As empresas brasileiras entraram em novembro de 2025 em um patamar crítico de exposição digital. Enquanto a média global ficou em 2.003 ciberataques semanais por organização, o Brasil saltou para 3.348 ataques por semana, algo em torno de 60% acima do restante do mundo. Na prática, é como se cada empresa relevante no país estivesse sob fogo cruzado, com uma tentativa de intrusão a cada poucos minutos.
Mais grave: o alvo mudou. O setor de Saúde assumiu a liderança entre os mais atacados no Brasil, à frente de Governo e Educação, quebrando o padrão global em que Educação ainda ocupa o topo. Ao mesmo tempo, a combinação de IA Generativa usada sem governança, fenômeno já apelidado de Shadow AI, e o crescimento de Ransomware cria um cenário em que o risco não vem só de fora, mas também das próprias decisões (e cliques) de funcionários e executivos.
Brasil na mira: números alarmantes
Os dados mais recentes do Relatório Global de Inteligência de Ameaças da Check Point Research mostram um mundo em alta tensão, com 2.003 ataques semanais por organização, um crescimento de 3% em relação a outubro e de 4% na comparação anual. A América Latina lidera esse movimento, com 3.048 ataques semanais em média, alta de 17% ano a ano.
Dentro desse cenário já crítico, o Brasil se destaca negativamente. As organizações instaladas no país registram 3.348 ataques por semana, 14% acima de 2024 e bem acima da própria média latino-americana. Em outras palavras, o país consolida sua posição como um dos “campos de batalha” mais intensos do mundo em ciberameaças.
Para o board e para a alta gestão, isso significa que indicadores como “incidentes por semana” e “tempo médio de exposição” deixaram de ser métricas técnicas. Eles se tornaram indicadores de risco de negócio, com impacto direto em receita, continuidade operacional e reputação.
Saúde na UTI digital
Globalmente, o relatório reforça uma tendência conhecida: Educação continua sendo o setor mais atacado, com 4.656 ataques semanais por organização, seguida por governo e organizações sem fins lucrativos. É o retrato de uma superfície de ataque ampla, com muitos usuários, infraestrutura heterogênea e orçamentos de segurança limitados.
No recorte de ciberataques Brasil novembro 2025, porém, o filme é outro. No país, o ranking dos setores mais visados foi liderado por Saúde, seguido por governo e, depois, educação. O impacto desse deslocamento é estratégico.
Hospitais, laboratórios, operadoras de planos de saúde e clínicas concentram três ativos que interessam diretamente ao cibercrime:
- Dados altamente sensíveis, como prontuários, exames, históricos de tratamento e informações financeiras.
- Infraestruturas híbridas e, muitas vezes, legadas, com equipamentos médicos conectados (IoMT) que não foram projetados com segurança em mente.
- Baixa tolerância a indisponibilidade: bastam poucas horas de parada para que a pressão por pagar resgate ou negociar com criminosos aumente muito.
Quando o setor de Saúde vira o alvo número um, o recado para o restante da economia é claro: cibercrime está priorizando ambientes em que a interrupção de serviços é politicamente, socialmente e financeiramente explosiva.
O risco interno: IA, Shadow AI e vazamento de dados
Se o perímetro externo já é hostil, o relatório mostra que o risco interno cresceu de forma preocupante com a explosão da IA Generativa nas empresas. Em novembro, 1 em cada 35 prompts de GenAI enviados a partir de redes corporativas apresentava alto risco de vazamento de dados sensíveis, afetando 87% das organizações que usam essas ferramentas de forma regular.
Além disso, 22% dos comandos analisados continham dados potencialmente sensíveis: comunicações internas, informações de clientes, código proprietário ou identificadores pessoais. E, mesmo com alguma adoção de soluções gerenciadas, as empresas utilizam, em média, 11 ferramentas diferentes de IA Generativa por mês, muitas vezes fora da governança formal de segurança. É aí que nasce a Shadow AI, a versão “IA” da velha Shadow IT.
A analogia é direta para qualquer CEO ou diretor entender: usar IA Generativa na empresa sem governança é como discutir segredos industriais em um elevador lotado. Você acha que está sendo produtivo, mas 1 em cada 35 frases que você diz (ou digita no prompt) está entregando ouro para quem não deveria ouvir. No contexto brasileiro, isso significa expor base de clientes, fórmulas, código-fonte, planos de M&A e até estratégias jurídicas em plataformas que podem armazenar, processar e, eventualmente, serem comprometidas.
Em termos de Threat Intelligence, esse comportamento cria um novo tipo de superfície de ataque: promps inseguros tornam-se matéria-prima para engenharia social, ataques de spear phishing com contexto privilegiado, roubo de credenciais e até reconstrução de propriedade intelectual.
Ransomware em expansão: Qilin, Clop e Akira no radar
No topo desse caldo de exposição, o Ransomware segue em ascensão. Em novembro de 2025, foram registrados 727 incidentes públicos de sequestro de dados, um aumento de 22% em relação ao ano anterior. A maior concentração ainda está na América do Norte, com 55% dos casos divulgados, seguida pela Europa com 18%, mas a tecnologia e os playbooks usados nesses ataques rapidamente chegam a outras regiões, inclusive ao Brasil.
Os dados da Check Point Research apontam três grupos como protagonistas do mês:
- Qilin: grupo de Ransomware-as-a-Service (RaaS) com histórico desde 2022, forte em infraestrutura de afiliados e com grande volume de vítimas listadas em sites de vazamento.
- Clop: conhecido por campanhas massivas de exfiltração de dados e exploração de vulnerabilidades em plataformas corporativas de alto valor, como ERP e sistemas financeiros.
- Akira: com foco em ambientes Windows, Linux e ESXi, investe em payloads modernos (incluindo variantes em Rust) e em técnicas de dupla extorsão, combinando criptografia com vazamento público controlado.
Para organizações brasileiras, sobretudo em setores críticos como Saúde, serviços empresariais e manufatura, isso significa que os mesmos atores que hoje pressionam empresas norte-americanas e europeias já têm ferramental, infraestrutura e modelo de negócio prontos para atacar qualquer ambiente exposto, independentemente do CEP.
Como as empresas brasileiras devem reagir agora
Diante do retrato de ciberataques Brasil novembro 2025, a mensagem central do relatório é que reagir apenas aos incidentes já não é aceitável como estratégia. A lógica de “detectar e responder” isoladamente não acompanha o ritmo de ataque de grupos como Qilin, Clop e Akira, nem o efeito cascata da Shadow AI.
Alguns movimentos prioritários para o cenário corporativo brasileiro:
- Adotar prevenção em primeiro lugar
Integrar soluções de segurança com IA em tempo real, capazes de bloquear Malware, Phishing e Ransomware antes da execução, em rede, endpoint, e-mail e nuvem. Detecção sozinha já não basta quando a janela entre intrusão e criptografia pode ser de minutos. - Governar a IA Generativa e eliminar Shadow AI
Criar políticas claras de uso de GenAI, definir quais ferramentas são autorizadas, o que pode ou não ser enviado a esses serviços e implementar controles de DLP, proxy e CASB para monitorar prompts e saídas. O objetivo é transformar Shadow AI em AI governada, com trilha de auditoria e alinhada à LGPD. - Reforçar resiliência contra ransomware
Manter backups isolados (offline ou imutáveis), testar periodicamente planos de resposta a incidentes, segmentar redes críticas e validar se os fluxos de restauração suportam cenários de paralisação prolongada. A métrica-chave deixa de ser apenas “backup feito” e passa a ser “tempo realista de retomada”. - Priorizar setores e processos de missão crítica
Em empresas de Saúde e em outras infraestruturas essenciais, aplicar segmentação de rede, endurecimento de sistemas legados, proteção específica de IoT/IoMT e processos de contingência manual para operações vitais. Não é apenas uma questão de compliance, mas de risco à vida e à continuidade de serviço. - Investir em Threat Intelligence contextualizada ao Brasil
Consumir e operacionalizar feeds de Threat Intelligence que tragam não só indicadores de compromisso (IoCs), mas também táticas, técnicas e procedimentos (TTPs) de grupos ativos no país e na região. O objetivo é antecipar campanhas, ajustar controles antes da exploração e alinhar segurança à realidade do ecossistema local.
O recado final do relatório é inequívoco: o Brasil está na linha de frente dos ciberataques globais, e a combinação de pressão externa com exposição interna via IA Generativa e Shadow AI cria um ambiente em que a inércia tem custo alto. Para quem decide orçamento, estratégia e tecnologia, 2025 não é mais o ano de “pensar em reforçar a segurança”, mas de tratá-la como alicerce da operação.
