As bases de dados continuam a ser um dos principais alvos dos ciberataques. Nelas concentra-se a informação mais sensível de qualquer organização: dados de doentes, fórmulas, históricos de produção, informação financeira ou dados pessoais de clientes. Na economia digital, a informação é poder, e protegê-la já não é opcional.
Neste artigo procuramos explorar quais foram os incidentes mais comuns dos últimos anos e como evoluiu a proteção de bases de dados em 2025, para o ajudar a reduzir riscos e a tomar melhores decisões relativamente à cibersegurança em 2026.
Todos os anos registam-se centenas de incidentes de ransomware e fugas de informação que têm como objetivo direto ou indireto as bases de dados corporativas, com impactos económicos, regulatórios e reputacionais difíceis de assumir. Recentemente, detetámos ciberataques importantes que vale a pena resumir:
Com a entrada em vigor da Diretiva NIS 2 na União Europeia, muitas empresas—incluindo PMEs fornecedoras de setores críticos—enfrentam novas obrigações de cibersegurança, prazos estritos de notificação e sanções relevantes em caso de incumprimento. Neste contexto, contar com uma estratégia de segurança em bases de dados coerente, atualizada e alinhada com a normativa é fundamental para reduzir riscos e assegurar a continuidade do negócio.
A informação sensível da maioria das empresas é armazenada em sistemas gestores de bases de dados: SQL Server, Oracle, MySQL, PostgreSQL, bases de dados na nuvem (Snowflake, Azure SQL, AWS RDS, BigQuery, etc.). Os atacantes procuram precisamente estes repositórios porque ali encontram tudo o que é necessário para extorquir, roubar propriedade intelectual ou cometer fraude.
Para o conseguir, exploram principalmente:
Durante anos, a estratégia baseou-se em levantar um "castelo" em redor dos sistemas: firewalls, IDS/IPS, antivírus. Mas em 2025 o perímetro é difuso: trabalhamos em remoto, usamos SaaS, multi-cloud e fornecedores externos que também lidam com os nossos dados.
Casos recentes como os da Snowflake, Santander ou El Corte Inglés demonstram que já não basta proteger a rede interna: é preciso assumir que os dados podem estar distribuídos por múltiplas plataformas e terceiros.
Por isso, a segurança das bases de dados deve passar de "proteger a muralha" a proteger os dados e identidades onde quer que estejam, sob uma abordagem Zero Trust.
Além das vulnerabilidades clássicas, hoje devemos ter em conta:
1. Ambientes cloud e multi-cloud mal configurados
Muitas organizações migraram as suas bases de dados para a nuvem por flexibilidade e escalabilidade. No entanto, configurações incorretas, falta de MFA (autenticação multifator) ou chaves de acesso expostas em repositórios de código podem abrir a porta a fugas massivas de informação.
O caso Snowflake mostrou como a combinação de credenciais roubadas por malware e ambientes sem autenticação multifator nem controos adicionais permite a um atacante pivotar entre múltiplas bases de dados alojadas na mesma plataforma, com impacto em dezenas ou centenas de organizações ao mesmo tempo.
É habitual que uma mesma organização tenha dados distribuídos por vários fornecedores (IaaS, PaaS, SaaS) e regiões, o que complica a governação e a proteção dos dados se não se dispuser de políticas e ferramentas unificadas.
Cada vez mais incidentes chegam à empresa através dos seus fornecedores. Uma falha na segurança de um terceiro com acesso às nossas bases de dados ou sistemas pode converter-se no "elo mais fraco" que abre a porta ao atacante.
O incidente do Santander em 2024 (onde se acedeu de forma não autorizada a uma base de dados num fornecedor externo) e o ataque ao El Corte Inglés em 2025 são exemplos claros de como um terceiro se pode tornar na porta de entrada para informação crítica.
Isto afeta tanto integradores como fornecedores de software, alojamento, serviços cloud ou empresas que processam informação em nosso nome.
Os atacantes roubam credenciais através de phishing, malware ou infostealers e utilizam-nas para entrar como se fossem utilizadores legítimos, por vezes com privilégios elevados.
Se não houver autenticação multifator, revisões periódicas de permissões ou monitorização de atividade, o ataque pode passar despercebido durante semanas e provocar fuga, destruição ou encriptação de grandes volumes de dados.
A inteligência artificial já é utilizada para detetar anomalias e padrões suspeitos em tempo real, tanto em redes como em bases de dados. Modelos de machine learning permitem identificar comportamentos atípicos de utilizadores, aplicações ou serviços com acesso a informação crítica.
Mas também surge uma nova superfície de ataque: os modelos de IA generativa e as suas integrações com aplicações e bases de dados. Os ataques de prompt injection manipulam as instruções dos modelos para obter dados ou executar ações não autorizadas, tendo já sido objeto de avisos específicos por parte de várias agências de cibersegurança.
Ainda que o contexto tenha mudado, muitas debilidades clássicas continuam a ser as portas de entrada em 2025:
Utilizadores que usam combinações simples ou repetidas em diferentes sistemas, ou acessos a bases de dados sem autenticação multifator, facilitam o trabalho a qualquer atacante com credenciais filtradas ou roubadas.
Contas de aplicação e utilizadores humanos com permissões de leitura, escrita e administração quando apenas precisam de consultar dados. Qualquer comprometimento destas contas pode derivar em eliminação, encriptação (ransomware) ou exfiltração massiva de informação.
Módulos, serviços e pacotes instalados por defeito no motor da base de dados que não são utilizados, não recebem correções de segurança e acabam por ser uma porta aberta a vulnerabilidades conhecidas.
Não aplicar correções críticas a tempo significa deixar vulnerabilidades exploráveis de forma quase industrial por atacantes automatizados. E se a base de dados não estiver encriptada, qualquer acesso não autorizado permite ler os dados em claro.
A injeção SQL continua a ser um dos ataques mais frequentes contra aplicações web e APIs que acedem a bases de dados. A falta de validação de entrada, o uso de consultas dinâmicas sem parâmetros e a ausência de testes de segurança tornam-no num clássico que ainda funciona.
Baseando-nos nas boas práticas tradicionais, atualizamo-las com uma visão alinhada a Zero Trust, cloud e NIS2 para começar o ano de 2026 com o pé direito no que respeita à cibersegurança:
O objetivo é passar de "acho que está seguro" para "sei exatamente onde estão as minhas debilidades".
A tecnologia sem governação e sem cultura de segurança fica aquém:
Na Ambit Iberia ajudamos empresas de setores regulados e críticos a proteger os seus dados mais sensíveis, tanto em ambientes on-premise como na nuvem. Acompanhamos os nossos clientes em todo o ciclo:
Se pretende rever a segurança das suas bases de dados ou adaptar-se às novas obrigações regulamentares, podemos ajudá-lo a definir a estratégia adequada para a sua organização.