Segurança cibernética e de IA para empresas brasileiras

O que mudou: a porta de entrada agora é a falha no software

Em maio de 2026 a Verizon publicou a 19ª edição do seu relatório de violações de dados com um dado inédito: 31% das violações começaram pela exploração de uma vulnerabilidade de software, superando pela primeira vez as credenciais roubadas como principal porta de entrada. No mesmo relatório, 15% das técnicas de ataque já aparecem reforçadas por IA generativa, e o uso frequente de ferramentas de IA por funcionários subiu de 15% para 45% em um ano.

A consequência prática para uma empresa brasileira é direta: um sistema com uma versão antiga, uma biblioteca sem atualização ou um endpoint esquecido é encontrado por varredura automática, não por um atacante que escolheu a empresa. A resposta ao PHP2Shell, em outubro de 2026, mostrou isso em sistemas sustentados pela JBKR: o inventário de versões por cliente foi o que permitiu corrigir por ordem de exposição.

Brasil: mais ataques, violações mais caras, mais comunicações à ANPD

A América Latina foi a região mais atacada do mundo em todos os meses de 2026 medidos pela Check Point Research: em setembro, 3.813 ataques por organização por semana, contra 2.803 na média global, que por sua vez subiu 48% em um ano. Para o Brasil, a mesma pesquisa, divulgada à imprensa, registrou 4.151 ataques semanais por organização em julho, 45% acima do ano anterior.

O custo acompanha: pelo relatório da IBM de outubro de 2026, uma violação de dados custa em média R$ 7,44 milhões no Brasil, recorde da série, com a saúde em R$ 12,55 milhões. Aplicativos não autorizados usados por funcionários (shadow IT) acrescentaram R$ 720,3 mil ao custo médio, e apenas 33% das empresas brasileiras planejam aumentar o investimento em segurança e governança de IA. No lado regulatório, a ANPD recebeu 423 comunicações de incidentes nos nove primeiros meses de 2026, 31,8% a mais que no mesmo período de 2025, e a Resolução CD/ANPD nº 15/2024 dá três dias úteis para comunicar um incidente relevante.

IA: o vetor que a maioria das empresas ainda não testa

Quando uma aplicação lê e-mails, documentos, páginas ou mensagens e passa esse conteúdo a um modelo de linguagem, qualquer pessoa que consiga colocar texto nesse fluxo pode tentar dar instruções ao modelo. É a injeção de prompt, primeiro lugar do OWASP Top 10 for LLM Applications desde a primeira edição e mantido na edição de 2026, que também elevou "agência excessiva" (agentes com permissões e ferramentas demais) ao terceiro lugar.

Não é teoria: em junho de 2025 a Microsoft corrigiu no servidor a CVE-2025-32711, uma falha crítica (CVSS 9,3) no Microsoft 365 Copilot em que um e-mail com instruções escondidas bastava para extrair dados sem clique do usuário; entre dezembro de 2025 e janeiro de 2026, três CVEs no servidor MCP oficial de Git permitiram injeção de argumentos e escrita fora do repositório; e em março de 2026 a Unit 42 documentou 22 técnicas de injeção indireta usadas em páginas reais contra agentes de IA. A JBKR lida com isso há tempo suficiente para ter construído um produto para o problema: o AironCore.

Como a JBKR trabalha: diagnóstico, prioridade, correção, acompanhamento

Tudo começa por um diagnóstico de escopo fechado: inventário do que está exposto, varredura de vulnerabilidades, revisão da arquitetura e dos pontos críticos do código, teste manual do que a varredura não vê e, quando há IA, testes de injeção de prompt, vazamento de instruções e de dados pessoais. Sai um relatório priorizado por risco, com o plano de correção e estimativas, que fica com a sua empresa.

Depois, corrigimos com o seu time ou no seu lugar, por ordem de exposição, e deixamos o acompanhamento rodando: inventário de versões, atualizações de segurança dentro da sustentação, backups com restauração testada e, para aplicações com IA, o AironCore em produção com o Sentinel varrendo a aplicação em horários agendados e avisando a equipe no Slack, no Teams ou por e-mail.

O que a JBKR não faz sozinha

Segurança de rede corporativa, SOC 24/7, perícia forense formal e seguro cibernético não são serviços da JBKR: indicamos e coordenamos parceiros quando o diagnóstico mostra a necessidade. O que entregamos com as próprias mãos é a camada de aplicação e de dados, que é onde, pelos números de 2026, a maioria dos ataques entra.