Single Blog

O Brasil ocupa a 7ª posição entre os países mais atacados digitalmente no mundo. Vazamentos de dados se acumulam, ataques contra órgãos públicos cresceram de forma expressiva e novas ameaças impulsionadas por inteligência artificial tornam o cenário ainda mais preocupante. Nesse contexto, fica cada vez mais evidente que possuir uma legislação de proteção de dados é fundamental — mas não suficiente.

Quando um vazamento de dados ganha repercussão no país, o roteiro costuma ser parecido: a organização reconhece a ocorrência de um incidente, informa que adotou as medidas necessárias e afirma estar em conformidade com a Lei Geral de Proteção de Dados (LGPD). Em muitos casos, também sustenta que o episódio não representa risco relevante aos titulares.

Pouco tempo depois, o assunto deixa de ocupar as manchetes. Os dados expostos, porém, podem continuar disponíveis para criminosos por muito tempo. Diferentemente de uma senha, que pode ser alterada, informações como CPF, nome completo, data de nascimento e outros dados pessoais não podem simplesmente ser substituídos depois de um vazamento.

O Brasil se tornou um dos principais alvos

Os números ajudam a dimensionar o problema.

Segundo relatório da empresa de cibersegurança DeepStrike, o Brasil foi o 7º país mais atacado digitalmente em 2025. Para 2026, a expectativa é de um ambiente ainda mais complexo, especialmente diante do avanço de fraudes apoiadas por inteligência artificial, ataques à cadeia de suprimentos e ransomware.

Em 2025, o país também enfrentou aquele que foi apontado como o maior ataque já registrado contra o sistema financeiro nacional, reforçando que as ameaças cibernéticas deixaram de ser episódios isolados para se tornarem um risco estratégico.

No setor público, o impacto vai muito além dos dados

A situação também preocupa dentro da administração pública. Em apenas um ano, o número de ataques cibernéticos contra órgãos públicos brasileiros mais que triplicou.

Nesse ambiente, um ataque não representa apenas risco de exposição de informações. Ele pode comprometer diretamente a prestação de serviços à população.

Quando os sistemas de uma prefeitura, hospital ou outro órgão ficam indisponíveis, as consequências podem aparecer na emissão de documentos, processamento de folhas de pagamento, atendimentos, procedimentos médicos e diversos outros serviços essenciais.

Diante desse cenário, a Autoridade Nacional de Proteção de Dados (ANPD) colocou o tratamento de dados pessoais pelo Poder Público entre as prioridades de fiscalização para 2026 e 2027. A iniciativa é importante, embora aconteça em um momento no qual os riscos já alcançaram proporções significativas.

O caso iFood e o debate sobre a comunicação de vazamentos

Um dos episódios recentes que ajudam a compreender essa discussão envolve o iFood.

Em maio, um agente de ameaças afirmou, em um fórum dedicado a vazamentos, possuir dezenas de milhões de registros relacionados a usuários brasileiros da plataforma. O iFood confirmou um incidente envolvendo 1,2 milhão de usuários, ocorrido em dezembro de 2025.

Segundo a empresa, o episódio teria sido isolado e rapidamente neutralizado. A companhia também afirmou que o incidente não apresentava risco relevante aos titulares e, por esse motivo, não exigiria comunicação, considerando os critérios previstos na regulamentação.

Posteriormente, a ANPD notificou a empresa para obter informações sobre o ocorrido.

O episódio chama atenção para uma questão importante: em um primeiro momento, cabe à própria organização envolvida avaliar a gravidade do incidente e determinar se existe risco ou dano relevante que justifique a comunicação aos titulares e à autoridade.

Isso cria um ponto sensível no modelo atual. Afinal, a mesma organização que sofreu a falha participa diretamente da avaliação sobre a necessidade de tornar o episódio conhecido pelos usuários afetados.

A LGPD é necessária, mas a aplicação precisa acompanhar as ameaças

Isso não significa que a LGPD tenha falhado em seu propósito.

A legislação representou um avanço importante para a proteção de dados no Brasil. Ela estabeleceu responsabilidades para empresas e órgãos públicos, fortaleceu os direitos dos titulares e criou mecanismos de fiscalização e punição.

Entre as sanções previstas está a possibilidade de multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração.

A atuação da ANPD também vem evoluindo. A autoridade passou gradualmente de uma postura predominantemente educativa para uma fiscalização mais efetiva, direcionando atenção a questões como ausência de base legal para tratamento de dados, falhas de transparência, incidentes de segurança e medidas insuficientes de proteção da informação.

O desafio está principalmente na escala e na velocidade.

Para empresas menores e médias, uma multa de milhões de reais pode representar uma consequência extremamente relevante. Para grandes corporações, entretanto, determinados valores podem ter impacto proporcionalmente menor.

Existe ainda uma diferença importante entre o tempo da fiscalização e o tempo do cibercrime. Dados roubados podem ser vendidos, compartilhados e utilizados em fraudes em questão de horas ou dias, enquanto investigações e processos administrativos podem levar muito mais tempo para chegar a uma conclusão.

Quando uma eventual punição acontece, os dados já podem ter circulado amplamente.

O que precisa mudar?

O fortalecimento da proteção de dados no Brasil não depende necessariamente da criação de uma nova legislação. Parte importante do avanço pode acontecer por meio de regulamentação, fiscalização e aplicação mais rigorosa das regras existentes.

Três medidas poderiam contribuir significativamente para esse processo:

1. Estabelecimento de padrões mínimos de cibersegurança

O conceito de “medidas técnicas e administrativas adequadas” precisa ser acompanhado de referências cada vez mais objetivas. Requisitos mínimos ajudariam a estabelecer com maior clareza o que empresas e órgãos públicos devem fazer para proteger informações pessoais.

2. Mais transparência na comunicação de incidentes

A comunicação aos titulares deveria ocupar posição central sempre que houver possibilidade relevante de exposição ou utilização indevida de seus dados. O objetivo deve ser permitir que as pessoas afetadas adotem rapidamente medidas de proteção.

3. Cibersegurança como responsabilidade estratégica

Segurança da informação não pode permanecer restrita ao departamento de TI. Incidentes cibernéticos envolvem riscos financeiros, jurídicos, reputacionais e operacionais e, por isso, precisam fazer parte das decisões da alta gestão.

Quando a segurança é tratada apenas como custo técnico, investimentos importantes tendem a disputar orçamento com áreas diretamente relacionadas à geração de receita. Quando é compreendida como risco empresarial, a lógica muda.

O cidadão também precisa aumentar sua proteção

Embora empresas e governos tenham responsabilidade direta sobre os dados que armazenam, algumas práticas podem reduzir significativamente o risco individual de fraude.

Entre as principais estão:

• ativar a autenticação em dois fatores em bancos, e-mails e redes sociais;
• utilizar senhas diferentes para cada serviço, preferencialmente armazenadas em um gerenciador de senhas;
• desconfiar de mensagens, ligações ou solicitações que criem senso de urgência;
• consultar periodicamente o Registrato, do Banco Central, para verificar relacionamentos e operações financeiras associadas ao CPF;
• confirmar solicitações suspeitas por um segundo canal antes de realizar pagamentos ou fornecer informações.

A inteligência artificial tornou essa atenção ainda mais necessária. Golpes podem utilizar textos extremamente convincentes e até reproduzir a voz de pessoas conhecidas. A antiga recomendação de “desconfiar de mensagens estranhas” já não basta quando a própria mensagem pode parecer perfeitamente legítima.

Por isso, uma regra simples ganhou ainda mais importância: recebeu uma solicitação inesperada envolvendo dinheiro ou informações pessoais? Confirme por outro canal.

O verdadeiro desafio brasileiro

O Brasil não se tornou um dos principais alvos de ataques digitais simplesmente por acaso.

Somos um país com população numerosa, alto nível de digitalização, ampla utilização de serviços bancários digitais e enorme quantidade de informações pessoais circulando entre empresas e instituições públicas.

Isso cria um ambiente extremamente valioso para criminosos.

A LGPD estabeleceu uma base essencial para mudar essa realidade. O próximo passo é fazer com que prevenção, transparência e responsabilização acompanhem a velocidade com que as ameaças evoluem.

Porque, enquanto o custo de negligenciar a segurança continuar sendo menor do que o investimento necessário para proteger os dados, a maior parte da conta continuará chegando justamente para quem menos participou da decisão: o cidadão.