A ameaça agora opera em velocidade de máquina: qual é o tempo real de reação da sua PME?

O número: 29 minutos

Segundo o Global Threat Report 2026 da CrowdStrike, o tempo médio de "breakout" caiu para 29 minutos em 2025 — uma queda de 65% em relação aos 48 minutos medidos em 2024, e muito abaixo dos 98 minutos medidos em 2021. O breakout mais rápido já registrado pela CrowdStrike foi de 27 segundos. Em um dos casos analisados, a exfiltração de dados começou apenas 4 minutos após o acesso inicial.

Para efeito de comparação histórica: em uma edição anterior do relatório, referente a 2024, a CrowdStrike já havia registrado um breakout recorde de 2 minutos e 7 segundos, com média então em torno de 62 minutos. Ou seja: o que era um caso extremo e raríssimo há pouco tempo hoje está próximo de virar rotina — mesmo o "recorde" de velocidade de uma edição anterior seria, hoje, só ligeiramente mais rápido que a média atual.

O que é "breakout time" e por que ele decide o tamanho do estrago

Breakout time é o intervalo entre o momento em que um invasor consegue o primeiro acesso a uma máquina e o momento em que ele começa o movimento lateral — ou seja, deixa de estar limitado a um único computador e passa a se espalhar pela rede, buscando outros sistemas, outras credenciais, outros dados.

É esse intervalo que decide se um incidente fica contido a uma máquina isolada ou vira um problema em toda a empresa. Quanto menor o breakout time do atacante, menor a janela que a equipe de TI tem para perceber o problema e isolar o que já foi comprometido antes que o estrago se espalhe.

Por que ficou tão mais rápido

A CrowdStrike atribui essa aceleração a três fatores combinados: uso de credenciais legítimas e ferramentas já confiáveis pelo invasor, o que dificulta a detecção porque o comportamento parece normal; automação de pós-exploração com scripts gerados por IA, que reduz o tempo que o atacante gasta em cada etapa manual do ataque; e ataques direcionados às lacunas entre diferentes ferramentas de segurança que não conversam entre si.

82% das detecções em 2025 não envolveram malware tradicional — ou seja, a maioria dos ataques não usa um "vírus" que um antivírus reconheceria. Usa comportamento que parece legítimo: login com credencial válida, ferramenta administrativa que já existe no sistema, ação que um funcionário normalmente faria. Isso explica por que ataques com uso de IA por parte do atacante aumentaram 89%, segundo a mesma CrowdStrike: a automação acelera exatamente as etapas que antes exigiam tempo manual do invasor.

O descompasso: ataque em minutos, resposta em horas

Benchmarks de mercado — SANS, Mandiant, citados em cobertura de 2026 — apontam que a maioria dos centros de operação de segurança (SOC) ainda mede o próprio tempo de detecção em horas, não minutos. Isso já é um descompasso direto num cenário enterprise com equipe dedicada. Numa PME, onde o processo de segurança costuma depender de alguém notar algo estranho, ligar para o suporte de TI e esperar retorno, esse descompasso é ainda maior.

O que reduz esse descompasso na prática

Não é sobre comprar mais ferramenta. É sobre ter processo e monitoramento que reagem em minutos, não em dias:

• Monitoramento contínuo — alguém (ou algum sistema) observando a rede o tempo todo, não só reagindo quando um usuário reporta um problema.
• Segmentação de rede — limitar até onde um movimento lateral consegue chegar, mesmo que ele comece em algum ponto da rede.
• Plano de resposta pré-definido — saber, antes de qualquer incidente, quem faz o quê nos primeiros minutos, sem precisar decidir isso no meio do pânico.