A Unit 42, equipe de pesquisa e resposta a incidentes da Palo Alto Networks, divulgou o Relatório Global de Resposta a Incidentes de 2026, baseado na análise de mais de 750 casos registrados entre 2024 e 2025. O estudo aponta uma mudança significativa no cenário do crime digital e destaca que falhas de identidade — envolvendo contas, credenciais e permissões — se tornaram o principal vetor de acesso e de movimentação dentro das organizações.

Segundo o relatório, um quarto dos ataques mais rápidos conseguiu extrair dados em até 72 minutos, enquanto 87% das invasões avançaram simultaneamente em múltiplas superfícies. Quase 90% das investigações identificaram problemas de identidade como fator crítico, e 99% das identidades em ambientes de nuvem apresentavam privilégios excessivos.

Os pesquisadores observam que criminosos combinam navegação web, aplicativos em nuvem e credenciais reutilizadas para se mover rapidamente entre sistemas, o que reforça a necessidade de controles rigorosos de identidade e de maior visibilidade sobre aplicações SaaS. Entre os principais pontos de entrada, phishing e exploração de vulnerabilidades aparecem empatados com 22% cada, enquanto técnicas baseadas em identidade representam 65% do acesso inicial, incluindo uso de credenciais vazadas, ataques de força bruta e falhas de gerenciamento de acesso.

O relatório também indica mudanças nas práticas de extorsão: embora a criptografia de dados ainda seja comum, sua presença caiu para 78% dos casos. Grupos criminosos têm priorizado o roubo de informações e o contato direto com as vítimas. As demandas financeiras também aumentaram, com valor inicial médio de 1,5 milhão de dólares (7,8 milhões de reais) e pagamento médio de 500 mil dólares (2,6 milhões de reais).

Segundo Patrick Rinski, líder da Unit 42 na América Latina, a região apresenta ambientes híbridos, cadeias de suprimentos complexas e uma rápida adoção de aplicações SaaS — fatores que exigem reduzir lacunas de exposição, melhorar a governança de identidade e aumentar a automação na contenção de incidentes. Ele destaca que o objetivo é impedir que um acesso inicial se transforme em uma crise operacional.

Uma análise de mais de 680 mil identidades em ambientes de nuvem mostrou que 99% delas tinham permissões acima do necessário, ampliando o risco de escalada de privilégios, movimentação lateral e permanência oculta por meio de acessos válidos, inclusive com tokens de sessão ou integrações OAuth que dispensam autenticação interativa. Nesse contexto, a forma como as identidades são geridas influencia diretamente a velocidade e o impacto de um invasor.

O relatório aponta ainda que, em 2025, dados armazenados em aplicativos SaaS foram relevantes em 23% dos incidentes, enquanto 39% das técnicas de comando e controle utilizaram ferramentas de acesso remoto que se assemelhavam a atividades administrativas legítimas. Integrações OAuth, chaves de API, soluções de RMM/MDM e pacotes de terceiros podem herdar permissões e gerar pontos únicos de comprometimento. Em mercados como o Brasil e a América Latina, onde ambientes híbridos e fornecedores globais coexistem, a revisão contínua de conectores, contas de serviço e permissões é considerada essencial.

O estudo também destaca mudanças na atuação de grupos estatais, que buscam permanecer mais tempo sem detecção por meio de identidades falsas, infiltração em processos internos e acesso a camadas de virtualização e de infraestrutura. Essas táticas elevam a complexidade da identificação e exigem uma melhor instrumentação dos ambientes digitais.

As recomendações do relatório apontam três frentes principais de ação para as organizações. A primeira é reduzir a exposição, o que inclui aplicar patches automaticamente em ativos expostos, manter inventários atualizados, garantir transparência na gestão de integrações OAuth e preparar planos de contingência para a revogação de tokens e o isolamento de agentes de terceiros.

A segunda é mitigar o impacto de incidentes por meio de autenticação multifator resistente ao phishing para funções críticas, sessões mais curtas com avaliação contínua de risco e adoção do princípio do menor privilégio, com acesso sob demanda para evitar permissões persistentes — especialmente em contas de serviço.

A terceira é acelerar a resposta, unificando a telemetria de endpoint, rede, identidade, nuvem e SaaS, além de automatizar ações de contenção, como o isolamento de cargas, a revogação de sessões e a execução de playbooks consistentes em todo o SOC.

O relatório destaca que o crime digital já opera em escala industrial, com impactos mensurados em minutos. Para empresas no Brasil, a prioridade é eliminar lacunas de exposição, limitar a movimentação dos invasores por meio de controles de identidade mais robustos e automatizar a resposta para acompanhar a velocidade das ameaças. A diferença entre um incidente e uma crise pode ser definida na primeira hora.

A análise reforça que a defesa mais eficaz não depende de ferramentas complexas, mas da execução rigorosa de fundamentos básicos: visibilidade sobre todo o ambiente, controle claro de acessos e reação imediata a atividades suspeitas. Quando esses elementos funcionam de forma integrada, um ataque tende a ser contido antes de comprometer as operações.