Empresas levam mais de 70 dias para corrigir falhas de segurança

Mesmo após a identificação de falhas de segurança, muitas organizações ainda demoram para corrigir vulnerabilidades consideradas críticas para o negócio. É o que mostra a terceira edição do estudo Inside Pentesting, da Vantico, que analisou centenas de testes de invasão realizados ao longo de 2025.

CONTEÚDO RELACIONADO – Receita Federal desmente suposto vazamento de dados

O levantamento revela que 27% das vulnerabilidades classificadas como altas permaneceram sem correção por mais de 70 dias após a entrega dos relatórios técnicos. Entre as falhas críticas, 16% continuavam abertas após o mesmo período.

O dado preocupa em um cenário em que criminosos exploram vulnerabilidades cada vez mais rapidamente. Segundo o estudo, campanhas de phishing apoiadas por inteligência artificial cresceram 1.265% no último ano, enquanto novas falhas podem ser exploradas poucas horas após sua divulgação pública.

APIs ampliam superfície de ataque

A pesquisa também identificou mudanças no perfil dos testes de segurança realizados pelas empresas. O modelo gray box, no qual o especialista recebe informações parciais do ambiente antes da avaliação, respondeu por 55,9% dos projetos realizados em 2025.

Outro destaque foi o crescimento das APIs como alvo dos testes. A participação desse tipo de ambiente passou de 5,6% para 11,2% em um ano, refletindo o avanço das arquiteturas baseadas em microsserviços, integrações digitais e aplicações conectadas.

Para gestores de TI e segurança, o dado reforça a necessidade de ampliar a visibilidade sobre ativos digitais que muitas vezes ficam fora dos processos tradicionais de monitoramento.

Erros de configuração lideram vulnerabilidades

Entre as falhas encontradas, problemas de configuração inadequada continuaram sendo o principal desafio. A categoria Security Misconfiguration respondeu por 43,2% de todas as vulnerabilidades identificadas.

O percentual é mais de quatro vezes superior ao da segunda categoria mais frequente, relacionada a falhas de identificação e autenticação, responsável por 10,9% dos registros.

O estudo chama atenção para o fato de que muitas dessas vulnerabilidades possuem correções conhecidas e amplamente documentadas, mas seguem recorrentes nos ambientes corporativos.

Menos falhas críticas, mas atenção continua

O levantamento aponta uma redução no volume de vulnerabilidades mais severas. As falhas críticas passaram de 7,8% para 5,08% do total identificado. Já as vulnerabilidades altas caíram de 15,4% para 8,01%.

Embora o resultado indique possível amadurecimento das práticas de segurança, os pesquisadores alertam que o dado deve ser analisado com cautela. Uma das hipóteses é que ambientes mais críticos não estejam sendo avaliados com a frequência necessária.

Telecom e varejo lideram remediação

A capacidade de correção variou significativamente entre os setores analisados.

Telecomunicações e varejo registraram 100% de remediação das vulnerabilidades críticas e altas identificadas. Na outra ponta, segmentos como jurídico, turismo e energia apresentaram os menores índices de correção dentro dos prazos avaliados.

Segundo o estudo, a dificuldade de integrar correções às rotinas operacionais e a falta de priorização adequada continuam entre os principais obstáculos para reduzir a janela de exposição.

IA muda o cenário de ameaças

A pesquisa mostra ainda que a inteligência artificial está acelerando a sofisticação dos ataques cibernéticos. Em 2025, 16% das violações de dados registradas envolveram o uso de IA por criminosos.

Desse total, 37% foram destinados à criação de campanhas de phishing e 35% à produção de deepfakes.

Outro indicador relevante aponta que o fator humano esteve presente em 60% dos incidentes de vazamento de dados registrados no período.

Identidade digital ganha importância

Para 2026, o estudo aponta a gestão de identidades como uma das principais prioridades para empresas e órgãos públicos.

O aumento das falhas de autenticação, combinado ao crescimento das APIs e dos ambientes distribuídos, amplia a necessidade de controles mais robustos de acesso e validação de usuários.

A avaliação é que organizações precisarão investir em governança de identidades, autenticação forte e monitoramento contínuo para reduzir riscos em um ambiente cada vez mais automatizado e conectado.

O estudo completo pode ser consultado AQUI.

Participe das comunidades IPNews no Instagram, Facebook, LinkedIn, X e WhatsApp