Engenharia Social Refinada: A IA generativa amplifica a eficácia de phishing e vishing, tornando a detecção mais difícil e aumentando o sucesso de comprometimento de credenciais.
• Oracle EBS Sob Ataque: Uma vulnerabilidade crítica (CVE-2025-61882) no Oracle E-Business Suite foi explorada pelo grupo Clop, ameaçando ERPs de grandes empresas.
• Ransomware Persistente na Saúde: O setor de saúde continua sendo um alvo prioritário, com ataques de ransomware duplicando desde 2022, resultando em interrupções e vazamentos massivos de dados de pacientes.
• Conformidade Crítica: LGPD, BACEN e PCI DSS impõem responsabilidades rigorosas no Brasil, onde a falha em proteger dados pode levar a multas severas e danos à reputação.

A Escalada dos Ataques na Cadeia de Suprimentos e a Engenharia Social Aprimorada pela IA

O ano de 2025 tem sido marcado por uma onda contínua de violações de dados que destacam uma verdade incontestável: a segurança da sua organização é tão forte quanto o elo mais fraco da sua cadeia de suprimentos. A dependência de serviços de terceiros, como plataformas de CRM em nuvem e provedores de software, criou pontos de alavancagem irresistíveis para cibercriminosos. O que torna essa tendência particularmente perigosa é a maneira como esses ataques se interligam com a engenharia social, agora superalimentada pelas capacidades da Inteligência Artificial.

Um dos casos mais emblemáticos e recentes é a série de incidentes envolvendo a plataforma Salesforce. Em setembro e agosto de 2025, empresas de renome global como Qantas, Stellantis, Google, Workday e Elastic confirmaram vazamentos de dados originados de comprometimentos em suas instâncias do Salesforce, muitas vezes por meio de aplicativos de terceiros conectados ou tokens OAuth roubados. A Qantas, por exemplo, viu dados de 5.7 milhões de clientes expostos após um ataque em outubro de 2025 a uma plataforma de atendimento ao cliente hospedada no Salesforce. Da mesma forma, a Stellantis confirmou uma violação em setembro de 2025 que afetou suas operações de atendimento ao cliente na América do Norte, onde dados de contato de clientes foram obtidos. O incidente na Allianz Life em julho de 2025, que expôs dados pessoais de 1.4 milhão de clientes norte-americanos através de um sistema CRM baseado em nuvem de terceiros, também reforça essa vulnerabilidade sistêmica.

Esses incidentes não são meras falhas técnicas isoladas. Eles são, em sua maioria, resultados diretos da engenharia social. Os atacantes exploram o fator humano, a vulnerabilidade psicológica que reside em todos nós. Em vez de quebrar sistemas complexos diretamente, eles preferem manipular indivíduos para que concedam acesso. A IA generativa, especialmente os Grandes Modelos de Linguagem (LLMs), revolucionou essa tática. Phishing, vishing (phishing por voz) e smishing (phishing por SMS) agora podem ser criados com um nível de personalização e gramática impecáveis, tornando as mensagens quase indistinguíveis das comunicações legítimas. O relatório da IBM de 2025 sobre o Custo de uma Violação de Dados, embora global, ressalta que credenciais roubadas ou comprometidas são o vetor inicial de ataque em 10% dos casos, e o phishing responde por 16%. A velocidade com que a IA permite escalar esses ataques é sem precedentes, transformando o que antes levava dias de pesquisa em minutos de execução.

Imagine um funcionário recebendo um e-mail aparentemente urgente do "CEO" (na verdade, uma persona criada por IA) solicitando uma transferência financeira imediata ou acesso a um documento confidencial. A IA pode analisar o perfil da vítima, seu histórico de comunicação e até mesmo seu estilo de escrita para gerar uma mensagem perfeitamente adaptada. Além disso, a tecnologia de deepfake já está sendo utilizada em ataques de vishing, como o caso noticiado em fevereiro de 2025 em Hong Kong, onde um funcionário de finanças transferiu US$ 25.6 milhões após participar de uma videoconferência com "colegas" e o "CFO" que eram, na verdade, deepfakes gerados por IA. Isso ilustra o perigo crescente de ataques multivetoriais, onde a IA amplifica a engenharia social em tempo real. A linha entre o que é real e o que é fabricado digitalmente torna-se cada vez mais tênue, exigindo uma reavaliação fundamental das estratégias de conscientização e verificação dentro das organizações. A complexidade não está apenas na tecnologia, mas na nossa capacidade de discernir a verdade em um ambiente digital saturado de manipulação.

CVE-2025-61882: A Ameaça Crítica no Oracle E-Business Suite

Ainda no contexto de vulnerabilidades críticas e seu impacto em grandes empresas, a falha CVE-2025-61882 no Oracle E-Business Suite (EBS) merece atenção especial. Este é um exemplo concreto de como vulnerabilidades em softwares corporativos amplamente utilizados podem se tornar portas abertas para ataques devastadores. Classificada com um score CVSS de 9.8 (Crítica), esta vulnerabilidade permite a upload de arquivos não autenticados, o que pode levar à execução remota de código e, consequentemente, ao controle total do sistema.

Relatos de outubro de 2025 confirmaram que o notório grupo de ransomware Clop, conhecido por suas explorações em larga escala de softwares de transferência de arquivos como MOVEit e GoAnywhere, já estava explorando ativamente a CVE-2025-61882. Empresas como Allianz UK, Washington Post e Envoy Air foram citadas como vítimas. O Oracle E-Business Suite é um ERP (Enterprise Resource Planning) robusto, utilizado por inúmeras organizações de grande porte em todo o mundo, incluindo muitas no Brasil, para gerenciar operações críticas como finanças, recursos humanos e cadeia de suprimentos.

A exploração de uma vulnerabilidade como a CVE-2025-61882 em um sistema tão central pode ter consequências catastróficas. Os atacantes podem obter acesso a dados altamente confidenciais, incluindo informações financeiras, dados de clientes, propriedade intelectual e registros de funcionários. Uma vez dentro, o Clop, ou qualquer outro grupo de ransomware, pode criptografar esses dados e exigir um resgate exorbitante, além de vazar as informações como tática de dupla extorsão. A identificação e correção tardia dessas vulnerabilidades (os pesquisadores da Google Threat Intelligence Group acreditam que a exploração começou em julho de 2025, dando aos atacantes meses de vantagem) ressalta a importância da gestão proativa de patches e da inteligência de ameaças. As empresas precisam monitorar de perto as divulgações de vulnerabilidades para os softwares que utilizam e aplicar as correções imediatamente, especialmente para falhas classificadas como críticas e que já estão sendo ativamente exploradas. A falta de visibilidade e de uma resposta ágil a essas ameaças pode transformar um risco técnico em um desastre operacional e financeiro.

Ransomware e a Fragilidade Contínua do Setor de Saúde

O setor de saúde globalmente, e o brasileiro não é exceção, continua a ser um alvo preferencial e vulnerável para ataques de ransomware. A combinação de dados altamente sensíveis (prontuários médicos, informações de pacientes), a dependência de sistemas legados, a complexidade das redes interconectadas e a pressão para manter os serviços em funcionamento 24/7, tornam hospitais, clínicas e laboratórios presas fáceis para cibercriminosos. Os ataques de ransomware no setor de saúde não visam apenas o lucro financeiro; eles frequentemente têm um impacto direto e devastador na capacidade de atendimento, resultando em atrasos em procedimentos, cancelamento de cirurgias e, em casos extremos, colocando vidas em risco.

As estatísticas recentes são alarmantes. Globalmente, os incidentes de ransomware no setor de saúde quase dobraram desde 2022, segundo estimativas de fevereiro de 2025. O relatório "The Cost of a Data Breach 2025" da IBM indicou que o custo médio de uma violação de dados na área da saúde é o mais alto entre todos os setores, atingindo US$ 7.42 milhões em 2025, pelo 14º ano consecutivo. Isso se deve não apenas aos custos de remediação, mas também a multas regulatórias e à perda de reputação.

Um exemplo notável, apesar de não ser no Brasil, é o ataque de ransomware à Ascension Healthcare em maio de 2024, um dos maiores sistemas de saúde dos EUA. Este incidente forçou a desativação de sistemas eletrônicos de saúde em 140 hospitais, impactando a capacidade de atendimento, o acesso a prontuários e até mesmo o reabastecimento de medicamentos em farmácias. No final, foi revelado em junho de 2024 que os atacantes roubaram dados de 5.6 milhões de pacientes. O grupo de ransomware BlackCat/ALPHV, um dos mais prolíficos, foi responsável por um ataque devastador contra a Change Healthcare em fevereiro de 2024, comprometendo as informações de 190 milhões de indivíduos e causando uma interrupção massiva nos processos de pagamento de seguros e prescrições. Esses exemplos ilustram a severidade e a amplitude dos ataques, que podem ir muito além do mero roubo de dados, afetando a infraestrutura essencial de uma nação.

No Brasil, a Lei Geral de Proteção de Dados (LGPD) impõe responsabilidades claras e severas penalidades para o tratamento inadequado e o vazamento de dados pessoais, especialmente os dados de saúde, que são classificados como sensíveis. A exigência de notificação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares em caso de incidente, somada às multas que podem chegar a 2% do faturamento da empresa ou R$ 50 milhões por infração, eleva a criticidade da segurança cibernética no setor. Além disso, as operadoras de planos de saúde e hospitais devem estar atentas às regulamentações específicas da Agência Nacional de Saúde Suplementar (ANS) e do Banco Central do Brasil (BACEN) para instituições financeiras (muitas vezes interligadas ao setor de saúde em pagamentos e seguros), que também abordam a segurança da informação e a proteção de dados. A combinação da alta atratividade para cibercriminosos com o rigor regulatório torna o setor de saúde brasileiro um campo de batalha constante contra o ransomware, onde a prevenção e uma resposta eficaz são imperativas para proteger tanto a privacidade dos pacientes quanto a própria operação das instituições.

🇧🇷 Impacto no Cenário Brasileiro

O Brasil, com sua economia digital em expansão e uma base crescente de empresas e cidadãos online, é um alvo cada vez mais atraente para cibercriminosos. As tendências globais de ciberataques, como a exploração da cadeia de suprimentos, a engenharia social avançada por IA e a persistência do ransomware, reverberam fortemente no cenário nacional. A sofisticação desses ataques impõe desafios únicos para profissionais de TI, CISOs e gestores que precisam equilibrar inovação com segurança, em um ambiente regulatório cada vez mais rigoroso.

• Setores Mais Afetados: Os setores financeiro e de saúde são, historicamente, os mais visados no Brasil. No financeiro, bancos e fintechs lidam com volumes massivos de dados sensíveis e transações de alto valor, tornando-os alvos de grupos que buscam lucro rápido através de comprometimento de credenciais, fraude e ransomware. A regulamentação do BACEN (Circular 3.909/2018 e Resolução Conjunta nº 1/2020) impõe requisitos robustos de cibersegurança, e a conformidade com o PCI DSS é essencial para qualquer entidade que processe pagamentos com cartão. No setor de saúde, a LGPD eleva o risco de vazamentos de dados sensíveis de pacientes, levando a multas pesadas e danos à reputação, como vimos nos exemplos globais de Ascension e Change Healthcare. O varejo e o e-commerce também são frequentemente atacados, principalmente por meio de falhas em plataformas de terceiros e campanhas de phishing voltadas para roubo de dados de clientes e fraude.

• Dados Locais e Contexto Regulatório: Embora as notícias recentes não forneçam CVEs ou incidentes específicos no Brasil nos últimos dias, o país tem um histórico de grandes vazamentos e ataques cibernéticos. O relatório da IBM sobre o Custo de uma Violação de Dados, embora global, oferece insights que são aplicáveis: o tempo médio para identificar e conter uma violação no Brasil pode ser prolongado, e os custos indiretos (perda de clientes, reputação) são significativos. A LGPD (Lei nº 13.709/2018) é a espinha dorsal da proteção de dados no Brasil. Ela exige que as empresas adotem medidas de segurança, notifiquem incidentes e demonstrem conformidade. A falha em proteger dados pessoais, especialmente em casos de ataques à cadeia de suprimentos ou engenharia social que resultem em vazamento, pode acarretar multas de até 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração), além de sanções administrativas. A ANPD (Autoridade Nacional de Proteção de Dados) tem demonstrado proatividade na aplicação da lei.

• Desafios Específicos: A vasta extensão territorial do Brasil e a diversidade de infraestruturas (de grandes corporações a pequenas e médias empresas com menos recursos de segurança) criam um cenário desafiador. A escassez de profissionais qualificados em cibersegurança é uma realidade global que também afeta o Brasil, dificultando a implementação e manutenção de defesas robustas. Além disso, a cultura de segurança em muitas organizações brasileiras ainda está em desenvolvimento, com a conscientização dos funcionários sobre phishing e engenharia social sendo um ponto crítico a ser aprimorado. A rápida adoção de tecnologias de nuvem e a interconexão com fornecedores globais, embora tragam eficiências, também importam riscos de cadeias de suprimentos complexas, que precisam ser gerenciados de perto com contratos robustos e auditorias de segurança contínuas.

Em resumo, as ameaças globais de 2025 são amplamente relevantes para o Brasil. A engenharia social aprimorada por IA exige um foco renovado em treinamentos e conscientização. As vulnerabilidades em softwares corporativos e na cadeia de suprimentos de TI sublinham a necessidade de uma gestão de patches e de fornecedores mais eficaz. E a persistência do ransomware, especialmente no setor de saúde, exige não apenas defesas técnicas, mas também planos de resposta a incidentes bem definidos e aderência estrita às leis de proteção de dados.

🔒 Recomendações Práticas da Coneds

Diante do cenário de ameaças em 2025, a Coneds reforça a importância de uma postura proativa e multifacetada em cibersegurança. Nossas recomendações são projetadas para ajudar sua organização a fortalecer suas defesas e minimizar o impacto de incidentes, com foco na realidade do mercado brasileiro.

1. Ação Imediata: Gestão de Vulnerabilidades e Patches Priorizada: Implemente um programa rigoroso de gestão de vulnerabilidades e patches. Para vulnerabilidades críticas como a CVE-2025-61882 no Oracle EBS, a aplicação de patches deve ser imediata. Utilize scanners de vulnerabilidade e mantenha um inventário atualizado de todos os softwares e sistemas, priorizando correções para aqueles expostos à internet ou que processam dados sensíveis.
2. Curto Prazo (1-4 semanas): Fortalecimento da Higiene de Credenciais e MFA: Revise e reforce as políticas de senhas, exigindo senhas fortes e únicas. Implemente ou expanda o uso de Autenticação Multifator (MFA) em todos os sistemas críticos, especialmente em plataformas de nuvem (Salesforce, Google Workspace, Microsoft 365, etc.) e acesso remoto. Considere soluções de gerenciamento de identidades e acessos (IAM) e Privileged Access Management (PAM).
3. Médio Prazo (1-3 meses): Programa Robusto de Conscientização e Simulação de Phishing com IA: Invista em treinamentos contínuos de segurança cibernética que abordem as táticas mais recentes de engenharia social, incluindo aquelas aprimoradas por IA (deepfakes, vishing, phishing hiper-personalizado). Realize simulações de phishing e vishing regularmente para testar a resiliência dos funcionários e identificar pontos fracos na conscientização.
4. Estratégia Long-term: Gestão de Riscos de Terceiros e Nuvem (Zero Trust): Desenvolva e implemente um programa abrangente de gestão de riscos de terceiros, incluindo auditorias de segurança regulares em seus fornecedores, cláusulas contratuais robustas sobre cibersegurança e requisitos de notificação de incidentes. Adote uma arquitetura Zero Trust para acessos a sistemas e dados, especialmente em ambientes de nuvem, assumindo que nenhuma entidade (dentro ou fora da rede) deve ser confiável por padrão.
5. Governança: Plano de Resposta a Incidentes e Conformidade Regulatória: Crie, documente e teste regularmente um Plano de Resposta a Incidentes (IRP) detalhado, que inclua cenários de ransomware e vazamento de dados (considerando as exigências da LGPD, BACEN e PCI DSS). Garanta que a equipe de segurança esteja familiarizada com os procedimentos de contenção, erradicação, recuperação e comunicação (para ANPD, reguladores e titulares de dados). Realize avaliações de impacto à proteção de dados (DPIAs) para sistemas que tratam dados sensíveis.
6. Treinamento: Capacitação Especializada para Equipes de Segurança: Invista na capacitação contínua de suas equipes de segurança em inteligência de ameaças (threat intelligence), análise forense digital e resposta a incidentes. A compreensão das TTPs (Táticas, Técnicas e Procedimentos) dos atacantes e das novas tecnologias de defesa, incluindo o uso defensivo da IA, é crucial para se manter à frente das ameaças.

❓ Perguntas Frequentes

P: Como a IA está mudando os ataques de engenharia social?

R: A IA generativa permite que cibercriminosos criem ataques de engenharia social (phishing, vishing, smishing) muito mais convincentes e personalizados em escala. Modelos de linguagem avançados geram e-mails e mensagens com gramática perfeita e conteúdo adaptado ao perfil da vítima, enquanto deepfakes podem imitar vozes e vídeos de pessoas confiáveis, dificultando a detecção e aumentando a taxa de sucesso dos golpes.

P: Qual o principal risco dos ataques à cadeia de suprimentos para empresas brasileiras?

R: O principal risco é a exploração de vulnerabilidades em softwares ou serviços de terceiros (fornecedores) que, ao serem comprometidos, concedem acesso indireto aos sistemas e dados da sua empresa. Mesmo que sua própria segurança seja robusta, uma falha em um parceiro pode expor seus dados, resultando em vazamentos, interrupções operacionais e multas regulatórias, especialmente sob a LGPD.

P: Minha empresa usa Oracle E-Business Suite. O que devo fazer sobre a CVE-2025-61882?

R: Se sua empresa utiliza o Oracle E-Business Suite, é crucial verificar imediatamente se a vulnerabilidade CVE-2025-61882 (que permite upload de arquivos não autenticados e execução remota de código) já foi corrigida. Consulte os boletins de segurança da Oracle e aplique os patches recomendados o mais rápido possível. Além disso, monitore proativamente seus sistemas para sinais de comprometimento, pois essa falha está sendo ativamente explorada por grupos de ransomware como o Clop.

P: Como a Coneds pode nos ajudar a nos proteger contra essas ameaças?

R: A Coneds oferece treinamentos especializados e consultoria para fortalecer a postura de cibersegurança da sua organização. Nossos programas capacitam equipes em gestão de vulnerabilidades, resposta a incidentes, engenharia social e conformidade com a LGPD, BACEN e PCI DSS. Desenvolvemos estratégias customizadas, realizamos simulações de ataques e oferecemos as ferramentas e o conhecimento necessários para proteger seus ativos digitais e garantir a continuidade dos negócios.

Conclusão

Em um panorama digital em constante mutação, a cibersegurança transcende a mera implementação de ferramentas; ela se consolida como uma mentalidade estratégica e uma cultura organizacional intrínseca. O ano de 2025 reforça que as ameaças cibernéticas são onipresentes e multifacetadas, com vetores de ataque que exploram tanto a complexidade tecnológica quanto a fragilidade humana. A explosão de incidentes em cadeias de suprimentos, a crescente sofisticação da engenharia social impulsionada pela IA e a implacável persistência do ransomware, especialmente em setores críticos como a saúde, são um alerta para todas as organizações. Ignorar esses riscos não é mais uma opção, principalmente em um cenário regulatório brasileiro onde a LGPD impõe responsabilidades claras e penalidades severas.

A proatividade, a adaptabilidade e o investimento contínuo em capacitação e tecnologia defensiva são os pilares para construir uma resiliência cibernética eficaz. A identificação e correção ágil de vulnerabilidades, a implementação de controles de acesso robustos, a gestão rigorosa de riscos de terceiros e a conscientização constante dos colaboradores são etapas indispensáveis. Mais do que reagir aos incidentes, as empresas precisam antecipá-los, compreender a lógica dos atacantes e criar um ambiente onde a segurança seja intrínseca, não um mero anexo. É fundamental que líderes de TI e CISOs no Brasil traduzam essas ameaças globais em ações locais, protegendo não apenas os ativos da empresa, mas também a confiança de seus clientes e a integridade de suas operações.

---

📚 Aprenda mais: Invista na resiliência cibernética da sua empresa com nossos treinamentos especializados. Conheça nossos cursos sobre Gestão de Riscos, LGPD e Resposta a Incidentes em coneds.com.br. 🔗 Fontes:

• IBM. (2025). Cost of a Data Breach Report 2025.
• Bright Defense. (2025). List of Recent Data Breaches in 2025. (Atualizado em 13 de novembro de 2025)
• Cybersecurity News. (2025). Windows BitLocker Flaws Allow Privilege Escalation Through Memory Corruption. (9 de setembro de 2025)
• Cybersecurity News. (2025). Chrome Update Fixes Critical Remote Code Execution Vulnerability. (Setembro de 2025)
• CyberPress. (2025). Allianz UK Joins Expanding Oracle E-Business Suite Attack. (Outubro de 2025)
• CybelAngel. (2025). Understanding Cyber Threats Targeting Healthcare [2025 Guide]. (4 de março de 2025)
• Dark Reading. (2025). 3 More Healthcare Orgs Hit by Ransomware Attacks. (22 de abril de 2025)
• Dark Reading. (2025). Change Healthcare Breach Impact Doubles to 190M People. (27 de janeiro de 2025)
• Dark Reading. (2025). 3AM Ransomware Adopts Email Bombing, Vishing Combo Attack. (22 de maio de 2025)
• Microsoft. (2024). Microsoft Digital Defense Report. (9 de dezembro de 2022, mas com insights e tendências para 2025)
• onlinedegrees.sandiego.edu. (2025). Top Cybersecurity Threats to Watch in 2025. (Atualizado para 2025)
• news.com.au. (2025). Hackers threaten to release 1 billion customer records by 3pm AEST. (Outubro de 2025)
• CBC. (2025). Wealthsimple Confirms September Data Breach Exposing Client SINs and Financial Details. (Setembro de 2025)
• The Hacker News. (2025). China-linked APTs Exploit SAP CVE-2025-31324. (Maio de 2025)
• Cybersecurity and Infrastructure Security Agency (CISA). (2024). Cybersecurity Advisory: PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure. (7 de fevereiro de 2024) - Referência para táticas persistentes e impacto na infraestrutura.
• Canadian Centre for Cyber Security. (2024). National Cyber Threat Assessment 2025-2026. (Atualizado em 30 de outubro de 2024, mas com projeções até 2026)