Na noite de 26 de janeiro de 2026, o Banco do Nordeste comunicou ao mercado o que descreveu, com a discrição habitual desses documentos, como um “incidente de segurança cibernética”. O serviço de Pix foi suspenso. Não houve, naquele momento, número algum.

O número apareceu três meses depois, escondido em uma linha do balanço do primeiro trimestre, sob a rubrica de “itens não recorrentes”: R$ 146,6 milhões.

O detalhe que interessa não é o valor. É o vetor. Segundo informações preliminares divulgadas à época, os criminosos não invadiram o banco: exploraram uma vulnerabilidade em um prestador de serviços de tecnologia da informação que atua como intermediário nas operações, movimentando recursos a partir de uma chamada “conta bolsão” vinculada à empresa terceirizada.

Em 13 de fevereiro, o Banco Central determinou a suspensão do serviço Pix prestado pela JD Consultores, provedora de serviços de tecnologia da informação (PSTI) que, segundo o próprio site da companhia, detém cerca de 58% do mercado de fornecimento de tecnologia bancária no país. O ataque havia exposto certificados digitais que dão acesso a contas de reserva de instituições financeiras clientes. O ofício do BC foi explícito quanto ao objetivo: prevenir a ampliação dos impactos até que o PSTI concluísse a apuração.

Era o terceiro ataque bem-sucedido recente contra uma empresa desse tipo. Antes dele, a C&M Software, cujo comprometimento em 2025 resultou em um rombo de R$ 841 milhões para oito bancos, e a Sinqia, desconectada do sistema financeiro nacional após o desvio de aproximadamente R$ 670 milhões, dos quais R$ 630 milhões do HSBC e R$ 40 milhões da Sociedade de Crédito Direto Artta.

Três empresas diferentes. Três bancos diferentes. Uma única arquitetura de falha.

E o volume não é residual: somente nos quatro primeiros meses de 2026 ocorreram doze ataques cibernéticos relacionados ao sistema Pix, além de quatro episódios de vazamento de dados reportados pelo Banco Central.

Quando o Estado é a superfície de ataque

Em 22 de abril, técnicos identificaram uma falha no aplicativo Meu INSS. O caso só se tornou público quase um mês depois.

Em 26 de maio, durante reunião do Conselho Nacional da Previdência Social, a Dataprev, estatal responsável pelo processamento das informações da Previdência, apresentou o dimensionamento: 2,8 milhões de CPFs acessados indevidamente, número superior à estimativa inicial de cerca de 2 milhões apresentada por técnicos do próprio INSS.

A causa, segundo a investigação preliminar relatada pelo representante da Dataprev no conselho, foi banal em sua natureza técnica e grave em sua consequência: uma consulta que estava dentro de uma interface que deveria exigir autenticação aceitava resposta em ambiente público. Não houve exploração sofisticada. Houve uma porta que deveria estar trancada.

Cerca de 98% dos registros acessados pertenciam a pessoas já falecidas, dado que a estatal e a autarquia enfatizaram em suas manifestações. Restam, ainda assim, aproximadamente 52 mil segurados vivos com CPF e data de nascimento expostos. A Dataprev informou não ter havido liberação indevida de benefícios nem contratação automática de empréstimo consignado.

Dias antes, em 17 de abril, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) havia atualizado a Recomendação 05/2026, classificando como crítico o vazamento de dados, códigos-fonte e documentos internos da Dígitro Tecnologia, fornecedora de soluções utilizadas por mais de 150 instituições governamentais e órgãos de segurança pública. As medidas emergenciais recomendadas dão a medida da gravidade: aplicação imediata de patches, isolamento de interfaces expostas, auditoria de credenciais e chaves de API, rotação de segredos corporativos e monitoramento contínuo da superfície de ataque.

Novamente: o comprometido não foi o órgão. Foi quem fornece tecnologia a ele.

A base que ninguém confirmou, e que todos precisam entender

Em 18 de abril, a plataforma Vecert Threat Intelligence publicou relatório alertando para a oferta, na dark web, de um banco de dados batizado de MORGUE, com 251.720.444 registros de CPFs supostamente extraídos do portal Gov.br. Cada linha incluiria nome completo, gênero, data de nascimento, filiação, raça, cidade de nascimento e, em parte dos registros, data de óbito. O vendedor, autodenominado “Buddha”, disponibilizou amostra gratuita de 20 mil linhas para atestar autenticidade.

Aqui é obrigatório o rigor: o vazamento não foi confirmado por nenhuma autoridade. O Ministério da Gestão e da Inovação em Serviços Públicos negou qualquer invasão aos sistemas do Gov.br. Analistas do setor avaliaram o episódio como provável “marketing do cibercrime”, ou seja, dados antigos reorganizados e relançados sob nova embalagem. A ANPD não confirmou o incidente.

Mesmo assim, o episódio carrega o dado mais eloquente do semestre, e ele não é sobre autenticidade. É sobre preço.

Em 2021, o megavazamento associado à Serasa Experian, com 220 milhões de CPFs, foi comercializado por US$ 40.000. A base MORGUE foi ofertada por US$ 500. Oitenta vezes menos.

A conclusão prática, para qualquer empresa que ainda trate CPF como elemento de autenticação, é desconfortável: o dado pessoal em massa tornou-se commodity barata. E, sob a Lei Geral de Proteção de Dados, a defesa de que “esses dados já estavam vazados” não socorre a organização que sofrer fraude em cascata por não ter monitorado o risco a que seus titulares estavam expostos.

Saúde: o setor mais atacado e o mais caro

Em 8 de julho, a Autoridade Nacional de Proteção de Dados instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania (ISAC), organização social sediada em Brasília que administra unidades públicas de saúde em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins.

O incidente de origem, ataque de ransomware ocorrido em janeiro de 2025, comprometeu cerca de 500 mil registros de pacientes, dos quais aproximadamente 78.772 de crianças e adolescentes e 47.921 de idosos. Os registros continham nomes, datas de nascimento, prontuários, históricos de exames, diagnósticos e procedimentos realizados.

O ponto que todo encarregado de dados precisa observar neste caso é o seguinte: o incidente foi comunicado espontaneamente pelo próprio ISAC à ANPD. A autonotificação não impediu o processo sancionador.

O que a ANPD apura não é o ataque. São quatro condutas posteriores a ele: insuficiência de medidas técnicas e administrativas de segurança; falha na comunicação individualizada aos titulares afetados, já que o instituto teria optado por comunicado geral em seu portal; ausência de informações obrigatórias sobre o encarregado; e descumprimento dos deveres de prevenção e prestação de contas.

Há ainda um elemento que se repete em processos da Autoridade e que merece destaque: o auto de infração aponta que o instituto sustentou que os invasores acessaram apenas pastas administrativas ligadas a contratos encerrados, mas não apresentou embasamento técnico que comprovasse a alegação, mesmo após reiterados questionamentos. Segundo a ANPD, isso comprometeu a verificação e a eficiência das medidas corretivas.

Em nota, o ISAC afirmou que o incidente não resultou em vazamento de dados de pacientes, que consistiu em indisponibilidade temporária de sistemas administrativos por criptografia de arquivos, que não afetou a assistência prestada nem o funcionamento das unidades, e que promoveu o fortalecimento adicional de seus controles. O procedimento permanece em fase de análise, sem penalidade aplicada até o momento.

O caso não é isolado. Em setembro de 2025, o grupo KillSec explorou um bucket Amazon S3 mal configurado da MedicSolution e exfiltrou cerca de 34 GB e 94 mil arquivos com prontuários, exames e imagens de pacientes, incluindo menores de idade.

Os números setoriais explicam a concentração. O Brasil responde por 51% das ocorrências de ransomware no setor de saúde na América Latina e figura entre os três maiores alvos globais do segmento. A saúde representa 10,4% das vítimas de ransomware no país, com os grupos Lockbit5 e The Gentlemen liderando as atividades em 2026, com treze vítimas cada. Instituições de saúde brasileiras sofreram, em média, 3.167 ataques por semana em 2025, cerca de 37% acima da média mundial do segmento.

E é o setor que paga a conta mais alta: R$ 11,43 milhões por violação, segundo o relatório Cost of a Data Breach da IBM, seguido por finanças (R$ 8,92 milhões) e serviços (R$ 8,51 milhões).

A escala do problema

Os números agregados dão a dimensão do ambiente em que essas empresas operam.

Segundo o relatório de Cenário Global de Ameaças do FortiGuard Labs, divulgado em abril de 2026, o Brasil concentrou 753,8 bilhões de tentativas de ataques ao longo de 2025, o equivalente a cerca de 1,4 milhão de investidas por minuto e a 84% de tudo o que foi registrado na América Latina. O país figura entre os sete mais atacados do mundo.

O detalhamento por etapa da cadeia de ataque é instrutivo: 5 bilhões de varreduras ativas na fase de reconhecimento; 1,4 bilhão de ataques por força bruta, crescimento de 70% sobre 2024; 3,6 bilhões de tentativas de exploração de vulnerabilidades; 5 milhões de tentativas de drive-by download. E, sobretudo, 187,5 milhões de atividades de distribuição de malware, alta de 535% em relação ao ano anterior.

Outros indicadores confirmam a curva. Relatório da NordVPN aponta cerca de 700 milhões de ataques a bancos de dados no Brasil em doze meses. Ataques de phishing por QR Code embutido em PDFs cresceram 146% no primeiro trimestre de 2026.

Quanto ao impacto financeiro, o custo médio de uma violação de dados no Brasil alcançou R$ 7,19 milhões, alta de 6,5% sobre os R$ 6,75 milhões do ano anterior, segundo a IBM. A distribuição por vetor inicial merece leitura atenta por qualquer conselho de administração:

O vetor mais caro não é o mais frequente. É o fornecedor.

A ANPD mudou de fase

Por anos, a LGPD foi tratada por parte do mercado como lei sem consequência prática. A Autoridade nasceu com equipe reduzida, priorizou orientação e levou quase três anos para aplicar a primeira sanção.

Os números confirmavam essa leitura. Até o início de 2026, a ANPD havia concluído ao menos nove processos administrativos sancionadores. A única multa pecuniária aplicada foi de R$ 14.400, contra a Telekall Infoservice, microempresa de telemarketing, em julho de 2023. Todas as demais sanções recaíram sobre o setor público, incluindo o Ministério da Saúde, na forma de advertência e publicização, já que órgãos públicos não recebem multa em dinheiro, por força do art. 52, § 3º, da LGPD.

Em 2025, foram abertos 27 processos fiscalizatórios, mais do que a soma dos anos de 2020 a 2024, mas apenas dois processos sancionadores.

2026 rompeu com esse padrão em três movimentos.

Primeiro, o institucional. A Lei nº 15.352/2026, originada da MP 1.317/2025, transformou a ANPD em agência reguladora, com autonomia administrativa e financeira. Em 24 de junho, foi autorizado o primeiro concurso público da Autoridade, com 50 vagas iniciais.

Segundo, o operacional. Em junho de 2026, a ANPD abriu 19 novos processos administrativos sancionadores, a maior leva de sua história, todos vinculados à Coordenação-Geral de Fiscalização.

Terceiro, o de rotina. Ao concluir a primeira fase de dois processos de monitoramento sobre indicação de encarregado e disponibilização de canais de atendimento a titulares, a Autoridade encontrou o seguinte quadro entre 56 agentes de tratamento monitorados, sendo 39 órgãos públicos e 17 empresas privadas: 27 cumpriram integralmente, 8 apresentaram pendências e 21 simplesmente não responderam. Estes últimos foram encaminhados à Coordenação-Geral de Sanção. Segundo noticiado, Google e iFood estavam entre os agentes com pendências; OpenAI, Shopee e XP responderam e demonstraram conformidade.

O gatilho mais rápido para um processo sancionador, hoje, não é sofrer um ataque sofisticado. É deixar de responder a um ofício.

O padrão que os autos revelam

Se há uma lição transversal aos processos concluídos pela ANPD, ela desmonta a intuição mais comum nas empresas.

A infração mais recorrente não é o vazamento. É a falha em comunicá-lo. A ausência ou o atraso na comunicação de incidentes foi identificada como infração em sete dos nove processos sancionadores concluídos.

O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, fixa prazo de três dias úteis a contar do conhecimento de que o incidente afetou dados pessoais, seis dias úteis para agentes de pequeno porte. É um prazo que só se cumpre com processo desenhado e testado antes do incidente. Ninguém constrói fluxo de resposta durante a crise.

O caso ISAC acrescenta duas camadas a esse padrão. A primeira: comunicado genérico no portal não substitui notificação individualizada aos titulares afetados. A segunda, e mais dura: alegar não é comprovar. A organização que sustenta perante a Autoridade que o dano foi limitado precisa demonstrá-lo tecnicamente, com evidência forense contemporânea ao incidente. Quem não produziu essa evidência no momento certo não conseguirá reconstruí-la depois, e a incapacidade de comprovar migra, nos autos, da categoria de lacuna probatória para a de agravante.

Há, por fim, um dado que sugere que o retrato oficial é conservador. Foram comunicados à ANPD 1.508 incidentes até o fim de 2025, o que, em quatro anos e meio de vigência do dever de notificação, representa menos de um por dia em um país que registra 753,8 bilhões de tentativas de ataque por ano. A subnotificação é evidente. E, à medida que a Autoridade ganha estrutura, orçamento e quadro próprio, a distância entre o que ocorre e o que é comunicado deixa de ser um problema estatístico para se tornar um passivo individualizado.

Conclusão: sua empresa está pronta?

A pergunta não é retórica, e ela não se responde com uma política de privacidade publicada no rodapé do site.

Os dados de 2026 permitem reformulá-la com precisão. Se um fornecedor seu for comprometido amanhã, não você, ele, sua empresa consegue, em três dias úteis: identificar quais dados pessoais estavam sob custódia daquele terceiro, dimensionar o número de titulares afetados, produzir evidência forense do escopo real do acesso, notificar individualmente os atingidos e responder à ANPD com embasamento técnico verificável?

Se a resposta contiver a palavra “provavelmente”, a resposta é não.

Os casos deste semestre convergem para três conclusões incômodas.

A primeira é que o risco mudou de endereço. Banco do Nordeste, JD Consultores, C&M Software, Sinqia, Dígitro, MedicSolution: em todos, o elo comprometido foi o fornecedor, não o controlador. E o comprometimento de terceiros é justamente o vetor de maior custo médio, R$ 8,98 milhões. Cláusulas de auditoria, direito de inspeção, exigência de evidência de controles e obrigação contratual de notificação imediata deixaram de ser preciosismo jurídico. São o mecanismo pelo qual uma empresa consegue responder a uma autoridade sobre um incidente que não ocorreu dentro dela.

A segunda é que o que se pune é a resposta, não o ataque. Nenhuma organização será sancionada por ter sido alvo, porque todas o são. Serão sancionadas por não terem comunicado, por terem comunicado tarde, por terem comunicado de forma genérica, ou por não conseguirem provar o que afirmam. O ISAC notificou espontaneamente e ainda assim responde a processo sancionador, porque o que faltou veio depois: a comprovação, a individualização, a prestação de contas.

A terceira é que o ciclo pedagógico acabou. Dezenove processos sancionadores em um único mês, 21 agentes encaminhados à área de sanção, agência reguladora com autonomia financeira e concurso autorizado. O teto legal permanece em 2% do faturamento, limitado a R$ 50 milhões por infração, mas o custo real, como mostra a IBM, já é de R$ 7,19 milhões em média mesmo sem qualquer multa.

O que separa a empresa que atravessa um incidente da que é destruída por ele não é a sofisticação do ataque sofrido. É o que existia antes: encarregado nomeado e publicado, inventário de dados atualizado, base legal documentada, plano de resposta testado, contratos de operador com obrigações reais, capacidade forense contratada antes de precisar dela, e registro documental que permita, sob pressão e em três dias úteis, dizer com precisão o que aconteceu.

A LGPD reconhece expressamente o programa de conformidade documentado e efetivo como elemento de dosimetria. Na prática, é a diferença entre uma advertência com prazo para correção e uma multa que entra no balanço.

Prevenção não elimina o risco de incidente. Nenhum controle faz isso. O que ela faz é transformar uma crise existencial em um problema administrável, e é exatamente por isso que continua sendo a melhor estratégia disponível.

A pergunta final, portanto, não é se sua empresa será alvo. Os 753,8 bilhões de tentativas registradas em um único ano respondem por si.

A pergunta é se, quando isso acontecer, ela terá algo a apresentar além de uma nota à imprensa.

Fontes: Agência Nacional de Proteção de Dados (ANPD); Banco Central do Brasil; CTIR Gov; Dataprev; FortiGuard Labs/Fortinet, Relatório de Cenário Global de Ameaças 2026; IBM/Ponemon Institute, Cost of a Data Breach Report; NordVPN; Vecert Threat Intelligence; Agência Brasil; CNN Brasil; Poder360; O Bastidor; Telesíntese.

‹ ›