PMEs brasileiras não corrigem vulnerabilidades conhecidas, e o risco é considerado bastante real e imediato
Por Juan Alejandro Aguirre
O mais novo Ranking Mundial de Competitividade Digital revela as contradições da economia digital brasileira e as dores causadas por ambientes digitais que se expandem sem cessar, sem, no entanto, que isso aconteça de forma alinhada às melhores práticas de cybersecurity.
Esse estudo, divulgado em 2024, retrata as descobertas de pesquisas realizadas pelo suíço International Institute for Management Development (IMD) em parceria com a Fundação Dom Cabral. Fica claro que a superfície de ataque é cada vez mais complexa e distribuída.
Em 2024, apenas no tocante à vida digital dos consumidores, 96,7% dos domicílios brasileiros contavam com telefone celular. 92,5% das residências utilizavam Internet. 94,1% em áreas urbanas e 81% no mundo rural.
O outro lado deste contexto é que, num ranking que inclui 67 países, o Brasil ficou em 59º em relação à segurança cibernética. Em relação à capacidade de responder a ameaças, o país ficou na posição 53º. O tópico habilidades digitais e tecnológicas da população, por outro lado, nos coloca no 63º lugar.
Esse quadro pode ser agravado pelas estratégias que muitas empresas adotam na guerra digital: focarem seus recursos e atenção em ameaças cibernéticas inéditas, baseadas em IA, ou zero-day. É uma política absolutamente correta. Ainda assim, uma abordagem como essa pode deixar de fora ameaças igualmente destrutivas.
Há um segmento de organizações, em especial, que constantemente luta com outros tipos de violações. Trata-se do imenso setor PME brasileiro. Em 2024, o Brasil contava com 19.913.545 micro e pequenas empresas. Em muitos casos, os gestores deste setor não conseguem remediar vulnerabilidades conhecidas – algumas divulgadas há vários anos. Isso coloca os processos de negócios em risco.
Uma das razões para esse quadro é a baixa maturidade digital do segmento. Estudo da PEGN de outubro de 2024 informa que, numa escala de 0 a 80, a maturidade digital, e a resiliência em cybersecurity deste segmento está na faixa dos 35 pontos. Essa realidade torna crítico o fato de as PMEs não remediarem as vulnerabilidades conhecidas de seu ambiente de produção.
Vulnerabilidades são fragilidades em sistemas, aplicações, processos e até no comportamento humano que podem ser exploradas por atacantes para obter acesso não autorizado, roubar dados sensíveis ou interromper operações.
Essas vulnerabilidades se manifestam de diversas formas. Erros de programação e falhas de software podem criar brechas para a injeção de código malicioso ou bypass de controles de segurança. Sistemas ou dispositivos configurados de maneira inadequada ficam expostos a acessos não autorizados.
Senhas fracas, um dos maiores problemas para os profissionais de segurança, são facilmente decifradas ou roubadas, permitindo que atacantes invadam contas e redes. Estudos retratam a tempestade perfeita:
78% dos usuários usam a mesma senha para mais de uma conta, 14% confessam usar a mesma senha para acessar Apps pessoais e aplicações de missão crítica da empresa onde trabalham. 43% afirmam não atualizar suas senhas há mais de cinco anos. E, entre as pessoas que sofreram ataques, 18% seguem usando a senha anterior à violação.
Ransomware avança 259% na América Latina
As consequências da exploração de vulnerabilidades podem ser devastadoras. Vazamentos de dados expõem informações sensíveis de clientes, propriedade intelectual e registros financeiros, levando a perdas financeiras, danos à reputação e até repercussões legais. Ataques de ransomware, uma ameaça crescente, criptografam dados críticos, paralisando operações até que resgates sejam pagos. O relatório de ameaças SonicWall 2025 ressalta como esse tipo de ameaça continua forte na nossa região – a incidência de ataques de ransomware cresceu 259% em relação ao ano anterior.
Em todos os casos, as interrupções causadas por ataques cibernéticos podem custar milhões de reais e comprometer a confiança do consumidor.
O panorama das vulnerabilidades não remediadas
É essencial destinar recursos para identificar e mitigar novas ameaças. Ainda assim, dados recentes confirmam que vulnerabilidades conhecidas continuam sendo um dos desafios mais significativos para as PMEs. Os dados do Intrusion Prevention System (IPS) da SonicWall, de janeiro de 2022 a março de 2024, revelam as cinco vulnerabilidades mais exploradas contra pequenas empresas:
• Log4j (CVE-2021-44228) (43%)
• Fortinet SSL VPN CVE-2018-13379 (35%)
• Heartbleed (CVE-2014-0160) (35%)
• Atlassian CVE-2021-26085 (32%)
• VMware CVE-2021-21975 (28%)
Das cinco vulnerabilidades mais exploradas em ataques contra PMEs, a mais recente tem quase três anos, enquanto a mais antiga tem mais de uma década.
Há fatores que explicam a estratégia dos criminosos de seguir explorando vulnerabilidades conhecidas. É o caminho da menor resistência – preferem violar exploits conhecidos, para os quais já desenvolveram técnicas de ataque. Conforme o modelo de negócio do atacante, isso pode ser preferível a investir tempo e esforço em intrusões mais elaboradas.
Para as PMEs, é um desafio equilibrar a continuidade de suas operações com os custos e habilidades necessários para corrigir vulnerabilidades conhecidas. Em função disso, muitas dessas falhas permanecem sem solução por tempo indeterminado. Nesse cenário, o uso de Managed Security Service Providers (MSSPs) torna-se uma opção atraente, pois permite contar com testes especializados, ferramentas avançadas e aplicação automática de patches.
O MSSP representa para o segmento PME, ainda, uma solução para a falta de pessoas capacitadas em segurança digital no mercado. Um estudo divulgado em 2024 revela que faltam 750 mil experts nesta área no Brasil. Além de aportar as mais avançadas tecnologias de cybersecurity ao cliente PME, os MSSPs destacam-se, também, por atuarem como co-gestores do ambiente do cliente, aumentando a resiliência do negócio.
Como as PMEs podem reduzir o risco de explorações conhecidas?
A luta contra ameaças cibernéticas é um exercício contínuo. Vulnerabilidades surgem constantemente, e atacantes seguem explorando-as mesmo anos após serem identificadas. Isso reforça a importância de manter-se informado sobre ameaças, corrigir vulnerabilidades rapidamente e adotar uma abordagem de segurança em camadas.
Para PMEs, construir um futuro digital mais seguro exige uma estratégia sólida de cibersegurança e a contratação inteligente de MSSPs, provedores de serviços que podem empregar as melhores ferramentas e conhecimentos para mitigar os riscos de vulnerabilidades conhecidas.
Os líderes de cibersegurança precisam priorizar corretamente as ameaças e alocar recursos com base na realidade de suas organizações. Essa estratégia, essencial para fortalecer a segurança cibernética, exige um entendimento profundo do panorama de ameaças. E, em certos casos, inclui dar ênfase à mitigação de vulnerabilidades que representam um risco real e imediato para o negócio.
Redbelt Security alerta: hackers miram sites de jogos online para disseminar fraudes
OCRA: A Autenticação de Próxima Geração para um Mundo Cibernético Mais Seguro
Segurança na Nuvem: Combate à Desinformação e Proteção Contra Engenharia Social
Crypto ID: informação estratégica em cibersegurança
Há mais de 10 anos, o Crypto ID conecta tecnologia, regulação e segurança com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões. Conheça a coluna Cibersegurança.
Cadastre-se para receber o IDNews e acompanhe o melhor conteúdo do Brasil sobre Identificação Digital! Aqui!
