Uma violação pode custar R$ 2,52 milhões a mais quando passa de 200 dias

Dados da IBM mostram como o tempo de resposta muda a conta, enquanto o avanço da IA amplia o custo de deixar acessos sem controle

12/10/2026 - 03:34

0 1

Uma violação pode custar R$ 2,52 milhões a mais quando passa de 200 dias

A diferença entre identificar uma violação de dados antes ou depois de 200 dias foi de R$ 2,52 milhões na amostra brasileira do relatório Cost of a Data Breach 2024, da IBM. Os incidentes contidos em menos de 200 dias custaram, em média, R$ 5,49 milhões. Quando o prazo passou desse ponto, a média subiu para R$ 8,01 milhões. A conta não serve como orçamento de uma pequena empresa, porque o estudo reúne organizações de portes e setores diferentes. Ela serve para localizar o ponto em que esperar deixa de ser uma economia e vira custo.

O alerta ganhou uma camada nova em 2025. A IBM calculou em R$ 7,19 milhões o custo médio de uma violação no Brasil, contra R$ 6,75 milhões no ano anterior. No mesmo levantamento, organizações brasileiras que usavam inteligência artificial e automação de segurança de forma extensa tiveram custo médio de R$ 6,48 milhões. Nas organizações que ainda não usavam essas tecnologias, a média chegou a R$ 8,78 milhões. A diferença foi de R$ 2,30 milhões por incidente, segundo o release brasileiro da IBM.

O relógio acrescentou R$ 2,52 milhões à perda média

O número mais útil para uma empresa que fatura pouco não é a média de R$ 7,19 milhões isolada. É a diferença entre as duas faixas de duração. O cálculo é direto: R$ 8,01 milhões menos R$ 5,49 milhões resulta em R$ 2,52 milhões. Em termos relativos, o prazo acima de 200 dias elevou a conta em cerca de 46% sobre o custo do grupo que identificou e conteve o incidente antes desse limite.

Esse resultado aparece no relatório de 2024 da IBM, elaborado pelo Ponemon Institute a partir de 604 organizações afetadas por violações entre março de 2023 e fevereiro de 2024. A pesquisa não afirma que toda empresa que ultrapassa 200 dias perderá exatamente R$ 2,52 milhões. A média combina negócios, setores, volumes de dados e estruturas diferentes. O que ela mostra é a direção financeira da decisão: o atraso tem um preço mensurável.

O próprio estudo registrou duração média de 299 dias no Brasil. Isso significa que a média nacional ficou 99 dias acima do marco de 200 dias usado na comparação. O intervalo não autoriza uma previsão para cada loja ou escritório. Ele ajuda a separar duas despesas que costumam ser confundidas: o valor pago para prevenir e detectar, e o valor que aparece depois que a invasão já alcançou sistemas, dados e clientes.

Uma empresa pequena pode não ter recursos para montar uma equipe interna de segurança. Ainda assim, precisa saber quem monitora seus acessos, onde fica o backup e qual canal será usado quando uma conta apresentar comportamento estranho. O CERT.br descreve o acesso inicial por phishing, mensagens que levam a páginas maliciosas para capturar credenciais ou instalar código malicioso. O risco começa em uma ação operacional simples, como abrir um link, mas pode atingir sistemas que sustentam vendas, cobrança e entrega.

A conclusão financeira é objetiva. Se o processo atual não consegue descobrir um acesso indevido antes de 200 dias, a empresa está operando na faixa que o estudo associou ao custo médio maior. O investimento deve ser comparado com esse risco, sem transformar a cifra da IBM em promessa de retorno.

Atendente aponta para roteador sobre balcão enquanto cliente sorri em loja.

A IA reduziu R$ 2,30 milhões na comparação da IBM

O relatório de 2025 coloca a inteligência artificial em uma posição menos abstrata. A IBM comparou organizações brasileiras conforme o uso de IA e automação na segurança. O grupo com adoção extensa registrou custo médio de R$ 6,48 milhões. O grupo sem essas tecnologias registrou R$ 8,78 milhões. A diferença, calculada nesta matéria, é de R$ 2,30 milhões.

O número não significa que comprar qualquer ferramenta de IA economize R$ 2,30 milhões. A comparação é uma associação entre o nível de uso de recursos de segurança e o custo médio das violações estudadas. O relatório analisou 600 organizações globais atingidas por violações entre março de 2024 e fevereiro de 2025, entrevistando 3.470 profissionais com conhecimento direto dos incidentes. O relatório completo da IBM detalha a amostra e suas limitações.

Há um segundo cálculo relevante. A IBM informou que a implantação de tecnologia de governança de IA reduziu o custo médio de uma violação em R$ 629.850 no Brasil. A implementação de inteligência de ameaças reduziu R$ 655.110. Portanto, a decisão muda de lado quando o custo anual de uma dessas medidas fica abaixo da redução média observada no estudo. Se um contrato de governança custa R$ 40 mil por ano, por exemplo, o valor é inferior ao benchmark de R$ 629.850. Esse exemplo usa um preço hipotético apenas para explicar o limite de comparação. Ele não afirma que esse seja o preço praticado no mercado nem que a economia esteja garantida.

O dado de preço precisa vir de uma proposta real antes de entrar no orçamento. A conta correta para o gestor é: custo anual da proteção dividido pela redução de risco que a própria empresa consegue medir. Se a solução não informa o que monitora, qual tempo de resposta oferece e como preserva os registros, não há base para tratar o pagamento como investimento de segurança.

A adoção de IA também criou um problema de controle. No Brasil, 87% das organizações estudadas pela IBM disseram não ter políticas de governança de IA em vigor, e 61% não tinham controles de acesso à IA. O mesmo relatório apontou que o uso não autorizado de ferramentas, chamado de shadow AI, acrescentou em média R$ 591.400 ao custo das violações. O sistema pode acelerar o trabalho, mas uma conta sem dono cria uma nova superfície de risco.

O uso da IA cresceu mais rápido que a proteção nas empresas industriais

A pesquisa oficial do IBGE ajuda a dimensionar a distância entre adoção e proteção. Na PINTEC Semestral 2024, 41,9% das 10.167 empresas industriais com 100 ou mais pessoas ocupadas declararam usar inteligência artificial. Em 2022, eram 16,9%. O avanço foi de 25 pontos percentuais.

A mesma pesquisa mostrou que 85,7% dessas empresas adotaram alguma medida de segurança da informação digital. O antivírus apareceu em 98,4% desse grupo, o controle de acesso à rede em 95,7%, a atualização de software em 95,3% e o backup em dispositivo separado em 94,9%. A criptografia de dados, documentos ou e-mails alcançou 68,2%. Já campanhas educativas e treinamento de funcionários ficaram em 55,9%.

Os percentuais não representam micro e pequenas empresas. O recorte começa em organizações com 100 trabalhadores e pertence ao setor industrial. Ainda assim, ele expõe uma diferença que vale para qualquer negócio digitalizado: instalar uma ferramenta é uma decisão diferente de controlar quem acessa, registrar o que ocorreu e recuperar a operação.

O IBGE registrou que o backup em dispositivo separado era adotado por 94,9% das empresas industriais pesquisadas. Essa medida não impede phishing nem roubo de credencial. Ela muda a negociação quando um atacante tenta bloquear os arquivos e exigir pagamento. Sem uma cópia separada, a empresa discute com o invasor sob pressão. Com uma cópia íntegra e testada, discute a recuperação com mais alternativas.

Bill Gates afirmou à ABC News, em entrevista reproduzida pela Exame, que o maior risco imediato da inteligência artificial está na multiplicação dos ciberataques e no uso malicioso da tecnologia. A frase não substitui um dado de custo. Ela ajuda a interpretar os números: a ameaça financeira para o negócio não depende de uma IA sair do controle. Pode surgir de uma mensagem convincente, de uma credencial reutilizada ou de uma ferramenta sem autorização interna.

A decisão de segunda-feira começa pelo tempo de resposta

O primeiro passo é medir quanto tempo a empresa levaria para saber que uma conta foi invadida. Não basta perguntar se existe antivírus. O responsável deve verificar se há alerta de login fora do padrão, registro de acesso administrativo, cópia de segurança separada e uma pessoa encarregada de receber o alerta. Sem esses quatro itens, o prazo de detecção é desconhecido.

O segundo passo é levantar os acessos das ferramentas de IA. Liste quais serviços recebem dados de clientes, preços, contratos, documentos ou informações financeiras. Para cada serviço, registre o usuário responsável, o tipo de dado enviado e a forma de encerramento da conta. A lista transforma o shadow AI em algo que pode ser controlado.

O terceiro passo é pedir três informações objetivas ao fornecedor de segurança: tempo máximo para notificar um incidente, escopo do backup e procedimento de restauração testada. A comparação financeira deve usar esses dados. Um preço menor que R$ 629.850 não prova economia, mas cria uma faixa para discutir a proposta com o benchmark da IBM. O valor do contrato precisa caber no caixa e entregar uma redução de exposição que possa ser acompanhada.

Se houver dados pessoais envolvidos, a avaliação também precisa considerar a LGPD. A ANPD orienta que incidentes capazes de causar risco ou dano relevante aos titulares sejam comunicados conforme o Regulamento de Comunicação de Incidente de Segurança. A Resolução CD/ANPD nº 15/2024 estabelece o prazo de três dias úteis para a comunicação à autoridade e aos titulares quando aplicável. O negócio precisa deixar definido quem reúne as informações e quem aciona o encarregado, antes de uma ocorrência.

A conta final não é “IA sim” ou “IA não”. É tempo de detecção, qualidade do backup, controle de acesso e custo de resposta. Os dados disponíveis apontam dois marcos: ultrapassar 200 dias elevou a perda média em R$ 2,52 milhões na comparação brasileira de 2024; governança de IA e inteligência de ameaças apareceram associadas a reduções médias de R$ 629.850 e R$ 655.110 no estudo de 2025. A partir desses limites, a decisão deixa de ser uma compra de tecnologia e passa a ser uma escolha financeira sobre quanto tempo a empresa aceita ficar sem saber o que aconteceu.