O custo médio de uma violação de dados no Brasil chegou a R$ 7,44 milhões em 2026, o maior valor da série, segundo o relatório Cost of a Data Breach, da IBM, divulgado nesta quarta-feira (15). O número é 3,5% superior ao de 2025, quando a média foi de R$ 7,19 milhões, de acordo com a cobertura do Convergência Digital.
O levantamento analisou incidentes ocorridos entre março de 2025 e fevereiro de 2026. Ao todo, 602 organizações participaram do estudo, e 42 delas são brasileiras. A amostra nacional é pequena, o que vale ter em mente ao comparar setores.
Saúde paga quase o dobro da média
O custo varia muito conforme o ramo. A saúde lidera, com R$ 12,55 milhões por incidente, seguida por tecnologia (R$ 8,96 milhões) e serviços (R$ 8,63 milhões). Hospitais e clínicas concentram dados sensíveis de pacientes, o que encarece a notificação, a recuperação e eventuais ações judiciais.
Entre as formas de entrada, phishing e comprometimento da cadeia de suprimentos respondem por 16% dos incidentes cada um. O custo médio do primeiro é de R$ 7,93 milhões e o do segundo, de R$ 7,32 milhões. Ou seja, o golpe por e-mail continua tão caro quanto o ataque a um fornecedor da empresa.
Dois fatores pesam na conta, de acordo com a IBM. A complexidade excessiva de ferramentas de segurança soma em média R$ 645,2 mil por incidente, e o chamado shadow IT, sistemas usados por funcionários sem aval do departamento de tecnologia, acrescenta R$ 720,3 mil.
Onde a IA reduz o prejuízo
As empresas que adotaram IA e automação de forma ampla em segurança relataram economia de 30% no custo do incidente. Sem essas tecnologias, a média sobe para R$ 8,69 milhões, segundo o relatório. A IBM também afirma que agentes de IA passarão a enfrentar agentes de IA na defesa dos sistemas.
O lado ofensivo aparece nos dados globais do estudo. De acordo com a IBM, 62% dos ataques impulsionados por IA tiveram como alvo infraestrutura crítica, como serviços financeiros e energia. Em casos que envolveram modelos ou aplicações de IA, 27% começaram em comprometimento de APIs e plug-ins ou em configurações incorretas de nuvem.
Medidas mais básicas também aparecem como redutoras de custo. Testes de segurança ofensivos economizam R$ 579.422 por incidente, a criptografia reduz R$ 478.111 e a gestão de credenciais, R$ 454.700. No mundo, apenas 37% das organizações violadas criptografavam dados sensíveis.
Quem paga a conta do atraso
Para o diretor de serviços de cibersegurança da IBM Consulting na América Latina, Nicolas Mucci, o tempo é o que mais encarece o incidente: quanto mais demora a resposta, maior o custo. Na prática, a diferença entre R$ 7,44 milhões e R$ 8,69 milhões fica com quem ainda não automatizou a detecção.
Para diretores financeiros, o estudo dá uma régua de orçamento: investir em criptografia, controle de credenciais e testes de invasão custa menos do que a economia que cada medida entrega por incidente. Para o setor de saúde, que paga mais, o risco é duplo, financeiro e de exposição de dados de pacientes.
