Há um desconforto que quase todo profissional de segurança da informação no Brasil conhece, mas poucos verbalizam em reunião de diretoria: a de que estamos protegendo a porta da frente de um prédio cujas janelas ninguém está olhando. Investe-se em firewall, em antivírus, em ferramentas de proteção de borda e em EDR — e faz sentido investir. O problema é acreditar que esse conjunto, sozinho, resolve. Ele não resolve. E o motivo não é técnico: é estrutural.

O ponto de partida: um mercado maduro em ferramentas, imaturo em operação

O Brasil é hoje o 12º maior mercado de cibersegurança do mundo e, ao mesmo tempo, um dos países mais atacados. A Brasscom projeta que o mercado nacional de segurança da informação movimentará R$ 104,6 bilhões entre 2025 e 2028, um crescimento acumulado de 43,8% (Brasscom, 2025). O dinheiro está começando a entrar. O problema é que investir em ferramenta não é o mesmo que amadurecer em operação — e é justamente na operação que o país está defasado.

Essa defasagem tem causas concretas, e vale nomeá-las sem rodeios:

• Carência de profissionais qualificados. A Brasscom estimou uma demanda de 377 mil profissionais de cibersegurança no Brasil até 2025, com um déficit de 30,2% entre oferta e demanda por profissionais de tecnologia (Brasscom, 2025). Na prática, muitas empresas compraram ferramentas que não têm gente suficiente para operar.
• Desalinhamento entre negócio e operação. O perfil brasileiro tende à desconfiança, e a alta gestão costuma compartilhar pouco da estratégia do negócio com quem opera a segurança. Sem esse contexto, o time técnico defende o que consegue enxergar — não o que realmente importa para a empresa.
• Segurança que não sabe falar a língua do negócio. Muitos profissionais de SI não conseguem traduzir o ganho da tecnologia em termos que sustentem uma decisão de negócio. O resultado é previsível: a segurança vira custo a ser cortado, não investimento a ser defendido.
• Orçamento em dólar, receita em real. As plataformas de segurança são majoritariamente dolarizadas, e o câmbio flutuante encarece cada negociação. Some-se a isso o fato de que os orçamentos das áreas técnicas no Brasil ficam bem abaixo do padrão internacional, e você tem times pedindo para fazer mais com muito menos.
• Governança tratada como obstáculo, não como proteção. Sob pressão de prazo e com viés de eficiência operacional, as normas internas acabam sendo contornadas para que a entrega aconteça — custe o que custar. Cada norma ignorada é uma porta destrancada que ninguém registrou.

Por que borda e EDR, sozinhos, não fecham a conta

Firewall, EDR e SIEM foram desenhados para uma missão específica: impedir a entrada ou detectar comportamento malicioso conhecido. São a fronteira. E a fronteira é penetrada todos os dias. O Verizon Data Breach Investigations Report analisou dezenas de milhares de incidentes reais e chegou a uma conclusão incômoda: 68% das violações envolvem o elemento humano — erro, engenharia social ou abuso de privilégio (Verizon DBIR, 2024).

Repare no que esse número diz. A maior parte das invasões não acontece porque a ferramenta falhou tecnicamente. Acontece porque alguém — um funcionário distraído, um terceiro com acesso privilegiado, uma credencial legítima nas mãos erradas — abriu a porta a partir de dentro. E é exatamente aí que as defesas de borda ficam cegas: quando o atacante já está circulando com credenciais válidas, ele não parece um ataque. Ele parece um usuário.

Nenhuma ferramenta de perímetro foi feita para desconfiar de quem já tem a chave. E o vetor que mais cresce no Brasil é precisamente o das credenciais legítimas mal utilizadas.

O caso mais eloquente é recente. O maior golpe cibernético já classificado pela Polícia Federal brasileira não veio de uma invasão externa sofisticada: veio de credenciais internas de um fornecedor terceirizado com acesso a contas de reserva de bancos junto ao Banco Central. Nenhum firewall do mundo bloqueia um acesso que, aos olhos do sistema, é perfeitamente autorizado.

A cultura importa — mas nunca será garantia

Diante disso, a resposta mais comum é: precisamos investir em cultura, em conscientização, em treinamento. E é verdade — precisamos. Cultura de segurança reduz risco, e nenhuma empresa deveria abrir mão dela.

Mas é preciso honestidade aqui: cultura mitiga o risco humano, não o elimina. As pessoas continuarão clicando no link errado sob pressa, reutilizando senhas, contornando um controle para cumprir um prazo. Isso não é falha moral — é a natureza do trabalho sob pressão. Enquanto houver seres humanos dentro das organizações, haverá um risco residual que nenhum treinamento zera. Apostar todas as fichas na cultura é, no fundo, apostar que ninguém vai errar. E ninguém, honestamente, deveria assinar embaixo dessa aposta.

O agravante do momento: a IA do lado de quem ataca

Há um fator novo que torna essa conversa mais urgente do que era há dois anos. O uso de inteligência artificial na exploração de vulnerabilidades e na automação de ataques vem crescendo de forma consistente — e essa é uma tendência amplamente reportada pela indústria de segurança.

O ponto conceitual, porém, é sólido e não depende de um número específico. A automação muda a economia do ataque. Tarefas que antes exigiam um operador humano habilidoso — mapear uma rede, testar milhares de combinações, adaptar uma técnica ao ambiente encontrado — passam a rodar em escala, mais rápido e mais barato. Isso comprime brutalmente a janela de tempo que o defensor tem para reagir. A Mandiant reportou que o intervalo entre a venda de um acesso e o início da ação destrutiva dentro da rede caiu de mais de 8 horas em 2022 para 22 segundos em 2025 (Mandiant/Google Cloud, M-Trends 2026).

Vinte e dois segundos. Nenhuma equipe brasileira sobrecarregada, operando com orçamento apertado e time reduzido, responde a um incidente em vinte e dois segundos. A defesa deixou de competir por velocidade de resposta. Passou a competir por velocidade de descoberta.

A mudança de mentalidade: assuma que você será invadido

Tudo isso converge para uma conclusão que exige maturidade para aceitar: ser invadido não é uma hipótese remota a evitar a todo custo. É um evento provável, para o qual é preciso estar preparado. Um terço das empresas brasileiras entrevistadas pela PwC já registrou perdas de pelo menos US$ 1 milhão com ciberataques nos últimos três anos (PwC, Digital Trust Insights 2025). O tempo médio para sequer detectar uma invasão no Brasil supera 100 dias (IBM / FireEye Mandiant). Ou seja: muitas empresas já foram invadidas e ainda não sabem.

A pergunta certa deixa de ser “como impeço qualquer invasão?” — porque essa é uma promessa que ninguém honesto pode fazer — e passa a ser “no dia em que alguém entrar, quanto tempo vou levar para descobrir?”. É uma pergunta desconfortável, mas é a única que corresponde à realidade.

Onde o cyber deception entra — e por que custa pouco

É nesse ponto que o cyber deception, ou ciberengano, se torna relevante. A ideia é simples a ponto de parecer óbvia depois de explicada. Se as defesas de borda funcionam na fronteira, o deception funciona de dentro para fora. Em vez de tentar bloquear tudo na entrada, ele espalha pela rede armadilhas — ativos falsos que imitam servidores, credenciais e serviços reais, mas que não têm nenhuma função legítima.

A lógica é a seguinte: nenhum usuário legítimo tem motivo para tocar nesses ativos falsos. Ninguém no dia a dia da empresa esbarra neles. Portanto, qualquer interação com uma dessas iscas é, por definição, suspeita. É um alerta de alta fidelidade, sem o ruído dos falsos positivos que hoje sufocam os times de segurança. O atacante, durante seu reconhecimento interno — aquela fase em que ele explora a rede procurando o que vale a pena roubar — inevitavelmente esbarra em uma armadilha. E, no instante em que esbarra, ele se revela.

Pense em um alarme de intrusão residencial. Você não tenta adivinhar quem é o ladrão nem impedir que ele exista. Você instala sensores em pontos por onde só um invasor passaria. Quando o sensor dispara, não há dúvida sobre o que está acontecendo. O deception é esse alarme, aplicado à rede corporativa.

Segundo dados de mercado citados por Gartner e Fidelis Security, organizações que adotaram tecnologia de deception reportaram redução expressiva no tempo de resposta a incidentes e menos violações bem-sucedidas, com o tempo de permanência do atacante caindo de meses para horas. Sinalizo que esses percentuais vêm de estudos de fornecedores e institutos de análise, e recomendo tratá-los como ordem de grandeza consolidada pela indústria, não como garantia contratual — o próprio rigor que defendo neste texto exige essa ressalva.

Por que isso resolve os problemas brasileiros, e não só o técnico

O que torna o deception particularmente adequado à realidade brasileira não é apenas a eficácia técnica. É o encaixe com as restrições que descrevi no começo deste artigo:

• Para times pequenos e sobrecarregados: um alarme que só dispara quando é real acaba com a fadiga de alertas. Quando a notificação chega, o analista sabe que precisa agir — não precisa peneirar mil falsos positivos para achar o verdadeiro.
• Para orçamentos apertados: o deception se contrata como despesa operacional recorrente (OPEX), sem grande investimento inicial (CAPEX) e sem exigir contratação de mais gente. Comparado ao custo de um único incidente sério, é uma fração do valor. É mais próximo de um seguro do que de uma obra.
• Para o problema das credenciais legítimas: é precisamente o vetor que a borda não vê. Um insider ou um terceiro com acesso privilegiado que começa a explorar a rede vai, mais cedo ou mais tarde, tocar em uma isca. E aí deixa de ser invisível.
• Para a auditoria e a governança: o toque em um ativo que não tinha uso legítimo é uma evidência forense sem ambiguidade. Não é “achismo”, é registro. Isso ajuda inclusive a demonstrar diligência técnica perante o regulador.

O ponto que sustenta tudo

Nada do que escrevi aqui propõe abandonar firewall, EDR ou SIEM. Seria irresponsável. Essas camadas continuam necessárias e o deception não as substitui — convive com elas, cobrindo justamente o ângulo cego que elas nunca foram projetadas para cobrir: o momento em que o atacante já está dentro.

O que proponho é uma mudança de premissa. Parar de operar como se a prevenção fosse infalível, e começar a operar como quem aceita o inevitável e se prepara para ele. Num país com escassez de profissionais, orçamentos pressionados pelo câmbio, governança frequentemente contornada por prazo, e atacantes cada vez mais automatizados por IA, a capacidade de descobrir depressa quem já entrou deixou de ser um luxo. Virou a diferença entre um susto contido em horas e uma operação comprometida por meses.

A pergunta não é se você será invadido. É quanto tempo vai levar para descobrir — e a que custo você prefere descobrir.

Proteger a borda é o começo. Preparar-se para o dia em que ela for atravessada é o que separa uma empresa madura de uma empresa que ainda não sabe que já foi invadida.

Fontes

Brasscom — Relatório de Cibersegurança 2025 e Perspectivas do Mercado de Trabalho TIC 2025  ·  Verizon — Data Breach Investigations Report (DBIR) 2024  ·  IBM Security — Cost of a Data Breach Report 2024  ·  FireEye/Mandiant — Global Threat Intelligence (dwell time)  ·  Mandiant/Google Cloud — M-Trends 2026  ·  PwC Brasil — Digital Trust Insights 2025  ·  ESET/WeLiveSecurity — “Ciberataques no Brasil em 2025”  ·  Gartner — Market Guide for Deception Platforms 2022  ·  Fidelis Security — relatórios de dwell time e efetividade

‹ ›