Artigos
Estudos de setembro mostram por que risco cibernético se reporta em faixa, não em ponto
Sinistros cibernéticos vão de menos de $ 1 mil a mais de $ 500 milhões, e menos de 44% das empresas têm plano de continuidade testado (NetDiligence e Gartner, 2026). Para o conselho, o valor médio não serve: a decisão pede faixa de perda sustentada por controle provado.
Dois levantamentos publicados em setembro de 2026 medem a mesma coisa por ângulos diferentes. O estudo anual de sinistros da NetDiligence mostra perdas que vão de menos de $ 1 mil a mais de meio bilhão de dólares. O Gartner informa que menos de 44% das organizações têm plano de continuidade de TI atualizado e testado. Juntos, eles sustentam uma tese simples: risco cibernético não cabe em um número só, e a faixa que o conselho precisa ver só fica estreita quando o controle foi provado.
O que os estudos mostram
A NetDiligence, empresa que analisa sinistros de seguro cibernético, publicou em 15 de setembro de 2026 a 16ª edição do seu Cyber Claims Study. A base cobre 10.309 sinistros de incidentes ocorridos entre 2021 e 2025. Uma semana depois, em 22 de setembro, o Gartner divulgou os destaques do primeiro dia do Security & Risk Management Summit de Londres.
| indicador | número | fonte |
|---|---|---|
| Sinistros analisados | 10.309, de incidentes de 2021 a 2025 | NetDiligence, 2026 |
| Maior pedido de resgate da série | $ 500 milhões | NetDiligence, 2026 |
| Maior resgate pago da série | $ 90 milhões | NetDiligence, 2026 |
| Participação das grandes empresas | 3% dos sinistros e 56% do custo total | NetDiligence, 2026 |
| Participação das empresas com receita abaixo de $ 2 bilhões | 97% dos sinistros e 44% do custo total | NetDiligence, 2026 |
| Organizações com plano de continuidade de TI atualizado e testado | menos de 44% | Gartner, 2026 |
| CISOs com ao menos um incidente de engenharia social com deepfake em 12 meses | 41% | Gartner, 2026 |
Dois números merecem atenção. Nas empresas com receita abaixo de $ 2 bilhões, ransomware e comprometimento de e-mail corporativo responderam, juntos, por mais da metade dos sinistros de 2025, segundo a NetDiligence. E o presidente da empresa, Mark Greisiger, resumiu o achado central em uma frase: "Every year, this study reminds us how wide the range of cyber loss really is" ("todo ano, este estudo nos lembra o quanto é ampla a faixa da perda cibernética").
No Gartner, o analista Christopher Mixter levou a mesma ideia para a estratégia: "Resilience, not prevention, is the strategy" ("a estratégia é resiliência, não prevenção").
O que isso significa junto
A primeira leitura é sobre a média. Quando 3% dos sinistros concentram 56% do custo, o valor médio por incidente descreve quase ninguém. Ele fica alto demais para a maioria e baixo demais para o caso que de fato ameaça o balanço. Um conselho que aprova orçamento com base nesse número está decidindo sobre uma empresa que não existe.
A segunda leitura é sobre a cauda. Pedidos de resgate de $ 500 milhões e pagamentos de $ 90 milhões são raros, mas estão na série. Para o CFO, a pergunta útil não é "quanto custa um incidente", e sim "qual a perda provável, qual o cenário ruim e com que confiança sabemos disso". É a linguagem de apetite e tolerância a risco que a diretoria já usa em crédito e mercado.
A terceira leitura liga os dois estudos. A largura da faixa depende do que se sabe sobre os controles. Um plano de continuidade que nunca foi testado é controle declarado, não evidenciado. Se menos de 44% das organizações têm esse plano atualizado e testado, a maioria está estimando o tempo de parada, e portanto a perda de um ransomware, a partir de uma premissa sem prova. A faixa fica larga porque a evidência é fraca.
Para instituições reguladas pelo Banco Central, isso já é exigência. A Resolução CMN 5.274, de 18 de dezembro de 2025, com prazo de adequação em 1º de março de 2026, trata teste de continuidade como controle obrigatório e pede teste de intrusão ao menos uma vez por ano, feito por profissional independente, com resultado documentado e disponível ao Banco Central por cinco anos, segundo análises da Grant Thornton e da NDM Advogados. As mesmas análises apontam que resultados de testes de continuidade e incidentes relevantes precisam chegar às instâncias de governança.
O dado do deepfake completa o quadro. Fraude de pagamento por e-mail comprometido é um dos cenários que mais aparecem nos sinistros das empresas menores, e 41% dos CISOs ouvidos pelo Gartner já tiveram ao menos um incidente de engenharia social com deepfake. Controle de aprovação de pagamento que depende de reconhecer voz ou rosto merece ser testado de novo.
O que fazer agora
- Troque o número único por faixa no reporte ao conselho: perda provável, cenário severo e o grau de confiança da estimativa.
- Teste o plano de continuidade de TI com restauração real, registre data, responsável e tempo medido, e use esse tempo na estimativa de perda por ransomware.
- Reveja a aprovação de pagamentos e alterações de dados bancários de fornecedores para que não dependa de voz, vídeo ou e-mail como única confirmação.
- Confira a guarda das evidências de pentest e de testes de continuidade pelo prazo que a regulação pede, com origem e data de cada prova.
- Compare a faixa de perda com o limite da apólice de seguro cibernético e leve a diferença ao comitê como decisão, não como nota de rodapé.
É a lógica que orienta a metodologia pública da Indene: toda exposição sai em dólares, como faixa, com a confiança da evidência ao lado, e prova vencida abre a faixa sem que ninguém precise mexer no número. Leia a metodologia.
Referências
- NetDiligence Publishes Sixteenth Annual Cyber Claims Study: NetDiligence, 15 de setembro de 2026
- Gartner Security & Risk Management Summit 2026 London: Day 1 Highlights: Gartner, 22 de setembro de 2026
- Segurança cibernética: o que muda com a Resolução CMN nº 5.274/2025?: Grant Thornton, 30 de dezembro de 2025
- O que muda para a segurança cibernética das instituições autorizadas até março de 2026 com as Resoluções BCB 538/2025 e CMN 5.274/2025: NDM Advogados, data [a confirmar]