Um e-mail com sua senha vale menos do que um café. Um prontuário médico completo pode valer 300 dólares. E com uma única ligação telefônica bem executada, dois jovens de 20 e 21 anos conseguiram 4.100 bitcoins de uma pessoa em Washington. O hacking deixou de ser apenas um garoto encapuzado em um porão: hoje é uma indústria com fornecedores, tabela de preços, divisão de tarefas e até programas de recompensas.
Este artigo não tem como objetivo assustá-lo: é um guia prático de segurança cibernética para empresas. O objetivo é mostrar como os invasores realmente agem, quais medidas concretas impedem a grande maioria das tentativas de ataque e como, em Nuvem Metamídia Aplicamos essas medidas nos negócios que administramos.
Os dados são o novo ouro digital (e têm preço de tabela)
Nos mercados da dark web, os dados roubados são negociados como qualquer outra mercadoria. Uma análise da empresa Flare sobre centenas de anúncios reais publicados entre 2008 e 2026 coloca os números em perspectiva:
- Prontuário médico completo: cerca de 300 dólares. É o preço mais alto do mercado.
- Número da conta bancária: cerca de 69 dólares americanos.
- Passaporte: cerca de 33 dólares americanos.
- Número do cartão de crédito: cerca de 17 dólares americanos.
- Endereço de e-mail: menos de 1 dólar americano.
Por que o prontuário médico vale vinte vezes mais do que um cartão? Porque um cartão pode ser cancelado em cinco minutos e o banco emite outro. Seu histórico clínico, suas doenças e seus dados de identidade nunca são cancelados. Eles podem ser usados para fraudes de seguro, receitas falsas e falsificação de identidade por décadas.
E o volume é gigantesco: a empresa KELA identificou cerca de 2.860 milhões de credenciais comprometidas circulando por canais criminosos apenas em 2025, a maioria delas capturada por malware do tipo ladrão de informações. A conclusão prática é incômoda, mas clara: Um nome de usuário e uma senha corretos não são mais prova de identidade. Se o seu sistema de acesso ainda funciona assim, ele está uma geração atrás do mercado que está competindo com você.
História 1: Lazarus e os 1,5 bilhão de dólares da Bybit
Em 21 de fevereiro de 2025, a corretora de criptomoedas Bybit perdeu aproximadamente 1.500 milhões de dólares em Ethereum — mais de 400.000 ETH e stETH — no que é considerado o maior roubo de criptomoedas da história. O O FBI atribuiu o ataque ao grupo Lazarus, também conhecido como TraderTraitor ou APT38, ligado ao governo da Coreia do Norte.
Eis o detalhe que quase ninguém explica direito: A Bybit não sofreu um ataque de hackers. Eles invadiram o computador de um desenvolvedor da Safe Wallet, a fornecedora da plataforma multifirma utilizada pela Bybit. Com esse acesso, manipularam a operação de modo que os signatários da Bybit aprovassem, acreditando que fosse legítima, uma transação que enviava os fundos para carteiras controladas pelos invasores. Em seguida, converteram o saque em bitcoin e o distribuíram entre milhares de endereços.
Ou seja: o elo quebrado estava na cadeia de fornecedores, e não na empresa-alvo. É o mesmo padrão que observamos nas PMEs mexicanas. Eles não atacam o seu servidor: atacam o laptop do contador externo, o acesso FTP do programador que criou o seu site há três anos ou aquele usuário administrador que você concedeu à agência anterior e nunca revogou.
Sobre a figura do “informante”: o padrão realmente comprovado na Coreia do Norte não é subornar diretores de banco, mas sim infiltrar profissionais de TI que trabalham remotamente com identidades falsas em empresas ocidentais, algo pelo qual o Departamento de Justiça dos Estados Unidos já apresentou várias acusações. O acesso legítimo continua sendo a melhor ferramenta de invasão que existe.
O caso continua em andamento: a Bybit moveu uma ação contra a Coreia do Norte, sua agência de inteligência RGB e o grupo Lazarus perante um tribunal federal em Washington, D.C., e obteve uma liminar para congelar ativos. De acordo com a Chainalysis, os hackers norte-coreanos acumularam cerca de 6.750 milhões de dólares roubados em criptomoedas.
História 2: Malone Lam, 4.100 bitcoins e uma ligação do “suporte do Google”
Em 18 de agosto de 2024, Malone Lam (20 anos, cidadão de Cingapura) e Jeandiel Serrano (21) entraram em contato com uma vítima em Washington, D.C. Eles se passaram por funcionários do suporte técnico do Google e da corretora Gemini, alertando-a sobre uma suposta falha de segurança em sua conta. Ao final da ligação, eles tinham acesso a mais de 4.100 bitcoins: cerca de 230 milhões de dólares naquele momento, um dos maiores roubos a uma única pessoa na história dos Estados Unidos.
Zero exploits. Zero malware sofisticado. Uma conversa por telefone e um roteiro bem ensaiado.
O que aconteceu em seguida revela o nível de organização: o Ministério Público dos Estados Unidos processou o caso com base na lei RICO — utilizada contra o crime organizado —, envolvendo 17 réus e uma estrutura com divisão de tarefas: hackers, “callers” que faziam as ligações, identificadores de alvos, ladrões físicos e lavadores de dinheiro.
Em um incidente relacionado, um membro da organização viajou para o Novo México para invadir a casa de outra vítima e roubar sua coleção de equipamentos, enquanto Lam rastreava sua localização acessando sua conta do iCloud. O dinheiro foi gasto em Lamborghinis, relógios e contas de 500 mil dólares por noite em boates. Até maio de 2026, Lam ainda não havia sido condenado e nove co-réus já haviam se declarado culpados.
A conclusão: a vulnerabilidade não é técnica, é humana
Um roubo de 1,5 bilhão e outro de 230 milhões. Um com o apoio do Estado e outro com uns caras que se conheceram no Discord. E os dois aconteceram da mesma forma: uma pessoa que confiou no momento errado. Um desenvolvedor cujo computador foi invadido. Um investidor que atendeu o telefone.
No México, o panorama não é diferente, apenas menos glamoroso. O país encerrou o ano de 2025 como um dos mais atacados da América Latina, com mais de 35.200 milhões de tentativas de ataques cibernéticos registradas apenas no primeiro trimestre, segundo o FortiGuard Labs da Fortinet. Os vetores de invasão mais comuns em empresas mexicanas são três, e nenhum deles é incomum: phishing, desktop remoto (RDP) vulnerável e VPN sem patches. Além disso, há a nova geração de fraudes com voz clonada por IA, nas quais os fraudadores se passam por executivos para autorizar transferências — sobre as quais a PwC México já havia alertado.
O dado que mais nos interessa como operadores: segundo o relatório DBIR da Verizon, O 54% das vítimas de ransomware tinha suas credenciais circulando nos registros de infostealers antes do ataque. Se você quiser avaliar o impacto econômico, confira nossa análise sobre quanto custa um ataque cibernético a uma empresa no México. O sequestro de dados não começa no dia do sequestro. Ele começa meses antes, quando alguém instalou algo que não deveria.
Seis medidas de segurança cibernética para empresas que realmente funcionam (e como as aplicamos na Metamedia Cloud)
1. Trate o celular como o que ele é: o dispositivo mais essencial
Seu celular contém seus dados bancários, seu e-mail, seu WhatsApp comercial, seus códigos de autenticação de dois fatores e sua localização em tempo real. É a porta de entrada preferida para SMS fraudulentas, chamadas falsas e roubo de credenciais. Já vimos como um programa aparentemente inofensivo pode roubar suas informações; no celular, o risco é maior. Verifique quais permissões cada aplicativo instalado possui — principalmente acessibilidade, SMS e “exibir sobre outros aplicativos” — e desinstale aqueles que você não usa.
Na Metamedia Cloud Incluímos a política de dispositivos móveis em nossos serviços de TI gerenciados: o que é instalado, quais dispositivos têm acesso ao e-mail corporativo e como esse acesso é revogado no dia em que alguém deixa a empresa.
2. Gerenciador de senhas, não o navegador
Salvar senhas no navegador é exatamente o que os infostealers procuram. Use um gerenciador dedicado, como o Bitwarden ou o KeePass, gere senhas longas e aleatórias e — o mais importante — Nunca reutilize o mesmo em dois serviços. Um vazamento de dados em qualquer provedor permite o acesso ao seu e-mail, à sua hospedagem e à sua conta bancária simplesmente preenchendo as credenciais.
Na Metamedia Cloud Implementamos e administramos gerenciadores de senhas por equipe, com cofres compartilhados por área, para que as senhas da sua hospedagem, do seu CRM e das suas redes sociais não fiquem armazenadas em uma planilha do Excel nem em um chat do WhatsApp.
3. Autenticação de dois fatores em tudo, e de preferência sem SMS
Na segurança cibernética para empresas, a autenticação de dois fatores (2FA) é a única medida individual capaz de impedir de vez a maioria dos ataques por meio de credenciais roubadas. Mas use aplicativos de códigos temporários (Google Authenticator, Authy, Aegis) ou chaves físicas, não SMS: o Troca de cartão SIM —duplicar seu chip por meio de engenharia social junto à operadora— torna a mensagem de texto o elo mais fraco.
Na Metamedia Cloud Ativamos e auditamos a autenticação de dois fatores nos acessos críticos de nossos clientes: WordPress, hospedagem, e-mail corporativo, plataformas de faturamento e ferramentas de marketing.
4. Desconfie por princípio e verifique por outro canal
O Google não vai ligar para você. A Amazon não vai ligar para você. Seu banco não vai pedir para você transferir seu dinheiro para uma “conta segura”. Se você receber um link, não o abra: digite você mesmo o endereço oficial. Se receber uma ligação de um fornecedor, desligue e ligue de volta para o número que você já tinha registrado.
Na Metamedia Cloud Ajudamos a documentar e a implementar essa regra como protocolo interno, sobretudo na área administrativa: nenhuma transferência ou alteração de conta bancária é autorizada sem a verificação por um segundo canal, mesmo que a voz do diretor pareça idêntica.
5. Menos exposição nas redes sociais
Publicar em tempo real onde você está, o que comprou ou quanto vale seu portfólio é fornecer munição para um ataque personalizado. O caso Lam demonstra que a engenharia social digital pode chegar até a invasão física quando o alvo vale a pena.
Na Metamedia Cloud, quando elaboramos a estratégia de conteúdo de um cliente, separamos explicitamente o que contribui para a construção da marca daquilo que apenas cria uma imagem de vítima: localizações em tempo real, rotinas, viagens em andamento e organogramas detalhados com nomes e e-mails.
6. Apoios verificados e área mínima
Em qualquer plano de segurança cibernética para empresas, o ransomware representa o pior cenário possível. Contra o ransomware — o vírus que criptografa todas as informações da empresa e exige um resgate —, a verdadeira defesa não é o antivírus, e sim os backups isolados que você já tentou restaurar. Um backup que você nunca restaurou não é um backup, é uma esperança. E se você lida com grandes volumes de criptomoedas, distribua-as por várias carteiras e mantenha as chaves privadas fora do computador, em formato físico e em local seguro.
Na Metamedia Cloud Isso faz parte dos procedimentos padrão de manutenção dos sites e servidores que administramos: atualizações em dia, firewall de aplicativos, bloqueio de acessos desnecessários, backups automáticos com testes periódicos de restauração e cancelamento de contas de usuários antigos.
O outro lado: o hacking ético rende muito bem
Nem todo mundo que sabe invadir sistemas ganha dinheiro na dark web. Os programas de programa de recompensa por bugs pagam para que as falhas sejam identificadas e relatadas de forma responsável. A Apple relançou o seu em novembro de 2025 com a maior recompensa do setor: até 2 milhões de dólares por cadeias de exploits do tipo “zero cliques” —como as utilizadas pelo spyware mercenário— e mais de 5 milhões, somando bônus por descobertas no modo Lockdown ou em software beta. A empresa já pagou mais de 35 milhões de dólares a mais de 800 pesquisadores desde 2020.
Como profissão, a segurança cibernética está entre as mais bem remuneradas do setor tecnológico. Na Espanha, referência habitual do mercado de língua espanhola, os salários variam de cerca de 25.000 a 35.000 euros por ano para profissionais juniores, entre 50.000 e 70.000 para os seniores, e acima de 80.000 — chegando a seis dígitos — para um CISO. No México, a demanda cresce no mesmo ritmo que os ataques, e o gargalo não é a tecnologia: é a mão de obra qualificada.
Por onde começar amanhã com a segurança cibernética para empresas
A segurança cibernética para empresas não exige um SOC nem um orçamento corporativo. Você precisa fechar as brechas óbvias, que são justamente as que eles utilizam: senhas reutilizadas, autenticação de dois fatores desativada, usuários de fornecedores antigos ainda ativos, plugins desatualizados, backups que ninguém testou e uma equipe que não sabe reconhecer um e-mail de phishing.
Na Metamedia Cloud, gerenciamos sites, infraestrutura e automações de empresas B2B no México, e a segurança não é um serviço à parte: é a forma como conduzimos todas as nossas outras atividades. Se você quiser saber o quanto sua empresa está vulnerável atualmente, entre em contato conosco e faremos uma avaliação inicial gratuita de seus acessos, seu site e seus backups.
Perguntas frequentes
Qual é o tipo de ataque mais comum contra as PMEs no México?
O phishing por e-mail, SMS ou WhatsApp, seguido pelo acesso por desktop remoto desprotegido e VPNs desatualizadas. A maioria dos incidentes começa com credenciais roubadas, e não com uma vulnerabilidade incomum.
É seguro salvar minhas senhas no navegador?
Não. É exatamente isso que o malware do tipo infostealer rouba, sendo responsável pela maioria das credenciais que circulam nos mercados criminosos. Um gerenciador dedicado, como o Bitwarden ou o KeePass, é a alternativa correta.
Por que se recomenda evitar a autenticação de dois fatores por SMS?
Porque o SIM swapping permite que um invasor duplique sua linha telefônica por meio de engenharia social junto à operadora e receba seus códigos. Os aplicativos de códigos temporários ou as chaves físicas não dependem da rede móvel.
O que devo fazer se minha empresa já tiver sofrido um ataque de ransomware?
Isole os equipamentos afetados da rede, não desligue os sistemas antes de documentar o estado, verifique quais backups estão intactos e fora de linha e registre a ocorrência correspondente. Pagar o resgate não garante a recuperação nem impede a divulgação dos dados.
Com que frequência devo verificar a segurança do meu site?
As atualizações de plugins, temas e do núcleo devem ser contínuas, e a verificação de usuários, acessos e backups deve ser feita pelo menos trimestralmente. Nos sites que administramos na Metamedia Cloud, isso faz parte da manutenção mensal.
