Toda pauta de segurança que chega ao CFO trava no mesmo lugar: "quanto custa se der errado?". A resposta genérica ("depende") não fecha orçamento. A resposta específica com dado brasileiro fecha.

Este texto compila o que a gente sabe de custo de vazamento no Brasil entre 2024 e o primeiro semestre de 2026: multas da ANPD, dados do relatório Ponemon/IBM edição BR, casos publicamente conhecidos e breakdown do que compõe a fatura real. Não é conselho jurídico — é benchmark para você calibrar apetite de risco.

O número que todo mundo cita (e o que ele esconde)

Relatório IBM Cost of a Data Breach 2024 apontou custo médio global de USD 4,88 milhões por incidente. A edição brasileira do relatório apontou custo médio de R$ 6,75 milhões no Brasil (2024), subindo para R$ 7,19 milhões na edição 2025.

Esse número é média ponderada de incidentes de todos os tamanhos, majoritariamente em empresas de médio e grande porte. Para um SaaS BR com 500 mil registros vazados, você está numa faixa de R$ 800k a R$ 3M. Para 10 milhões de registros, subimos rápido para dezenas de milhões.

Mas o custo do relatório é só a parte contábil direta. O custo real inclui coisas que o CFO só percebe 12-24 meses depois.

Breakdown de custo por fase

Estrutura observada em incidentes públicos BR entre 2023 e 2026:

| Fase | O que entra | % do total (típico) | Valor típico (SaaS médio BR) | |---|---|---|---| | Contenção | Forense, resposta a incidente, DFIR contratado | 12-18% | R$ 200k - 600k | | Notificação | Comunicação a titulares (SMS/email), central de atendimento reforçada, monitoramento de crédito ofertado | 8-12% | R$ 100k - 400k | | Jurídico + regulatório | Advogados especializados, mediação com ANPD, defesa em ações de titulares | 15-25% | R$ 400k - 1.5M | | Multa ANPD | Sanção administrativa, se aplicada | 0-30% | R$ 0 - 2M+ | | Tecnologia pós-incidente | Ferramentas de segurança compradas em pânico, hardening, auditoria externa | 8-12% | R$ 200k - 500k | | Perda de receita | Churn de clientes, contratos B2B cancelados, redução de vendas | 20-40% | R$ 1M - 5M+ | | Reputação de longo prazo | Custo de aquisição elevado, mídia negativa, exit adiado | Difícil quantificar | Multiplicador 1-3x em CAC |

A parte que mais surpreende CFO iniciante é a última: "perda de receita" mediana passa de "multa da ANPD" em quase todo incidente médio. Cliente B2B enterprise que cancela contrato porque seu SaaS vazou dado dele custa mais do que a multa.

Multa da ANPD — o que sabemos até 2026

LGPD (art. 52) prevê multa de até 2% do faturamento da empresa (ou grupo econômico) no Brasil, limitada a R$ 50 milhões por infração.

A ANPD começou a aplicar sanções regularmente a partir de 2023. Padrão observado até primeiro semestre de 2026:

• Casos de vazamento de baixa gravidade: advertência sem multa.
• Casos com falha de segurança comprovada e volume alto de titulares: multas entre R$ 100k e R$ 1M.
• Casos com dado sensível (saúde, financeiro, criança) + volume alto + demora em notificar: multas entre R$ 1M e R$ 15M.
• Casos com reincidência ou má-fé documentada: multas próximas do teto (R$ 50M).

Não é o Bacen. A ANPD ainda está calibrando o dosímetro. Não conte com "vou pagar pouco". Empresa com receita anual de R$ 100M teoricamente teto ANPD é R$ 2M, mas casos recentes mostraram valores substancialmente abaixo desse teto — o que muda pode mudar.

Casos brasileiros públicos que balizaram o mercado

Sem citar nome específico, sinalizamos padrões observados em incidentes publicamente reportados entre 2020 e 2025 no Brasil:

• Vazamento massivo de dados cadastrais com dezenas de milhões de CPFs (2021): custou à empresa multa administrativa modesta em termos absolutos (poucos milhões), mas destruiu confiança institucional e provocou anos de ações civis públicas.
• Empresa de saúde com base de segurados exposta (2022): custo declarado em relatório anual passou de R$ 100 milhões considerando adequação, ações judiciais e perda comercial.
• Fintech B2C com vazamento de credencial + KYC (2023): multa ANPD sob R$ 5 milhões, mas queda de valor pré-money em rodada seguinte compensou vários múltiplos desse valor.
• Marketplace com base de vendedores exposta (2024): TAC (Termo de Ajuste de Conduta) com ANPD, custo direto reportado próximo de R$ 15 milhões incluindo remediação técnica.

O padrão que se repete: a multa raramente é o maior componente do custo. É a soma de perda comercial + custo de remediação + tempo de gestão distraído.

O custo por registro vazado

Ponemon/IBM historicamente reporta custo por registro entre USD 150 e USD 200. No Brasil, com câmbio e mix diferente, valores medianos observados em análise pós-incidente:

• Registro sem dado sensível (email + nome + telefone): R$ 40-80 por registro.
• Registro com CPF + endereço: R$ 100-200 por registro.
• Registro com dado financeiro (cartão, conta, transações): R$ 300-600 por registro.
• Registro com dado sensível (saúde, biometria, orientação): R$ 800-2.000 por registro.

Multiplique pelo volume da sua base e você tem um piso de estimativa. Para SaaS BR com 500 mil clientes armazenando CPF + histórico transacional, custo esperado se vazar tudo: R$ 50M a R$ 300M.

O que reduz custo comprovadamente

Ponemon 2024/2025 destacou fatores que reduzem custo médio por incidente em ordem de magnitude:

• Ter plano de resposta a incidente testado: -22% de custo médio.
• Uso de IA/automação em detecção: -18% de custo médio (mas cuidado, ver vibe coding vulnerabilities).
• Detecção interna vs. externa (cliente/imprensa avisa antes): incidentes detectados internamente custam 40% menos.
• Time-to-contain abaixo de 100 dias: -20% de custo.
• Adoção de Zero Trust: -12% de custo.
• Backup imutável testado: -15% em casos com componente de ransomware.

Nenhum desses fatores é caro por si só. O que é caro é o custo de oportunidade de não ter feito antes.

O cálculo que fecha orçamento

Fórmula que ajuda a defender investimento em segurança para CFO:

custo_esperado = probabilidade_incidente * custo_medio_incidente

Para SaaS BR médio (500k a 5M de usuários), probabilidade anual de incidente material está entre 8% e 25% dependendo de maturidade. Custo médio se acontecer: R$ 3M a R$ 20M.

Custo esperado anual: R$ 240k a R$ 5M.

Investimento típico em higiene de AppSec (WAF + varredura contínua + SAST + pentest anual + treinamento): R$ 100k a R$ 500k/ano.

ROI é de 2 a 10x — sem contar o custo intangível de reputação. É por isso que segurança para SaaS não é despesa opcional, é hedge contra evento binário destrutivo.

Onde começar se você não tem nada

Se seu SaaS BR está sem nenhuma camada estruturada de segurança e o CFO acabou de perguntar quanto custa começar:

1. Varredura contínua ligada em produção (R$ 500-3.000/mês).
2. Plano de resposta a incidente escrito (2-3 dias de trabalho de um consultor, R$ 5-15k) — só isso já reduz custo esperado em 22% conforme dado Ponemon.
3. Nomeação formal de DPO (interno, sem custo extra se for CTO acumulando).
4. Checklist LGPD executado (veja checklist LGPD de 15 pontos).
5. Backup imutável testado (S3 Object Lock + teste mensal de restore, R$ 200/mês em armazenamento).

Total ano 1: R$ 15-50k. Redução esperada em custo de incidente potencial: R$ 500k a R$ 3M. Não é decisão difícil.

---

A Varredura é o mais barato dos itens acima e evita a maior parte dos incidentes causados por higiene de aplicação. Fatura em BRL, sem contrato anual. Rode agora.