Custos Recordes e o 'Prêmio da IA'

Organizações nos Estados Unidos enfrentaram um custo médio de US$ 11,5 milhões por violação, mais que o dobro da média global e um aumento de 11% em relação a 2025 . A cada hora que uma violação permanecia sem solução, o custo era de aproximadamente US$ 1.100 .

Os ataques habilitados por IA foram o maior multiplicador de custos. Um em cada quatro ataques maliciosos agora envolve IA – um aumento de 56% em relação ao ano anterior – e essas violações custam, em média, US$ 6 milhões, cerca de US$ 1 milhão a mais do que a média global . Tipos específicos de ataque de IA incluem deepfake, malware potencializado por IA, ataques de 'inversão de modelo' (model inversion, com custo médio de US$ 6,07 milhões) e 'injeção de prompt' (prompt injection, com média de US$ 5,89 milhões) .

Tempos de Detecção e Resposta Pioram pela Primeira Vez em Cinco Anos

Após cinco anos consecutivos de melhora, o tempo médio para identificar e conter uma violação aumentou para 247 dias (183 dias para identificar, 64 dias para conter) . Essa reversão sinaliza que os atacantes estão se movendo mais rápido do que os defensores, comprimindo a janela de resposta . As violações que duraram mais de 200 dias custaram, em média, US$ 5,65 milhões, em comparação com US$ 4,32 milhões para aquelas contidas em menos de 200 dias .

Shadow AI e Falhas de Governança Atingem Níveis Críticos

Talvez a descoberta mais alarmante: os incidentes de Shadow AI (IA sombra) mais que dobraram, passando de 20% para 43% das organizações violadas . Ferramentas de IA não sancionadas, usadas sem qualquer revisão de segurança, estão agora por trás de quase metade de todos os incidentes .

Entre as organizações que sofreram um incidente de segurança relacionado à IA, 92% não tinham controles de acesso adequados para IA no momento da violação . Além disso, 68% das organizações violadas não possuíam nenhuma política de governança de IA . Os incidentes envolvendo modelos e aplicações de IA subiram de 13% para 21% dos casos . O relatório documenta ataques direcionados à infraestrutura de IA por meio de injeção de prompt, inversão de modelo e envenenamento de dados (data poisoning) . Organizações que sofreram uma violação relacionada à IA, mas não tinham controles de acesso, tiveram custos médios de US$ 5,33 milhões, contra US$ 4,70 milhões para aquelas cuja violação não envolveu IA .

Resposta nos Investimentos: 85% Planejam Aumentar Gastos com Segurança

Em uma pesquisa complementar, 85% das organizações violadas afirmaram que planejam aumentar os gastos com ferramentas e governança de segurança, especificamente em resposta às ameaças de IA de fronteira . Na pesquisa principal, 64% disseram que a própria violação motivaria um aumento de gastos . Esse aumento nos gastos está alinhado com tendências mais amplas do setor – a Cisco, por exemplo, registrou um crescimento de 14% ano a ano na receita de segurança durante o mesmo período, refletindo o investimento acelerado das empresas em defesas conscientes dos riscos da IA .

Outras Descobertas Críticas

• Comprometimento da cadeia de suprimentos foi o principal amplificador de custos, adicionando, em média, US$ 227.250 por violação, e foi o segundo vetor de ataque mais comum, levando 258 dias para ser identificado e contido .
• O setor de saúde continuou sendo o mais caro para violações, com média de US$ 6,64 milhões, embora abaixo dos anos anteriores .
• A Índia registrou seu maior custo médio de violação, de ₹25,5 crores (cerca de US$ 3,05 milhões), um aumento de 15,9% em relação ao ano anterior .
• Organizações que fazem uso extensivo de IA e automação para segurança economizaram, em média, US$ 1,93 milhão em custos de violação, em comparação com aquelas que não utilizam .
• Apenas 42% das organizações relataram recuperação total após uma violação, um aumento em relação aos 35% do ano anterior, mas ainda deixando a maioria em processo de recuperação meses ou anos após o evento .

O relatório de 2026 é baseado em estudos de 602 organizações violadas em 17 países e 17 setores, com dados coletados entre março de 2025 e fevereiro de 2026 .

Custos Recordes e o 'Prêmio da IA'

Organizações nos Estados Unidos enfrentaram um custo médio de US$ 11,5 milhões por violação, mais que o dobro da média global e um aumento de 11% em relação a 2025 . A cada hora que uma violação permanecia sem solução, o custo era de aproximadamente US$ 1.100 .

Os ataques habilitados por IA foram o maior multiplicador de custos. Um em cada quatro ataques maliciosos agora envolve IA – um aumento de 56% em relação ao ano anterior – e essas violações custam, em média, US$ 6 milhões, cerca de US$ 1 milhão a mais do que a média global . Tipos específicos de ataque de IA incluem deepfake, malware potencializado por IA, ataques de 'inversão de modelo' (model inversion, com custo médio de US$ 6,07 milhões) e 'injeção de prompt' (prompt injection, com média de US$ 5,89 milhões) .

Tempos de Detecção e Resposta Pioram pela Primeira Vez em Cinco Anos

Após cinco anos consecutivos de melhora, o tempo médio para identificar e conter uma violação aumentou para 247 dias (183 dias para identificar, 64 dias para conter) . Essa reversão sinaliza que os atacantes estão se movendo mais rápido do que os defensores, comprimindo a janela de resposta . As violações que duraram mais de 200 dias custaram, em média, US$ 5,65 milhões, em comparação com US$ 4,32 milhões para aquelas contidas em menos de 200 dias .

Shadow AI e Falhas de Governança Atingem Níveis Críticos

Talvez a descoberta mais alarmante: os incidentes de Shadow AI (IA sombra) mais que dobraram, passando de 20% para 43% das organizações violadas . Ferramentas de IA não sancionadas, usadas sem qualquer revisão de segurança, estão agora por trás de quase metade de todos os incidentes .

Entre as organizações que sofreram um incidente de segurança relacionado à IA, 92% não tinham controles de acesso adequados para IA no momento da violação . Além disso, 68% das organizações violadas não possuíam nenhuma política de governança de IA . Os incidentes envolvendo modelos e aplicações de IA subiram de 13% para 21% dos casos . O relatório documenta ataques direcionados à infraestrutura de IA por meio de injeção de prompt, inversão de modelo e envenenamento de dados (data poisoning) . Organizações que sofreram uma violação relacionada à IA, mas não tinham controles de acesso, tiveram custos médios de US$ 5,33 milhões, contra US$ 4,70 milhões para aquelas cuja violação não envolveu IA .

Resposta nos Investimentos: 85% Planejam Aumentar Gastos com Segurança

Em uma pesquisa complementar, 85% das organizações violadas afirmaram que planejam aumentar os gastos com ferramentas e governança de segurança, especificamente em resposta às ameaças de IA de fronteira . Na pesquisa principal, 64% disseram que a própria violação motivaria um aumento de gastos . Esse aumento nos gastos está alinhado com tendências mais amplas do setor – a Cisco, por exemplo, registrou um crescimento de 14% ano a ano na receita de segurança durante o mesmo período, refletindo o investimento acelerado das empresas em defesas conscientes dos riscos da IA .

Outras Descobertas Críticas

• Comprometimento da cadeia de suprimentos foi o principal amplificador de custos, adicionando, em média, US$ 227.250 por violação, e foi o segundo vetor de ataque mais comum, levando 258 dias para ser identificado e contido .
• O setor de saúde continuou sendo o mais caro para violações, com média de US$ 6,64 milhões, embora abaixo dos anos anteriores .
• A Índia registrou seu maior custo médio de violação, de ₹25,5 crores (cerca de US$ 3,05 milhões), um aumento de 15,9% em relação ao ano anterior .
• Organizações que fazem uso extensivo de IA e automação para segurança economizaram, em média, US$ 1,93 milhão em custos de violação, em comparação com aquelas que não utilizam .
• Apenas 42% das organizações relataram recuperação total após uma violação, um aumento em relação aos 35% do ano anterior, mas ainda deixando a maioria em processo de recuperação meses ou anos após o evento .

O relatório de 2026 é baseado em estudos de 602 organizações violadas em 17 países e 17 setores, com dados coletados entre março de 2025 e fevereiro de 2026 .