Para quem tem pressa:

• Quase 2,9 bilhões de credenciais foram vazadas.
• Vulnerabilidades em softwares são o maior vetor de ataque.
• IA amplifica ataques e também a defesa.
• Segurança "Shift Left" é integrar desde o início.
• Novas leis apertam o cerco no Brasil e Europa.

O custo invisível do vazamento

Recentemente, quase 2,9 bilhões de credenciais foram comprometidas globalmente. Isso vai além de um número: são senhas, tokens de sessão e e-mails de pessoas como eu e você. Desse total, 347 milhões foram capturadas por infostealers. É um volume massivo de dados roubados.

O custo de uma violação de dados é pesado. Globalmente, o custo médio foi de US$ 4,44 milhões (dados recentes). No Brasil, a situação é ainda mais séria para pequenos negócios: o custo médio por incidente atingiu R$ 7,19 milhões em levantamentos recentes, um aumento de 6,5%. O pior: 60% das pequenas empresas que sofrem um ataque grave fecham as portas em até seis meses.

Vulnerabilidades de software superaram o roubo de senhas como principal porta de entrada. Em dados recentes, 20% das violações começaram por falhas em software, um crescimento de 34% em relação a períodos anteriores. Dispositivos de borda e VPNs foram alvos em 22% desses ataques, mostrando que o perímetro de proteção está em constante mudança.

Ataques cibernéticos não distinguem entre uma multinacional e um dev solo. Para o pequeno, o impacto é geralmente fatal.

IA: aliada e inimiga

A inteligência artificial transformou a cibersegurança. Ataques potencializados por IA aumentaram 72% em levantamentos recentes. Mais de 80% dos e-mails de spear-phishing entre setembro de 2024 e fevereiro de 2025 usaram IA. Deepfakes e clones vocais (vishing) agora são comuns para enganar funcionários e obter dados.

A IA também ataca a cadeia de suprimentos de software. Modelos "trojanizados" em plataformas públicas podem injetar código malicioso. O "slopsquatting" cria pacotes maliciosos com nomes similares a bibliotecas populares de IA, explorando erros de digitação de desenvolvedores. Até assistentes de programação, como Copilot ou Cursor, podem gerar código comprometido se suas configurações forem alteradas.

Vulnerabilidades no código gerado por IA

Não presuma que a IA sempre gera código limpo. O Relatório de Segurança de Código GenAI 2025 da Veracode mostrou que a IA introduziu vulnerabilidades em 45% dos casos, em mais de 100 LLMs testados. Uma pesquisa de 2026 da Aikido Security, com 450 desenvolvedores, apontou que uma em cada cinco organizações relatou um incidente grave ligado a código gerado por IA.

O uso de ferramentas de IA fora das políticas da empresa, a "Shadow AI", também é um problema. Organizações com violações envolvendo Shadow AI registraram um custo adicional médio de US$ 670 mil por incidente.

A defesa com IA

A IA é central na inovação em cibersegurança. Ela processa grandes volumes de dados, identifica padrões de atividades maliciosas e automatiza respostas.

Ferramentas como AI AutoFix geram correções seguras para problemas de SAST, IaC, Container e dependências, criando pull requests automaticamente. Pentests de IA autônomos mapeiam caminhos de ataque reais e validam vulnerabilidades. Soluções como Checkmarx One, com seus agentes de IA autônomos lançados em março de 2026, previnem e corrigem vulnerabilidades em todo o ciclo de desenvolvimento.

O objetivo é melhorar a adoção e a velocidade de remediação.

Proteção: do código à cultura

Para o dev solo, ou qualquer empresa, a segurança precisa ser prioridade desde o início. A abordagem Shift Left Security integra a segurança ao ciclo de vida do desenvolvimento de software (SDLC); não é algo para se pensar apenas no final.

• Automação DevSecOps: Testes de segurança automatizados são cruciais. A revisão manual não acompanha o ritmo do desenvolvimento, então ferramentas SAST verificam o código-fonte antes da execução.
• Gestão de Vulnerabilidades: Identificar falhas é o primeiro passo; corrigi-las rapidamente é crucial. A janela de exposição e os riscos aumentam quando uma vulnerabilidade crítica é divulgada.
• Cadeia de Suprimentos de Software: Proteger o desenvolvimento assistido por IA exige governar todo o pipeline. Não basta varrer o código no pull request: é preciso ter controle sobre o que você usa. Para mais detalhes, veja Segurança para Dev Solo: Ameaças, Patches e o Que Fazer Agora.
• Autenticação sem Senha: Mais de 80% das violações usam credenciais. A transição para passkeys, biometria, autenticação multifator resistente a phishing e tokens de hardware é uma forte tendência para 2026.
• Cultura de Segurança: O comportamento humano faz diferença. Treinamentos contínuos, protocolos claros e cumprimento de políticas são fundamentais. A vida de um dev solo não é só código: é também gerenciar esses riscos. Leia mais em A vida de um dev solo não é só código.
• Monitoramento Contínuo: Empresas levam em média 241 dias para identificar e conter brechas. Isso é tempo demais, por isso o monitoramento constante é vital.
• Auditoria de Configurações na Nuvem: Configurações erradas são uma das maiores causas de vazamentos.

Novas regras de segurança

O cenário regulatório está em constante evolução, no Brasil e globalmente.

No Brasil, uma minuta da futura Lei Geral de Cibersegurança foi publicada. Ela amplia o escopo da resiliência operacional das organizações, indo além da LGPD e incluindo responsabilidade compartilhada na cadeia de suprimentos.

A Resolução CMN nº 5.274/2025, publicada em dezembro de 2025, apertou as regras de cibersegurança para instituições financeiras. O prazo de adequação se estende até março de 2026 e exige mecanismos de prevenção e detecção de intrusão, gestão de certificados digitais e inteligência cibernética.

A IN GSI/PR 9/2026, de janeiro de 2026, aprofunda a virada institucional na segurança da informação em órgãos federais, redefinindo competências para o gestor de segurança da informação.

Os Decretos nº 12.975/2026 e nº 12.976/2026, de maio de 2026, atualizam o Marco Civil da Internet. O primeiro estabelece obrigações para provedores de aplicações (redes sociais) agirem contra violência digital, fraudes e golpes. O segundo protege mulheres no ambiente digital. A ANPD abriu consulta pública sobre essas novas regras até 17 de agosto de 2026.

Na União Europeia, o Regulamento dos Mercados Digitais (DMA) e o Regulamento dos Serviços Digitais (DSA) estão em vigor desde 2024, com sanções já impostas em 2025. O eIDAS, a partir de 2026, obriga os estados-membros a fornecerem uma carteira de identidade digital compatível com a UE.

Gerenciar um SaaS exige equilibrar funcionalidade e custo, mas também estar em dia com todas essas regulamentações. É um desafio constante. Para um controle mais apurado dos seus custos e da saúde financeira do seu negócio, veja como o Controle pode te ajudar.

Perguntas frequentes

Qual foi o custo médio de um vazamento de dados no Brasil em 2025?

O custo médio de um incidente de vazamento de dados no Brasil foi de R$ 7,19 milhões em levantamentos recentes, representando um aumento de 6,5% em relação a períodos anteriores.

Quantas credenciais foram vazadas globalmente em 2025?

Globalmente, quase 2,9 bilhões de credenciais (como nomes de usuário, senhas e tokens de sessão) foram comprometidas recentemente. Desse total, 347 milhões foram obtidas por softwares maliciosos conhecidos como infostealers.

Como a IA está impactando os ataques cibernéticos?

A IA potencializa os ataques cibernéticos de várias formas. Em levantamentos recentes, os ataques impulsionados por IA aumentaram 72%. A IA é usada em mais de 80% dos e-mails de spear-phishing e também para gerar deepfakes e clones vocais em ataques de vishing.

O código gerado por IA é seguro?

Não necessariamente. Pesquisas mostram que o código gerado por IA pode introduzir vulnerabilidades de segurança. O Relatório de Segurança de Código GenAI 2025 da Veracode, por exemplo, descobriu que a IA introduziu vulnerabilidades em 45% dos casos em mais de 100 LLMs testados.

O que é "Shift Left Security"?

"Shift Left Security" é uma abordagem que integra a segurança desde as fases iniciais do ciclo de vida do desenvolvimento de software (SDLC), em vez de tratá-la apenas no final. Isso ajuda a identificar e corrigir vulnerabilidades mais cedo, reduzindo custos e riscos.

Quais são as novas regulamentações de cibersegurança no Brasil para 2025-2026?

No Brasil, destacam-se a minuta da futura Lei Geral de Cibersegurança, que amplia o escopo da resiliência operacional; a Resolução CMN nº 5.274/2025, que aumentou o rigor para instituições financeiras; e os Decretos nº 12.975/2026 e nº 12.976/2026, que atualizam o Marco Civil da Internet para combater violência digital e fraudes.