Verizon DBIR 2026: exploração de vulnerabilidades se torna o principal vetor de acesso inicial

A Verizon publicou o Relatório de Investigação de Violação de Dados (DBIR) 2026, baseado na análise de mais de 22.000 violações de dados e 31.000 incidentes de segurança que ocorreram entre 1 de novembro de 2024 e 31 de outubro de 2025.

Nota: Salvo indicação em contrário, todas as estatísticas abaixo comparam este período com os dados do DBIR 2025, que cobriu de 1 de novembro de 2023 a 31 de outubro de 2024.

Principais descobertas:

🛠 A exploração de vulnerabilidades tornou-se, pela primeira vez, o principal vetor de acesso inicial, respondendo por 31% de todas as compromissões. Apenas 26% das vulnerabilidades do catálogo CISA KEV foram totalmente remediadas pelas organizações pesquisadas, e o tempo mediano para resolução total aumentou para 43 dias (comparado a 38% e 32 dias, respectivamente, no DBIR 2025).

💰 O ransomware esteve envolvido em 48% de todos os incidentes de violação de dados. As vítimas estão cada vez mais recusando pagar: 69% das organizações não fizeram pagamentos, enquanto o resgate mediano caiu de $150.000 para aproximadamente $140.000. O GTIG havia relatado anteriormente receitas declinantes de ransomware.

👤 62% dos incidentes envolveram ações não intencionais do usuário. O papel de contratados e parceiros também aumentou drasticamente — incidentes envolvendo compromissos de terceiros aumentaram 60%, representando agora 48% de todos os ataques relacionados a violação de dados.

📱 Em simulações de phishing, cenários móveis (aplicativos de mensagens, chamadas de voz) mostraram uma taxa de cliques 40% maior do que o phishing baseado em e-mail. Os atacantes estão cada vez mais dependendo de pretexting (engenharia social usando cenários fabricados) como ponto de entrada para ataques relacionados a ransomware.

🤖 No desenvolvimento de malware, a IA ainda é usada principalmente para reproduzir técnicas existentes: a maioria das amostras replicou a funcionalidade de malware conhecido. Menos de 2,5% das amostras geradas por IA envolveram técnicas novas ou raras.

A Verizon também apresentou dados usando o modelo VERIS (Vocabulary for Event Recording and Incident Sharing), que estrutura informações de ataques e incidentes.

🥷 Atores VERIS: • 88% dos ataques originaram-se de atores externos, 12% de internos (incluindo ações intencionais de insiders e erros acidentais).
• Entre atores externos, grupos de crime organizado (87%) e grupos afiliados ao estado (15%) dominam.
• Internamente, usuários regulares foram os mais frequentemente envolvidos (75%), seguidos por administradores de sistema (19%) e desenvolvedores (4,1%).
• O motivo principal permanece ganho financeiro (88%), com ciberespionagem respondendo por 13%.

⚔ Ações VERIS:
• O ransomware apareceu em 48% dos ataques, o uso de credenciais roubadas permaneceu estável em 36%, e a exploração de vulnerabilidades subiu para 31%.
• Funcionalidade C2 foi observada em apenas 16% dos casos. Os atacantes dependem cada vez mais de caminhos de acesso de usuário padrão, que são menos visíveis para sistemas de monitoramento.

🖥 Ativos VERIS: • Os ativos mais visados foram aplicações web (54%), servidores de e-mail (30%) e funcionários (13%).
• Em termos mais amplos, servidores (84%), pessoas (23%) e dispositivos de rede (5%) foram os principais alvos de ataque.

📂 Atributos VERIS: • Violações de confidencialidade de dados ocorreram em 82% dos incidentes, impacto na integridade em 64% e problemas de disponibilidade em 53%.
• Os dados mais comumente roubados foram documentos internos (67%), seguidos por credenciais (28%) e dados pessoais (23%).
• Informações pessoais altamente sensíveis, como números de Seguro Social, foram comprometidas em 1,7% dos casos.

O relatório coloca ênfase notável no problema de patching lento, que se tornou particularmente crítico à medida que a exploração de vulnerabilidades lidera os vetores de acesso inicial pela primeira vez. Ao mesmo tempo, a proeminência do fator humano e proteção insuficiente de terceiros persiste — riscos que não podem ser totalmente mitigados por meios técnicos. Consequentemente, conscientização fundamental de segurança e supervisão da cadeia de suprimentos permanecem componentes essenciais de defesa.