Inquérito vê declínio global nos custos de violação de dados

Os investimentos em plataformas de ciber-resiliência e proteção de dados podem estar a começar a dar frutos. Uma análise global anual de 113.620 violações de dados publicada pela IBM revela que o custo médio de uma violação de dados diminuiu pela primeira vez em cinco anos. O número diminuiu 9% de um ano para o outro, graças principalmente à descoberta e contenção mais rápidas.

Realizado em colaboração com o Ponemon Institute, o relatório revela que o custo médio global de violação diminuiu para $4,44 milhões, de $4,88 milhões em 2024, o que é consistente com os níveis de custo anteriormente experienciados em 2023. Pelo segundo ano consecutivo, os ataques de insiders maliciosos resultaram nos custos médios de violação mais elevados, com $4,92 milhões, seguidos de perto pelas compromissos da cadeia de abastecimento com $4,91 milhões e ataques de phishing com $4,8 milhões.

No entanto, o custo global das violações de dados seria ainda menor se não fossem os ataques nos EUA, onde o custo médio aumentou 9% para $10,22 milhões, principalmente devido ao aumento dos custos atribuídos a multas mais altas por não cumprimento das regulamentações.

Impacto no investimento em segurança

Não está claro até que ponto esses custos aumentados poderão encorajar as organizações nos EUA a melhorar a sua postura geral de cibersegurança para reduzir as penalizações em caso de uma violação, mas é evidente que organizações em todo o mundo estão finalmente a fazer progressos. Mais vítimas de ransomware também se recusaram a pagar um resgate em 2025 (63%) do que em 2024 (59%).

No entanto, o custo médio de um incidente de extorsão ou ransomware permanece elevado, especialmente quando divulgado por um atacante (5,08 milhões de dólares). Ao mesmo tempo, menos vítimas de ransomware relataram envolver as autoridades, 40% este ano em comparação com 53% no ano passado.

Além disso, o relatório da IBM também conclui que houve uma redução significativa no número de organizações que planeiam investir em segurança após uma violação (49%) em comparação com o ano passado (53%).

O relatório também observou que menos de metade daqueles que planeiam investir num plano de segurança pretende focar-se em soluções ou serviços de segurança baseados em inteligência artificial (IA), apesar de as equipas de segurança que utilizam IA e automação de forma extensiva terem reduzido os seus tempos de violação em 80 dias e diminuído os seus custos médios de violação em 1,9 milhões de dólares. O relatório também conclui que a IA está a começar a ser mais amplamente utilizada por ciberatacantes. Em média, 16% das violações de dados envolveram atacantes a usar IA, mais frequentemente para phishing gerado por IA (37%) e ataques de falsificação de identidade por deepfake (35%).

Perspetivando o futuro

Avaliar o custo real de uma violação de dados é, naturalmente, uma ciência inexata. Muitas das avaliações feitas, por exemplo, incluem perdas devido a danos reputacionais que poderão ser recuperadas numa data posterior.

Independentemente de como os custos são calculados, é óbvio que ainda há muito trabalho a ser feito. Na verdade, uma diminuição nos custos num único ano pode ainda revelar-se pouco mais do que uma aberração, uma vez que os cibercriminosos evoluem continuamente as suas táticas e técnicas, utilizando, por exemplo, vários tipos de ferramentas de IA. A pior coisa que qualquer organização poderia fazer neste momento é tornar-se ainda mais complacente em relação à cibersegurança do que já é.

Esperemos que, quando este inquérito for realizado no próximo ano, haja ainda mais progressos a aplaudir. O desafio, como sempre, é tentar manter-se alguns passos à frente dos adversários que, em comparação com a maioria das organizações, têm recursos financeiros quase ilimitados não só para descobrir vulnerabilidades, mas também para criar novas formas de as explorar.