Levantamento apresentado hoje analisa a superfície de ataque de setores críticos do país e identifica telecom e educação entre os ambientes com maior espaço para evolução; dados serão levados ao Mind The Sec 2026
O Brasil concentra 53% dos incidentes de cibersegurança identificados na América Latina, segundo um estudo da Bitsight apresentado hoje (14) pela JC2Sec à imprensa. O levantamento traça um raio-X da exposição digital de setores considerados relevantes para a infraestrutura brasileira e mostra que, apesar de o país apresentar indicadores superiores aos da América Latina em diferentes vetores de segurança, ainda existe uma distância em relação a referências da América do Norte e da Europa.
Os dados chegam às vésperas do Mind The Sec 2026, que começa amanhã (15), no Transamerica Expo Center, em São Paulo. A JC2Sec participa como patrocinadora Silver e levará parte das conclusões do estudo para o evento. No dia 17, Carlos Alberto Costa, CEO e cofundador da companhia, apresentará a palestra “Bitsight BR Cyber Landscape: O Novo Mapa das Ameaças Cibernéticas no Brasil”.
O levantamento é resultado da parceria entre JC2Sec e Bitsight, mantida há oito anos no Brasil, e utiliza uma abordagem diferente de pesquisas que contabilizam ataques, malwares ou incidentes reportados. A análise observa a infraestrutura das organizações de fora para dentro para identificar sinais relacionados à sua superfície de ataque exposta à internet.
Isso permite enxergar vulnerabilidades, configurações inadequadas, portas abertas, aplicações web, certificados e outros elementos que podem aumentar ou reduzir a exposição de uma organização.
Há, porém, uma distinção importante: superfície de ataque não é sinônimo de maturidade completa em cibersegurança.
“É sempre bom só fazer um disclaimer aqui, que avaliação da superfície de ataque não significa necessariamente maturidade da empresa. Porque tem um lado de dentro da empresa que esse tipo de ferramenta não consegue capturar”, explicou Costa durante a apresentação.
Segundo o executivo, ainda assim, a exposição externa funciona como um indicador relevante das práticas adotadas pela organização e pode ser utilizada, por exemplo, para avaliar o risco representado por fornecedores e parceiros.
400 bilhões de eventos por dia ajudam a montar o mapa
A dimensão da base utilizada ajuda a explicar como a Bitsight consegue construir esse tipo de fotografia.
A empresa afirma coletar diariamente mais de 400 bilhões de eventos de segurança, mantendo visibilidade sobre mais de 4 bilhões de endereços IP, 250 milhões de hostnames e aproximadamente 40 milhões de organizações em diferentes partes do mundo. A área de Cyber Threat Intelligence acrescenta mais de 7 milhões de informações coletadas diariamente em mais de mil fontes monitoradas.
A análise não envolve invasão dos ambientes ou testes de penetração. São observados sinais disponíveis externamente e associados à infraestrutura digital das organizações.
A partir dessas informações, a Bitsight utiliza 25 vetores de observação para calcular seu security rating. Entram nessa equação aspectos relacionados a certificados, portas abertas, aplicações web, vulnerabilidades e outros elementos da superfície de ataque.
O resultado funciona de maneira semelhante a um score de crédito: quanto melhor a pontuação, menor é o risco observado na superfície externa.
Essa metodologia também permite agregar milhares de organizações e construir uma visão setorial, comparando, por exemplo, a exposição de empresas brasileiras de saúde ou serviços financeiros com organizações equivalentes de outros países.
Telecom e educação aparecem entre os maiores desafios
Um dos recortes do estudo compara oito setores brasileiros com referências da América do Norte e da Europa.
O cenário não é uniforme.
Saúde aparece como o setor brasileiro com a menor distância em relação aos mercados utilizados como referência. Segundo a apresentação, o gap é de apenas 10 pontos na pontuação em relação à Europa e à América do Norte.
O resultado, entretanto, exige cautela. Parte da infraestrutura de saúde permanece dentro das próprias organizações e não necessariamente está exposta à internet, o que reduz a superfície externa observável.
O setor financeiro apresenta outro tipo de desafio. Embora bancos brasileiros estejam sujeitos a uma estrutura regulatória mais desenvolvida, a categoria analisada é muito mais ampla e inclui bancos, instituições de investimento, meios de pagamento, fintechs e outros participantes.
Quando somente os bancos são considerados, Costa explicou que a pontuação sobe para aproximadamente 730, patamar semelhante ao observado na saúde.
Já telecomunicações e educação aparecem como os dois setores com maior espaço para evolução entre os segmentos brasileiros avaliados.
No caso de telecom, há uma particularidade: o tamanho e a complexidade da infraestrutura tornam a superfície observada muito maior. Parte dos endereços e sistemas identificados pode pertencer a infraestruturas hospedadas pelas operadoras, mas administradas por terceiros, o que interfere na média setorial.
Educação, por sua vez, ainda apresenta, segundo Costa, uma lacuna histórica de investimentos em segurança.
Servidores desatualizados continuam abrindo portas
O estudo também encontrou problemas menos futuristas, mas bastante concretos.
Entre as vulnerabilidades observadas recentemente em organizações brasileiras, cinco das mais recorrentes estavam relacionadas a servidores Apache.
Na prática, a concentração desses problemas aponta para servidores que permanecem expostos sem as atualizações de segurança necessárias.
A boa notícia é que existe uma solução relativamente direta para parte dessa exposição: manter o software atualizado e aplicar os patches disponíveis pode eliminar simultaneamente diferentes vulnerabilidades conhecidas.
O levantamento também chama atenção para malwares destinados a dispositivos Android e TV Boxes. Uma máquina comprometida pode estabelecer comunicação com servidores externos sem que o usuário perceba e passar a integrar redes utilizadas posteriormente em atividades maliciosas.
O problema ganha outra camada porque esses equipamentos utilizam conexões residenciais legítimas. Para sistemas de segurança que consideram endereço IP, geolocalização e outros sinais na análise de risco, uma operação originada de uma residência real pode parecer menos suspeita do que uma conexão proveniente de uma infraestrutura já associada a ataques.
O ataque pode começar no fornecedor
Outra conclusão importante apresentada hoje extrapola os limites da infraestrutura diretamente controlada pelas empresas.
A cadeia de fornecedores está se tornando parte da própria superfície de risco.
Em vez de atacar organizações individualmente, criminosos podem comprometer um prestador de serviços que tenha acesso ou conexões com diferentes clientes. Um único ataque pode, assim, abrir caminho para atingir várias empresas.
Segundo Larissa Brito, Account Executive da Bitsight para a América Latina, quase metade dos ataques de cibersegurança globalmente já envolve a cadeia de suprimentos.
Esse cenário muda a maneira de avaliar terceiros.
Durante muito tempo, empresas concentraram esforços em fornecedores que acessavam diretamente seus sistemas ou processavam dados sensíveis. Agora, a preocupação também envolve parceiros cuja interrupção possa simplesmente impedir o funcionamento do negócio.
Costa citou o exemplo, sem identificar a empresa, de uma organização que sofreu prejuízos milionários durante uma Black Friday depois que seu principal parceiro de logística enfrentou um incidente de segurança.
Nesse caso, o fornecedor não precisava necessariamente servir como porta de entrada para os criminosos. Bastava ficar indisponível para produzir um impacto econômico no cliente.
Não basta mais tirar uma fotografia do fornecedor
O estudo também aponta para uma mudança na avaliação de riscos de terceiros.
Questionários preenchidos uma ou duas vezes por ano produzem uma fotografia daquele fornecedor em determinado momento. O problema é que sua infraestrutura pode mudar, novas vulnerabilidades podem aparecer e credenciais podem ser comprometidas entre uma avaliação e outra.
“Não é foto, tem que ser filme”, resumiu Costa durante a coletiva.
A lógica é passar para o monitoramento contínuo da superfície externa, especialmente dos fornecedores considerados críticos.
E a cadeia pode ir ainda mais longe.
Além dos terceiros, começam a ganhar atenção as chamadas quartas partes, ou seja, os fornecedores utilizados pelos próprios fornecedores de uma empresa.
Se diferentes parceiros dependem do mesmo provedor de nuvem, software ou infraestrutura, por exemplo, um problema nesse ponto pode criar uma concentração de risco que não aparece quando cada fornecedor é analisado isoladamente.
Cibersegurança deixa de ser problema apenas da TI
Esse encadeamento ajuda a explicar outra transformação apontada durante a apresentação: risco cibernético está cada vez mais conectado a risco financeiro, operacional e reputacional.
Para uma grande organização, exigir que todos os pequenos fornecedores tenham a mesma estrutura de segurança de uma companhia com centenas de profissionais especializados nem sempre é realista.
A alternativa discutida pela JC2Sec e pela Bitsight passa por utilizar a própria relação entre grandes empresas e fornecedores para elevar a maturidade de toda a cadeia. Isso pode incluir compartilhamento de informações, ferramentas de avaliação, orientação técnica e programas de desenvolvimento de parceiros.
“Todo mundo é parte da cadeia de suprimento de todo mundo”, resumiu Brito.
Segundo a executiva, essa interdependência faz com que a segurança deixe de ser apenas uma questão interna da área de tecnologia.
“Cibersegurança deixou de ser apenas uma questão de TI. Hoje em dia, cibersegurança é uma questão financeira, de reputação de marca, é muito mais complexo do que apenas um bracinho do setor de TI, tem toda essa questão financeira e de reputação de marca que pode gerar outras repercussões muito mais complexas para uma empresa.”
Do diagnóstico para a ação
Apesar das diferenças entre os setores, a síntese apresentada pela JC2Sec é menos a de um país sem proteção e mais a de um mercado em estágio intermediário, com resultados superiores à média latino-americana em alguns vetores, mas ainda atrás de referências da América do Norte e da Europa.
Para Costa, o problema central também não está mais na ausência de instrumentos capazes de mostrar onde estão as fragilidades.
“O problema do Brasil não é a falta de visibilidade sobre o risco cibernético. Ferramentas como a BitSight e outras permitem a gente ter essa percepção. A grande questão é, olhando essa visibilidade, como é que a gente traduz isso em ações, de fato, que mitiguem esse risco”, afirmou.
É justamente essa discussão que a JC2Sec pretende levar agora do estudo para o palco.
O Mind The Sec 2026 começa amanhã, 15 de setembro, no Transamerica Expo Center, em São Paulo, e segue até o dia 17. A JC2Sec participa como patrocinadora Silver e estará no estande S04, em frente à sala Kev Mitnick.
No terceiro e último dia do evento, Carlos Alberto Costa apresentará “Bitsight BR Cyber Landscape: O Novo Mapa das Ameaças Cibernéticas no Brasil”, aprofundando os dados apresentados hoje à imprensa e a leitura sobre a exposição dos principais setores brasileiros.
O levantamento coloca uma lente diferente sobre um problema frequentemente medido apenas pelo número de ataques. Saber quantas tentativas aconteceram é importante. Mas entender o que um criminoso consegue enxergar quando olha uma empresa de fora para dentro, quais setores deixam mais portas abertas e como o risco se espalha pela cadeia de fornecedores talvez seja a fotografia mais útil para decidir quais dessas portas precisam ser fechadas primeiro.
