O Brasil vive uma expansão dos ataques cibernéticos em um momento de crescente dependência de serviços digitais. Governos, empresas, universidades e cidadãos concentram dados, operações financeiras e serviços essenciais em sistemas conectados — e essa digitalização amplia também a superfície de ataque. Levantamentos recentes indicam crescimento expressivo nas tentativas de invasão, nos crimes digitais e nos incidentes que atingem instituições públicas e privadas.

Segundo reportagem de O Globo, sistemas do governo federal registraram, em 2026, uma média de 45 incidentes cibernéticos por dia, com base em informações do Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR.Gov). O número evidencia que ataques contra órgãos públicos deixaram de ser eventos isolados e passaram a exigir monitoramento permanente, capacidade de resposta e coordenação entre diferentes instituições.

No setor privado, a situação também é preocupante. O Terra noticiou aumento de 28% nos crimes cibernéticos no Brasil, com base em dados associados à SaferNet e ao Banco Central. A alta inclui ocorrências relacionadas a fraudes eletrônicas, golpes financeiros, roubo de credenciais e uso indevido de informações pessoais. Embora diferentes levantamentos utilizem metodologias distintas, a convergência entre eles aponta para uma tendência clara: o crime digital está se profissionalizando e atingindo uma quantidade maior de vítimas.

A dimensão do problema aparece ainda em dados divulgados pela Fortinet. De acordo com reportagem da IT Forum, o Brasil registrou 753,8 bilhões de tentativas de ataques em 2025. O levantamento também apontou aumento de malwares — programas criados para causar danos ou obter acesso indevido a sistemas — e de ataques DDoS. Nesse tipo de ataque, criminosos usam muitos dispositivos ao mesmo tempo para enviar uma quantidade enorme de acessos a um site ou serviço. Com o excesso de solicitações, o sistema fica lento ou deixa de funcionar para os usuários legítimos. Tentativas de ataque não significam necessariamente invasões bem-sucedidas, mas funcionam como um indicador importante da pressão exercida sobre redes e sistemas nacionais.

Um alvo estratégico na América Latina

O Brasil é um dos países mais visados da região por uma combinação de fatores: grande população conectada, economia digital expressiva, sistema financeiro desenvolvido, amplo uso de serviços públicos on-line e concentração de dados em plataformas tecnológicas.

Além disso, organizações brasileiras frequentemente enfrentam dificuldades como sistemas legados, falta de profissionais especializados, investimentos insuficientes e baixa maturidade em segurança da informação. Em muitas empresas, a proteção ainda é tratada como uma responsabilidade exclusiva do departamento de tecnologia. Esse modelo é insuficiente. Um ataque pode começar com uma mensagem fraudulenta enviada a um funcionário, explorar uma falha contratual em um fornecedor ou comprometer um equipamento sem correções de segurança.

As universidades e instituições científicas também se tornaram alvos relevantes. Reportagem da Revista Pesquisa Fapesp descreveu o aumento de ataques contra organizações acadêmicas e de pesquisa. Esses ambientes armazenam dados pessoais, propriedade intelectual, resultados inéditos, informações de pesquisas estratégicas e sistemas de alto valor computacional. A interrupção de um laboratório ou o vazamento de uma base científica pode gerar prejuízos que vão muito além do custo financeiro imediato.

O papel da ANPD e da LGPD

Nesse cenário, a atuação da Autoridade Nacional de Proteção de Dados (ANPD) é fundamental. A Agência orienta, regula e fiscaliza a aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD), além de disponibilizar informações para titulares, agentes de tratamento e encarregados de dados.

A LGPD não é apenas uma lei sobre privacidade. Ela estabelece deveres relacionados à segurança, à prevenção e à responsabilização no tratamento de dados pessoais. As organizações devem adotar medidas técnicas e administrativas capazes de proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas, como destruição, perda, alteração, comunicação ou difusão indevida.

A ANPD também mantém canais para comunicação de incidentes de segurança e disponibiliza informações sobre o tema em seu portal oficial. Em caso de incidente que possa causar risco ou dano relevante aos titulares, o controlador deve avaliar a necessidade de comunicação à Autoridade e às pessoas afetadas, observando as regras e os prazos aplicáveis.

A página da Agência reúne ainda informações sobre fiscalização, sanções administrativas, direitos dos titulares, agentes de tratamento e boas práticas de proteção de dados. Esses recursos são importantes para transformar a LGPD em rotina operacional, e não apenas em documentação formal.

Compliance by Design como estratégia

Uma abordagem cada vez mais relevante é o Compliance by Design, ou conformidade desde a concepção. A ideia é incorporar requisitos legais, controles e mecanismos de proteção desde o planejamento de um produto, serviço ou processo — e não tentar corrigir problemas somente depois que o sistema já entrou em operação.

A literatura sobre Legal Compliance by Design diferencia, de modo geral, a conformidade construída dentro da arquitetura do sistema daquela obtida por meio de processos, governança e controles organizacionais. Na prática, isso significa combinar tecnologia, políticas internas, contratos, treinamento, auditoria e gestão de riscos.

Uma empresa que adota essa lógica, por exemplo, define previamente quais dados realmente precisa coletar, limita os acessos por função, registra operações relevantes, aplica autenticação multifator, cifra informações sensíveis e estabelece prazos de retenção. Também verifica se fornecedores seguem padrões mínimos de segurança e se existe um plano para responder a incidentes.

Como as empresas devem agir

Diante do cenário brasileiro, algumas medidas são prioritárias:

1. Mapear dados e riscos: identificar quais informações são coletadas, onde ficam armazenadas, quem pode acessá-las e quais seriam os impactos de um vazamento.
2. Fortalecer identidades e acessos: utilizar autenticação multifator, senhas robustas, princípio do menor privilégio e revisão periódica de permissões.
3. Manter sistemas atualizados: corrigir vulnerabilidades, substituir tecnologias obsoletas e monitorar ativos conectados à rede.
4. Preparar respostas a incidentes: criar planos claros, realizar simulações e definir responsabilidades entre tecnologia, jurídico, comunicação, compliance e direção.
5. Treinar pessoas: phishing e engenharia social continuam explorando comportamentos humanos. A capacitação deve ser contínua e prática.
6. Controlar fornecedores: contratos devem prever requisitos de segurança, comunicação de incidentes, auditoria e responsabilidades relacionadas à proteção de dados.
7. Adotar privacidade e segurança desde o projeto: novos produtos e processos devem nascer com controles de proteção incorporados.

O avanço dos ataques cibernéticos não é apenas um problema técnico. Ele afeta a continuidade dos negócios, a confiança dos consumidores, a pesquisa científica, os serviços públicos e a reputação das organizações. Para as empresas brasileiras, a resposta mais eficiente combina prevenção, governança e conformidade. Segurança digital precisa deixar de ser uma reação emergencial e passar a fazer parte da estratégia, antes que o próximo alerta apareça na tela.

Fontes:

LOHMANN, Niels. Compliance by Design for Artifact-Centric Business Processes.

VU AMSTERDAM. Compliance by Design: Building a Sustainably Compliant Organisation.