← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Quanto custa um vazamento de dados em 2025: Brasil, EUA e mundo

O custo médio global de um vazamento caiu para US$ 4,44 mi, mas nos EUA bateu US$ 10,22 mi. Veja o dado do Brasil, o peso da IA e o que reduz o prejuízo.

2026-10-29

Pela primeira vez em cinco anos, o custo médio global de um vazamento de dados caiu. O estudo Cost of a Data Breach 2025, da IBM com o Ponemon Institute, calculou US$ 4,44 milhões por incidente, queda de 9% sobre os US$ 4,88 milhões de 2024. A média global, porém, esconde diferenças grandes entre países. Nos Estados Unidos, o custo subiu 9% e bateu recorde, chegando a US$ 10,22 milhões, segundo a CyberScoop.

No Brasil, a edição local do estudo, divulgada pela ABES, apontou custo médio de R$ 7,19 milhões por violação.

Brasil, EUA e mundo lado a lado

Indicador (IBM 2025)	Valor
Custo médio global	US$ 4,44 mi (−9%)
Custo médio nos EUA	US$ 10,22 mi (+9%, recorde)
Custo médio no Brasil	R$ 7,19 mi
Saúde (setor mais caro, global)	US$ 7,42 mi
Serviços financeiros (global)	US$ 5,56 mi
Ciclo médio para identificar e conter	241 dias (2024: 258)

O estudo brasileiro é publicado em reais e o global em dólares. Por isso, a comparação direta entre os dois valores exige cautela com o câmbio.

Por que os EUA são tão mais caros

O relatório não atribui a diferença a um único fator. Nos EUA pesam o custo de notificação a grandes bases de clientes, a resposta jurídica e as ações coletivas. Esse último ponto aparece nos acordos bilionários do país, como o da Equifax, de US$ 575 milhões a US$ 700 milhões em 2019. O ambiente regulatório americano também tem vários reguladores e dezenas de leis estaduais.

Para onde vai o dinheiro

Na média global, a IBM decompõe o custo em quatro blocos:

Detecção e escalonamento: US$ 1,47 milhão;
Negócios perdidos: US$ 1,38 milhão;
Resposta pós-incidente: US$ 1,2 milhão;
Notificação: cerca de US$ 390 mil.

O ciclo para identificar e conter um incidente caiu para 241 dias, o menor em nove anos. Quanto mais curto esse ciclo, menor tende a ser a conta.

O efeito da inteligência artificial

A IA aparece nos dois lados da conta. Organizações que usam IA e automação de forma extensiva em segurança gastaram, em média, cerca de US$ 1,9 milhão a menos por violação e tiveram ciclo cerca de 80 dias menor, segundo a DeepStrike.

No Brasil, o padrão se repete:

uso extensivo de IA e automação: R$ 6,48 milhões;
uso limitado: R$ 6,76 milhões;
nenhum uso: R$ 8,78 milhões.

O risco da "shadow AI"

O lado negativo é a chamada shadow AI, ferramentas de IA usadas por funcionários sem aprovação da área de TI. Globalmente, ela esteve presente em 20% das violações e acrescentou cerca de US$ 670 mil ao custo. Do total de organizações, 13% relataram violação envolvendo modelo ou aplicação de IA; destas, 97% não tinham controle de acesso a IA, segundo a Baker Donelson.

No Brasil, a shadow AI elevou o custo em R$ 591,4 mil. Além disso, 87% das empresas não tinham política de governança de IA e 61% não tinham controle de acesso a ferramentas de IA.

Ransomware: mais empresas se recusam a pagar

A parcela de vítimas de ransomware que não pagou o resgate subiu para 63%, contra 59% em 2024. O Verizon DBIR 2025 traz número parecido, com 64% das vítimas sem pagar, e mostra ransomware presente em 44% das violações analisadas, conforme a ASIS.

Volume de vazamentos nos EUA

O custo por incidente é só metade da história. O Identity Theft Resource Center (ITRC) contou 3.322 comprometimentos de dados nos EUA em 2025, recorde da série. Foram 278,8 milhões de notificações a vítimas, número bem menor que o de 2024, inflado por megavazamentos. Serviços financeiros (739) e saúde (534) lideraram. Em 70% das notificações, a empresa não informou o vetor do ataque, segundo o relatório do ITRC.

O que reduz o prejuízo

Detectar e conter rápido: o tempo do ciclo é o principal fator de custo sob controle da empresa.
Automação e IA na defesa, com governança: as empresas que usam mais gastam menos.
Política de uso de IA e controle de acesso às ferramentas, para evitar a shadow AI.
Plano de resposta testado, com prazos de notificação mapeados. No Brasil, a ANPD exige comunicação em 3 dias úteis.
Gestão de terceiros: o Verizon DBIR mostra que a participação de terceiros nas violações dobrou, para 30%.