Espionagem na Alemanha: de 7% para 37% em 3 anos

Um responsável de segurança numa PME alemã orçamenta com uma ameaça antiga

O responsável de segurança de um fabricante alemão de máquinas-ferramenta de média dimensão senta-se em setembro para preparar o orçamento do ano seguinte. Reserva uma pequena verba para 'risco estatal', tal como fez nos últimos três anos: um risco raro e distante, que justifica uma reserva modesta, quase como um seguro, e pouco mais. A 26 de agosto de 2026, a Bitkom, a associação alemã da indústria digital, e o BfV, o serviço de informações interno da Alemanha, publicaram um estudo que torna essa verba orçamental claramente desatualizada.

O estudo, designado Wirtschaftsschutz 2026, inquiriu empresas alemãs sobre roubo de dados, espionagem industrial e sabotagem nos últimos doze meses. Entre as empresas que reportaram pelo menos um ataque deste tipo, 37% conseguiram atribuir pelo menos um incidente a um serviço de informações estrangeiro. Um ano antes, a mesma pergunta dava 28%. Em 2023, era 7%. O modelo mental deste responsável de segurança, que trata a espionagem como um risco marginal, não foi atualizado com os dados que a sua própria associação empresarial acabou de publicar.

Os números, com três anos de distância

A Bitkom e o BfV apresentaram os números numa conferência de imprensa conjunta em Berlim. No total, 96% das empresas inquiridas afirmaram ter sido atingidas por algum tipo de ataque ou tentativa de ataque no último ano, desde roubo de dados a sabotagem e espionagem industrial. O dano total estimado para a economia alemã situa-se entre 211 e 270,8 mil milhões de euros, dos quais cerca de três quartos são atribuídos especificamente a ciberataques.

A tendência por trás deste número é o que transforma isto num problema de decisão e não apenas numa má notícia. A atribuição a um serviço de informações estrangeiro, entre as empresas atingidas, tem-se deslocado a cada edição do estudo:

Trata-se de uma quase quintuplicação em três anos, e o salto de um único ano, de 28% para 37%, é por si só maior do que todo o valor de partida de 2023.

A armadilha: orçamentar com base numa taxa base desatualizada

Este desfasamento na taxa base é a mesma armadilha de decisão que surge sempre que uma empresa mede um risco uma única vez e depois deixa de o atualizar. Uma taxa base não é um facto que se aprende e se arquiva, mas um número que se move, e um modelo de risco construído sobre uma taxa base com três anos distribui mal cada euro seguinte. Tratar a espionagem estatal como um acontecimento exótico e pouco provável era uma leitura defensável dos dados em 2023, quando o valor era 7%. Não é uma leitura defensável em 2026, quando o valor é 37%.

A comparação que vale a pena fazer internamente é a mesma que se usa para o risco de fornecedores: uma empresa não continuaria a comprar a um fornecedor cuja taxa de defeitos tivesse quintuplicado em três anos apenas porque o contrato original assumia uma taxa de defeitos baixa. Um orçamento de segurança construído sobre uma taxa base desatualizada é o mesmo erro, aplicado a um número maior.

O papel da IA no aumento dos números

A Bitkom e o BfV apontaram a inteligência artificial como um dos fatores por trás tanto do volume como da sofisticação dos ataques registados no estudo. As ferramentas de IA reduzem o custo de investigar um alvo, redigir uma mensagem de phishing convincente em alemão fluente, ou automatizar trabalho de reconhecimento que antes ocupava dias a um analista humano. Nada disto muda o que uma empresa deveria fazer de forma diferente, mas explica em parte por que razão a curva de 7% para 37% subiu tão depressa.

Para um responsável de segurança que está a preparar o orçamento do ano seguinte, a leitura prática é que as ferramentas ao dispor de um atacante melhoram mais depressa do que a maioria dos modelos de risco internos é revista. Uma verba orçamental escrita em 2023 assumia um atacante de 2023.

O que mudar antes do próximo ciclo orçamental

Os números da Bitkom e do BfV são específicos da Alemanha e devem ser lidos como tal: não dizem nada diretamente sobre taxas de atribuição em França, nos Países Baixos ou no Reino Unido. Mas o problema de decisão que ilustram não é específico da Alemanha. Qualquer empresário na UE ou no Reino Unido que tenha medido pela última vez o seu risco estatal com um pressuposto anterior a 2023 está a trabalhar com uma taxa base que, segundo os próprios dados alemães, está desatualizada.

A solução concreta não é um orçamento maior por confiança, mas uma recalibração agendada. Reveja uma vez por ano os números atuais de atribuição de ameaças para o seu setor e o seu país, compare-os com o pressuposto subjacente ao seu último ciclo orçamental, e ajuste em conformidade a divisão entre higiene cibernética geral e medidas de contraespionagem específicas. Uma empresa que não repetiu essa comparação desde 2023 está, por definição, a planear contra um nível de ameaça que, segundo o próprio serviço de informações alemão, já não se aplica.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.

Leia a seguir: O Dinheiro Antidrones Chegou Antes Do Ataque  |  Os Ventiladores da Sua Sala de Servidores Vendidos por 5,4MM