O primeiro semestre de 2026 já superou todo o ano de 2025 em vazamentos de dados. Segundo o relatório da ITRC (Identity Theft Resource Center), foram 471,2 milhões de notificações a vítimas entre janeiro e junho, contra 297,5 milhões em todo o ano passado. No ritmo atual, o ano deve fechar com cerca de 3.600 incidentes.

Mas o dado que mais chama atenção não é o volume externo. É a origem interna. Os casos de má conduta de pessoas de dentro das empresas passaram de 3 em todo o ano de 2025para 21 apenas no primeiro semestre de 2026, um crescimento de sete vezes. Para a área de GRC, o recado é direto: o perímetro mais difícil de defender está dentro de casa.

Os números do semestre

• 1.803 comprometimentos no semestre, projetando cerca de 3.600 no ano, contra 3.321 em 2025.

• 471,2 milhões de notificações a vítimas, já acima de todo o ano de 2025.

• 21 casos de insider malicioso, contra 3 em todo o ano de 2025.

• 38 ataques à cadeia de fornecedores geraram280,6 milhões de notificações e atingiram 206 organizações.

• Serviços financeiros lideraram em frequência (387casos), seguidos por saúde (281).

• Apenas 24% das notificações informaram o vetor do ataque, o menor índice já registrado.

A ameaça que mais cresceu vem de dentro

O salto de sete vezes nos casos de insider malicioso é o destaque do relatório. A ITRC associa o movimento a dois fatores: as ondas de demissão no setor de tecnologia e esquemas de recrutamento patrocinados por Estados, que aliciam funcionários com acesso a sistemas críticos.

O ponto cego é quase sempre o mesmo. Ex-funcionários que mantêm acesso ativo depois do desligamento, contas privilegiadas sem dono claro e permissões acumuladas que ninguém revisa. Nenhum firewall detém quem já tem a chave. A defesa contra a ameaça interna não começa no perímetro, começa na governança de acessos: menor privilégio, revisão periódica, revogação imediata no desligamento e segregação de funções para impedir que uma só pessoa concentre poder demais.

O efeito multiplicador da cadeia de fornecedores

O relatório mostra outro padrão preocupante: 38 ataques iniciais a fornecedores geraram 280,6 milhões de notificações e atingiram 206 organizações. Um único elo comprometido se propaga para dezenas de empresas de uma vez.

Terceiros costumam receber acesso a sistemas e dados sem passar pelo mesmo rigor aplicado aos funcionários. Sem inventário de quem acessa o quê, sem revisão desses acessos e sem monitoramento, o risco do fornecedor vira risco da companhia, e aparece só depois do incidente.

A crise de transparência

Só 24% das notificações informaram como o ataque aconteceu, o menor índice da série histórica. Ao mesmo tempo, empresas de capital aberto responderam por apenas10,3% dos comprometimentos, mas por 83,4% das notificações a vítimas.

Quando a empresa não consegue explicar o que aconteceu, o problema deixa de ser só técnico e vira exposição regulatória e de reputação. Sem trilha de auditoria e rastreabilidade dos acessos, reconstruir um incidente é lento, e a resposta ao regulador chega tarde.

Por que isso importa para as empresas brasileiras

A dinâmica não fica restrita aos Estados Unidos. Sob a LGPD, a empresa precisa comunicar incidentes à ANPD e aos titulares, demonstrar controles de acesso e comprovar rastreabilidade. Ameaça interna e risco de terceiros são exatamente os ponto sem que a maioria das organizações ainda opera no escuro. O relatório é um alerta, não um cenário distante.

Como a Vennx atua

Ameaça interna, acesso de terceiros e rastreabilidade não se resolvem com boa vontade e planilhas. Precisam de governança de acessos automatizada e contínua. É nesse ponto que a Vennx atua:

• Oráculo. Monitoramento contínuo e trilha de auditoria de acessos e operações sensíveis, com detecção de inconsistências como contas órfãs e privilégios indevidos.

• VAR (Vennx Access Radar). Revisão e automação de concessão e revogação de acessos, incluindo desligamentos e terceiros, para que ninguém mantenha a chave depois de sair.

• SoD Discovery. Matrizes de segregação de funções com IA, que identificam a concentração de poder e as combinações de acesso capazes de virar fraude.

É a mesma lógica que falta na maioria dos incidentes do relatório: controle antes do problema, e não a reconstrução dos fatos depois do vazamento.

Conclusão

Estar na metade do ano e já superar o total de 2025 é um sinal claro. E o crescimento de sete vezes nos casos de insider mostra onde está o elo mais frágil: as pessoas e os acessos que elas carregam. Como resumiu o presidente da ITRC, James E. Lee, o ritmo recorde indica muita fraude e golpe de identidade a caminho.

Vazamentos não são previsíveis, mas a exposição a eles é gerenciável. A diferença entre reagira um incidente e evitá-lo está na governança de acessos.

Sua empresa sabe quem tem acesso ao quê, e conseguiria revogar um acesso crítico no dia em que ele deixa de ser necessário?

Conheça o Oráculo, o VAR e o SoD Discovery e transforme a gestão de acessos em defesa contra a ameaça interna.

Fale com um especialista da Vennx.