O relatório anual de 2026 da ENISA, a agência europeia de cibersegurança, já não se lê como um boletim técnico, mas como um estado do mundo. Os ataques de ransomware custaram em 2025 mais de 60 bilhões de dólares às empresas globais — seguros, resgates, interrupções de atividade, reconstrução —, o triplo do nível de 2020. Além dos números, é a própria natureza da ameaça que mudou.
O modelo Ransomware-as-a-Service (RaaS) — grupos especializados que alugam sua infraestrutura de ataque a afiliados em troca de uma comissão sobre os resgates — consolidou-se. Algumas famílias (LockBit em suas sucessivas versões, ALPHV/BlackCat, Cl0p, Akira, RansomHub) concentram a maioria dos ataques. Os desmantelamentos coordenados conduzidos pela Europol, FBI e NCA britânica (operações Cronos, Endgame, Morpheus) perturbaram temporariamente o ecossistema, sem extingui-lo: um grupo desmantelado é geralmente substituído em poucos meses.
O alvo preferencial mudou. Ao lado das grandes empresas tradicionalmente visadas, as autarquias locais, os hospitais e as PME industriais tornaram-se os novos elos fracos. Na França, a ANSSI registrou mais de 300 incidentes graves em 2025 que afetaram operadores de importância vital ou autarquias, contra 187 em 2022.
- 60 bilhões $: custo global anual de ransomwares em 2025.
- +220%: aumento do número de ataques contra hospitais entre 2020 e 2025.
- 300+: incidentes graves registrados pela ANSSI na França em 2025.
- NIS2: diretiva europeia totalmente transposta em 26 Estados membros no início de 2026.
- Cyber Resilience Act: entrada em vigor progressiva 2024-2027, sanções até 2,5% do CA mundial.
- 2030: horizonte a partir do qual um computador quântico poderia quebrar RSA-2048 de acordo com as projeções mais pessimistas (vs 2040 no consenso).
- 3 algoritmos pós-quânticos padronizados pelo NIST em 2024: ML-KEM, ML-DSA, SLH-DSA.
A chegada de um computador quântico capaz de quebrar a criptografia assimétrica atual (RSA, ECC) permanece hipotética no horizonte de 2030-2040. Mas a ameaça “harvest now, decrypt later” — capturar hoje dados criptografados para decifrá-los amanhã — leva os governos a antecipar. Os Estados Unidos impuseram às suas administrações federais uma migração completa para a criptografia pós-quântica até 2035. A Europa, via ENISA, ANSSI e BSI alemão, recomenda aos operadores críticos que construam sua criptoagilidade já em 2026: capacidade de substituir rapidamente os algoritmos criptográficos sem reescrever os sistemas.
O NIST padronizou em agosto de 2024 três algoritmos pós-quânticos: ML-KEM (troca de chaves), ML-DSA e SLH-DSA (assinaturas). Os primeiros lançamentos operacionais (TLS 1.3 híbrido, assinaturas de firmware) começaram em 2025, principalmente em grandes provedores de nuvem (Google, AWS, Cloudflare) e administrações sensíveis.
A diretiva NIS2, transposta em 26 Estados membros no início de 2026, amplia o perímetro das entidades sujeitas a obrigações de cibersegurança: energia, transporte, saúde, bancos, infraestruturas digitais, mas também administração pública, espaço, gestão de resíduos e algumas PME. As sanções atingem 10 milhões de euros ou 2% do volume de negócios mundial.
O Cyber Resilience Act (CRA), que entrou em vigor no final de 2024 com aplicação progressiva até 2027, impõe pela primeira vez obrigações de cibersegurança por design em todos os produtos conectados vendidos na UE — do roteador Wi-Fi ao carro conectado. Para os desenvolvedores de software e fabricantes de hardware, o esforço de conformidade é massivo: documentação técnica, gestão de vulnerabilidades, atualizações de segurança garantidas durante a vida útil do produto.
“A cibersegurança não é mais um assunto técnico. É um assunto de governança corporativa e, cada vez mais, um assunto de governança estatal.” — Vincent Strubel, diretor-geral da ANSSI, audiência no Senado francês, fevereiro de 2026.
- 60 bilhões $: custo global anual de ransomwares.
- O RaaS agora estrutura a economia cibercriminosa.
- NIS2 totalmente transposta no início de 2026 em 26 Estados membros.
- CRA impõe a cibersegurança por design em todos os produtos conectados.
- Ameaça quântica: migração pós-quântica recomendada a partir de 2026 para operadores críticos.
- Três algoritmos NIST padronizados: ML-KEM, ML-DSA, SLH-DSA.
