Você quase certamente leu isso 60% das pequenas empresas fecham seis meses após um ataque cibernético.
Aparece em todos os lugares. Meios de comunicação, páginas de fornecedores, palestras governamentais, slides de conferências.
Há um problema com isso.
Não é verdade, e a organização geralmente creditada por isso disse isso publicamente.
A Aliança Nacional de Cibersegurança emitiu uma declaração confirmando que o número não provém da sua investigação e que não é possível verificar a sua origem (Aliança Nacional de Cibersegurança, 2026).
Então, vejamos o que os números reais dizem. 🛡️
🎁 Compare testes de backup e segurança →
🧾 Principais conclusões em resumo
| Medir | Figura | Fonte |
|---|---|---|
| O famoso número de “fechamento de 60%” | Não verificado, rejeitado | Aliança Nacional de Cibersegurança (2026) |
| Pequenas e médias empresas fechando as portas após um ataque | Cerca de 19% | Pesquisa Mastercard, citada em 2026 |
| Ataques cibernéticos direcionados a pequenas e médias empresas | Cerca de 43% | Astra (2026) |
| Ransomware presente em violações de pequenas e médias empresas | 88% | Verizon DBIR (2025) |
| O mesmo número em grandes organizações | 39% | Verizon DBIR (2025) |
| Tempo médio de inatividade do ransomware | Cerca de 24 dias | Caçadora (2026) |
| Custo de recuperação, excluindo resgate | Média de US$ 1,53 milhão | Caçadora (2026) |
| Gama típica de pequenas empresas | US$ 120.000 a US$ 1,24 milhão | Revista SQ (2026) |
🧟 A estatística que se recusa a morrer
Isso merece a devida atenção, porque molda a forma como as pessoas pensam sobre todo o assunto.
A reivindicação de 60% apareceu pela primeira vez por volta de 2011.
Isso foi repetido por cerca de quinze anos sem que ninguém produzisse o estudo subjacente.
O que a NCSA realmente disse
A Aliança Nacional de Cibersegurança é o órgão mais frequentemente creditado com o número.
Eles publicaram uma declaração observando que a estatística não foi gerada a partir de suas pesquisas.
Eles também confirmaram que não podem verificar sua fonte original.
Eles pararam de usá-lo em seus próprios materiais.
Por que se espalhou tão eficazmente
É memorável, alarmante e útil para quem vende produtos de segurança.
Cada recontagem citou a anterior em vez de qualquer fonte primária.
Depois de repetições suficientes, parecia um fato estabelecido.
📊 O mito contra a figura medida
Qual parece ser o número real
Uma pesquisa da Mastercard abrangeu mais de 5.000 proprietários de pequenas empresas. Quase um em cada cinco que sofreram um ataque faliu.
Isso é cerca de 19%, não 60%.
Ainda sério. Ainda um quinto das empresas afetadas. Mas um terço da reivindicação.
Por que a correção é importante
Estatísticas inflacionadas não tornam as pessoas mais seguras.
Eles fazem com que o problema pareça insustentável, o que incentiva o fatalismo em vez da ação.
E quando alguém descobre que um número foi inventado, eles também desconsideram os exatos.
🔎 Experimente ferramentas de backup gratuitamente →
🎯 Por que as pequenas empresas são direcionadas
A descoberta genuína aqui é nítida e melhor evidenciada do que o mito.
O ransomware esteve presente em 88% das violações em pequenas e médias empresas (Verizon, 2025).
Nas grandes organizações, o número era de 39%.
Mais que o dobro da taxa.
📊 Ransomware presente nas violações, por tamanho da organização
Why the gap exists
Grandes organizações possuem equipes de segurança, backups testados e planos de incidentes.
Eles ainda são atacados, mas o ransomware tem sucesso com menos frequência.
As pequenas empresas não são mais atacadas porque são escolhidas. Eles são mais atacados porque os ataques são bem-sucedidos.
O ponto de automação
A maioria dos ransomware não é direcionada a uma empresa específica.
Ferramentas automatizadas verificam pontos fracos conhecidos em toda a Internet.
Ser pequeno não te torna invisível. Muitas vezes torna você mais fácil.
⏱️ Quanto custa realmente um ataque
Os números financeiros são amplos e vale a pena conhecer o motivo.
| Elemento de custo | Escala típica |
|---|---|
| Tempo de inatividade | Cerca de 24 dias em média |
| Recuperação excluindo resgate | Média de US$ 1,53 milhão |
| Gama de pequenas empresas | US$ 120.000 a US$ 1,24 milhão |
| Resgate em si | Altamente variável, muitas vezes não é o maior custo |
| Clientes perdidos | Corre muito depois da recuperação |
Observe que o resgate raramente é a linha maior.
Vinte e quatro dias de inatividade destroem mais valor do que a maioria das exigências de resgate.
Por que o tempo de inatividade domina
Uma empresa que não consegue faturar, entregar ou responder aos clientes durante três semanas está em sérios apuros.
Os funcionários ainda são pagos. O aluguel ainda vence.
A receita pára enquanto os custos continuam, e essa lacuna é o que fecha as empresas.
O alcance lhe diz algo
US$ 120.000 a US$ 1,24 milhão é um spread enorme.
A diferença é quase inteiramente a preparação.
As empresas com backups testados se recuperam em dias. Aqueles que não se recuperam em semanas ou nunca.
📊 Para onde realmente vai o dinheiro
A divisão dos custos mostra por que a preparação altera tanto o resultado.
🥧 Análise típica dos custos de ransomware
Observe quão pequena é a fatia do resgate.
A maior parte dos danos acontece enquanto a empresa não pode operar.
Por que isso muda o que gastar
Se o tempo de inatividade é o principal custo, a principal defesa é a recuperação rápida.
Isso significa backups testados, não apenas mais ferramentas de prevenção.
Um negócio que se recupera em dois dias evita a maior parte do prejuízo (SQ Magazine, 2026).
Os setores que mais sofrem
Os tempos de recuperação variam amplamente de acordo com o setor.
A fabricação tende a ser mais lenta porque os processos físicos param.
As empresas financeiras recuperam mais rapidamente, em grande parte porque a ensaiam (Huntress, 2026).
💾 Por que os backups são o jogo completo
O ransomware funciona tornando seus dados indisponíveis.
Um backup funcional torna essa ameaça muito mais fraca.
Mas a maioria das configurações de backup falha no momento em que são necessárias.
| Falha comum | Why it happens |
|---|---|
| O backup nunca foi testado | Ninguém tentou restaurar |
| A unidade de backup foi conectada | Criptografado junto com todo o resto |
| Backup interrompido meses atrás | Alertas de falha ignorados |
| Apenas alguns dados cobertos | Ninguém auditou o que foi incluído |
| A restauração demora muito | Tecnicamente funciona, praticamente inútil |
A segunda linha abrange muitas empresas.
Uma unidade de backup deixada conectada é criptografada com o restante.
A regra que funciona
Mantenha pelo menos uma cópia de backup desconectada ou imutável.
Os backups em nuvem com controle de versão lidam bem com isso, já que as versões mais antigas sobrevivem.
O princípio é simples: o ransomware não deve conseguir atingir todas as cópias.
Teste a restauração, não o backup
Esta é a etapa que quase todo mundo pula.
Um backup executado com sucesso não é prova de que você pode recuperar.
Restaure alguns arquivos reais trimestralmente. Demora quinze minutos.
Mantenha um backup fora do domínio
Os invasores que obtêm acesso de administrador geralmente atacam primeiro os sistemas de backup.
Um backup gerenciado pelas mesmas credenciais de todo o resto pode ser excluído com todo o resto.
Pelo menos uma cópia deve estar fora desse controle, com credenciais separadas.
Conheça o seu tempo de restauração
Pergunte quanto tempo realmente levaria uma restauração completa.
Se a resposta for uma semana, é uma semana de inatividade que você já aceitou.
Nosso breach cost analysis aborda por que o tempo domina todos os cálculos de custos.
🚪 Como o ransomware entra
As rotas de entrada não são glamorosas e, em sua maioria, evitáveis.
| Rota | Prevenção |
|---|---|
| Credenciais roubadas ou reutilizadas | Login multifator |
| E-mail de phishing | Conscientização da equipe, filtragem de e-mail |
| Software sem patch | Atualizações automáticas |
| Acesso remoto exposto | Feche ou coloque atrás do MFA |
| Fornecedor comprometido | Mais difícil - pergunte sobre a segurança deles |
Quatro em cada cinco são solucionáveis sem muito orçamento.
Nosso pesquisa de senha mostra que o MFA reduziu o comprometimento da conta em mais de 99%.
O acesso remoto é o mais silencioso
Muitas pequenas empresas expõem o acesso remoto da área de trabalho à Internet.
É conveniente e os scanners automatizados o encontram em poucas horas.
Se você precisar de acesso remoto, ele deve ficar atrás do MFA, no mínimo.
As atualizações são mais importantes do que antivírus
A maioria dos ataques bem-sucedidos utiliza pontos fracos que já foram corrigidos.
O patch existia. Ninguém aplicou.
As atualizações automáticas são gratuitas e impedem mais do que a maioria dos produtos pagos.
💸 A questão do resgate
Se isso acontecer, você deve pagar? A resposta honesta é em camadas.
A aplicação da lei geralmente desaconselha isso.
Os fundos de pagamento atacam ainda mais e marcam você como disposto a pagar.
Que pagamento não compra
Compra uma ferramenta de descriptografia, de um criminoso, sem garantia.
A recuperação após o pagamento costuma ser parcial e lenta.
E os ataques modernos roubam dados antes de criptografá-los, de modo que o pagamento não impede a publicação.
Por que esse último ponto mudou tudo
O ransomware costumava ser sobre o bloqueio de arquivos.
Agora, uma grande parte dos ataques também ameaça publicar dados roubados.
Os backups resolvem o problema de criptografia, mas não o problema de publicação.
A implicação prática
A prevenção é mais importante do que costumava ser, porque a recuperação é menos eficaz do que era antes.
Um backup perfeito não o torna mais imune, apenas resiliente.
🧾 Quais pequenas empresas são mais atingidas
A exposição não é distribuída uniformemente e o padrão é previsível.
| Fator | Aumenta o risco? | Por que |
|---|---|---|
| Mantendo dados de pagamento do cliente | Sim | Maior valor para invasores |
| Acesso remoto exposto online | Sim | Encontrado por scanners automatizados |
| Software mais antigo sem suporte | Yes, strongly | Fraquezas conhecidas nunca corrigidas |
| Fornecedor para empresas maiores | Sim | Um caminho para alvos maiores |
| Sem suporte de TI dedicado | Sim | Ninguém olhando para sinais |
| Setor regulado | Custo, não probabilidade | Multas e deveres de notificação |
A fila de fornecedores merece atenção, pois surpreende as pessoas.
Uma pequena empresa pode ser atacada como uma rota para atingir seu maior cliente.
É por isso que as grandes empresas questionam cada vez mais os fornecedores sobre a sua segurança.
O problema de software não suportado
O software após o fim da vida útil para de receber correções totalmente.
Cada fraqueza encontrada após essa data permanece aberta permanentemente.
Os scanners automatizados procuram especificamente essas versões (Astra, 2026).
Ser fornecedor altera suas obrigações
Os clientes maiores podem exigir provas de controles antes de renovar contratos.
Isso transforma a segurança de um custo em uma condição de negociação.
Muitas pequenas empresas levam isso a sério quando um cliente pergunta.
📋 O que uma pequena empresa realmente deveria fazer
Classificado por proteção por libra gasta.
| Ação | Custo | Effect |
|---|---|---|
| MFA em e-mail e acesso remoto | Livre | Bloqueia a entrada mais comum |
| Atualizações automáticas em qualquer lugar | Livre | Closes known weaknesses |
| Um backup offline ou imutável | Baixo | Sobrevive à criptografia |
| Teste de restauração trimestral | 15 minutos | Prova que o backup funciona |
| Fechar o acesso remoto não utilizado | Livre | Remove um alvo verificado |
| Plano de incidentes de uma página | Uma hora | Economiza dias de confusão |
Quatro de seis não custam nada.
A lacuna entre empresas preparadas e despreparadas é principalmente de atenção, não de orçamento.
O plano de resposta a incidentes que ninguém escreve
Três perguntas em uma página. Quem decide? Quem liga para a seguradora ou advogado? Quem conta aos clientes?
Decidir isso durante um incidente custa dias.
Decidir com antecedência custa uma hora.
Treine a equipe em uma coisa, não em tudo
O treinamento de conscientização em segurança muitas vezes tenta cobrir demais e não leva a lugar nenhum.
Escolha o comportamento que mais importa: relate qualquer coisa suspeita imediatamente, sem culpa.
A maioria dos incidentes é percebida por um funcionário comum antes que qualquer sistema os sinalize.
Se as pessoas temem ser culpadas, ficam caladas e horas são perdidas.
Seguro cibernético, brevemente
As políticas exigem cada vez mais MFA e backups testados antes de serem pagas.
Leia essas condições antes de presumir que você está coberto.
Uma seguradora pode recusar se os controles exigidos não estiverem em vigor.
🚨 A primeira hora, se acontecer
A maior parte dos danos no estágio inicial vem do pânico e não do ataque em si.
Conhecer a sequência com antecedência vale mais do que qualquer ferramenta.
| Order | Ação | Por que |
|---|---|---|
| 1 | Desconecte as máquinas afetadas da rede | Impede a propagação |
| 2 | Não os desligue | Preserva evidências na memória |
| 3 | Verifique se os backups estão acessíveis | Determina suas opções |
| 4 | Notificar a seguradora e o contato jurídico | As políticas geralmente exigem aviso prévio |
| 5 | Comece um cronograma escrito | Os reguladores vão perguntar |
| 6 | Decida quem fala com os clientes | Evita mensagens confusas |
A linha dois é contra-intuitiva e frequentemente dá errado.
Desligar uma máquina destrói evidências que ajudam os investigadores a entender o que aconteceu.
Por que a seguradora chega mais cedo
Muitas políticas exigem notificação em um curto espaço de tempo.
Alguns também exigem que você use seus respondedores aprovados.
Ligar primeiro para o seu próprio especialista pode comprometer a reclamação.
O relógio de notificação
Se houver dados pessoais envolvidos, os reguladores geralmente exigem relatórios dentro de 72 horas após a descoberta.
Esse relógio começa quando você descobre, não quando você termina de investigar.
Nosso breach cost analysis cobre como esse tempo gera custos.
Escreva conforme você avança
A memória degrada rapidamente durante um incidente.
Um simples registro com carimbo de data e hora responde à maioria das perguntas posteriores de seguradoras e reguladores.
Não custa nada e quase nunca é feito.
🔬 How Reliable Is This Data?
| Fonte | Força | Caveat |
|---|---|---|
| Verizon DBIR | Método consistente e de longa duração | Reported incidents only |
| Pesquisa Mastercard para pequenas e médias empresas | Mais de 5.000 proprietários | Self-reported |
| Estatísticas de fornecedores de segurança | Detalhe prático | They sell the solution |
| A reivindicação de fechamento de 60% | Nenhum | Rejeitado pela NCSA |
Essa linha inferior é a lição deste artigo.
Como verificar uma estatística assustadora
Rastreie até chegar a uma organização que coletou dados.
Se cada citação apontar para outro artigo, você encontrou um boato.
Uma estatística sem fonte primária não é uma estatística.
Por que a subcontagem também é provável
Muitas pequenas empresas nunca relatam ataques.
Eles pagam discretamente ou se recuperam sem contar a ninguém.
Portanto, as taxas reais de ataque são provavelmente superiores aos números relatados, mesmo que as taxas de encerramento sejam inferiores às alegadas.
🧯 Por que “somos pequenos demais para atingir” está errado
Essa crença é o motivo mais comum pelo qual as pequenas empresas não fazem nada.
Baseia-se num mal-entendido sobre como os ataques realmente funcionam.
Ninguém escolheu você
A maioria dos ransomware chega por meio de verificação automatizada, não de seleção.
As ferramentas varrem a Internet em busca de serviços expostos e pontos fracos conhecidos.
O invasor geralmente descobre quem você é somente depois de entrar.
Pequeno não significa barato para atacar
A automação eliminou o custo de tentar.
Digitalizar um milhão de endereços custa pouco mais do que digitalizar cem.
Portanto, não há razão económica para ignorar metas pequenas.
O que realmente impede um ataque automatizado
Não obscuridade. Apenas sendo mais difícil do que o próximo resultado da lista.
Software corrigido, MFA e nenhum acesso remoto exposto geralmente são suficientes.
Esses ataques perseguem o alvo mais fácil disponível, e não o mais valioso.
O número de 43% no contexto
Cerca de 43% dos ataques cibernéticos visam pequenas e médias empresas (Astra, 2026).
Isso representa quase metade de todos os ataques que atingem o segmento menos preparado para eles.
A obscuridade não protege ninguém há pelo menos uma década.
🚫 O que esses dados não revelam
Não prevê seu risco. O setor e a exposição variam enormemente.
Os dados da pesquisa são auto-relatados. Os proprietários podem se lembrar mal das causas.
Os ataques não relatados são invisíveis. A taxa verdadeira é provavelmente maior.
As faixas de custo são extremamente amplas. A preparação faz a maior parte da diferença.
Muitas pesquisas são publicadas por fornecedores. O medo apoia as vendas.
🏁 Versão curta
A famosa afirmação de que 60% das pequenas empresas fecham após um ataque não tem origem verificável. A organização responsável por isso disse isso (National Cybersecurity Alliance, 2026).
O valor medido está mais próximo de 19%, a partir de uma pesquisa com mais de 5.000 proprietários.
A descoberta genuína é que o ransomware aparece em 88% das violações de pequenas e médias empresas, contra 39% nas grandes organizações. (Verizon, 2025).
As pequenas empresas não são mais visadas. Os ataques contra eles têm mais sucesso.
O tempo de inatividade médio dura cerca de 24 dias e custa mais do que a maioria dos resgates.
Quatro das seis proteções mais eficazes são gratuitas: MFA, atualizações, fechamento de acesso remoto e um plano por escrito.
O quinto é uma cópia de backup que o ransomware não consegue alcançar. Teste restaurá-lo.
E trate o mito no início deste artigo como uma lição em si.
Um número assustador repetido durante quinze anos acabou por não ter nenhum estudo por trás dele.
Antes de agir com base em qualquer estatística alarmante, rastreie quem coletou os dados.
Se cada citação apontar para outro artigo, você encontrou um boato e não uma descoberta. 🛡️
🚀 Navegue pelos testes de backup e segurança →
❓ Perguntas frequentes
Do 60% of small businesses really close after a cyberattack?
No. The National Cybersecurity Alliance has stated the figure did not come from their research and cannot be verified. Survey data puts it nearer 19%.
Why is that number everywhere then?
It is memorable, alarming and useful to anyone selling security products. Each retelling cited the previous one rather than a study.
Are small businesses really targeted more?
Ransomware appears in 88% of SMB breaches against 39% at large organisations. The difference is that attacks succeed more often, not that attackers choose them.
How long does recovery take?
Average ransomware downtime is around 24 days, though prepared businesses recover far faster.
What does an attack cost a small business?
Typically $120,000 to $1.24 million. Downtime usually costs more than the ransom itself.
Devemos pagar o resgate?
A aplicação da lei desaconselha isso. O pagamento compra uma ferramenta de um criminoso sem garantia e não impede a publicação de dados roubados.
Qual é a proteção eficaz mais barata?
Login multifator em e-mail e acesso remoto. É gratuito e bloqueia a rota de entrada mais comum.
Por que os backups falham quando necessário?
Geralmente porque ninguém testou uma restauração ou a unidade de backup foi conectada e também criptografada.
Somos pequenos demais para sermos um alvo?
A maioria dos ransomware chega através de verificação automatizada e não de seleção, e cerca de 43% dos ataques atingem pequenas e médias empresas (Astra, 2026).
O que devemos fazer na primeira hora?
Desconecte as máquinas afetadas da rede, mas não as desligue, pois isso destruirá as evidências. Em seguida, verifique os backups e notifique sua seguradora.
Por que o tempo de inatividade custa mais do que o resgate?
O tempo médio de inatividade é de cerca de 24 dias. A receita pára enquanto os salários e os aluguéis continuam, e essa lacuna é o que fecha os negócios.
Ser fornecedor aumenta nosso risco?
Sim. As pequenas empresas são atacadas como uma forma de atrair clientes maiores, e é por isso que as grandes empresas perguntam agora aos fornecedores sobre a sua segurança.
O seguro cibernético cobre isso?
Cada vez mais apenas se você tivesse MFA e backups testados em vigor. Leia as condições antes de assumir a cobertura.
📚 Referências
Aliança Nacional de Segurança Cibernética. (2026). Declaração sobre estatísticas incorretas de pequenas empresasConsultado em 8 de agosto de 2026, em https://www.staysafeonline.org/press/national-cyber-security-alliance-statement-regarding-incorrect-small-business-statistic
Verizon. (2025). Data breach investigations report, citado nas estatísticas do ransomware Huntress. Recuperado em 8 de agosto de 2026, de https://www.huntress.com/ransomware-guide/ransomware-attack-statistics
Astra. (2026). Estatísticas de ataques cibernéticos a pequenas empresasConsultado em 8 de agosto de 2026, em https://www.getastra.com/blog/security-audit/small-business-cyber-attack-statistics/
Revista SQ. (2026). Estatísticas de cibersegurança para pequenas empresas: ameaças e custosConsultado em 8 de agosto de 2026, em https://sqmagazine.co.uk/small-business-cybersecurity-statistics/
Mundo SC. (2026). A maioria das pequenas empresas sobrevive a violações de dadosConsultado em 8 de agosto de 2026, em https://www.scworld.com/news/most-small-businesses-survive-data-breaches-heres-how-to-make-sure-yours-does-too
Leituras relacionadas neste site
Nosso pesquisa de senha e MFA cobre detalhadamente a rota de entrada mais comum. Veja também nosso breach cost analysis para o que se segue a um incidente, e o Diretório de participantes com teste gratuito para testes de backup e segurança.
Sobre esta análise
Este artigo corrige uma estatística repetida na maioria das coberturas concorrentes, usando a rejeição publicada pela organização geralmente creditada a ela. Onde existem números precisos, eles são usados, com suas fontes nomeadas. Muitas pesquisas nesta categoria são publicadas por fornecedores de segurança, onde o medo apoia as vendas, e isso é declarado e não oculto. Os números foram verificados em 8 de agosto de 2026.
- Open Rate Benchmarks After Privacy Changes - 9 de outubro de 2026
- Email Marketing ROI: Separating Claim From Evidence - Outubro 6, 2026
- Free AI Tools for YouTube: The Stack That Costs Nothing - Outubro 6, 2026