Metade das senhas são fáceis de quebrar

CLM, distribuidor latino-americano com foco em segurança da informação, analisa os resultados do The Blue Report™ 2025, feito por sua parceira Picus Security, pioneira em tecnologia de simulação de violação e ataque (BAS), a partir de mais de 160 milhões de simulações de ataques reais, entre janeiro e junho de 2025.
 
Os resultados deste ano são particularmente sombrios: em 46% dos ambientes, pelo menos uma senha foi quebrada com sucesso. Aumento significativo em relação aos 25% de 2024.
 
A CLM avalia que esses números evidenciam o ser humano como um dos elos mais fracos da cibersegurança e a necessidade de políticas contínuas de fortalecimento das senhas e de atualização.
 
Outro dado alarmante é que os ataques realizados com credenciais válidas roubadas são praticamente imparáveis. Em 98% das vezes, os ataques foram bem-sucedidos, tornando técnicas como Contas Válidas (MITRE ATT&CK T1078) uma das maneiras mais confiáveis de contornar defesas sem ser detectado.
 
Segundo Francisco Camargo, CEO da CLM, o estudo revela que, enquanto os ciberataques crescem em volume e sofisticação, a eficácia defensiva diminui. “Isso mostra a rapidez com que uma única credencial comprometida pode abrir caminho para movimentação lateral e roubo de dados em larga escala. Com a prevalência de malwares infostealer, que triplicaram e os invasores contornam cada vez mais as defesas com logins válidos, os riscos de ameaças persistentes e quase invisíveis são crescentes”, completa.
 
A prevenção contra exfiltração de dados é quase zero: as tentativas de exfiltração de dados foram interrompidas em apenas 3% dos casos, ante os 9%, em 2024.
 
Dr. Süleyman Ozarslan, cofundador da Picus Security e vice-presidente da Picus Labs, afirma que é necessário operar sob a premissa de que os adversários já têm acesso. “Uma mentalidade de ‘assumir a violação’ leva as organizações a detectarem o uso indevido de credenciais válidas com mais rapidez, conter ameaças rapidamente e limitar a movimentação lateral — o que exige validação contínua dos controles de identidade e detecção comportamental mais robusta.”

Ransomware continua sendo uma das principais preocupações. O BlackByte ainda é a variante mais difícil de prevenir, com uma taxa de prevenção de apenas 26%. BabLock e Maori seguem com 34% e 41%, respectivamente.

A detecção precoce é um ponto cego importante. Técnicas de descoberta de configuração de rede, de sistemas e de processos pontuaram abaixo de 12% em eficácia de prevenção, expondo lacunas nos esforços de detecção.
 
O Blue Report 2025 também revela que a eficácia da prevenção caiu de 69% em 2024 para 62% em 2025, revertendo os ganhos do ano anterior. Somente 14% dos ataques geraram alertas, o que significa que a maior parte das atividades maliciosas ainda passa despercebida. Falhas na configuração das regras de detecção, lacunas nos registros e integração de sistemas continuam a prejudicar a visibilidade das operações de segurança. Esses números mostram a rapidez com que as defesas podem se degradar sem supervisão e validação contínuas dos controles de segurança.
 
Segundo o relatório, as empresas na América Latina enfrentam um paradoxo preocupante: apesar de apresentarem uma taxa de eficácia de prevenção superior à média global (68%), sua capacidade de detecção é crítica, uma vez que apenas 6% das ameaças foram devidamente detectadas, a menor taxa entre todas as regiões analisadas, destacou Sérgio Dias, Regional Sales Director Latam da Picus Security, durante a participação conjunta da CLM e da Picus no Mind The Sec 2025, reforçando a urgência de ampliar a visibilidade e a detecção comportamental nos ambientes corporativos latino-americanos.
 
O relatório fornece uma avaliação baseada em dados sobre o desempenho dos controles de segurança contra as ameaças atuais – e as descobertas deste ano são as mais preocupantes até o momento.
 
Metodologia
Em sua terceira edição, o Blue Report oferece evidências empíricas do desempenho dos controles de segurança em condições reais. As conclusões se baseiam em milhões de ataques simulados executados por clientes da Picus Security entre janeiro e junho de 2025. As simulações foram conduzidas com segurança em ambientes de produção reais, utilizando a Plataforma de Validação de Segurança da Picus, e analisadas pelas equipes do Picus Labs e da Picus Data Science. O relatório também inclui conclusões e recomendações específicas do ecossistema e do setor para que as empresas reduzam a exposição e melhorem a prontidão contra ameaças. O relatório completo está disponível neste link.