O Brasil foi alvo de cerca de 754 bilhões de tentativas de ataques cibernéticos em 2025, segundo levantamento da Fortinet. De acordo com Marcio Alaor de Araujo, executivo do mercado financeiro, o volume confirma uma tendência clara: o risco cibernético deixou de ser assunto exclusivo da área de tecnologia e passou a ocupar a pauta da diretoria e dos conselhos de administração.
Um risco de negócio, e não apenas técnico
Durante muito tempo, a segurança da informação foi tratada como responsabilidade técnica, discutida apenas por especialistas. A digitalização das operações mudou o cenário. Vendas, logística, produção, pagamentos e relacionamento com clientes dependem de sistemas que, se interrompidos, paralisam a empresa inteira.
Um ataque de sequestro de dados pode suspender a operação por dias ou semanas, gerar perdas financeiras relevantes e comprometer contratos com clientes. O impacto vai além dos custos de recuperação dos sistemas e atinge receitas, prazos de entrega e a confiança de parceiros comerciais. Em setores regulados, a interrupção pode ainda gerar penalidades e questionamentos de órgãos fiscalizadores.
Impacto na reputação e nas obrigações legais
Vazamentos de dados de clientes e funcionários trazem consequências que vão além do prejuízo imediato. A Lei Geral de Proteção de Dados prevê sanções para empresas que não protegem adequadamente as informações pessoais, e a exposição pública de um incidente pode afetar a imagem da marca por anos.
Na leitura de Marcio Alaor de Araujo, a reputação é frequentemente o ativo mais afetado em incidentes cibernéticos. Clientes e investidores avaliam não apenas o ataque em si, mas a forma como a empresa reage. Comunicação transparente, resposta rápida e medidas concretas de correção ajudam a preservar a confiança em momentos críticos.
O papel do conselho e da diretoria
A tendência de levar o tema ao topo da organização se reflete nas práticas de governança. Conselhos passam a cobrar relatórios periódicos sobre vulnerabilidades, incidentes e investimentos em proteção. Diretores precisam entender os principais riscos para tomar decisões informadas sobre prioridades e orçamento.
A liderança não precisa dominar detalhes técnicos, mas deve fazer as perguntas certas. Quais são os sistemas mais críticos? Quanto tempo a empresa levaria para retomar a operação após um ataque? Existe um plano de resposta testado? As respostas mostram se a organização está preparada ou apenas confia que nada vai acontecer. Incluir o tema na matriz de riscos corporativos garante que ele seja tratado com a mesma seriedade de outros riscos relevantes.
Pessoas como primeira linha de defesa
Grande parte dos ataques começa por falhas humanas, como clicar em mensagens fraudulentas, usar senhas fracas ou compartilhar informações sem verificar a identidade de quem as solicita. Investir apenas em tecnologia, sem preparar as pessoas, deixa uma porta aberta para os criminosos.
Como pontua Marcio Alaor de Araujo, treinamentos periódicos, simulações de ataques e regras claras para operações sensíveis, como pagamentos e alterações de dados bancários, reduzem significativamente a vulnerabilidade. A cultura de segurança precisa envolver todos os níveis da organização, começando pelo exemplo da própria liderança no cumprimento das regras.
Preparação para o risco cibernético
Nenhuma empresa está totalmente imune a ataques, e a preparação faz diferença na hora do incidente. Cópias de segurança protegidas, planos de continuidade, equipes de resposta definidas e simulações regulares permitem reagir com rapidez e reduzir os danos. Seguros específicos para riscos cibernéticos também ganham espaço como forma de transferir parte das perdas.
A tendência é de crescimento da atenção ao tema, conforme sublinha Marcio Alaor de Araujo. Empresas que tratam o risco cibernético como parte da gestão de riscos corporativos, com orçamento, indicadores e responsáveis definidos, protegem sua operação, sua reputação e seu valor de mercado em um ambiente de ameaças cada vez mais sofisticadas.