Oito em cada dez pequenas e médias empresas (PMEs) enfrentaram pelo menos um incidente de segurança cibernética ao longo dos últimos doze meses. Os dados constam em um levantamento conduzido pela empresa de cibersegurança Kaspersky com profissionais e gestores de tecnologia da informação em dezoito países, incluindo o Brasil. Apenas 14% das organizações corporativas com menos de 500 funcionários conseguiram atravessar o período sem registrar invasões, falhas operacionais decorrentes de ataques ou vazamentos de informações.
O panorama revela que o modelo de operação das quadrilhas digitais sofreu uma transformação profunda. Métodos antes restritos a investidas contra conglomerados multinacionais foram automatizados e barateados, permitindo que agentes maliciosos atinjam negócios de menor porte em larga escala. A crescente digitalização das operações cotidianas, aliada à ausência de estruturas dedicadas de defesa técnica, colocou as PMEs no centro das campanhas de exploração cibernética.
O fim do mito da invisibilidade para pequenos negócios
Historicamente, pequenas e médias organizações operavam sob a premissa de que sua escala de faturamento ou volume de dados não atrairia o interesse de criminosos digitais. O avanço de modelos de ataque automatizados desfez essa percepção. Ferramentas de varredura ativa vasculham endereços de rede ininterruptamente à procura de falhas conhecidas, portas de comunicação desprotegidas e senhas fracas, sem distinção de porte empresarial.
A modernização operacional acelerou essa exposição. A migração rápida para ambientes em nuvem, a pulverização de estações de trabalho e o uso intensivo de plataformas de terceiros expandiram a superfície de risco. Ao mesmo tempo em que a infraestrutura tecnológica dessas companhias se sofisticou, os investimentos em governança, monitoramento contínuo e conscientização de equipes não acompanharam o mesmo ritmo.
Os três vetores de ataque mais frequentes no Brasil
No recorte voltado ao mercado brasileiro, o relatório detalhou os mecanismos mais recorrentes utilizados por invasores para romper os perímetros corporativos de PMEs:
- Phishing (28%): Mensagens fraudulentas por e-mail, aplicativos de mensagens e redes profissionais continuam sendo a principal porta de entrada. Disfarçadas de cobranças financeiras, notificações judiciais ou comunicados bancários, as comunicações induzem colaboradores a fornecer credenciais ou descarregar arquivos executáveis maliciosos.
- Exploração de vulnerabilidades de software (18%): Sistemas operacionais desatualizados, navegadores sem correções de segurança e aplicações de gestão legadas sem suporte técnico periódico permitiram a invasão direta por meio de brechas catalogadas.
- Acessos remotos externos indevidos (15%): Conexões externas configuradas sem mecanismos robustos de controle, como portas abertas para protocolos de área de trabalho remota (RDP) e falta de autenticação de múltiplos fatores, facilitaram invasões diretas aos servidores internos.
O levantamento apontou ainda que os chamados zero-days — brechas de segurança inéditas que ainda não possuem correções oficiais lançadas pelos desenvolvedores — afetaram 8% das empresas analisadas, configurando o tipo de ameaça de maior complexidade técnica enfrentado pelo segmento.
Cadeia de suprimentos e o modelo de cibercrime sob demanda
A consolidação do cibercrime como serviço (CaaS, na sigla em inglês) é um dos fatores centrais para a explosão de incidentes em empresas emergentes. Grupos especializados desenvolvem pacotes de intrusão, infostealers e variantes de ransomware para comercializá-los ou alugá-los a operadores terceiros no mercado clandestino. Essa dinâmica removeu a barreira técnica para a execução de ataques elaborados.
Além da monetização direta via extorsão ou sequestro de sistemas, as PMEs tornaram-se alvos preferenciais devido ao papel estratégico que desempenham na cadeia de suprimentos de grandes organizações. Pequenos escritórios, prestadores de serviços de logística, agências de marketing e fornecedores de peças frequentemente detêm acessos privilegiados às redes de corporações globais. A invasão de uma empresa fornecedora serve, na prática, como ponte de salto para contornar defesas mais robustas da empresa contratante.
Diferenças de impacto em relação a grandes corporações
Embora a frequência de incidentes gerais tenha atingido proporções similares em diversos portes empresariais, a natureza de determinados ataques varia de acordo com a estrutura da vítima. Empresas com mais de 500 colaboradores relataram taxas ligeiramente superiores de tentativas de comprometimento de e-mail corporativo (conhecido como BEC), ransomware direcionado com demandas financeiras milionárias e o uso de inteligência artificial generativa aplicada a ataques de engenharia social avançada.
Em contrapartida, as companhias de menor porte sofrem desproporcionalmente as consequências operacionais e financeiras de cada evento de segurança. A ausência de redundâncias tecnológicas estruturadas e de planos de continuidade de negócios significa que a perda temporária de acesso a bancos de dados pode interromper completamente faturamentos, entregas e atendimentos por dias.
Ações de resiliência e controle prioritário
Diante do diagnóstico, especialistas em segurança da informação destacam a necessidade de focar em controles defensivos estruturantes que reduzam a vulnerabilidade sem exigir orçamentos proibitivos. A priorização técnica inclui medidas práticas:
- Implementação irrestrita de autenticação multifator (MFA): A exigência de uma segunda etapa de validação em contas de e-mail corporativo, serviços de VPN e sistemas de armazenamento em nuvem anula a maioria dos acessos baseados em senhas capturadas por phishing.
- Gestão sistemática de atualizações (Patch Management): O mapeamento e a aplicação regular de correções de segurança nos softwares de uso diário fecham as janelas de oportunidade exploradas por varreduras automáticas.
- Segmentação de redes e controle de privilégios: Usuários e estações de trabalho não devem possuir permissões administrativas globais sem justificativa técnica, limitando a progressão de um invasor caso um equipamento seja comprometido.
- Rotina de cópias de segurança imutáveis: A manutenção de backups desconectados da rede primária garante que as operações possam ser recuperadas em situações de corrupção ou travamento de dados.
- Treinamento contínuo de colaboradores: A capacitação frequente para a identificação de comportamentos suspeitos e tentativas de engenharia social reduz o índice de cliques em links fraudulentos.
Kaspersky
