As bases de dados continuam a ser um dos principais alvos dos ciberataques. Nelas concentra-se a informação mais sensível de qualquer organização: dados de doentes, fórmulas, históricos de produção, informação financeira ou dados pessoais de clientes. Na economia digital, a informação é poder, e protegê-la já não é opcional. 

Neste artigo procuramos explorar quais foram os incidentes mais comuns dos últimos anos e como evoluiu a proteção de bases de dados em 2025, para o ajudar a reduzir riscos e a tomar melhores decisões relativamente à cibersegurança em 2026. 

Incidentes de segurança recentes

Todos os anos registam-se centenas de incidentes de ransomware e fugas de informação que têm como objetivo direto ou indireto as bases de dados corporativas, com impactos económicos, regulatórios e reputacionais difíceis de assumir. Recentemente, detetámos ciberataques importantes que vale a pena resumir: 

  • Snowflake (2024)
    Em 2024 veio a público o ataque a ambientes de clientes da plataforma de dados na nuvem Snowflake, que afetou mais de uma centena de organizações—entre elas a Ticketmaster, AT&T ou Santander—e expôs informação sensível após a utilização de credenciais roubadas e contas sem autenticação multifator. (Fontes: CSA, Wired y The Hacker News).
  • Banco Santander (2024)
    Nesse mesmo ano, o Banco Santander reconheceu um acesso não autorizado a uma base de dados alojada num fornecedor externo que continha dados de clientes e colaboradores em vários países. Este facto obrigou a entidade a reforçar controos e a notificar publicamente o incidente. (Fonte: Santander)
  • El Corte Inglés (2025)
    Em março de 2025, o El Corte Inglés informou sobre um ciberataque a um dos seus fornecedores externos que permitiu aceder a dados pessoais e números de cartão de compra de alguns clientes, recordando que mesmo grandes companhias com investimentos importantes em tecnologia são vulneráveis quando a cadeia de abastecimento falha.  (Fonte: Cinco Días)

Com a entrada em vigor da Diretiva NIS 2 na União Europeia, muitas empresas—incluindo PMEs fornecedoras de setores críticos—enfrentam novas obrigações de cibersegurança, prazos estritos de notificação e sanções relevantes em caso de incumprimento. Neste contexto, contar com uma estratégia de segurança em bases de dados coerente, atualizada e alinhada com a normativa é fundamental para reduzir riscos e assegurar a continuidade do negócio. 

A importância vital da segurança nas bases de dados 

A informação sensível da maioria das empresas é armazenada em sistemas gestores de bases de dados: SQL Server, Oracle, MySQL, PostgreSQL, bases de dados na nuvem (Snowflake, Azure SQL, AWS RDS, BigQuery, etc.). Os atacantes procuram precisamente estes repositórios porque ali encontram tudo o que é necessário para extorquir, roubar propriedade intelectual ou cometer fraude.

Para o conseguir, exploram principalmente:

  • Palavras-passe fracas ou reutilizadas
  • Configurações inseguras ou por defeito
  • Falta de atualizações e correções de segurança (patches)
  • Ausência de encriptação ou de segmentação da rede
  • Erros em aplicações que acedem à base de dados (injeções SQL, falhas de validação, etc.)

Durante anos, a estratégia baseou-se em levantar um "castelo" em redor dos sistemas: firewalls, IDS/IPS, antivírus. Mas em 2025 o perímetro é difuso: trabalhamos em remoto, usamos SaaS, multi-cloud e fornecedores externos que também lidam com os nossos dados.

Casos recentes como os da Snowflake, Santander ou El Corte Inglés demonstram que já não basta proteger a rede interna: é preciso assumir que os dados podem estar distribuídos por múltiplas plataformas e terceiros.

Por isso, a segurança das bases de dados deve passar de "proteger a muralha" a proteger os dados e identidades onde quer que estejam, sob uma abordagem Zero Trust.

Novos riscos para as bases de dados em 2025

Além das vulnerabilidades clássicas, hoje devemos ter em conta:

 

1. Ambientes cloud e multi-cloud mal configurados

Muitas organizações migraram as suas bases de dados para a nuvem por flexibilidade e escalabilidade. No entanto, configurações incorretas, falta de MFA (autenticação multifator) ou chaves de acesso expostas em repositórios de código podem abrir a porta a fugas massivas de informação.

O caso Snowflake mostrou como a combinação de credenciais roubadas por malware e ambientes sem autenticação multifator nem controos adicionais permite a um atacante pivotar entre múltiplas bases de dados alojadas na mesma plataforma, com impacto em dezenas ou centenas de organizações ao mesmo tempo.

É habitual que uma mesma organização tenha dados distribuídos por vários fornecedores (IaaS, PaaS, SaaS) e regiões, o que complica a governação e a proteção dos dados se não se dispuser de políticas e ferramentas unificadas.

2. Ataques à Cadeia de Abastecimento 

Cada vez mais incidentes chegam à empresa através dos seus fornecedores. Uma falha na segurança de um terceiro com acesso às nossas bases de dados ou sistemas pode converter-se no "elo mais fraco" que abre a porta ao atacante.

O incidente do Santander em 2024 (onde se acedeu de forma não autorizada a uma base de dados num fornecedor externo) e o ataque ao El Corte Inglés em 2025 são exemplos claros de como um terceiro se pode tornar na porta de entrada para informação crítica.

Isto afeta tanto integradores como fornecedores de software, alojamento, serviços cloud ou empresas que processam informação em nosso nome.

3. Roubo de Identidades e Acesso Privilegiado 

Os atacantes roubam credenciais através de phishing, malware ou infostealers e utilizam-nas para entrar como se fossem utilizadores legítimos, por vezes com privilégios elevados.

Se não houver autenticação multifator, revisões periódicas de permissões ou monitorização de atividade, o ataque pode passar despercebido durante semanas e provocar fuga, destruição ou encriptação de grandes volumes de dados.

4. IA: Ferramenta Para Defender... e Para Atacar! 

A inteligência artificial já é utilizada para detetar anomalias e padrões suspeitos em tempo real, tanto em redes como em bases de dados. Modelos de machine learning permitem identificar comportamentos atípicos de utilizadores, aplicações ou serviços com acesso a informação crítica.

Mas também surge uma nova superfície de ataque: os modelos de IA generativa e as suas integrações com aplicações e bases de dados. Os ataques de prompt injection manipulam as instruções dos modelos para obter dados ou executar ações não autorizadas, tendo já sido objeto de avisos específicos por parte de várias agências de cibersegurança.

Vulnerabilidades mais frequentes nas bases de dados (que continuam ativas)

Ainda que o contexto tenha mudado, muitas debilidades clássicas continuam a ser as portas de entrada em 2025: 

Palavras-passe fracas ou sem MFA

Utilizadores que usam combinações simples ou repetidas em diferentes sistemas, ou acessos a bases de dados sem autenticação multifator, facilitam o trabalho a qualquer atacante com credenciais filtradas ou roubadas. 

Utilizadores com mais privilégios do que os necessários 

Contas de aplicação e utilizadores humanos com permissões de leitura, escrita e administração quando apenas precisam de consultar dados. Qualquer comprometimento destas contas pode derivar em eliminação, encriptação (ransomware) ou exfiltração massiva de informação. 

Funcionalidades desnecessárias ativas 

Módulos, serviços e pacotes instalados por defeito no motor da base de dados que não são utilizados, não recebem correções de segurança e acabam por ser uma porta aberta a vulnerabilidades conhecidas. 

Bases de dados desatualizadas e sem encriptação 

Não aplicar correções críticas a tempo significa deixar vulnerabilidades exploráveis de forma quase industrial por atacantes automatizados. E se a base de dados não estiver encriptada, qualquer acesso não autorizado permite ler os dados em claro. 

Injeções SQL e Validação Insuficiente 

A injeção SQL continua a ser um dos ataques mais frequentes contra aplicações web e APIs que acedem a bases de dados. A falta de validação de entrada, o uso de consultas dinâmicas sem parâmetros e a ausência de testes de segurança tornam-no num clássico que ainda funciona. 

Recomendações Para Proteger Uma Base de Dados em 2026 

Baseando-nos nas boas práticas tradicionais, atualizamo-las com uma visão alinhada a Zero Trust, cloud e NIS2 para começar o ano de 2026 com o pé direito no que respeita à cibersegurança: 

1. Identificar vulnerabilidades e superfície de exposição  

  • Inventariar todas as bases de dados (on-premise, cloud, SaaS, ambientes de laboratório). 
  • Analisar a configuração, patches, encriptação, perfis e permissões. 
  • Utilizar ferramentas específicas de gestão de vulnerabilidades para bases de dados (scanners especializados, revisores de configuração, etc.) que automatizem esta tarefa e gerem relatórios claros de risco. 

O objetivo é passar de "acho que está seguro" para "sei exatamente onde estão as minhas debilidades". 

2. Adotar Princípios Zero Trust no Acesso aos Dados 

  • Aplicar o princípio do menor privilégio: cada utilizador e cada aplicação vê e faz estritamente o necessário. 
  • Implementar MFA obrigatório para acessos administrativos e a bases de dados críticas. 
  • Segmentar a rede e/ou utilizar microsegmentação para evitar movimentos laterais em caso de comprometimento. 
  • Priorizar a simplicidade na gestão: menos produtos, melhor integrados, com visibilidade centralizada.  

3. Manter o software sempre atualizado (e simplificar como é gerido) 

  • Estabelecer um processo de gestão de patches para motores de base de dados, sistemas operativos e bibliotecas de acesso (drivers, frameworks, etc.). 
  • Onde não for possível atualizar imediatamente (por requisitos regulamentares ou de validação), valorar soluções de virtual patching ou controos compensatórios. 
  • Priorizar la simplicidad a la hora de gestionar: menos productos, mejor integrados, con visibilidad centralizada.

4. Monitorizar e auditar a atividade da base de dados 

  • Implementar soluções de Database Activity Monitoring (DAM) ou funcionalidades equivalentes na nuvem para registar acessos, consultas sensíveis e alterações críticas.
  • Gerar alertas perante comportamentos anómalos:
    • Acessos fora de horas.
    • Leitura de grandes volumes de dados sensíveis.
    • Consultas executadas por contas que não o costumam fazer.
  • Integrar estes registos com ferramentas de SIEM ou SOC para dispor de correlação e resposta centralizada.

5. Encriptação e proteção dos dados 

  • Encriptar dados em repouso (na base de dados e em cópias de segurança).
  • Encriptar dados em trânsito entre aplicações, serviços e utilizadores.
  • Gerir de forma segura as chaves e segredos (HSM, gestores de segredos, rotação periódica, etc.).

6. Conformidade regulamentar Contínua (RGPD, NIS2 e Sectorial) 

  • Definir um quadro de controos alinhado com RGPD, NIS2 e regulamentação específica do setor (farmacêutico, sanitário, indústria, etc.).
  • Automatizar na medida do possível as evidências de auditoria, os relatórios de acesso e a rastreabilidade de alterações.
  • Preparar procedimentos claros para a notificação de incidentes dentro dos prazos exigidos pela norma.

7. Consciencialização e Governação 

A tecnologia sem governação e sem cultura de segurança fica aquém:

  • Formar equipas de TI, desenvolvimento e negócio em boas práticas de segurança em bases de dados.
  • Estabelecer políticas de palavras-passe, MFA e utilização de contas privilegiadas.
  • Incluir a segurança de bases de dados na governação global de cibersegurança e nos comités de risco.

Melhore a Sua Estratégia de Segurança com a Ambit Iberia

Na Ambit Iberia ajudamos empresas de setores regulados e críticos a proteger os seus dados mais sensíveis, tanto em ambientes on-premise como na nuvem. Acompanhamos os nossos clientes em todo o ciclo:

  • Avaliação de riscos e diagnóstico da situação das suas bases de dados.
  • Conceção de uma estratégia de segurança alinhada com a NIS2, RGPD e a regulamentação setorial.
  • Implementação de soluções de monitorização, gestão de vulnerabilidades, encriptação e controlo de acessos.
  • Suporte contínuo para manter e melhorar o nível de segurança ao longo do tempo.

Se pretende rever a segurança das suas bases de dados ou adaptar-se às novas obrigações regulamentares, podemos ajudá-lo a definir a estratégia adequada para a sua organização.

Contacte-nos.