O Brasil é o quarto local em termos de volume de informação vazada a cada vez que acontece um incidente de segurança, mas o prejuízo financeiro para as empresas que falharam na proteção desses dados é o menor de todos. E os custos para as companhias atingidas vêm em alta no país.

Os dados são da pesquisa anual da IBM em parceria com o Instituto Ponemon, "Cost of a Data Breach", que, em 2019, avaliou mais de 500 empresas (35 no Brasil) em 16 regiões e países.

O relatório, divulgado nesta terça-feira (23), foi obtido com exclusividade pela Folha no Brasil.

De acordo com o levantamento, a cada incidente no país, foram 26.523 registros de informação vazados, atrás apenas do Oriente Médio (38.800), Índia (35.636) e EUA (32.434). Na edição anterior do estudo, o Brasil era o quinto colocado.

O volume de dados, no entanto, não se reflete em cifras. 

Cada episódio gera, em média, prejuízos de US$ 1,35 mi (R$ 5 milhões) para as empresas e uma média de US$ 69 (R$ 260) por registro, os menores números dentre as localidades pesquisadas.

João Rocha, diretor de cibersegurança da IBM Brasil, alerta que o valor é alto, apesar de parecer baixo na comparação. 

O montante é calculado em dólar e isso coloca a somatória em real em desvantagem, justifica o especialista.

O estado da transformação digital também pesa. Como os brasileiros estão mais atrasados do que outros países, explica, não há tanto prejuízo com a perda de clientes. 

Lá fora, ao sentir quebra de confiança em uma empresa por má gestão de dados pessoais, há mais opções de concorrentes a quem migrar.

Em uma esfera global, aponta o estudo, a maior parte dos prejuízos ligados a um vazamento se refere à perda de negócios (36,2%), seguida por detecção do problema em si (31,1%), reparo de eventuais problemas (27,3%) e notificação de quem teve sua informação disseminada (5,4%).

A tese da evasão de usuários é corroborada por Renato Leite Monteiro, professor do Data Privacy Brasil.

"Mesmo que uma empresa tenha vazado dados, as pessoas preferem a conveniência do serviço a deixar de usar por não garantir segurança adequada”, diz.

Outro aspecto é o legal. No exterior, há um cenário mais robusto de responsabilização de quem é atingido por essas falhas digitais.

“No Brasil, ainda não há obrigação de notificação [de pessoas expostas] e as empresas dificilmente vão ser multadas por vazamentos”, diz Monteiro.

A expectativa é que a situação mude com a Lei Geral de Proteção de Dados, mas a longo prazo.

As séries históricas dos prejuízos a empresas por vazamentos de dados mostram montantes médios mais altos em 2016 em relação a 2019 tanto globalmente quanto no Brasil.

Apesar da oscilação, o diretor da IBM João Rocha diz que o cenário geral é de aumento nos danos financeiros sofridos.

“O que acontece é que você sempre tem uma ação e reação. Quando você tem incidentes, investe mais [e o impacto diminui]. Depois dá uma relaxada e volta a acontecer”, diz.

Há ainda uma transformação nas características dos ataques. “O cibercrime se expande e cria novas formas de atuar”, afirma.

A novidade neste ano é os criminosos passarem a trocar o ransomware —uma espécie de sequestro de informações digitais— pela extorsão.

Eles passaram a roubar os dados das empresas e ameaçar divulgar as informações caso não recebam dinheiro. Pagar os criminosos pode compensar financeiramente para as vítimas por causa de eventuais multas pelo vazamento.

Questão de tempo

O relatório também mostra que o impacto de um vazamento de dados não é sentido por completo no primeiro ano.

A maior parte, 67%, sim, mas os prejuízos vêm também no segundo ano após o problema (22%) e posteriormente (11%).

Essa cauda longa de prejuízos, explica Rocha, vem, em parte, da dificuldade de se quantificar um vazamento quando ele acontece.

Às vezes, com o passar do tempo, percebe-se que o problema era maior do que calculado inicialmente.

Dados de vazamentos antigos que voltam a circular como se fossem novos são outro problema. Potencialmente, usuários que não tinham sido afetados na primeira leva podem ser na segunda, gerando novos prejuízos.

Outro destaque negativo para o Brasil no estudo é o tempo de resposta a incidentes de segurança.

Empresas do país são as que mais demoram a conter um vazamento, uma vez identificado: 111 dias, em média.

A demora também acontece para perceber o problema. Os 250 dias médios entre o vazamento e a detecção são menores só do que o tempo que levam empresas do Oriente Médio (279 dias).