O que a Microsoft vê em 165 trilhões de sinais de segurança por dia

A Microsoft publicou seu Digital Defense Report 2026 — um relatório abrangente sobre o cenário atual de ameaças cibernéticas, baseado principalmente em dados de julho de 2025 a julho de 2026. As estatísticas que a Microsoft consegue coletar graças à escala de sua infraestrutura são particularmente interessantes: a cada dia, a empresa processa mais de 165 trilhões de sinais de segurança, examina 5,2 bilhões de e-mails e analisa cerca de 31 milhões de detecções de risco de identidade.

Sem tentar resumir o relatório inteiro (o documento completo cobre dezenas de tópicos diferentes), o quadro geral é bem capturado por quatro números:

5,3 horas — o tempo mediano desde o lançamento de um contêiner exposto à internet até a primeira tentativa de exploração.

Este é um exemplo de uma tendência mais ampla: segundo a Microsoft, o tempo mediano desde a descoberta de uma vulnerabilidade em ambiente real até o surgimento de um exploit é inferior a um dia, enquanto a remediação de vulnerabilidades externas críticas nas organizações pode levar de 30 a 60 dias. Em outras palavras, a janela entre o surgimento de uma oportunidade de ataque e a ação dos atacantes é medida em horas, enquanto a remediação de vulnerabilidades ainda pode levar semanas.

Em 52,2% das intrusões, que começaram com o comprometimento de uma conta de usuário válida, os atacantes imediatamente coletaram credenciais adicionais depois de entrar.

A Microsoft também destaca o papel crescente dos ataques contra sistemas de gestão de identidade e acesso: os atacantes estão cada vez mais explorando relações de confiança em vez de comprometer diretamente os sistemas. A tendência é especialmente pronunciada em infraestrutura crítica: o abuso de contas em nuvem esteve presente em 78% das técnicas de ataque observadas direcionadas a tais ambientes.

Em 1,1 milhão de dispositivos ao longo de vários meses, a Microsoft observou a execução de comandos que os usuários foram induzidos a executar como parte de ataques ClickFix.

Ao longo de um ano, a Microsoft também identificou mais de 145 milhões de ataques de phishing por QR code. O que se destaca aqui não é a novidade da técnica, mas sua escala industrial: os atacantes estão usando engenharia social em massa para contornar defesas técnicas.

58% das detecções entre as cinco principais CVEs envolveram o Zerologon — CVE-2020-1472, divulgado ainda em 2020.

Uma parcela significativa da atividade maliciosa do mundo real ainda envolve não novas técnicas, mas problemas há muito conhecidos para os quais existem patches disponíveis.

_Juntas, essas quatro figuras pintam um quadro coerente. Os ataques estão se tornando mais rápidos e mais fáceis de escalar na era da IA, mas os atacantes também nem sempre precisam encontrar novas formas de obter acesso. Basta explorar relações de confiança existentes, enganar usuários para que realizem as ações desejadas e procurar alvos que deixaram vulnerabilidades conhecidas sem correção por anos.

Nessas condições, o fator crítico é quanto tempo passa entre o surgimento de um problema e sua detecção, remediação e contenção de seu impacto potencial._