Quando dados são vazados: responsabilidade das empresas após ciberataque

Espanha viveu vários ciberataques a empresas este mês, com vazamentos de dados em BasicFit, Booking e Inditex, conforme relatado.
O Instituto Nacional de Cibersegurança (INCIBE) indica que houve 122.223 incidentes de segurança em 2025, alta de 26% em relação a 2024.
A Agência Española de Proteção de Dados (AEPD) recebeu 2.765 notificações de brechas em 2025, com mais de 200 milhões de avisos enviados a clientes pelas empresas.
As sanções previstas pelo RGPD podem chegar a 20 milhões de euros ou a 4% da faturação global, e a AEPD tem aumentado o número e o valor das multas nos últimos anos.
Recomendações dos especialistas: aplicar Zero Trust Network Access, exigir autenticação com múltiplos fatores, reforçar segurança de acessos remotos e manter vigilância contínua (SOC) para detectar incidentes e isolar danos.

Entre os atacantes e os dados dos clientes, cresce a percepção de que names como BasicFit, Booking e Inditex sofreram vazamentos neste mês na Espanha. Incidentes desse tipo elevam a pressão sobre empresas de todos os tamanhos para fortalecer cibersegurança.

Especialistas destacam que o país figura entre os mais visados da Europa. Dados oficiais indicam aumento anual no cibercrime: 122.223 incidentes em 2025, 26% acima de 2024. AEPD recebeu 2.765 notificações de violação de dados em 2025.

O ecossistema do crime envolve hackers organizados que vendem dados na deep web e em comunidades online. O mercado de dados abrange informações pessoais, documentos e telefones, usados para fraudes e phishing. A prática funciona como um modelo de negócio.

Causa e consequência

A prática de invasões costuma iniciar com roubo de identidade, segundo especialistas. Empresas, especialmente as menores, muitas vezes subestimam riscos básicos de proteção digital. A disciplina de cibersegurança ainda é vista por algumas organizações como custo, não como investimento.

Como consequência, as empresas devem responder em dois frentes: frente à autoridade de proteção de dados e ao usuário afetado. AEPD avalia cumprimento de normas, não aplica sanção automática, e considera histórico, dados expostos e eventual negligência.

As multas podem chegar a 20 milhões de euros ou 4% da receita global anual. Em 2024, foram aplicadas 242 multas, com soma superior a 27 milhões de euros. Em 2025 houve aumento de sanções, atingindo cerca de 40 milhões de euros ao todo.

Riscos, impactos e custos

Para o indivíduo, é possível buscar indenização em tribunais civis. O RGPD reconhece danos materiais e morais, embora a comprovação de dano moral seja mais complexa. A prática de litígios coletivos ainda é pouco comum no país.

Dados mostram que metade dos ataques ocorre durante a madrugada, quando há menos vigilância. Hackers podem permanecer no sistema por meses, explorando credenciais furtadas para novos acessos. O objetivo costuma incluir chantagem e pedidos de resgate.

Medidas e prevenção

Especialistas defendem a adoção de Zero Trust e autenticação de múltiplos fatores para reduzir riscos de acesso remoto. A vigilância contínua de sistemas (SOC) é apontada como forma de detectar falhas e isolar incidentes rapidamente.

Aconselha-se também a evitar senhas reutilizadas, manter atualizações de segurança e não realizar operações sensíveis por canais não confiáveis. Empresas que sofrem ataque devem comunicar claramente quais dados foram comprometidos e quais medidas serão adotadas para mitigar danos.

O que falta ainda

A conscientização sobre cibersegurança entre empresas de todos os portes ainda é essencial. Investimentos adequados em defesa digital, atualização de políticas de acesso e treino de colaboradores aparecem como pilares para reduzir o impacto de incidentes futuros.

Especialistas ressaltam que não há método único de proteção. A alocação de recursos e uma cultura de defesa contínua ajudam a reduzir vulnerabilidades, especialmente em pequenas e médias empresas.