Todos os anos, três organizações publicam relatórios que se tornaram referência obrigatória para quem trabalha em segurança da informação: a IBM, com o Cost of a Data Breach Report, a Verizon, com o Data Breach Investigations Report (DBIR), e a ENISA, com o Threat Landscape. Os três falam de fugas de dados e ciberataques, mas medem coisas diferentes, com métodos diferentes, para públicos diferentes. Confundir um com o outro leva a decisões erradas de orçamento e de prioridades técnicas.
Este artigo compara os três relatórios lado a lado: quem os publica, como recolhem os dados, que números de 2025 e 2026 apresentam, e qual escolher consoante o objetivo, seja justificar despesa ao Conselho de Administração, priorizar patches ou cumprir a NIS2 em Portugal. Usamos apenas dados oficiais das três organizações, complementados por rastreadores independentes de ransomware para verificar onde os números se cruzam. No final, ficam também um guia prático de migração entre metodologias, uma lista de casos reais de 2026 que testam os números, e um conjunto de perguntas frequentes para quem cita estes relatórios em relatórios internos ou apresentações a clientes.
Três Relatórios, Três Metodologias Diferentes
Antes de comparar números, vale perceber que os três relatórios respondem a perguntas distintas. O IBM Cost of a Data Breach mede quanto custa recuperar de um incidente. O Verizon DBIR mede como os atacantes entram e o que fazem depois. O ENISA Threat Landscape mede que ameaças afetam especificamente a União Europeia. Nenhum dos três substitui o outro.
IBM Cost of a Data Breach Report
A edição de 2025 do relatório da IBM continua a ser patrocinada, analisada e publicada pela própria IBM, com a investigação conduzida de forma independente pelo Ponemon Institute. A equipa entrevistou 3.470 pessoas ligadas à resposta a incidentes em 600 organizações que sofreram uma fuga de dados entre março de 2024 e fevereiro de 2025, cobrindo 17 setores e 16 países ou regiões. O método chama-se custeio baseado em atividades: em vez de perguntar diretamente “quanto perdeu”, os investigadores decompõem o incidente em tarefas (deteção, contenção, notificação, perda de negócio) e atribuem um custo a cada uma.
Verizon DBIR (Data Breach Investigations Report)
O DBIR 2026, com lançamento público a 19 de maio de 2026, segue uma lógica totalmente diferente. Não pergunta a ninguém quanto gastou. Analisa incidentes de segurança e fugas confirmadas, reportados pela Verizon e por dezenas de parceiros que contribuem com dados forenses reais. A janela de recolha vai de 1 de novembro de um ano a 31 de outubro do seguinte, o que explica por que motivo o relatório “2026” cobre eventos de finais de 2024 até meados de 2025. O foco está nos padrões de ataque, classificados através da metodologia VERIS, e não no valor financeiro do dano.
ENISA Threat Landscape
O terceiro relatório vem da Agência da União Europeia para a Cibersegurança e tem um recorte geográfico único: só interessa o que acontece dentro da UE. A edição 2025, publicada a 1 de outubro de 2025, analisou 4.875 incidentes ocorridos entre 1 de julho de 2024 e 30 de junho de 2025. A ENISA combina fontes abertas, informação anonimizada partilhada pelos Estados-Membros e contributos do Cyber Partnership Programme, seguindo uma metodologia própria publicada pela agência. Não há custo em euros nem percentagens de vetor de ataque tão detalhadas como no DBIR. Em troca, há algo que os outros dois não oferecem: contexto geopolítico, hacktivismo e ameaças específicas de setores europeus como transportes marítimos.
Tabela Comparativa Completa: IBM vs DBIR vs ENISA
A tabela seguinte junta as características essenciais dos três relatórios num só lugar, para facilitar a escolha rápida consoante a necessidade da equipa.
| Critério | IBM Cost of a Data Breach | Verizon DBIR | ENISA Threat Landscape |
|---|---|---|---|
| Editora | IBM (investigação pelo Ponemon Institute) | Verizon Business | Agência da UE para a Cibersegurança |
| Edição mais recente | 2025 | 2026 | 2025 (revisão v1.2 em janeiro de 2026) |
| Data de publicação | 2025 | 19 de maio de 2026 (lançamento), com página do relatório atualizada a 9 de julho de 2026 | 1 de outubro de 2025 |
| Período analisado | Março de 2024 a fevereiro de 2025 | 1 de novembro a 31 de outubro do ano seguinte | 1 de julho de 2024 a 30 de junho de 2025 |
| Método | Entrevistas e custeio baseado em atividades | Análise de incidentes reais via metodologia VERIS | Análise de ameaças centrada em fontes abertas e nacionais |
| Amostra | 600 organizações, 3.470 entrevistas | Multi-fonte, dezenas de organizações contribuintes | 4.875 incidentes |
| Alcance geográfico | 16 países e regiões | Global | Apenas União Europeia |
| Métrica principal | Custo médio em dólares | % por vetor de ataque | Setor e tipo de ameaça mais visado |
| Inclui custo financeiro | Sim, detalhado por categoria | Não (só valores de resgate) | Não |
| Foco em compliance UE / NIS2 | Limitado | Limitado | Elevado |
| Frequência | Anual | Anual | Anual |
| Preço de acesso | Gratuito | Gratuito | Gratuito |
Olhando para a tabela linha a linha, o padrão fica claro: o IBM ganha em profundidade financeira, o DBIR ganha em detalhe técnico sobre como os ataques acontecem, e a ENISA ganha em relevância regulatória para quem opera dentro da União Europeia. Nenhuma das três linhas de “métrica principal” se sobrepõe às outras, o que confirma que comparar os relatórios não é escolher um vencedor, mas perceber qual pergunta cada um responde melhor.
Amostras e Períodos de Recolha: Quem Tem Mais Dados
O tamanho da amostra determina o tipo de conclusão que cada relatório consegue sustentar. O IBM trabalha com 600 organizações e 3.470 entrevistas, um número suficiente para estimativas de custo por setor, mas pequeno se o objetivo for mapear técnicas de ataque específicas. A ENISA analisa 4.875 incidentes, oito vezes mais casos que o IBM, mas limitados ao território europeu e a um único ciclo anual.
O DBIR não divulga um número total de incidentes analisados nas edições mais recentes, algo que a própria Verizon já foi criticada por não detalhar com a mesma transparência de anos anteriores. Ainda assim, o relatório continua a ser o mais citado em investigação académica de segurança, porque combina dados de dezenas de parceiros que vão desde forças de segurança até seguradoras de risco cibernético. Isto dá-lhe uma diversidade de fontes que nem o IBM nem a ENISA conseguem replicar sozinhos.
A janela temporal também importa. O DBIR usa um ciclo de novembro a outubro, o que atrasa a deteção de tendências muito recentes. A ENISA fecha a recolha a meio do ano civil seguinte. O IBM cobre um intervalo de 12 meses terminado em fevereiro. Comparar os três relatórios como se falassem do mesmo momento exato é um erro comum. Na prática, há sempre uma diferença de três a seis meses entre os períodos cobertos.
Custo Médio de uma Fuga de Dados: os Números do IBM em 2026
O dado mais citado do relatório da IBM é também a principal novidade da edição de 2025: o custo médio global de uma fuga de dados caiu para 4,44 milhões de dólares, uma descida de cerca de 9% face aos 4,88 milhões de dólares registados em 2024. É a primeira queda em cinco anos. A IBM atribui a melhoria a dois fatores concretos, contenção mais rápida dos incidentes e adoção crescente de defesas apoiadas em inteligência artificial.
O custo médio de deteção e escalonamento também baixou, para 1,47 milhões de dólares, quase 10% menos do que no ano anterior. O detalhe mais relevante para quem decide orçamento está na comparação entre organizações que usam automação e IA de forma extensiva e as que não usam: as primeiras registam um custo médio de 3,62 milhões de dólares por incidente, enquanto as segundas sobem para 5,52 milhões. A diferença ultrapassa 1,9 milhões de dólares por fuga, um argumento direto para qualquer proposta de investimento em deteção automatizada.
| Indicador de custo (IBM 2025) | Valor | Variação face a 2024 |
|---|---|---|
| Custo médio global por fuga | $4,44 milhões | -9% |
| Custo médio em 2024 (referência) | $4,88 milhões | Base de comparação |
| Custo de deteção e escalonamento | $1,47 milhões | ~-10% |
| Organizações com IA/automação extensiva | $3,62 milhões | Abaixo da média global |
| Organizações sem IA/automação | $5,52 milhões | Acima da média global |
Nenhum dos outros dois relatórios oferece uma tabela equivalente. O DBIR limita-se a reportar o valor mediano de resgate pago em casos de ransomware, que desceu para 139.875 dólares, contra 150.000 dólares no ciclo anterior. A ENISA não publica qualquer valor em euros ou dólares associado aos incidentes que analisa. Quem precisa de justificar despesa de segurança perante a administração financeira de uma empresa não tem alternativa ao relatório da IBM.
Vetores de Ataque no DBIR 2026: Vulnerabilidades Ultrapassam Credenciais
A conclusão mais discutida do DBIR 2026 marca uma mudança de padrão que se vinha a formar há dois anos. A exploração de vulnerabilidades tornou-se o vetor de entrada mais comum em fugas de dados, com 31% dos casos, ultrapassando pela primeira vez o roubo de credenciais, que caiu para 13%. O phishing surge como terceiro vetor relevante, com 10% dos casos analisados.
A Verizon associa esta viragem à velocidade com que ferramentas de inteligência artificial permitem transformar uma vulnerabilidade recém-divulgada em exploit funcional. Segundo o comunicado de lançamento do relatório, esse processo passou de meses para horas. Para uma equipa de segurança, isto muda a prioridade: gerir o inventário de patches deixou de ser tarefa de rotina trimestral e passa a exigir resposta em dias, não em semanas.
O ransomware continua a crescer no DBIR 2026, presente em 48% das fugas analisadas, acima dos 44% do ciclo anterior. O envolvimento de terceiros e fornecedores também subiu, aparecendo em 48% dos casos, um aumento de 60% face ao ano anterior. Esta estatística tem eco direto nas fugas provocadas por fornecedores de tecnologia que este site já noticiou, como o caso da Telus Digital, onde um único fornecedor comprometido expôs dados de 28 empresas clientes.
Do lado positivo, 69% das vítimas de ransomware recusaram pagar o resgate em 2026, uma percentagem que confirma a tendência de resistência ao pagamento que já se via em relatórios anteriores. Menos vítimas a pagar não significa menos ataques, apenas significa que o retorno financeiro por vítima está a cair, o que pode explicar por que motivo alguns grupos de ransomware aumentaram o volume de ataques para compensar.
Ransomware: o que Dizem IBM, Verizon e os Rastreadores Independentes
Nenhum dos três relatórios principais publica uma contagem exaustiva de vítimas de ransomware por grupo. Para esse detalhe, é preciso cruzar com rastreadores independentes que monitorizam páginas de fuga de dados na dark web. A comparação seguinte junta o DBIR com três dessas fontes, para mostrar onde os números se alinham e onde divergem consoante a metodologia de cada rastreador.
| Fonte | Período | Dado principal |
|---|---|---|
| Verizon DBIR 2026 | Ciclo nov. 2024–out. 2025 | Ransomware presente em 48% das fugas analisadas |
| Check Point Research | Q1 2026 | Qilin lidera com 338 vítimas, terceiro trimestre consecutivo no topo |
| Breachsense | Janeiro de 2026 | 677 vítimas em 58 grupos ativos, 11% acima da média mensal de 2025 |
| Breachsense | Q1 2026 (total) | 2.165 vítimas, projeção anual de ~8.660, +18,5% face a 2025 |
| Black Kite | Dados de 2026 até julho | 7.551 vítimas registadas, +24,9% face ao ano anterior, com a Qilin responsável por 1.358 casos |
Os números não são diretamente somáveis, cada rastreador define “vítima” de forma diferente e cobre períodos distintos. Um quarto ponto de referência, o relatório GRIT da GuidePoint Security, contabiliza a Akira com 722 vítimas reivindicadas ao longo de 2026 e a Qilin com 1.044, números cumulativos que usam metodologia própria mas que confirmam a mesma hierarquia observada pela Check Point e pela Breachsense: a Qilin à frente, com a Akira destacada em segundo lugar. Ainda assim, todas as fontes apontam na mesma direção: o volume de ataques de ransomware está a crescer em 2026, mesmo com mais vítimas a recusar pagamento. A ENISA reforça esse quadro ao classificar o ransomware como o tipo de incidente com maior impacto de curto prazo dentro da União Europeia, sem, no entanto, publicar uma contagem de vítimas comparável às dos rastreadores comerciais.
O Panorama de Ameaças na UE Segundo a ENISA
A ENISA Threat Landscape 2025 tem uma vantagem que nenhum dos outros dois relatórios oferece: granularidade específica para organizações europeias. Dos 4.875 incidentes analisados, a administração pública foi o setor mais visado, com 38,2% do total, seguida de transportes com 7,5%, infraestruturas e serviços digitais com 4,8%, o setor financeiro com 4,5% e a indústria transformadora com 2,9%.
O peso da administração pública está diretamente ligado a hacktivismo e a atividade estatal. A ENISA regista que ataques de negação de serviço motivados por ideologia representaram 82% dos eventos registados contra organizações públicas, um padrão que se intensificou em torno de conflitos geopolíticos em curso. O relatório também identifica 73% das organizações visadas como entidades essenciais ou importantes segundo a definição da NIS2, o que liga diretamente este relatório ao quadro regulatório que já obriga milhares de empresas portuguesas a reportar incidentes, como já detalhámos na cobertura sobre a transposição da NIS2 em Portugal.
Setores como transportes marítimos e logística ganharam destaque nesta edição, uma área que o DBIR e o IBM praticamente não isolam nas suas análises globais. Para uma empresa portuguesa que precisa de argumentar risco setorial específico perante um regulador nacional, a ENISA é a única fonte das três que fala diretamente da realidade europeia, em vez de médias globais dominadas por incidentes nos Estados Unidos.
Como a Inteligência Artificial Está a Mudar os Três Relatórios
A inteligência artificial aparece nos três relatórios, mas cada um mede o seu efeito de forma diferente. No IBM Cost of a Data Breach, a IA entra como variável de custo: organizações que usam automação e deteção apoiada em IA de forma extensiva pagam, em média, 3,62 milhões de dólares por incidente, contra 5,52 milhões nas que não usam. A diferença de quase 2 milhões de dólares é o argumento mais forte do relatório inteiro, porque transforma um investimento técnico num número que qualquer diretor financeiro compreende sem precisar de explicação adicional.
No DBIR, a IA entra do lado do atacante, não do defensor. A Verizon liga diretamente o crescimento da exploração de vulnerabilidades, agora 31% dos casos, à rapidez com que ferramentas automatizadas convertem uma falha recém-divulgada num exploit funcional. Esse processo, que antes levava meses, passou a levar horas segundo a própria empresa. Uma equipa de segurança que ainda trata a gestão de patches como tarefa mensal está, na prática, a operar num calendário desatualizado face à velocidade que o próprio DBIR documenta.
A ENISA aborda a IA de forma mais indireta, através da atividade estatal e de campanhas de desinformação que ganham escala com ferramentas automatizadas. O relatório não isola uma percentagem específica de incidentes ligados a IA generativa, mas o peso crescente de ataques de negação de serviço motivados por ideologia, 82% dos eventos contra administração pública, é consistente com uma escalada que ferramentas automatizadas tornam mais barata de executar em massa. Nenhum dos três relatórios trata a IA como ameaça isolada. Todos a tratam como multiplicador, seja de defesa, seja de ataque.
Benchmarks Cruzados: Onde os Três Relatórios Concordam (e Discordam)
Cruzando os três relatórios, há três pontos de consenso. Primeiro, o ransomware continua a crescer em volume, confirmado pelo DBIR (48% das fugas), pela ENISA (ameaça de maior impacto de curto prazo) e por todos os rastreadores independentes citados acima. Segundo, o fator humano e a exploração de vulnerabilidades continuam a dominar o acesso inicial, com o DBIR a colocar as vulnerabilidades em primeiro lugar pela primeira vez. Terceiro, o custo e a frequência dos ataques a terceiros e cadeias de fornecimento estão a subir de forma consistente nos três universos analisados.
Há também divergências que vale a pena assinalar. O IBM regista uma queda no custo médio de fuga, algo que nem o DBIR nem a ENISA confirmam ou contradizem diretamente, porque nenhum dos dois mede custo em dólares. É perfeitamente possível que o número de incidentes suba (como mostra a ENISA) ao mesmo tempo que o custo médio por incidente desça (como mostra o IBM), porque são métricas diferentes: volume contra impacto financeiro médio.
Outra divergência está na definição de “terceiro”. O DBIR fala de envolvimento de terceiros em 48% das fugas, um salto de 60% face ao ano anterior. A ENISA não usa exatamente a mesma categoria, mas destaca o setor de infraestruturas e serviços digitais como quarto mais visado na UE, o que aponta na mesma direção sem confirmar o mesmo número. Comparar relatórios com metodologias diferentes exige sempre este cuidado: alinhar tendências, não decimais.
Cinco Casos Reais de 2026 que Testam Estes Números
Os números dos três relatórios só ganham sentido quando confrontados com incidentes reais. Estes cinco casos, todos noticiados em 2026, ilustram diretamente os padrões descritos acima.
- Rockstar Games / ShinyHunters: o grupo ShinyHunters afirmou ter roubado 78,6 milhões de registos da produtora do GTA, um caso que ilustra a categoria de fuga em larga escala que domina o topo dos rankings de custo do IBM. Cobrimos os detalhes em Rockstar Games: ShinyHunters Rouba 78,6M Registos.
- Telus Digital: a mesma quadrilha terá exfiltrado cerca de 1 petabyte de dados que afetavam 28 empresas clientes ao mesmo tempo, um exemplo direto do salto de 60% em fugas com envolvimento de terceiros apontado pelo DBIR 2026.
- Odido (Países Baixos): a operadora móvel confirmou impacto em 6,39 milhões de clientes e um pedido de resgate de cerca de 1 milhão de euros, um caso europeu que se enquadra diretamente no universo geográfico analisado pela ENISA Threat Landscape.
- Match Group: a fuga que afetou 10 milhões de utilizadores da empresa dona de aplicações de encontros mostra como dados pessoais sensíveis continuam a ser alvo preferencial, reforçando por que a categoria de dados pessoais pesa tanto no cálculo de custo do IBM.
- Novo Nordisk / FulcrumSec: o grupo FulcrumSec reivindicou o roubo de 1,3 terabytes de dados e exigiu 25 milhões de dólares, um valor de resgate que ajuda a explicar por que a mediana de pagamentos no DBIR, apesar de descer, ainda representa um risco financeiro relevante para empresas de grande dimensão.
Nenhum destes casos aparece isolado num único relatório. Cada um combina elementos que o IBM mediria em custo, que o DBIR classificaria por vetor de ataque, e que a ENISA, nos casos europeus, contextualizaria dentro do panorama de ameaças regional. Vale ainda notar que a maioria destes incidentes só chega ao público através de comunicados das próprias empresas afetadas ou de reivindicações publicadas pelos próprios grupos de ataque nos seus canais habituais, o que significa que os números iniciais divulgados podem mudar depois de uma investigação forense completa. É por isso que os três relatórios analisados aqui preferem trabalhar com amostras fechadas e metodologia própria, em vez de somar diretamente as reivindicações que saem nos primeiros dias de cada caso.
Prós e Contras de Cada Relatório
Depois de comparar metodologia, amostra e números, fica mais claro onde cada relatório se destaca e onde fica curto.
- Prós do IBM Cost of a Data Breach: converte segurança em linguagem financeira que qualquer administração entende, mede evolução ao longo de duas décadas, cruza custo com adoção de IA.
- Contras do IBM Cost of a Data Breach: baseia-se em entrevistas e estimativas, não em dados forenses verificados. O financiamento pela própria IBM levanta sempre a questão de eventual enviesamento a favor de soluções de automação.
- Prós do Verizon DBIR: analisa incidentes reais confirmados, usa uma metodologia (VERIS) reconhecida academicamente, oferece o detalhe técnico mais granular sobre vetores de ataque.
- Contras do Verizon DBIR: não estima custo financeiro e depende de organizações parceiras dispostas a partilhar dados, o que pode enviesar a amostra para setores mais reguladores como o financeiro.
- Prós da ENISA Threat Landscape: é o único com recorte específico para a União Europeia, combina fontes abertas com dados oficiais de Estados-Membros, liga diretamente a obrigações da NIS2.
- Contras da ENISA Threat Landscape: não mede custo, tem menos detalhe percentual por vetor de ataque do que o DBIR, e a qualidade dos dados varia consoante a maturidade de reporte de cada país.
Erros Comuns ao Citar Estes Relatórios
O erro mais frequente é tratar o custo médio do IBM como se fosse um valor forense confirmado, quando na verdade resulta de entrevistas e estimativas de atividade. Isto não invalida o número, mas muda a forma como deve ser apresentado. Dizer “uma fuga de dados custa $4,44 milhões” é diferente de dizer “segundo estimativas do IBM baseadas em entrevistas a 600 organizações, o custo médio ronda os $4,44 milhões”. A segunda formulação sobrevive melhor a uma auditoria interna de fontes.
O segundo erro é somar números de relatórios com períodos diferentes como se fossem do mesmo ano. O DBIR 2026 cobre um ciclo que termina antes de o relatório ser publicado, a ENISA fecha a recolha vários meses antes da publicação, e o IBM usa outra janela ainda. Comparar a percentagem de ransomware do DBIR com a contagem de vítimas de um rastreador que cobre um mês civil específico produz números que parecem contraditórios, mas apenas refletem períodos distintos.
O terceiro erro é ignorar o alcance geográfico. Aplicar a média global de custo do IBM a uma organização portuguesa sem ajustar para o contexto europeu, ou citar a percentagem de administração pública visada pela ENISA como se fosse válida fora da UE, são generalizações que um leitor técnico deteta de imediato. Cada relatório tem uma fronteira de validade, e citar fora dela enfraquece o argumento em vez de o reforçar.
Casos de Uso: Qual Relatório Usar Para Cada Objetivo
A escolha certa depende quase sempre do objetivo concreto da equipa, não de qual relatório é “melhor” em abstrato. Seguem seis cenários práticos.
- Justificar orçamento perante o Conselho de Administração: use o IBM Cost of a Data Breach, com os números de $4,44 milhões de custo médio e a diferença de $1,9 milhões entre empresas com e sem automação.
- Priorizar gestão de patches e vulnerabilidades: use o DBIR, cujo dado de 31% de acessos iniciais via exploração de falhas justifica investimento direto em gestão de superfície de ataque.
- Cumprir obrigações de notificação da NIS2 em Portugal: use a ENISA Threat Landscape, que já classifica 73% das organizações visadas na UE como entidades essenciais ou importantes ao abrigo dessa diretiva.
- Negociar apólices de seguro cibernético: combine o custo médio do IBM com o valor mediano de resgate do DBIR ($139.875) para calibrar limites de cobertura realistas.
- Preparar exercícios de simulação de resposta a incidentes: use os padrões de ataque do DBIR junto com casos reais como os de Rockstar Games e Telus Digital para construir cenários credíveis.
- Avaliar risco de fornecedores e terceiros: combine o crescimento de 60% em fugas com envolvimento de terceiros do DBIR com o setor de infraestruturas digitais da ENISA para justificar auditorias de fornecedores.
Guia de Migração: Como Combinar os Três Relatórios no Seu Programa de Segurança
Muitas equipas de segurança usam apenas um destes relatórios, normalmente por hábito ou porque foi o primeiro que alguém trouxe para uma apresentação interna, e perdem contexto relevante que os outros dois ofereceriam de graça. Este guia mostra como passar de uma leitura isolada para um processo estruturado que combina os três relatórios ao longo do ano, em vez de os consultar apenas quando surge uma nova edição.
- Defina o objetivo antes de escolher o relatório. Orçamento e ROI apontam para o IBM, prioridade técnica aponta para o DBIR, compliance europeu aponta para a ENISA.
- Descarregue sempre a edição mais recente diretamente da fonte oficial, evitando resumos de terceiros que muitas vezes desatualizam os números entre edições.
- Extraia apenas os indicadores relevantes para o seu setor, em vez de tentar aplicar médias globais a uma realidade setorial específica, sobretudo no caso do IBM, que publica quebras por indústria.
- Cruze os vetores de ataque do DBIR com o histórico interno de incidentes da própria organização, para confirmar se os 31% de exploração de vulnerabilidades correspondem à realidade do seu ambiente.
- Alinhe a documentação de compliance com os dados da ENISA, citando diretamente o relatório sempre que a equipa jurídica precise de justificar classificação de risco perante o regulador nacional.
- Construa um dashboard interno único que junte os três indicadores lado a lado: custo médio (IBM), vetor de ataque predominante (DBIR) e setor de risco na UE (ENISA).
- Atualize o processo todos os anos, idealmente entre outubro e novembro, quando as três organizações costumam ter as edições mais recentes disponíveis.
- Documente as diferenças metodológicas em qualquer relatório interno que cite estes números, para que quem lê não confunda uma estimativa de custo com uma percentagem de incidentes confirmados.
O Que Observar nas Próximas Edições
Três tendências já visíveis nas edições de 2025 e 2026 devem continuar a marcar as próximas publicações. A primeira é a consolidação da exploração de vulnerabilidades como vetor de entrada dominante. Se o padrão do DBIR se mantiver, é provável que a próxima edição mostre esse valor a subir ainda mais acima dos atuais 31%, à medida que mais grupos de ataque automatizam a descoberta de falhas exploráveis logo após a divulgação pública.
A segunda tendência é o peso crescente de terceiros e fornecedores nas fugas de dados. O salto de 60% documentado pelo DBIR 2026 dificilmente é um pico isolado, sobretudo depois de casos como o da Telus Digital, em que um único fornecedor comprometido afetou 28 empresas clientes ao mesmo tempo. Espera-se que este indicador continue a subir enquanto as cadeias de fornecimento de software e serviços geridos permanecerem tão interligadas.
A terceira tendência a acompanhar é a divergência entre custo médio e volume de incidentes. O IBM já mostrou que o custo pode descer mesmo com mais incidentes a acontecer, graças a contenção mais rápida. Se essa tendência se mantiver na próxima edição, o argumento de que “mais ataques” significa automaticamente “mais prejuízo total” deixa de ser válido, e as equipas de segurança vão precisar de comunicar essa nuance com mais cuidado às administrações que financiam os seus orçamentos.
Veredito Final: Qual Relatório Vale Mais a Pena Seguir
Depois de percorrer metodologia, custo, vetores de ataque e casos reais, fica uma conclusão simples: não há um vencedor único, porque os três relatórios respondem a perguntas diferentes com dados que não competem entre si. Ainda assim, dá para tirar uma conclusão prática. Para uma equipa de segurança sediada em Portugal ou noutro país da UE, a combinação DBIR mais ENISA cobre a maior parte das necessidades do dia a dia: o DBIR entrega prioridade técnica com o dado de 31% de exploração de vulnerabilidades como vetor líder, e a ENISA entrega o enquadramento regulatório que liga diretamente à NIS2, com 73% das organizações visadas classificadas como entidades essenciais ou importantes.
O relatório da IBM entra em cena num momento específico: quando é preciso transformar risco técnico em número que um diretor financeiro compreenda. Os $4,44 milhões de custo médio, e sobretudo a diferença de quase $2 milhões entre organizações com e sem automação de segurança, continuam a ser o argumento mais eficaz para aprovar investimento em deteção e resposta. Nenhuma equipa de segurança séria deveria escolher apenas um dos três. A escolha certa é sempre a combinação, ajustada ao momento e ao público de cada apresentação.
Perguntas Frequentes
Qual destes três relatórios é gratuito?
Os três são gratuitos e podem ser descarregados diretamente dos sites da IBM, da Verizon e da ENISA, sem qualquer custo de acesso ou registo obrigatório para consulta básica. A IBM costuma pedir apenas um endereço de email para enviar o PDF completo, enquanto a Verizon e a ENISA disponibilizam o documento em acesso direto, sem qualquer formulário intermédio.
Qual é o relatório com os dados mais recentes em 2026?
O Verizon DBIR 2026, lançado publicamente a 19 de maio de 2026, cobre o período mais próximo do presente. A edição da ENISA de 2025 já teve uma revisão publicada em janeiro de 2026, mas os dados de base mantêm-se do período de julho de 2024 a junho de 2025.
O IBM Cost of a Data Breach Report é fiável, sendo financiado pela própria IBM?
A investigação de campo é conduzida de forma independente pelo Ponemon Institute, mesmo com a IBM a patrocinar, analisar e publicar o relatório final. É prática comum no setor citar o relatório como referência, mas convém sempre cruzar os números com fontes que não dependam de financiamento de um único fornecedor de tecnologia, sobretudo quando a conclusão de um estudo aponta diretamente para o valor de investir mais em automação e ferramentas de deteção, área onde a própria IBM vende produtos.
Portugal tem dados próprios em algum destes relatórios?
Nenhum dos três publica um valor isolado só para Portugal nas edições mais recentes analisadas. A ENISA agrega dados ao nível da União Europeia e o IBM trabalha com médias por país em apenas alguns dos 16 mercados cobertos. Para dados nacionais mais granulares, vale a pena cruzar com estatísticas específicas de ciberataques em Portugal.
Qual a principal diferença entre o DBIR e o ENISA Threat Landscape?
O DBIR analisa incidentes a nível global e foca-se em técnicas e vetores de ataque, com percentagens detalhadas sobre a forma como cada fuga começou. A ENISA analisa apenas incidentes com impacto na União Europeia e dá mais peso ao contexto geopolítico, setorial e regulatório, incluindo a ligação direta à NIS2. Na prática, o DBIR responde “como entraram” e a ENISA responde “quem foi visado e porquê”, dentro da fronteira europeia.
Com que frequência é publicado cada relatório?
Os três têm periodicidade anual. A ENISA costuma publicar no final do terceiro trimestre ou início do quarto, a Verizon lança o DBIR normalmente a meio do ano, e a IBM publica o seu relatório também a meio de ano, com dados do ciclo de doze meses anterior.
Como ajudam estes relatórios a cumprir a NIS2?
A ENISA Threat Landscape é o documento de referência mais direto, porque a própria agência que o publica também acompanha a implementação da NIS2 nos Estados-Membros. Empresas abrangidas pelo regime nacional de cibersegurança, como já explicámos na cobertura sobre o regime jurídico de cibersegurança em Portugal, podem citar diretamente estes dados na avaliação de risco exigida pela diretiva.