Vazamento custa R$ 7,19 milhões no Brasil — e o MFA parou de ser resposta

O preço de um incidente no Brasil

O custo médio de um vazamento de dados no Brasil chegou a R$ 7,19 milhões, após alta anual de 6,5%. O recorte por setor é ainda mais duro: saúde lidera, com prejuízo médio acima de R$ 11 milhões, seguida por finanças e serviços.

São números que costumam ser lidos como estatística distante até a primeira notificação. Vale destrinchar o que está dentro deles, porque a composição explica por que o valor é tão alto: contenção e perícia, notificação de titulares, custo jurídico, sanção regulatória, e a parcela maior de todas, que é perda de negócio pelo tempo em que o sistema fica indisponível ou sob suspeita.

Como os ataques estão entrando agora

Duas técnicas dominam os relatos recentes e as duas contornam justamente as defesas que as empresas passaram os últimos anos implantando.

Roubo de cookie de sessão

A autenticação multifator virou padrão — e os atacantes pararam de tentar derrotá-la. Em vez de roubar senha e segundo fator, roubam o cookie de sessão já autenticado, geralmente por malware no dispositivo do usuário ou por phishing que intermedia o login.

Com o cookie válido em mãos, o invasor entra sem passar por MFA nenhum, porque do ponto de vista do sistema ele já passou. É por isso que "temos MFA" deixou de ser resposta suficiente para a pergunta sobre acesso indevido.

A mitigação existe e é pouco adotada: sessões curtas para acesso privilegiado, vínculo da sessão a características do dispositivo, reautenticação para operação sensível, e monitoramento de sessão ativa em geografia ou horário incompatível.

A porta do fornecedor

A segunda via de entrada é a cadeia de suprimentos. O atacante não invade a empresa grande — invade o fornecedor pequeno que tem acesso ao ambiente dela: a integradora, a agência com credencial de publicação, o parceiro com chave de API válida.

Esse vetor cresceu porque a superfície cresceu. Toda empresa digital hoje concede acesso a dezenas de terceiros, e a maior parte desses acessos foi criada para um projeto que acabou e nunca foi revogada.

O inventário que quase ninguém tem

Há um exercício simples que costuma render mais que qualquer ferramenta nova: listar todas as credenciais de terceiros ativas no ambiente — chaves de API, usuários de integração, acessos de suporte, tokens em pipeline de CI, webhooks configurados anos atrás.

A lista quase sempre é maior do que a memória do time, contém acessos de fornecedores que não trabalham mais com a empresa e inclui chaves com permissão muito acima do necessário para a função que exerciam.

Revogar o que sobrou e reduzir escopo do que ficou é trabalho de dias e fecha a via de entrada que mais cresce.

A camada regulatória mudou junto

O cálculo de risco de um incidente também mudou de lado. A ANPD passou a operar como agência reguladora, com autonomia ampliada e expansão relevante de equipe, e colocou dados biométricos, de saúde e financeiros entre as prioridades de fiscalização do semestre.

Na prática, um vazamento que há três anos gerava desgaste de imagem e um comunicado, hoje encontra do outro lado uma autoridade com estrutura para instaurar processo e capacidade de acompanhar o caso até o fim.

O que sustenta a defesa nesse cenário não é a ausência de incidente — nenhuma empresa garante isso. É a documentação de que existiam controles razoáveis, registro do que aconteceu, e notificação feita no prazo e com conteúdo adequado. Essa documentação, como sempre, é a coisa que ninguém escreve antes de precisar.