O número total de ataques à rede caiu 79% no primeiro semestre de 2026. À primeira vista, seria uma boa notícia. O problema é que outros indicadores apontam para uma transformação mais silenciosa: o malware desconhecido cresceu mais de 2.000% nos endpoints, enquanto quase 96% das ameaças identificadas nesse ambiente apareceram em apenas um equipamento.
Os dados fazem parte do Global Threat Report da WatchGuard e ajudam a explicar por que contar apenas a quantidade de alertas pode oferecer uma falsa sensação de segurança. Segundo o levantamento, criminosos estão recorrendo a automação, inteligência artificial e ferramentas de Malware-as-a-Service para produzir ataques mais específicos.
A lógica muda. Em vez de tentar atingir o maior número possível de máquinas, o invasor pode pesquisar o ambiente, identificar uma vulnerabilidade, utilizar credenciais legítimas e permanecer mais tempo sem chamar atenção.
Os atacantes estão se tornando mais seletivos e precisos. | Corey Nachreiner, CISO da WatchGuard.
O silêncio virou parte da estratégia
Um dos movimentos destacados pela pesquisa é a expansão de atividades de reconhecimento de baixa intensidade. Na prática, isso significa que uma rede aparentemente tranquila pode continuar sendo analisada por agentes maliciosos.
Outro ponto é o uso crescente de contas confiáveis e ferramentas nativas dos próprios sistemas. O relatório aponta que acesso a credenciais, persistência, acesso remoto e evasão de defesas estiveram entre os principais temas observados pela equipe de threat hunting no primeiro semestre.
Esse comportamento dificulta a identificação do ataque porque parte da atividade pode se misturar ao funcionamento normal da empresa. O invasor não precisa necessariamente derrubar sistemas para começar a causar um problema.
A porta de entrada pode estar onde ninguém está olhando
O relatório também mostra que ameaças antigas continuam relevantes. Das 44 assinaturas relacionadas a vulnerabilidades específicas, 31 exploravam falhas com pelo menos uma década de existência. SQL injection, sozinha, respondeu por mais de 17% das detecções de ataques à rede analisadas.
Outro dado chama atenção: 95% dos malwares chegaram por TLS, protocolo utilizado para proteger o tráfego criptografado, mas somente 20% dos dispositivos analisados faziam inspeção desse tráfego.
Isso cria um ponto cego importante. Uma empresa pode ter ferramentas de segurança instaladas e, ainda assim, não enxergar completamente o que circula em determinadas conexões.
Segurança deixa de ser apenas uma questão de antivírus
O cenário descrito pela WatchGuard coloca pressão sobre uma ideia tradicional de proteção digital. Ter um antivírus atualizado continua sendo importante, mas a defesa precisa considerar também identidade, credenciais, dispositivos, tráfego criptografado, vulnerabilidades antigas e comportamento dentro da rede.
Para pequenas e médias empresas, isso significa revisar processos básicos antes mesmo de buscar soluções sofisticadas. Autenticação multifator, atualização de sistemas, controle de privilégios e monitoramento contínuo reduzem espaços que podem ser explorados silenciosamente.
A mudança mais importante talvez esteja justamente na forma de medir o risco. Menos alertas não significam necessariamente menos perigo. Em um ambiente onde os ataques se tornam mais personalizados, entender quem está tentando entrar, por onde e o que está fazendo depois do acesso passa a ser tão importante quanto contar quantas tentativas foram bloqueadas.
