A proprietária de uma distribuidora em Belo Horizonte recebeu um e-mail do fornecedor de sempre. Tinha o logo certo, o nome do representante, o assunto de sempre: "NF-e pendente de confirmação". Ela clicou no link para abrir o documento. Três dias depois, os computadores da empresa exibiam uma mensagem pedindo R$ 85 mil em criptomoeda para liberar os arquivos.
O fornecedor não tinha enviado nenhum e-mail. O link instalou um software de acesso remoto, assinado digitalmente, que passou direto pelo antivírus. A Cisco Talos identificou essa campanha em janeiro de 2025. Ela ainda está ativa.
PMEs faturam menos, mas custam menos para invadir: por que você é o alvo preferencial
PMEs não são alvos colaterais. São o alvo preferencial.
A lógica é direta: uma grande empresa tem equipe de segurança, monitoramento 24 horas e sistemas de detecção de ameaças. Invadir custa caro e o retorno é incerto. Uma PME faturando R$ 80 mil por mês geralmente tem o e-mail corporativo no Gmail pessoal de alguém, senhas anotadas num papel colado no monitor e backup que não é testado há dois anos. O esforço é menor. O retorno é quase garantido.
A Kaspersky registrou 192 milhões de tentativas de ataque contra PMEs no Brasil entre outubro de 2022 e outubro de 2023. São 365 ataques por minuto, o dia todo, contra empresas como a sua. Nesse mesmo período, 40 milhões dessas tentativas foram de phishing: alguém da equipe clica em algo que parece legítimo e o problema começa.
O Brasil é o segundo país mais vulnerável a ataques cibernéticos no mundo, atrás apenas dos EUA, segundo levantamento da Trend Micro. E é o país mais atacado por ransomware na América Latina.
Não é paranoia. É o contexto atual.
Os 3 ataques que mais derrubam PMEs brasileiras em 2026 (e nenhum deles parece hacker de filme)
1. Clonagem de WhatsApp Business
Um funcionário recebe uma ligação de alguém dizendo ser do suporte do WhatsApp. Pede o código de verificação de seis dígitos que acabou de chegar por SMS. O funcionário passa o código. Em menos de um minuto, o número da empresa está nas mãos de outra pessoa.
A partir daí, o criminoso faz pedidos aos clientes, desvia pagamentos via PIX e acessa o histórico de conversas para parecer mais convincente. A Febraban registrou 153.000 casos de clonagem de WhatsApp em 2024, o tipo de fraude com mais ocorrências no país. O prejuízo geral com fraudes financeiras naquele ano foi de R$ 10,1 bilhões.
2. Ransomware via nota fiscal falsa
Desde janeiro de 2025, uma campanha identificada pela Cisco Talos envia e-mails simulando Nota Fiscal Eletrônica. O e-mail tem aparência profissional. O link leva a um arquivo hospedado no Dropbox. Ao abrir, a vítima instala ferramentas legítimas de acesso remoto, como N-able RMM ou PDQ Connect: softwares assinados digitalmente que passam pelos filtros de segurança convencionais. O atacante assume controle da máquina e instala acesso permanente.
Nenhum malware convencional é usado. Por isso o antivírus não detecta.
3. Golpe do PIX via engenharia social
O telefone toca. A pessoa do outro lado conhece o nome do sócio, o CNPJ, o banco usado pela empresa. Diz que há uma transação suspeita sendo bloqueada e pede para confirmar os dados de uma conta para "estorno". A conta para onde o dinheiro vai é do criminoso.
A engenharia social funciona porque usa informações reais que qualquer pessoa encontra no CNPJ público, no Instagram da empresa ou em conversas antigas vazadas. Não é preciso invadir sistema nenhum. Basta ligar.
Quanto custa um ataque? O cálculo que todo dono de empresa precisa fazer antes de decidir qualquer coisa
A estatística que circula, custo médio de R$ 7,19 milhões por violação de dados no Brasil (IBM, 2025), não serve para PME nenhuma. É média de mercado, puxada por grandes empresas e casos extremos como o do Grupo Jorge Batista, conglomerado atacadista que teve 4,2 TB de dados roubados em maio de 2025 com prejuízo estimado em mais de R$ 400 milhões.
O cálculo que importa é o seu.
Uma empresa faturando R$ 80 mil por mês gera em média R$ 2.666 por dia útil. Um ataque de ransomware que paralisa a operação por cinco dias representa R$ 13.333 de receita não gerada. Mas esse é só o ponto de partida.
Some também:
- Custo de recuperação técnica: contratar alguém de emergência para tentar restaurar os sistemas custa entre R$ 5 mil e R$ 20 mil, dependendo da gravidade, sem garantia de sucesso.
- Contratos com multa por atraso: se sua empresa tem prazo com clientes, cada dia parada pode gerar multa. Uma única cláusula de 2% sobre um contrato de R$ 50 mil são R$ 1.000 por dia de atraso.
- Clientes que não voltam: empresas nessa situação costumam relatar perda de 10% a 20% da base ativa de clientes após um incidente que expõe dados ou interrompe o atendimento.
- Resgate: a mediana do valor pago por PMEs globalmente em 2025 foi de US$ 115.000, segundo o relatório Verizon DBIR. Pagar não garante recuperação.
A Braspress, transportadora que teve 280 servidores criptografados em 2024, se recusou a pagar e restaurou 100 TB de dados via backups. Levou vários dias. Empresas de logística com essa escala de parada relatam perdas em seis dígitos só no custo operacional da recuperação.
A mesma empresa que economiza R$ 500 por mês em segurança porque "parece caro demais" pode perder entre R$ 60 mil e R$ 100 mil num único incidente. O cálculo não fecha.
O que proteger primeiro: a ordem certa quando o orçamento e o tempo são limitados
Não existe empresa que implementa tudo de uma vez. Existe empresa que implementa na ordem certa.
Primeiro: backup testado e separado
Um backup que existe mas nunca foi testado não é backup. É falsa segurança. Backup útil tem três características: é automático, fica armazenado num lugar separado dos arquivos originais e é testado com restauração real pelo menos uma vez por trimestre.
Isso é o que salvou a Braspress. Não eliminou o problema, mas tornou possível sobreviver sem pagar o resgate.
Segundo: autenticação em dois fatores no e-mail e nos sistemas críticos
E-mail é a porta de entrada da maioria dos ataques. Ativar autenticação em dois fatores no e-mail de toda a equipe leva menos de 15 minutos por usuário. Mesmo que alguém tenha a senha certa, o atacante ainda precisa do segundo fator para entrar.
Terceiro: senhas únicas gerenciadas por ferramenta
Quando a senha do e-mail corporativo é a mesma do sistema de faturamento e do banco, um único vazamento expõe tudo. Gerenciadores de senha como o Bitwarden, gratuito para equipes pequenas, resolvem isso sem exigir que ninguém memorize senha nova.
Quarto: atualização de sistemas em dia
Boa parte dos ransomwares que circulam no Brasil exploram vulnerabilidades já conhecidas, com correção disponível há meses. Manter Windows, navegadores e softwares atualizados elimina esses vetores sem custo adicional.
Essas quatro medidas não exigem equipe de TI nem orçamento de grande empresa. E cobrem os principais vetores de entrada que os ataques deste artigo exploram.
Ferramentas que rodam no piloto automático, sem precisar de equipe de TI para funcionar
Backup automático em nuvem: soluções como Backblaze Business fazem backup contínuo de todos os arquivos. Configura uma vez, roda sozinho. Custo entre R$ 40 e R$ 150 por máquina por mês.
Gerenciador de senhas para equipe: Bitwarden Teams custa US$ 3 por usuário por mês e centraliza senhas com acesso controlado. Quando um funcionário sai, você revoga o acesso de uma vez, em um lugar só.
MFA via aplicativo: Google Authenticator e Microsoft Authenticator são gratuitos. Ativar em 10 contas de e-mail leva menos de uma hora.
Filtragem de DNS: ferramentas como Cloudflare Gateway bloqueiam acesso a sites maliciosos antes que o usuário chegue lá, sem instalação em cada máquina. A versão básica é gratuita.
EDR gerenciado: Endpoint Detection and Response identifica comportamento suspeito em vez de só verificar assinatura de malware. Existem versões gerenciadas que um parceiro de TI monitora remotamente, sem analista interno.
Todas essas ferramentas têm configuração inicial, não manutenção diária. O mito da equipe dedicada existia porque os softwares corporativos dos anos 2010 precisavam de um analista para rodar. Backblaze e Bitwarden não precisam.
Terceirizar cibersegurança é mais barato do que você imagina: como funciona na prática para PMEs
Você aprendeu contabilidade fazendo declaração errada uma vez e pagou multa? Provavelmente não. Contratou um contador. Cibersegurança tem a mesma lógica — mas com uma diferença: o erro não aparece no mês que ele acontece. Aparece quando o atacante decide usá-lo.
Cibersegurança é a mesma coisa. Mas a maioria das PMEs brasileiras ainda trata segurança como gasto, não como proteção de receita.
O modelo para PME não é contratar um analista de segurança interno, que custa entre R$ 8 mil e R$ 15 mil por mês. É contratar um parceiro que presta esse serviço para várias empresas ao mesmo tempo, diluindo o custo.
Na prática, o trabalho começa com um mapeamento do que já existe: quais sistemas têm acesso externo, quem tem a senha do e-mail corporativo, onde o backup vai parar. A partir disso, a prioridade é diferente para cada empresa — para uma distribuidora, pode ser o WhatsApp Business; para um escritório contábil, é o acesso aos sistemas do cliente. O que não muda: alguém que conhece a operação antes do ataque chega, não depois.
O custo mensal para uma empresa de até 20 usuários fica entre R$ 1.500 e R$ 4.000, dependendo da complexidade. Isso é menos do que um dia de operação parada.
A diferença entre esse modelo e os pacotes de software que aparecem em anúncios online é o contexto. Um vendedor externo com acesso ao número de WhatsApp Business da empresa, sem verificação em duas etapas ativada, é uma porta de entrada que nenhum software de prateleira vai identificar sozinho — porque ele não sabe que esse vendedor existe. Uma consultoria que conhece a operação identifica esse ponto antes do ataque. Essa diferença define o que proteger primeiro.
LGPD já multou microempresa no Brasil: o que um vazamento custa na prática para PME
A maioria das PMEs brasileiras acredita que a LGPD é assunto de grande empresa. Não é.
Em 2023, a ANPD multou a Telekall Infoservice, uma microempresa, em R$ 14.400. A multa foi equivalente a 2% do faturamento bruto anual da empresa e marcou a primeira sanção financeira aplicada pela agência no Brasil. O porte da empresa não foi argumento de defesa.
Até 2024, a ANPD atuava com advertências. A partir de 2025, a postura mudou: a agência passou a aplicar multas com fiscalização setorial, independentemente do tamanho da empresa autuada.
A lei prevê multa de até 2% do faturamento bruto anual, limitada a R$ 50 milhões por infração. Para uma PME faturando R$ 80 mil por mês, o teto é R$ 19.200 por infração. Sem contar os custos de perícia jurídica, notificação dos titulares e danos junto a clientes que exigem conformidade de seus fornecedores.
Um vazamento de dados de clientes, mesmo involuntário, gera obrigação de notificação à ANPD. Empresa sem segurança adequada que sofre um ataque pode enfrentar, além do custo do incidente, a multa regulatória sobre os dados expostos.
Não é hipótese. A Vivara teve 1,1 TB de dados comprometidos em 2024, incluindo informações de clientes. A Solarium Revestimentos, empresa industrial sem operação digital crítica, teve dados vazados pelo grupo RansomHub em 2025. Nenhuma empresa está fora do radar só porque não vende pela internet.
Se o seu WhatsApp Business nunca recebeu verificação em duas etapas, se o backup da empresa ainda não foi testado com uma restauração real, ou se alguém já abriu um link de NF-e por e-mail e "não aconteceu nada", a sua empresa já passou perto de um dos três ataques descritos aqui.
A Coffe&Code faz diagnóstico gratuito de segurança digital: em 30 minutos mapeamos qual dos três vetores mais usados no Brasil hoje representa o maior risco para o seu perfil de operação, e mostramos o que corrigir primeiro sem precisar de equipe de TI.