Um terço foi atingido, mas quase todos se sentem seguros

Relatório de Segurança Cibernética de 2026 da RSM Austrália revelou uma lacuna entre percepção e realidade que deve preocupar qualquer pessoa cujos dados pessoais estejam em uma organização de médio ou grande porte. O relatório, baseado em uma pesquisa com 155 organizações australianas de médio a grande porte, constatou que cerca de um terço sofreu um ataque de ransomware ou tentativa de extorsão no último ano. Apesar disso, 97% dos entrevistados ainda acreditam que os dados de sua organização estão adequadamente protegidos.

Essa desconexão importa além da sala da diretoria. Quando um ataque de ransomware tem sucesso, raramente apenas os arquivos da própria empresa são bloqueados ou roubados. Registros de clientes, dados de funcionários, informações de saúde e detalhes financeiros costumam ser levados junto, e a lacuna de confiança identificada pela RSM sugere que muitas organizações não estão tratando esse risco com a urgência que os números exigem.

Por que o "andar de cima" está ficando para trás

Um dos achados mais contraintuitivos nos dados da RSM é que as organizações maiores estão atrasadas em relação às de médio porte quando se trata de preparação para segurança cibernética. A sabedoria convencional diz que empresas maiores têm orçamentos maiores, equipes de segurança dedicadas e governança mais madura. De acordo com este relatório, essa suposição nem sempre se sustenta na prática.

Esse padrão não é exclusivo da Austrália. Organizações maiores e mais complexas geralmente carregam sistemas legados, relações com fornecedores abrangentes e camadas de burocracia que retardam as decisões de segurança, mesmo quando há recursos disponíveis. A violação da subsidiária italiana da IBM ligada a operações cibernéticas chinesas é um lembrete de que escala e reputação não se traduzem automaticamente em resiliência. Grandes organizações que gerenciam infraestrutura crítica ainda podem ser expostas por meio de subsidiárias, contratados ou sistemas negligenciados, exatamente o tipo de complexidade que organizações menores e mais ágeis tendem a evitar simplesmente por terem menos componentes para proteger.

O custo de privacidade do ransomware não é apenas o resgate

É fácil pensar no ransomware puramente como um problema de continuidade de negócios: arquivos são criptografados, as operações param, uma exigência de resgate chega. Mas as campanhas modernas de ransomware cada vez mais combinam criptografia com roubo de dados, ou seja, os invasores roubam informações confidenciais antes de bloquear os sistemas e depois ameaçam publicá-las ou vendê-las, independentemente de o resgate ser pago.

Esse modelo de extorsão dupla é exatamente por que as implicações de privacidade das descobertas da RSM merecem mais atenção do que costumam receber. Cada organização que armazena nomes de clientes, endereços, dados de pagamento ou registros de saúde está efetivamente assumindo risco de privacidade em nome das pessoas que atende. Quando os operadores de ransomware buscam pagamento, eles estão cada vez mais monetizando os dados pessoais de funcionários, clientes e pacientes, não apenas segredos corporativos. Empresas de saúde e dispositivos médicos ilustram bem isso. Incidentes como a violação de dados da iRhythm em junho de 2024 que afetou pacientes cardíacos e a violação relacionada da iRhythm envolvendo aplicações de nuvem de terceiros mostram como ataques a uma única organização podem expor informações de saúde pessoais profundamente sensíveis, às vezes por meio de fornecedores e serviços em nuvem que os indivíduos afetados nem sabiam que estavam envolvidos.

O custo humano do ransomware vai ainda mais longe. Por trás de cada caso de extorsão de alto perfil estão negociadores, investigadores e, às vezes, processos criminais, como visto no caso de um negociador de ransomware da Flórida condenado em um caso de extorsão nos EUA. Esses casos deixam claro que o ransomware não é uma ameaça técnica abstrata. É uma empreitada criminosa organizada com consequências financeiras e legais reais em ambos os lados da transação.

O que isso significa para você

Se você é funcionário, cliente ou paciente de uma organização australiana de médio a grande porte, este relatório é um bom estímulo para recalibrar suas expectativas. Uma probabilidade de um em três de impacto de ransomware dentro do grupo pesquisado é um número significativo, e a taxa de confiança de 97% sugere que muitas organizações podem não estar comunicando claramente os riscos de violação, ou podem não compreender totalmente a própria exposição.

Para os indivíduos, a resposta prática não é pânico, é preparação. Presuma que qualquer organização que detenha seus dados possa eventualmente ser alvo e ajuste seus hábitos de acordo: use senhas únicas para contas sensíveis, ative a autenticação de vários fatores sempre que disponível e preste atenção às notificações de violação em vez de tratá-las como ruído rotineiro.

Para as organizações, as descobertas da RSM são um sinal claro de que a confiança autoavaliada é um substituto ruim para resiliência testada. Testes de penetração regulares, simulações de resposta a incidentes e relatórios honestos em nível de diretoria sobre riscos cibernéticos importam muito mais do que pesquisas internas de percepção.

Principais conclusões

  • O Relatório de Segurança Cibernética de 2026 da RSM Austrália constatou que aproximadamente uma em cada três das 155 organizações de médio a grande porte pesquisadas sofreu um ataque de ransomware ou tentativa de extorsão no último ano.
  • Apesar dessa exposição, 97% dos entrevistados ainda acreditam que seus dados estão adequadamente protegidos, uma lacuna que sugere excesso de confiança generalizado.
  • Organizações maiores parecem estar ficando para trás em relação às de médio porte em preparação cibernética, desafiando a suposição de que orçamentos maiores garantem segurança melhor.
  • O ransomware envolve cada vez mais roubo de dados junto com criptografia, o que significa que informações pessoais e de saúde frequentemente estão em risco mesmo quando o resgate não é pago.
  • Indivíduos devem levar a sério as notificações de violação e fortalecer a segurança de suas contas pessoais, independentemente da confiança que uma organização afirme ter em suas defesas.

Ransomware na Austrália não é um risco marginal confinado a um punhado de empresas azaradas. É um evento estatisticamente comum para organizações de médio a grande porte, e a lacuna de confiança que a RSM documentou é discutivelmente tão relevante quanto os próprios ataques. Manter-se informado sobre como esses incidentes se desenrolam e como as organizações respondem a eles continua sendo uma das maneiras mais simples de proteger seus próprios dados nesse meio tempo.