2026 bate recordes
Se parece que a cada poucos dias aparece mais uma invasão grande, não é impressão. O ano ainda não acabou, e em vários indicadores importantes ele já é o pior já medido:
2026 em números, até o início de novembro
Fontes: base de falhas da NVD (contagem até 5/11/2026); ransomware.live (6/11/2026); Check Point Research via Convergência Digital (13/7/2026); Check Point Research (8/10/2026).
O WordPress também acompanha: desde o início de 2026 foram publicadas cerca de 6.200 falhas com WordPress na descrição, contra cerca de 3.500 no mesmo período de 2025.
E isso não atinge só empresas gigantes:
- Em maio de 2026, a plataforma de ensino Canvas saiu do ar no meio da época de provas depois de uma invasão, e as páginas de login foram pichadas.
- Em junho de 2026, um acesso esquecido desde 2022, no fornecedor de software Klue, abriu caminho para os atacantes chegarem a quase 200 clientes dele.
Por que justamente o seu site
Ninguém senta na frente do computador e decide invadir justamente o site de uma clínica em Campinas ou de uma empresa de reformas em Curitiba. As invasões de sites de pequenas empresas são feitas quase sempre por programas que varrem a internet inteira, o tempo todo, procurando uma coisa só: um plugin, um tema ou um código com uma falha conhecida. Quando encontram, entram. O nome da empresa não interessa a eles.
Em 2025, cerca de 40% de todo o tráfego da internet vinha de bots maliciosos, exatamente esse tipo de programa. E no WordPress, a base dos sites de muitas empresas, os números são estes:
O WordPress em 2025, de relance
Fontes: Patchstack, State of WordPress Security in 2026; Thales Imperva, Bad Bot Report 2026.
Na prática: as atualizações são importantes, mas não bastam. Um plugin que o desenvolvedor parou de manter, um código que alguém escreveu para você há cinco anos ou um formulário que aceita arquivos sem conferir o que são não aparecem em nenhuma tela de atualizações.
O que acontece no dia em que um site é invadido
O que aconteceu comigo
No passado, eu tinha um blog grande, com milhões de visualizações. Um hacker invadiu o blog e o trocou por um site malicioso. O blog sumiu, e com ele todo o trabalho que eu tinha investido nele e no posicionamento dele no Google.
Uma única invasão pode apagar anos de trabalho. E um site invadido nem sempre volta ao mesmo nível, mesmo depois de limpo.
Na maioria dos casos, o dono da empresa não descobre sozinho. Um cliente manda um print, ou os contatos que chegavam pelo site simplesmente param. Isto é o que mais acontece:
- Os visitantes são mandados para outro site. No relatório da GoDaddy e da Sucuri sobre 2024, em 74,7% dos sites infectados havia código malicioso, que na maioria das vezes redireciona os visitantes para outro site.
- Aparecem no site páginas que você não escreveu. Páginas de spam em outros idiomas, feitas para o Google e não para você. Isso aconteceu em 38,4% dos sites infectados.
- O Google alerta contra o site. Nos resultados de busca aparece "Este site pode ter sido invadido", e no Chrome aparece uma tela vermelha antes mesmo de o site carregar. Depois da limpeza, é preciso pedir uma nova análise ao Google, que leva de alguns dias a algumas semanas.
- O posicionamento no Google é prejudicado. Quem vê o aviso de site invadido nos resultados de busca não entra, e as páginas de spam que o atacante colocou competem com as suas páginas de verdade. Posições que você levou anos para construir podem sumir em poucos dias, e nem sempre voltam.
- Os dados dos clientes vazam. Cada formulário do site guarda nome, telefone e às vezes mais. A LGPD obriga quem guarda esses dados a protegê-los, e a ANPD pode aplicar multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A primeira multa da ANPD, em 2023, foi para uma microempresa. E se um incidente pode causar risco ou dano relevante aos clientes, a empresa tem 3 dias úteis para comunicar a ANPD e os clientes afetados. Para agentes de pequeno porte, o prazo é de 6 dias úteis.
O que está acontecendo no Brasil
O Brasil está entre os países mais atacados do mundo, e a América Latina é hoje a região com mais ataques por organização: 3.813 por semana em setembro de 2026, segundo a Check Point. Três casos que mostram como isso chega às empresas:
Três casos que atingiram empresas no Brasil
- Um acesso, R$ 541 milhões desviadosCriminosos usaram o login de um funcionário da C&M Software, empresa que liga instituições financeiras ao Pix, e fizeram transferências em massa da conta de um cliente dela, a BMP. O funcionário confessou ter sido aliciado
- Login que aceitava qualquer senhaNo site da Centauro, dava para entrar na conta de um cliente só com o e-mail ou o CPF, digitando qualquer senha, e ver telefone, endereço, pedidos e cartões salvos. A loja tirou o site inteiro do ar até corrigir
- Brasil é o 3º país com mais vítimas de ransomware23 empresas atingidas no mês, atrás só dos Estados Unidos e da Alemanha
Fontes: CNN Brasil (2025); Tecnoblog (2025); ransomware.live via TI Inside (2026); Check Point Research (2026).
Duas conclusões. A primeira: o maior prejuízo não veio de um ataque sofisticado contra o banco, mas de um único acesso em um fornecedor. A segunda: a falha da Centauro estava no código do login, não em um plugin desatualizado. Esse tipo de problema não aparece em nenhuma tela de atualizações, só quem lê o código encontra.
A inteligência artificial mudou o ritmo
Até pouco tempo atrás, encontrar uma falha nova exigia um especialista e tempo. Hoje isso já não é verdade:
- Em maio de 2026, o Google relatou pela primeira vez atacantes usando uma falha que ninguém conhecia e que, pela avaliação dele, foi desenvolvida com ajuda de IA. Ela burlava o código de verificação enviado ao celular, em uma ferramenta popular de administração de sites, e grupos criminosos planejavam explorá-la em larga escala.
- Segundo o relatório da Verizon de 2026, a exploração de falhas em programas virou a forma mais comum de começar uma invasão, com 31%, à frente das senhas roubadas.
A mesma tecnologia funciona na direção contrária. Se atacantes podem rodar uma IA que procura brechas no código, dá para rodar uma IA que procura essas brechas antes. É isso que eu faço.
O que eu faço
Eu recebo acesso ao código do site, e o sistema de agentes da Platin Digital analisa esse código. Um agente de IA é um programa que entende código e o lê como um programador, só que sem se cansar. Em vez de um único agente lendo tudo, há uma equipe inteira, e cada agente tem uma função:
Como os agentes trabalham no seu site
- MapeamentoOs primeiros agentes montam um mapa do site: por onde os visitantes entram, onde enviam dados, quem pode administrar o quê e quais plugins e bibliotecas de código o site usa
- BuscaCada agente recebe uma área do mapa e segue no código tudo o que entra nela, até o ponto em que é salvo ou executado. Eles trabalham em paralelo
- Nova verificaçãoCada achado passa para outro agente, que não o encontrou, e cuja função é tentar derrubá-lo. Só o que resiste a essa verificação entra no relatório como achado confirmado
- RelatórioEu reviso os resultados e envio a você um relatório organizado, com uma correção sugerida para cada problema
O que os agentes analisam:
- Login e permissões. Quem pode entrar na área de administração, e se existe um jeito de burlar a senha ou de ganhar mais permissões do que deveria.
- Tudo o que os visitantes enviam. Formulários, envio de arquivos, busca no site, comentários. É por aqui que entra a maioria das invasões que começam de fora.
- Plugins e bibliotecas de código de terceiros. Cada plugin é um código que outra pessoa escreveu e que roda no seu site com as mesmas permissões.
- A separação entre os dados dos clientes. Se um cliente consegue ver o pedido, o arquivo ou os dados de outro cliente.
- Chatbot ou ferramenta de IA no site, se houver. Se dá para fazer ele revelar dados ou executar uma ação que não deveria.
Duas coisas importantes. Os agentes leem o código, eles não atacam o site. O site no ar continua funcionando normalmente, e ninguém envia tentativas de invasão para ele. E como a verificação é feita no próprio código, ela encontra coisas que uma varredura por fora não vê: um formulário que confere o arquivo só no navegador e não no servidor, ou uma página de administração que confere se você está logado, mas não se você tem permissão.
Como é o relatório
O relatório não afoga você em 200 alertas. Ele é organizado assim:
- Panorama. Em poucas frases: como o site está e o que é mais urgente.
- Achados confirmados. Problemas que passaram pela nova verificação. Para cada um: onde exatamente está no código, o que um atacante pode fazer com ele e qual é a menor correção que o resolve.
- Achados a confirmar. Coisas que parecem suspeitas, mas que não dá para provar só pelo código. Para cada uma está escrito o que precisa ser verificado para fechar a questão.
- Recomendações de reforço. Não são falhas, mas coisas que vale melhorar para que o próximo problema seja mais difícil.
- O que está bem feito. Sim, isso também entra.
- O que foi analisado e o que não foi. Para você saber exatamente o que o relatório cobre.
Assim aparece um achado no relatório. É um exemplo ilustrativo, não o site de um cliente:
O formulário "Envie seu currículo" aceita qualquer tipo de arquivo
- O que encontramos
- O formulário confere o tipo de arquivo só no navegador. O servidor salva qualquer arquivo que chega, em uma pasta que pode ser acessada de fora.
- O que isso significa para você
- Quem sabe enviar um arquivo direto para o servidor pode subir um arquivo que executa código no site. É assim que costumam começar os redirecionamentos maliciosos e as páginas de spam.
- O que fazer
- Conferir o tipo de arquivo também no servidor e salvar em uma pasta que não executa código. A correção sugerida está no relatório.
Como trabalhar comigo
A maioria dos donos de empresa tem receio da parte técnica. Na prática, a sua parte é curta:
O que você faz, e o que eu faço
- Você me manda o endereço do sitePelo WhatsApp. Não precisa saber em qual plataforma ele foi feito. Eu respondo com o preço
- Você dá acesso ao códigoUm usuário de SFTP ou FTP separado, só para mim. A empresa de hospedagem ou quem fez o site cria esse usuário em poucos minutos, e eu mando para eles uma explicação exata. Não sabe onde o site está hospedado, ou quem fez o site já sumiu? Isso acontece muito, a gente descobre junto
- Os agentes trabalham, e você recebe o relatórioVocê não precisa fazer nada, e o site continua funcionando normalmente. Em até 3 dias úteis a partir do momento em que o acesso está liberado, eu envio o relatório e respondo a qualquer pergunta, sua ou do seu programador
- Você decide quem corrigeEu, com um orçamento separado, ou o seu programador, seguindo o relatório. No fim, você apaga o usuário que criou para mim
O seu site foi programado sob medida, sem WordPress? Em vez de FTP, você me dá permissão de leitura no repositório do código, por exemplo no GitHub.
Quanto custa
Análise completa e relatório em até 3 dias úteis: a partir de 1.000 ₪ (shekels israelenses, cerca de R$ 1.700 pelo câmbio de novembro de 2026). O preço depende do tamanho do site, porque um site com loja, área do cliente e dezenas de plugins exige muito mais trabalho dos agentes do que um site institucional de cinco páginas. Você recebe o preço exato antes de começarmos. A correção, se você quiser, tem orçamento separado depois do relatório, de acordo com o que for encontrado.
Perguntas frequentes
A análise pode derrubar ou deixar o site lento?
Não. Os agentes leem o código, eles não enviam tentativas de invasão para o site. Para o site e para os visitantes, nada acontece.
Por que você precisa de acesso ao código? Não basta passar o endereço?
De fora, só se vê o que o site mostra. A maioria dos problemas está no código: como o formulário salva arquivos, quem tem permissão para ver o quê, o que um plugin faz com os dados que recebe. Sem ler o código, só dá para adivinhar.
É seguro te dar acesso?
Você cria um usuário separado, só para a análise, e não me passa a sua senha. Se a empresa de hospedagem permitir, esse usuário recebe permissão só de leitura. Ninguém de fora da análise vê o seu código, e no fim você apaga esse usuário.
Dá para usar uma senha de aplicativo do WordPress no lugar?
A senha de aplicativo dá acesso ao conteúdo pela interface do WordPress: posts, páginas, usuários. Ela não dá acesso aos arquivos nem ao código dos plugins e do tema, e é lá que está a maioria dos problemas. Por isso eu preciso de acesso por SFTP ou FTP.
Meu site é no Wix ou na Shopify. Faz sentido?
Menos. Nessas plataformas, o servidor e a maior parte do código são administrados pela própria empresa, e não há acesso a eles. Se fizeram um código personalizado por cima da plataforma, dá para analisar esse código. Me escreva o que você tem, e eu digo se há o que analisar antes de você pagar.
Isso é um teste de invasão (pentest)?
Não. Um teste de invasão é um ataque controlado ao site no ar, feito por um especialista ao longo de dias, e às vezes um cliente grande ou uma regulação exige esse teste. Aqui os agentes leem o código a fundo e não atacam o site. Se você precisa de um teste de invasão formal, eu aviso antes de começarmos.
Em quanto tempo eu recebo o relatório?
Em até 3 dias úteis a partir do momento em que o acesso ao código está liberado.
E se não for encontrado nada?
Você recebe um relatório que mostra o que foi analisado, o que está bem feito e que não foi encontrado nenhum problema. Isso não é uma garantia de que o site nunca vai ser invadido: amanhã pode ser publicada uma falha nova em um plugin instalado no seu site.
Quem vê o relatório?
Só você e as pessoas para quem você decidir enviar.
Fontes
- Patchstack, State of WordPress Security in 2026
- Thales Imperva, 2026 Bad Bot Report
- GoDaddy, Annual Cybersecurity Report 2024
- Google Search Central, sites invadidos e avisos na busca
- LGPD, art. 52: sanções e limite da multa
- Cescon Barrieu, regulamento de comunicação de incidente de segurança da ANPD (Resolução CD/ANPD nº 15/2024)
- Turivius, a fiscalização da ANPD em 2026 e a primeira multa
- Convergência Digital, Brasil passa de 4 mil ciberataques semanais por organização (junho de 2026)
- CNN Brasil, o ataque à C&M Software, 2025
- Tecnoblog, a falha no site da Centauro, 2025
- TI Inside, Brasil é o 3º país com mais ataques de ransomware em junho de 2026
- Google Threat Intelligence, falha desenvolvida com ajuda de IA
- Verizon, Data Breach Investigations Report
- NVD, base nacional de falhas dos Estados Unidos
- ransomware.live, estatísticas de 2026
- Check Point Research, setembro de 2026
- TechCrunch, as maiores invasões de 2026
