Caso de executivo condenado por vender tecnologia sigilosa a intermediário russo revela os riscos do uso indevido de credenciais legítimas. No Brasil, violações de dados já custam, em média, R$ 7,44 milhões.
Quanto vale uma informação confidencial quando chega às mãos de criminosos? O caso de Peter Williams, ex-executivo de uma empresa contratada pelo setor de defesa dos Estados Unidos, ajuda a dimensionar esse mercado.
Em fevereiro de 2026, Williams foi condenado a 87 meses de prisão por roubar oito componentes de ferramentas cibernéticas sigilosas e vendê-los a um intermediário russo. Segundo o Departamento de Justiça americano, os contratos envolvidos alcançaram até US$ 4 milhões em criptomoedas, dos quais US$ 1,3 milhão foram efetivamente recebidos. Os prejuízos reconhecidos pela empresa chegaram a US$ 35 milhões.
O aspecto tecnológico do caso é especialmente relevante: entre 2022 e 2025, Williams utilizou seu acesso autorizado à rede segura da companhia para retirar ferramentas desenvolvidas para operações de segurança nacional. O material foi transferido ao comprador por meios criptografados.
As ferramentas continham componentes capazes de explorar vulnerabilidades em sistemas digitais, demonstrando que informações roubadas podem ter valor não apenas comercial, mas também estratégico.
Para Daniel Peres, executivo e especialista em cibersegurança com mais de 17 anos de experiência, a gravidade de um ataque não deve ser medida apenas pelo tempo necessário para restabelecer uma operação.
“Uma empresa pode recuperar seus sistemas depois de um ataque, mas isso não significa que recuperou o controle das informações roubadas. Dependendo do conteúdo, o criminoso pode continuar explorando aqueles dados por muito tempo, seja por meio de extorsão, fraude ou comercialização ilegal”, explica.
O desafio tecnológico: proteger dados de quem já tem acesso
O episódio expõe uma dificuldade enfrentada pelas organizações: identificar quando um profissional autorizado utiliza suas permissões para acessar e retirar informações fora das necessidades legítimas de suas atividades.
Esse risco exige controles que vão além das senhas e da autenticação multifator. Tecnologias de gestão de identidades e acessos (IAM), gerenciamento de acessos privilegiados (PAM) e prevenção contra perda de dados (DLP) permitem restringir permissões, monitorar operações sensíveis e identificar tentativas de extração de arquivos confidenciais.
A análise comportamental também pode contribuir para detectar volumes incomuns de downloads, acessos fora dos padrões habituais e transferências de informações para destinos não autorizados.
“Muitas empresas concentram esforços em impedir ataques externos, mas precisam observar também quem já tem acesso às informações. Uma credencial legítima nas mãos erradas pode abrir caminho para o roubo de documentos estratégicos sem que o criminoso precise romper todas as barreiras de segurança”, alerta Peres.
Violações de dados já custam R$ 7,44 milhões no Brasil
O relatório Cost of a Data Breach 2026, divulgado pela IBM em 15 de outubro, mostra que o custo médio de uma violação de dados no Brasil chegou a R$ 7,44 milhões, alta de 3,5% em relação ao ano anterior. No setor de saúde, o valor alcançou R$ 12,55 milhões.
O estudo também aponta que empresas brasileiras com uso amplo de inteligência artificial e automação na segurança registraram custos médios de incidentes 30% menores em comparação às organizações que não utilizam esses recursos.
Outro exemplo da gravidade da exposição de informações é o ataque à Change Healthcare, ocorrido em 2024, que afetou aproximadamente 192,7 milhões de pessoas, conforme atualização de julho de 2025 do Departamento de Saúde e Serviços Humanos dos Estados Unidos.
Diferentemente de credenciais que podem ser substituídas, informações médicas e segredos industriais podem continuar expostos e sujeitos a uso indevido mesmo depois da recuperação dos sistemas.
A Lei Geral de Proteção de Dados Pessoais (LGPD) prevê obrigações de segurança e de comunicação de incidentes que possam causar risco ou dano relevante aos titulares, conforme a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD).
Na avaliação de Lucas Paglia, advogado especialista em direito digital e cibersegurança, a responsabilidade das organizações não se limita à proteção técnica dos sistemas.
“Quando ocorre um vazamento, a discussão jurídica não termina na identificação da falha. É necessário avaliar os riscos para as pessoas afetadas, as medidas adotadas para reduzir os danos e se a empresa cumpriu seus deveres de prevenção e transparência. A proteção de dados envolve responsabilidade antes, durante e depois de um incidente”, explica.
O desafio para as organizações é proteger informações cujo valor não desaparece após a contenção do incidente. A recuperação de sistemas pode ocorrer em dias, mas a perda de um segredo empresarial ou a exposição de dados sensíveis pode produzir consequências durante anos.
Nem sempre o consentimento é o melhor escudo protetor para dados pessoais
Internet das Coisas e a comunicação corporativa
Desde 2014, o Crypto ID acompanha a evolução das tecnologias de identificação de pessoas e de identidades não humanas (NHIs), com abordagem técnica e acadêmica. Aprofunde-se nesses temas em nossa coluna sobre Identidade. Aqui!
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
Leia mais sobre Privacidade e Proteção de Dados em nossa coluna dedicada a esse tema. São artigos sobre o que acontece no Brasil e no Mundo. Aqui!
