Vazamento de dados custa em média R$ 7,44 milhões no Brasil, recorde da série — e na saúde a conta passa de R$ 12 milhões

Todo ano, a IBM publica o Cost of a Data Breach, um dos estudos mais citados sobre o custo de um vazamento de dados, feito com o Ponemon Institute. Na edição global de 2026, o custo médio de um incidente chegou a US$ 4,99 milhões, alta de 12% e recorde. Na quinta-feira, 15 de outubro, saiu o recorte brasileiro — e ele também bateu recorde: R$ 7,44 milhões por incidente, 3,5% acima dos R$ 7,19 milhões do ano anterior.

O número vem de 42 organizações brasileiras, parte de um total de 602 empresas atacadas no mundo entre março de 2025 e fevereiro de 2026. São, em geral, empresas de porte médio e grande — mas as proporções do estudo dizem muito também para quem é menor.

Onde a conta pesa mais

Por setor, o ranking brasileiro tem a saúde muito à frente:

• Saúde: R$ 12,55 milhões por incidente — quase 70% acima da média.
• Tecnologia: R$ 8,96 milhões.
• Serviços: R$ 8,63 milhões.

Não é difícil entender por quê. Dado de saúde é dado sensível pela LGPD, o atendimento não pode parar e a reconstrução de sistemas em um hospital é lenta e cara.

Por onde os invasores entram

Duas portas dividem o primeiro lugar, cada uma com 16% dos incidentes no Brasil:

• Phishing — incluindo os golpes por voz e por SMS —, com custo médio de R$ 7,93 milhões. É a categoria do falso suporte de TI e da falsa central, que já apareceu aqui no caso que levou 284 milhões de registros médicos com uma ligação.
• Comprometimento da cadeia de fornecedores, com custo médio de R$ 7,32 milhões: o atacante entra pelo sistema de um parceiro, como no emissor de notas fiscais polonês que expôs dados bancários de clientes.

O estudo também mostra a inteligência artificial mudando o jogo do lado do ataque: uma em cada quatro ameaças maliciosas já é movida por IA, e, no mundo, os ataques impulsionados por IA cresceram 56%, puxados por golpes com imitação de voz e imagem (deepfakes) e por malware criado com ajuda de IA.

O que aumenta e o que diminui a conta

A parte mais útil do relatório é a lista de fatores que mexem no valor final. No Brasil:

Aumentam o custo

• TI na sombra — aplicativos e serviços usados pelos funcionários sem aprovação da empresa: +R$ 720,3 mil em média. O tema é parente próximo da IA na sombra, que já está em 82% das empresas.
• Complexidade de segurança — ferramentas e processos demais, que não conversam entre si: +R$ 645,2 mil.

Diminuem o custo

• Testes de segurança ofensivos (simular o ataque antes do criminoso): −R$ 579,4 mil.
• Criptografia: −R$ 478,1 mil. No mundo, só 37% das organizações atacadas criptografavam os dados sensíveis.
• Gestão de credenciais: −R$ 454,7 mil.
• IA e automação na defesa, usadas de forma ampla: custo médio cerca de 30% menor. Quem não usa paga, em média, R$ 8,69 milhões — uma diferença de mais de R$ 2,6 milhões por incidente.

Repare que, tirando a IA, os itens que mais economizam são o básico bem feito: testar, criptografar e cuidar de senhas e acessos. E os que mais encarecem são, no fundo, falta de controle — do que a equipe usa e de quantas ferramentas a própria segurança acumulou.

O fator que nenhuma tabela mostra

“Para as empresas, quanto maior o atraso, maior o custo”, resumiu Nicolas Mucci, líder de serviços de cibersegurança da IBM Consulting para a América Latina, ao comentar os números. “A economia dos ciberataques está mudando radicalmente.”

R$ 7,44 milhões é a média de 42 empresas. A conta de cada uma depende de uma variável que pesquisa nenhuma consegue medir por ela: quantas horas se passam entre o primeiro sinal de que algo está errado e a primeira reação.

Fontes

• IBM e Ponemon Institute — Cost of a Data Breach Report 2026: ibm.com

• Convergência Digital — “Custo médio de uma violação de dados no Brasil bate recorde e chega a R$ 7,44 milhões” (15/10/2026): convergenciadigital.com.br

• Foto de capa: edifício da IBM em São Paulo — Alexandre Possi, CC BY 3.0, via Wikimedia Commons

• Segunda imagem: placa na entrada do escritório da IBM em São Paulo — Slyronit, CC BY-SA 4.0, via Wikimedia Commons