Skip to main content
Marsh logo

Relatório

Relatório Global de Sinistros Cibernéticos

A tendência definidora das reivindicações cibernéticas globais em 2025 foi a complexidade

Embora algumas regiões tenham registrado um número ligeiramente menor de notificações ano a ano, e um grande número de eventos correlacionados em meados de 2024 tenha afetado a comparação, os totais ajustados para 2024 e 2025 são amplamente comparáveis. Mais notável é como os incidentes agora combinam múltiplos vetores de perda — exposição de privacidade, extorsão, interrupção prolongada dos negócios, falha de terceiros e litígio — dentro de eventos únicos. Esses incidentes multivetoriais geram sinistros maiores, mais complexos juridicamente e de duração mais longa. 

A implicação prática é que a resiliência cibernética deve abranger toda a empresa, integrando segurança, privacidade, governança de fornecedores, jurídico, gestão de crises e desenho de seguros, e deve ser concebida para gerenciar eventos de alta gravidade impulsionados por agregação, em vez de apenas reduzir a contagem de incidentes.

Contexto e tendências de alto nível

Uma modesta queda ano a ano em algumas regiões mascarou uma atividade persistentemente elevada: grande parte do declínio aparente resulta da normalização relativa a um cluster de eventos correlacionados em 2024. 

O gráfico acima cobre os últimos cinco anos do volume de sinistros. Por motivos de privacidade, indexamos o volume a uma linha de base de 2021 = 100, permitindo comparações ano a ano normalizadas.

No gráfico a seguir, identificamos eventos correlacionados em 2024. Quando removidos, ele mostra que os níveis de perdas não catastróficas de 2024 estavam aproximadamente no mesmo patamar de 2025.

Sinistros cibernéticos estão evoluindo

Atualmente, os sinistros combinam cada vez mais responsabilidades por privacidade, interrupção de negócios, impactos a terceiros, ações regulatórias e extorsão, multiplicando os fatores de custo, o risco de litígio e os prazos de recuperação.

Mesmo em regiões onde o volume de notificações diminuiu, os incidentes tenderam a ser mais graves e juridicamente complexos. As perdas refletem cada vez mais interrupção operacional, uso indevido de dados, escrutínio regulatório, dinâmicas de extorsão e dependências de fornecedores externos. 

As organizações podem querer avaliar tanto a frequência quanto o risco de agregação em ecossistemas e geografias, reconhecendo que um único comprometimento técnico pode desencadear múltiplas formas de exposição.

Nossa taxonomia

Há alguns anos, trabalhamos para construir e implementar uma taxonomia interna para ajudar a esclarecer a complexidade emergente que observávamos nos sinistros. Coletar informações dentro dessa estrutura nos permite descrever com mais precisão tanto as causas quanto os efeitos dos eventos que afetam nossos clientes. 

Neste relatório, dividimos os sinistros ao longo de três eixos principais:

Esta seção foca em coletar dados sobre as origens do evento. Isso geralmente se divide nas seguintes fontes:

  • Ator externo - qualquer pessoa, organização ou sistema fora do limite de controle da organização que possa interagir com ou impactar sua tecnologia, dados ou serviços
  • Agente interno - uma pessoa com acesso legítimo e autorizado aos sistemas ou dados da organização que possa, intencionalmente ou não, causar danos
  • Terceiro - uma entidade externa não-empregada que fornece serviços ou mantém relacionamento comercial com a organização e que possa acessar, processar, hospedar ou, de outra forma, afetar seus sistemas ou dados

Esta seção pretende capturar os detalhes do evento que se aplicam à infraestrutura cibernética — o “como” do evento. Notavelmente, isso é distinto dos efeitos do evento, que são tratados em eventos de negócios. Esses não precisam ser mutuamente exclusivos; frequentemente ocorrem múltiplos eventos cibernéticos em determinado sinistro.

  • Violação de rede - a maioria dos casos e o que normalmente se pensa como um ciberataque
  • Erro/misconfiguração - “erros” não maliciosos cometidos na infraestrutura digital
  • Personificação sem violação (fraude e engenharia social pura, geralmente usada em fraudes por transferência de fundos) - atividades de personificação que não requerem ou não incluem uma violação de ativos de rede
  • Degradação do sistema - ataques DDoS, sequestro de recursos e outros comportamentos que incluem a degradação de serviços
  • Interceptação/coleta passiva - geralmente, quando empresas próprias ou de terceiros coletam informações que podem colocá-las em risco

Esta seção é onde procuramos capturar os efeitos de um evento sobre o negócio. Isso nos permite modelar e rotular eventos cibernéticos independentemente de seus efeitos. Exemplos de dados de eventos de negócios incluem, entre outros:

  • Extorsão - a parte de “resgate” do ransomware e outras atividades que buscam explorar alavancagem
  • Violação de privacidade - os impactos associados à exposição ou ao manuseio inadequado de informações privadas (observe que violar a privacidade não requer uma violação de rede)
  • Litígio - os efeitos associados a ações legais efetivas ou ameaçadas (incluindo custos de defesa, acordos e sentenças) decorrentes do evento
  • Multas regulatórias - penalidades monetárias, sanções ou remediação mandatória impostas por reguladores por não conformidade
  • Deterioração de ativos - o impacto financeiro de ativos danificados
  • Dano reputacional - o prejuízo à confiança e à percepção da marca resultante do evento
  • Responsabilidade - a responsabilidade legal de compensar terceiros por perdas (clientes, terceiros, contrapartes contratuais) associadas ao evento

Esses termos são usados ao longo do relatório e combinados de várias formas. Às vezes, podemos agrupá-los para fins de simplicidade e exibição (por exemplo, impactos relacionados à privacidade incluem elementos como litígios, ações regulatórias e eventos de violação de privacidade).

Tendências-chave de 2025

selected option

Questões de privacidade dominam todos os sinistros 

O risco de privacidade foi um tema dominante entre os sinistros em várias regiões-chave em 2025. 

Na Europa, uma parcela substancial das notificações de ciberincidentes incluiu componentes de privacidade; nos EUA e no Canadá, litígios relacionados à privacidade se expandiram além dos casos clássicos de violação para ações que não dependem de violação vinculadas ao rastreamento de sites, à telemetria de dispositivos e às práticas de uso de dados. A exposição à privacidade agora vai além da resposta a incidentes e alcança conformidade, governança e litígios civis. 

Notavelmente, 2025 registrou um aumento nos sinistros de tecnologia E&O relacionados a estatutos de privacidade que não dependem de violação e litígios conectados a “track and trace” ou ferramentas semelhantes de telemetria/analytics. As organizações devem revisar como usam ferramentas de rastreamento e análise de sites e garantir que as divulgações relacionadas, as práticas de consentimento e os acordos com fornecedores acompanhem a evolução do ambiente de risco de privacidade.

A gravidade dos sinistros por extorsão está aumentando mesmo com a queda no número de sinistros  

Apesar da redução no volume de sinistros por extorsão desde 2023, a gravidade média dos sinistros aumentou nos últimos dois anos, à medida que atores maliciosos passam da extorsão baseada exclusivamente em criptografia para monetizar o acesso por meio de exfiltração, ameaças de vazamento e táticas disruptivas. 

Portanto, a resposta a incidentes e o desenho da cobertura devem contemplar cenários de roubo de dados e divulgação pública, além da restauração de sistemas e da descriptografia. As organizações também devem estar preparadas para comunicações complexas com partes interessadas e exposições regulatórias relacionadas à divulgação.

Incidentes não maliciosos podem ter impactos desproporcionais

Incidentes que não decorrem de ataques, mas de erros e de coleta passiva/indevida de dados continuam ganhando destaque, e representam uma parcela crescente da atividade de sinistros. Notavelmente, 2024 e 2025 continuaram a registrar um aumento geral nos sinistros relacionados a eventos não maliciosos.

Riscos internos e de terceiros ganham mais destaque

Embora atores externos permaneçam a maior fonte de incidentes, ameaças internas e de terceiros continuam ganhando relevância, levando igualmente a um conjunto complexo de desdobramentos. A seguir, detalhamos os eventos de negócio decorrentes dessas fontes de atividade.

Distribuições de severidade estão se tornando mais elevadas

Os valores medianos de severidade permaneceram, em grande parte, estáveis ano a ano, mas observamos uma expansão da extremidade superior dos sinistros — o 75º percentil mostrado no gráfico abaixo. Isso mostra onde a distribuição de resultados está se tornando mais assimétrica em direção à cauda, ou seja, onde os “piores cenários” estão ficando piores. 

Interrupção de negócios, como era de se esperar, lidera o grupo, mas litígios e responsabilidade adicionalmente aparecem em nossos 5 principais riscos de severidade, à medida que o cenário de privacidade continua a evoluir. Alguns dos maiores sinistros em 2025 foram — talvez surpreendentemente — impulsionados por litígios de privacidade, e não por extorsão. Mesmo em muitos casos em que os custos relacionados à extorsão foram altos, geralmente não se trata de pagamentos de resgate, mas sim de outros custos decorrentes da violação que contribuem para a severidade.

Para interrupção de negócios, a perda no 75º percentil é 63.53x a perda mediana, o que significa que um sinistro de BI de maior severidade (top 25%) é tipicamente mais de sessenta vezes maior que o sinistro mediano.

Distribuição por setor

Os sinistros estavam amplamente distribuídos entre os setores em 2025, mas vários setores-chave seguem entre os principais, como nos anos anteriores. Abaixo está o detalhamento dos dez principais setores pelo volume de sinistros em 2025, e o detalhamento das áreas de risco específicas presentes nos quatro primeiros.

Detalhamentos

Empresas de comunicações, mídia e tecnologia geralmente dependem de cadeias de suprimentos complexas, com muitos terceiros envolvidos que podem ser comprometidos. Pela natureza desses setores, elas também lidam com altos níveis de propriedade intelectual, tornando-as um alvo-chave para atores mal-intencionados.   

Embora várias dessas áreas de risco não sejam novas, deve-se prestar atenção à interceptação e à coleta passiva que levam a violações de privacidade. Este setor tem exposição particular a riscos relacionados à coleta e ao processamento de registros digitais.

Este gráfico mostra quais padrões de eventos cibernéticos estão mais fortemente associados a cada tipo de evento de negócio neste setor. O mapa de calor sugere que:

  • Uma violação de rede é uma causa relativamente provável de eventos de violação de privacidade, por exemplo, quando invasores acessam sistemas internos e extraem dados sensíveis ou pessoais.
  • Uma violação de rede também é uma via relativamente provável para extorsão cibernética.
  • A degradação do sistema é uma causa relativamente provável de impacto por interrupção de negócios.

A privacidade é tudo na área de saúde, e o mapa de calor abaixo demonstra isso. Quase todos os eventos cibernéticos, exceto a usurpação de identidade (fraude), causam impactos de violação de privacidade neste setor. Além disso, a usurpação de identidade que levou à transferência fraudulenta de fundos foi prevalente.

Dados altamente sensíveis, conexões e o processamento de dados por provedores terceirizados estão ampliando a superfície de ataque e colocando a infraestrutura crítica sob ataque (incluindo ataques orientados a causar interrupção, como ataques DDoS).

A manufatura está — infelizmente — emergindo como um setor cada vez mais visado por diversos atores de ameaça. Atores de ransomware podem ver o setor de manufatura como uma área onde podem obter vantagem para forçar pagamentos. Tensões geopolíticas têm cada vez mais colocado a manufatura e outras indústrias com forte presença de OT no foco do risco cibernético. Além disso, a cadeia de suprimentos, cada vez mais complexa e digitalizada, aumenta ainda mais os riscos neste setor.

A inteligência artificial (IA) se integra a classes existentes de risco cibernético

Em 2025, coletamos um punhado de sinistros que mencionaram IA, seja como um serviço afetado, uma fonte terceira ou outra menção na natureza do sinistro. No entanto, a IA não está se tornando uma nova classe de risco, mas sim se encaixa em classes existentes que já acompanhamos. 

Atualmente, essas classes de risco parecem ser:

  • Erros e misconfigurações – Esta é talvez a área mais exigente onde o risco de IA paira atualmente. À medida que as organizações correm para implantar e colher os benefícios da IA, ocorrem erros e pontos cegos. Além disso, serviços e fornecedores terceirizados podem integrar serviços habilitados por IA às suas plataformas, introduzindo novo risco sem conhecimento explícito dos efeitos a jusante.
  • Falsificação de identidade (sem violação) – A primeira fronteira do uso de IA por atacantes tem sido um aumento tanto no volume quanto na qualidade do engenharia social. Isso leva a iscas mais convincentes e a uma indústria crescente de fraude financeira. Tanto que a Marsh — junto com parceiros-chave dos setores financeiro, de cibersegurança e varejo — tem trabalhado como parte da iniciativa Fight Financial Fraud da MITRE para melhorar a notificação e as defesas contra essa ameaça crescente.
  • Invasões de rede – Desenvolvimentos no início de 2026 indicaram que este pode ser o ano em que invasões de rede impulsionadas por IA realmente chegam em força. Independentemente de isso ocorrer em escala, já é verdade que a IA reduziu a barreira de expertise para atacar e forneceu ferramentas para que os atacantes escalem. Dado o esperado aumento no volume de tentativas, é ainda mais importante que as organizações incorporem resiliência em seus programas de cibersegurança. Segurança por obscuridade não é uma estratégia vencedora em um ambiente de adversários escalado pela IA.

Conclusões e perspectivas

2025 mostrou uma mudança clara: os incidentes tornaram-se mais complexos e onerosos. Muitos sinistros combinaram exposição de privacidade, extorsão, interrupção prolongada dos negócios e litígios em eventos únicos, gerando perdas maiores, mais longas e mais complexas. Incidentes não maliciosos (erros, misconfigurações e coleta passiva de dados) e ações de privacidade sem violação ganharam destaque, enquanto a extorsão evoluiu da criptografia para estratégias de roubo e vazamento de dados que inflacionam os custos a jusante. A cauda de severidade expandiu: as perdas medianas se mantiveram estáveis, mas o 75º percentil e acima passaram a responder por uma parcela maior do custo total.

Em 2026, espere mais do mesmo, amplificado. Eventos de agregação continuarão sendo o perigo principal, à medida que cadeias de suprimentos interdependentes e serviços de terceiros espalham o impacto por setores e geografias. É provável que litígios de privacidade e escrutínio regulatório aumentem, particularmente em torno de práticas de dados sem violação. A extorsão continuará a monetizar a exfiltração e o risco de reputação, em vez de simplesmente pagamentos baseados em criptografia. A IA elevará o risco de base ao reduzir os custos de entrada dos atacantes e introduzir novos modos de erro em implantações e serviços de fornecedores, ao mesmo tempo em que melhora a escala e a plausibilidade das campanhas de engenharia social. 

À medida que as perdas cibernéticas se tornam mais complexas e graves, as organizações devem reavaliar se os limites de seguro permanecem adequados ao ambiente de risco atual, especialmente dado o potencial de sinistros multifacetados e de alta severidade. Preparação para incidentes e sinistros também deve ser prioridade, incluindo manter acesso a comunicações fora de banda, como Marsh Central, e protocolos de resposta claros. Exercícios tabletop regulares, seja presencialmente ou facilitados por ferramentas digitais, como Marsh Central, podem ajudar as equipes a responder de forma mais eficaz sob pressão. As organizações também devem revisar e gerenciar ativamente dependências de terceiros, ao mesmo tempo em que se mantêm atualizadas sobre requisitos de privacidade em evolução e tendências de aplicação.

Instantâneos regionais

Digital cyberspace with particles and Digital data network connections concept.

Relatório de Sinistros Cibernéticos da Europa

06/23/2026
Code writing in laptop

Relatório de Sinistros Cibernéticos do Reino Unido

06/09/2026

Relatório de Sinistros Cibernéticos dos EUA e Canadá

Interessado em saber mais?

Preencha o formulário para falar com um representante da Marsh.