Incidentes no Brasil em números: dados sobre Cyber Security (2026)

Perguntar quantos incidentes o Brasil registra por ano costuma render uma resposta ruim. Além disso, o mercado repete manchetes de bilhões de tentativas de ataque, mistura bases incomparáveis e quase nunca aponta a fonte primária.

Esta página existe para corrigir isso. Reunimos aqui os números brasileiros que vêm de origem oficial: a série do CERT.br, os painéis da ANPD, o recorte local do relatório da IBM e os dados abertos do Banco Central. Ou seja, cada dado traz publicador, período de referência e data de consulta.

Trate o material como referência de consulta, não como leitura única. Por isso, atualizamos o conteúdo a cada nova edição das bases citadas, sempre no mesmo endereço. Antes dos números, porém, vale um alerta metodológico curto. Sem ele, qualquer comparação vira armadilha.

O que estes números medem (e o que eles não medem)

As estatísticas brasileiras de incidentes vêm de três bases que ninguém deveria somar: tentativas de ataque medidas por fornecedores de segurança, incidentes notificados voluntariamente ao CERT.br e comunicações obrigatórias enviadas à ANPD. Vale dizer que cada uma responde a uma pergunta diferente.

Como resultado, trocá-las de lugar produz números impressionantes que não sustentam nenhuma decisão.

A confusão mais comum acontece com a palavra “ataque”. Um bloqueio automático em firewall entra na conta de tentativas. Já um incidente confirmado exige que alguém apure o evento, classifique o impacto e, em muitos casos, notifique uma autoridade.

Por isso as manchetes de bilhões de tentativas dizem tão pouco. Elas medem exposição, não dano. Um único robô varrendo faixas de endereços gera milhares de eventos em minutos. Em resumo, comparar esse volume com o número de violações confirmadas equivale a comparar tentativas de maçaneta com arrombamentos consumados.

Vale entender também o que a lei considera incidente. A definição da ANPD inclui perda e indisponibilidade de dados pessoais, não apenas vazamento. Ou seja, uma falha de infraestrutura pode virar obrigação regulatória, ainda que nenhum invasor esteja envolvido. Esse ponto costuma escapar de quem trata incidente de TI como sinônimo de ataque cibernético.

CERT.br: quantos incidentes o Brasil notifica por ano

O CERT.br recebeu 470.885 notificações de incidentes em 2025, contra 516.556 em 2024 e 621.537 em 2023. De janeiro a junho de 2026, o volume acumulado chegou a 274.443 notificações. Vale destacar que é a série pública mais longa do país, mantida desde 1999.

Repare no movimento: são três anos consecutivos de queda no total anual. Em contrapartida, esse dado contraria o discurso corrente de crescimento contínuo. Contudo, ele não significa que o país sofra menos incidentes.

A explicação está na natureza da base. Como a própria fonte alerta, as notificações são voluntárias e refletem apenas as redes que decidiram avisar. Portanto, a série mede o comportamento de quem notifica tanto quanto o volume de ataques. Já o ritmo de 2026 aponta na direção oposta: o semestre sozinho equivale a mais da metade de todo o ano anterior.

Vale entender o que domina esse volume. A categoria “scan” concentrou 393.919 registros em 2025, ou pouco mais de quatro em cada cinco notificações. Isto é, são varreduras de rede, tentativas de força bruta e sondagens que não obtiveram sucesso.

Ou seja, a maior fatia da série documenta reconhecimento, não comprometimento. Quem cita o total sem essa ressalva sugere meio milhão de invasões por ano no Brasil. A invasão de fato aparece em 3.729 notificações no mesmo período, uma fração mínima do volume.

Consulta feita em 8 de agosto de 2026 na série histórica publicada pelo centro nacional de resposta.

O que mudou em 2026: a explosão dos ataques de negação de serviço

A mudança mais forte da série brasileira não está no total, está na composição. Durante todo o ano de 2025, o CERT.br registrou 26.418 notificações de negação de serviço. Somente no primeiro semestre de 2026, esse tipo saltou para 48.153 notificações.

Em outras palavras, seis meses de 2026 acumularam quase o dobro das notificações de DoS do ano de 2025 inteiro. Cabe ressaltar que é a maior variação de perfil em toda a série recente. Além disso, ela desloca o eixo do problema: negação de serviço ataca disponibilidade, não confidencialidade.

Essa distinção muda quem precisa agir. Vazamento é assunto de segurança da informação. Já indisponibilidade cai no colo de quem opera infraestrutura. Nesse sentido, o tema se aproxima dos vetores de ataque que afetam a operação do dia a dia.

Vale destacar outro dado do mesmo painel. Das 24.030 notificações de fraude de 2025, 22.818 foram phishing. Malware ficou com apenas 1.212 registros. Em resumo, a fraude brasileira continua apostando em engano do usuário, não em sofisticação técnica.

ANPD: quantas violações de dados chegam ao regulador

A ANPD recebeu 336 comunicações de incidente de segurança em 2024. No primeiro trimestre de 2025, o painel oficial da agência registrava 77 comunicações: 55 do setor privado contra 22 do setor público. Ainda no mesmo painel, São Paulo liderava com 26 casos, seguido pelo Distrito Federal com 16.

Compare a ordem de grandeza com a seção anterior. Enquanto o CERT.br contabiliza centenas de milhares de notificações técnicas, o regulador recebe algumas centenas de comunicações por ano. A diferença não é erro, é escopo: só chega à ANPD o incidente confirmado que envolve dados pessoais com risco relevante ao titular.

A Resolução CD/ANPD nº 15, de abril de 2024, fixou o prazo em três dias úteis. A contagem começa no momento em que o controlador descobre que o incidente afetou dados pessoais. Agentes de pequeno porte têm o dobro.

Depois disso, o controlador ainda pode complementar as informações em até vinte dias úteis.

Três dias úteis é pouco tempo para descobrir o que aconteceu, medir o alcance e redigir a comunicação. Por isso, a conformidade com a Lei Geral de Proteção de Dados depende menos de política escrita e mais de operação preparada.

Sem um plano de resposta a incidentes testado, o relógio começa a correr antes de a equipe entender o problema.

Não comunicar também tem consequência. A mesma resolução criou o procedimento de apuração de incidente, que permite à agência investigar eventos dos quais tome conhecimento por outras vias. Constatada a ocorrência, a ANPD determina a comunicação e pode abrir processo sancionador. Em síntese, o silêncio não interrompe o relógio regulatório.

Quanto custa um incidente de dados no Brasil

Uma violação de dados custa, em média, pouco mais de sete milhões de reais a uma empresa brasileira. O valor vem do recorte nacional do estudo anual do Ponemon Institute para a IBM, na edição de 2025. Saúde, financeiro e serviços aparecem bem acima dessa média.

Com precisão, o custo médio chegou a R$ 7,19 milhões, alta de 6,5% sobre o ano anterior, conforme o anúncio oficial do levantamento.

O corte setorial importa mais do que a média. Saúde lidera com folga, seguida por financeiro e serviços. Ou seja, o valor da saúde equivale a quase 1,6 vez a média nacional.

Essa diferença tem consequência prática no business case. Um hospital que usar a média geral estará defendendo orçamento com um número muito abaixo do risco real do próprio setor. Portanto, sempre que existir corte setorial disponível, prefira ele à média.

Datação é obrigatória aqui. O valor se refere à edição de 2025 do estudo. Quem trata o número como atual sem citar o ano perde credibilidade na primeira pergunta difícil.

É um risco desnecessário em qualquer discussão de investimento em segurança digital.

Disponibilidade sob regulação: a lição dos dados do Pix

O Brasil tem um caso raro de disponibilidade com meta pública, apuração oficial e histórico aberto: o Sistema de Pagamentos Instantâneos. A regulação do Banco Central fixa um piso mínimo para o SPI, apurado mês a mês. Adicionalmente, os resultados saem em dados abertos e qualquer um pode auditá-los.

Os dados contam uma história que quase ninguém no mercado explorou. Entre fevereiro de 2021 e junho de 2026, a série soma 65 meses apurados. Em nenhum deles o índice ficou abaixo do piso normativo.

Números conferidos no portal de dados abertos da autoridade monetária, em consulta de 8 de agosto de 2026.

O aprendizado vale para qualquer operação crítica. Meta explícita, medição padronizada e publicação periódica transformam alta disponibilidade em compromisso verificável.

Quem já acompanha o comportamento do Pix na própria infraestrutura ganha, portanto, uma régua pública para comparar o próprio desempenho.

Como usar estes números no seu business case

Números soltos não convencem diretoria. O que funciona é conectar cada dado a uma decisão concreta, com a fonte à mão para o caso de alguém pedir. Use a régua abaixo como ponto de partida.

Para justificar investimento em detecção, combine o custo setorial da violação com o prazo regulatório de três dias úteis. A conta fica simples. Se a equipe leva mais tempo do que isso para entender o alcance de um evento, a empresa já está exposta a sanção. O prejuízo técnico vem depois, como agravante.

Para defender orçamento de disponibilidade, use o exemplo do SPI como referência de maturidade, não como meta copiada. A pergunta útil não é “qual é o meu uptime”, mas sim “eu consigo provar o meu uptime com a mesma clareza”. Assim, a discussão sai do achismo.

Por fim, cite a variação de perfil de 2026 ao propor mudanças de arquitetura. A escalada das notificações de negação de serviço mostra que resiliência voltou a ser tema de segurança. Nesse sentido, integrar monitoramento com gestão de incidentes de TI deixa de ser refinamento operacional e vira controle de risco.

Uma ressalva de escopo fecha a régua. Nenhum dos números acima diz quanto tempo sua equipe leva para resolver um incidente, porque nenhuma base oficial brasileira mede isso. Portanto, para essa camada, use os benchmarks internacionais de MTTR e resposta a incidentes como referência de tempo.

Metodologia e como citar esta página

Todos os dados desta página vêm de fonte primária brasileira ou de recorte oficial do país. As séries do CERT.br e do Banco Central foram lidas diretamente dos arquivos públicos de cada instituição, não de coberturas de imprensa. A consulta ocorreu em 8 de agosto de 2026.

Assumimos três compromissos com quem usa este material. Primeiro, nenhum número aparece sem publicador e período de referência. Segundo, dados anteriores ao ano corrente vêm sempre datados de forma explícita. Terceiro, o endereço permanece o mesmo a cada atualização, para que links já publicados continuem funcionando.

A revisão acompanha o calendário das próprias fontes. O CERT.br atualiza de forma contínua, o Banco Central publica mensalmente e o recorte brasileiro do estudo de custo sai por volta de julho. Os painéis da ANPD mudam em tempo real. Portanto, trate os totais citados aqui como foto datada. Confira a versão viva sempre que precisar de precisão.

Vai usar estes dados em uma apresentação, relatório ou reportagem? Fique à vontade. Pedimos apenas o crédito com link: OpServices, “Incidentes no Brasil em números”, 2026.

Conclusão

O Brasil não sofre de falta de dados sobre incidentes. Sofre de falta de leitura cuidadosa desses dados. As fontes existem, são públicas, atualizam com frequência razoável e quase ninguém as cita com o rigor que elas permitem.

O que este painel mostra é um retrato menos dramático e mais útil do que as manchetes de bilhões de tentativas. As notificações técnicas recuam há três anos, enquanto o perfil dos ataques muda rápido. O regulador recebe centenas de comunicações por ano, não milhares. E existe pelo menos um sistema crítico brasileiro com disponibilidade regulada que jamais descumpriu a própria meta.

Leve daqui um hábito antes de qualquer número: pergunte sempre qual base o dado usa, de que período ele é e quem o publicou. Em última análise, essa disciplina simples separa o argumento que sobrevive à reunião do que desmorona na primeira contestação.

Quer transformar essa leitura em capacidade real de detecção e resposta no seu ambiente? Fale com um especialista da OpServices e avalie como monitorar seus serviços críticos com evidência, não com suposição.