Um ataque digital não precisa entrar pela porta da empresa para interromper uma operação. Pode começar por uma senha comprometida, uma falha ainda não corrigida ou até por um fornecedor com acesso aos sistemas. Em um ambiente no qual o crime cibernético ganhou escala e organização, Sandro Süffert, CEO da Apura Cyber Intelligence e especialista em segurança da informação, inteligência cibernética e gestão de riscos digitais, defende que a cibersegurança seja tratada como parte da gestão dos negócios, e não apenas como assunto da área de Tecnologia.

O tema foi discutido em 17 de agosto, durante reunião do Conselho de Serviços da Federação do Comércio de Bens, Serviços e Turismo do Estado de São Paulo (FecomercioSP). Ao levar a cibersegurança para a agenda empresarial, a Federação amplia o acesso do setor a informações sobre os riscos que acompanham a digitalização e a medidas capazes de reduzir perdas e preservar a continuidade das operações.

Os números ajudam a dimensionar o problema. Empresas brasileiras sofreram, em média, 3.736 ataques por semana no início de 2026, alta de 37% em um ano, segundo dados da Check Point apresentados por Süffert. Já o Verizon Data Breach Investigations Report 2026 (DBIR), que analisou mais de 22 mil violações confirmadas, aponta envolvimento do fator humano em 62% dos casos e de terceiros em 48%, porcentual que cresceu 60% em um ano.

“O crime cibernético virou uma indústria”, destacou Süffert. Segundo o especialista, ataques passaram a ser estruturados como operações organizadas, e a Inteligência Artificial (IA) aumentou a velocidade e a escala dos golpes. O cenário também afasta a ideia de que apenas grandes negócios ou instituições financeiras estão na mira. Indústria, Comércio e Serviços aparecem entre os setores atingidos por diferentes tipos de incidentes.

O prejuízo ultrapassa o ataque

Quando uma invasão acontece, o custo não se resume ao dado perdido ou ao valor eventualmente desviado. Segundo levantamento da IBM de 2025, o custo médio de uma violação no Brasil chega a R$ 7,19 milhões. Quando a origem está em um terceiro da cadeia, sobe para R$ 8,98 milhões. O tempo médio para identificar e conter uma violação é de 241 dias.

Nesse intervalo, a empresa pode lidar com sistemas indisponíveis, paralisação das vendas, interrupção da produção ou da logística e efeitos sobre contratos e reputação. Nos Serviços, o problema ganha contornos ainda mais concretos, porque muitas operações dependem diretamente de agenda, portais, aplicativos, pagamentos e fornecedores tecnológicos.

Süffert chamou a atenção especialmente para a cadeia de terceiros. A empresa pode manter o próprio controle e, ainda assim, ser atingida por uma vulnerabilidade presente em um parceiro. O fator humano também permanece entre as principais portas de entrada. Credenciais reutilizadas, phishing e golpes aprimorados com IA estão entre os riscos apontados pelo DBIR. Além disso, informações obtidas em vazamentos podem permanecer circulando por anos em mercados criminosos e ser reutilizadas em novos ataques.

Prevenção precisa funcionar na prática

Frente a essa conjuntura, Süffert defendeu medidas básicas, mas que precisam ser efetivamente testadas, como a autenticação multifator resistente a phishing, a correção rápida de vulnerabilidades, a gestão dos acessos de fornecedores, a preparação das equipes e um plano de resposta a incidentes que determine previamente quem decide, quem comunica e quais sistemas devem ser desligados diante de uma crise.

O backup é um exemplo. Não basta armazenar cópias das informações sem saber se poderão ser recuperadas quando necessário. “Backup que nunca foi restaurado é uma esperança, e não um plano”, resumiu o especialista.

A prevenção também passa por enxergar o que acontece fora dos sistemas da própria empresa. Segundo o DBIR 2026, 73% das vítimas de ransomware tiveram credenciais vazadas ou infecção por programas destinados ao roubo de informações no ano anterior ao ataque, das quais metade sofreu a ocorrência nos 95 dias anteriores. A inteligência de ameaças permite acompanhar credenciais, sites falsos, perfis fraudulentos e movimentações de grupos criminosos antes que o problema alcance diretamente a operação.

Para o empresário, algumas perguntas ajudam a tirar o tema do campo abstrato. Quanto a empresa perderia por dia se seus sistemas parassem? Quando o backup e o plano de resposta foram realmente testados? Quais fornecedores têm acesso aos sistemas e quando isso foi revisado pela última vez?

Ao trazer essas questões ao Conselho de Serviços, a FecomercioSP reforça uma mudança de olhar necessária para empresas cada vez mais digitais. Como resumiu Süffert, “cibersegurança não é um produto de TI, mas um instrumento de gestão estratégica de riscos”. A meta é criar condições para detectar ameaças mais cedo, reagir melhor e reduzir os danos quando o incidente ocorrer, em vez de acreditar que todos os ataques serão impedidos.