Segundo o levantamento The State of Ransomware 2026, feito pela empresa de segurança Sophos com 2.158 responsáveis de TI de empresas atingidas por sequestro de dados em 17 países, o firewall — o equipamento que filtra o que entra e sai da rede da empresa — foi o ponto de entrada em 21% dos ataques que começaram por uma falha explorada, uma senha comprometida ou uma tentativa de descobrir a senha por tentativa e erro. É a terceira porta mais usada, atrás só de um sistema exposto na internet (38%) e do computador de algum funcionário (30%).
O firewall ocupa um lugar diferente dos outros três. Ele fica na borda, entre a empresa e a internet, e enxerga tudo o que entra e sai. Quando um atacante consegue passar por ali, o estrago tende a ser maior: segundo o mesmo levantamento, 59% dos pedidos de resgate em ataques que começaram por uma falha explorada no firewall foram de US$ 1 milhão ou mais, contra 48% de todos os pedidos registrados na pesquisa.
Esse contraste é o que importa para quem aprova o orçamento de TI. O mesmo equipamento comprado para ser a primeira barreira pode virar, sozinho, o motivo de um pedido de resgate maior. E na maioria das empresas pequenas e médias, ninguém consegue dizer com segurança quando foi a última vez que alguém olhou de verdade para o que está configurado ali dentro.
O aparelho que ninguém revisita
O firewall costuma chegar do jeito mais tranquilo possível: o fornecedor instala, testa, libera algumas regras "só por enquanto" para o próprio teste funcionar, e vai embora. O problema é que "por enquanto" raramente tem data para terminar. A regra fica aberta, o firmware fica na versão do dia da instalação, e o único momento em que alguém volta a mexer é quando algo já parou de funcionar — nunca antes disso.
Os dados da Sophos mostram por que esse hábito custa caro. Entre os ataques que atingiram o firewall, a senha comprometida foi a causa mais comum (41%), seguida da falha explorada no próprio equipamento (33%) e da tentativa de adivinhar a senha por tentativa e erro (26%). E é justamente o firewall o alvo preferido desse último método: entre os quatro tipos de equipamento medidos no levantamento, ele foi o mais visado por esse tipo de tentativa, numa taxa de 44% — bem à frente de sistemas expostos, redes privadas de acesso remoto e outros dispositivos de rede.
A questão da senha por tentativa e erro tem uma explicação simples: se ninguém limita quantas vezes alguém pode errar a senha do painel de administração, ou desliga o acesso remoto a esse painel quando ele não é usado, o firewall vira um alvo mais fácil de tentar à exaustão do que forçar a entrada por qualquer outro caminho.
No Brasil, o mesmo levantamento da Sophos, num recorte específico para o país, mostra o valor do resgate pedido subindo: a mediana saltou 63% em um ano, de US$ 392.500 para US$ 640 mil. Não há um recorte específico de quanto disso vem de firewall mal configurado no Brasil, mas o padrão internacional deixa uma pista clara: quando a porta de entrada é um equipamento de borda mal cuidado, o valor pedido tende a subir, não a cair.
Por que ter o aparelho ligado não basta
O jeito comum de lidar com o firewall é comprar, instalar e considerar o assunto resolvido. A luz do equipamento está acesa, o tráfego passa por ele, e isso já parece prova de que a rede está protegida. É esse raciocínio que os dados da Sophos desmontam.
No levantamento, 61% das vítimas disseram que o próprio firewall identificou o ataque antes de o sequestro de dados ser executado. Outros 32% disseram que ele só identificou depois — quando o estrago já tinha começado. E 7% relataram que o equipamento não identificou o ataque em nenhum momento. A diferença entre esses três grupos não é sutil: quando o firewall identificou cedo, 50% das empresas tiveram dados sequestrados; quando identificou tarde, esse número sobe para 65%; quando não identificou nada, chega a 71%.
Ou seja: o firewall só cumpre o papel de linha de defesa quando alguém garante que ele está configurado para enxergar o que é estranho e mandar esse aviso para uma pessoa de verdade — não só registrar num relatório que ninguém abre. Um equipamento com a licença de filtragem vencida, com regra velha demais para fazer sentido e sem ninguém acompanhando o alerta se comporta, na prática, como se não estivesse ali.
Esse tipo de reação também aparece do outro lado, quando a empresa descobre a falha e a solução vira comprar mais uma caixa — outro equipamento, outro contrato — sem mudar a rotina de quem cuida do que já existe. O equipamento novo herda o mesmo destino do antigo: instalado, esquecido, revisado só quando quebra.
O que precisa existir na prática
Um firewall bem cuidado se apoia em rotina, não em confiança na caixa. Os mecanismos abaixo são o que costuma faltar quando ninguém tem esse equipamento como responsabilidade fixa.
Revisão periódica de cada regra aberta. Toda regra liberada — inclusive a que foi aberta "só para o fornecedor testar" — tem uma data de criação e um motivo. Se ninguém sabe mais por que ela existe, ela deveria ter sido fechada há muito tempo.
Firmware do equipamento sempre na versão atual do fabricante. O firewall é um programa rodando num equipamento de rede, e recebe correção de segurança como qualquer outro programa. Ficar na versão da instalação é ficar exposto a toda falha descoberta depois daquele dia.
Assinatura de filtragem de conteúdo renovada e acompanhada. Boa parte da capacidade de bloquear ameaça nova depende de uma licença que precisa ser renovada — e que, quando vence, não avisa ninguém sozinha. Alguém precisa acompanhar essa data como acompanha qualquer outro contrato.
Alerta chegando a uma pessoa que olha na hora, não só um relatório guardado. Um sinal de acesso fora do padrão, ou de tentativa de senha repetida, precisa virar aviso para alguém — cruzado com o que acontece no resto da rede — e não só uma linha a mais num arquivo de log.
Um único responsável pelo equipamento. Quando quatro pessoas diferentes já mexeram na configuração ao longo dos anos e nenhuma documentou o que fez, ninguém consegue dizer com segurança o estado atual do firewall — só o estado que cada um lembra.
É assim que a Skills IT trabalha: com revisão periódica das regras do firewall, firmware sempre atualizado e um único responsável acompanhando o que muda ali, em vez de deixar o equipamento na configuração do dia da instalação.
O ganho para a empresa
O ganho de manter o firewall como rotina, e não como caixa esquecida, aparece em dois lugares. O primeiro é a chance menor de ele virar a porta de entrada — e, se virar mesmo assim, a chance maior de ele avisar cedo, quando a diferença entre 50% e 71% de dados sequestrados ainda pode ser decidida a favor da empresa.
O segundo é financeiro, e vale para negócio de qualquer porte: segundo o estudo de impacto de violações de dados que acompanha o relatório da Verizon de 2026, nos casos mais extremos — os 2,5% piores — o prejuízo de um vazamento de dados já consumiu mais de 7% da receita da empresa afetada. Para uma empresa pequena ou média, sem caixa para absorver um golpe desse tamanho, essa fatia da receita é o equivalente a meses de folha de pagamento.
Existe ainda o ganho menos visível: previsibilidade. Uma empresa que sabe o estado do próprio firewall consegue planejar a renovação da licença, o custo da revisão e a troca de equipamento com antecedência — em vez de descobrir tudo isso no meio de uma investigação, sob pressão, sem tempo para comparar preço ou fornecedor.
Quando o firewall identificou o ataque antes do sequestro de dados, 50% das empresas tiveram dados criptografados; quando ele não identificou nada, esse número chegou a 71%.
Um roteiro para começar
Antes de assumir que o firewall está resolvido só porque está ligado, vale levar estas perguntas à próxima reunião de TI:
- Alguém sabe dizer, sem pesquisar, quando foi a última revisão das regras do firewall? Se a resposta é "faz tempo" ou "não sei", a revisão já devia ter acontecido.
- A assinatura de filtragem de conteúdo está ativa, com data de renovação marcada em algum lugar? Uma licença vencida sem ninguém perceber é a mesma coisa que não ter licença nenhuma.
- O firmware do equipamento está na versão mais recente indicada pelo fabricante? Se a resposta é "não sei quando foi a última atualização", essa é a próxima tarefa, não uma pergunta em aberto.
- Quem recebe o alerta do firewall quando algo foge do padrão, e o que essa pessoa faz com ele? Um alerta que só fica registrado não protege ninguém.
- Existe alguma regra aberta há anos, "só para aquele teste", que ninguém lembra mais por quê? Regra sem dono é a porta que fica destrancada por engano.
