Três em cada quatro pequenas e médias empresas veem a ciberguerra e os conflitos internacionais como uma ameaça concreta ao negócio. No entanto, os incidentes que de facto sofrem continuam a ter origens muito mais comuns: e-mails fraudulentos, software por atualizar, falta de monitorização e palavras-passe fracas. É esta a principal conclusão do ESET SMB Cyber Readiness Index 2026. O estudo foi publicado internacionalmente em junho e começou agora a ser divulgado em Portugal.
Resposta rápida: Segundo um inquérito da ESET a 4400 decisores de PME em 13 países, 75% consideram a ciberguerra uma ameaça real ao negócio e 45% sofreram pelo menos um incidente no último ano. A principal causa desses incidentes foi o phishing (26%), seguido das vulnerabilidades por corrigir (23%). Para uma PME, a prioridade continua a ser o básico: aplicar atualizações, formar os colaboradores contra o phishing, monitorizar os sistemas e ativar a autenticação multifator.
O que diz o estudo
A empresa eslovaca de cibersegurança divulgou o relatório a 2 de junho de 2026 em Bratislava. O índice baseia-se num inquérito global a 4400 decisores de PME, em organizações com 25 a 1000 endpoints, distribuídas por 13 países da América do Norte, Europa e Ásia. A WeLiveSecurity, o portal de investigação da ESET, especifica que a amostra abrange os Estados Unidos, o Canadá, a Europa, o Médio Oriente e o Japão. Os resultados consultados não apresentam dados específicos para Portugal.
A perceção de risco é elevada. A maioria das PME inquiridas (61%) diz estar seriamente preocupada com ciberataques, e 75% consideram a ciberguerra e os conflitos globais ameaças reais, capazes de afetar a sua atividade. Esta preocupação não é infundada. O mais recente boletim do Observatório de Cibersegurança do CNCS refere que grupos hacktivistas pró-russos procuraram, no último ano, comprometer sistemas operacionais de infraestruturas críticas.
Muita confiança, incidentes frequentes
O relatório mostra uma distância clara entre a confiança das empresas e os incidentes que efetivamente registam. 68% das empresas confiam na sua capacidade de prevenir ataques e 75% dizem-se confiantes na sua resiliência, isto é, na capacidade de lidar com um ataque. Ao mesmo tempo, 45% das PME sofreram um incidente de cibersegurança nos últimos 12 meses, e 14% sofreram mais do que um.
As diferenças entre países são grandes. A Alemanha (64%) tem a taxa mais alta de incidentes registados, seguida dos EUA (54%).
O que as PME temem e o que realmente as atinge
As ameaças que mais preocupam as empresas não são as que mais incidentes causam. O malware com inteligência artificial é a ameaça mais citada a nível global (31%), à frente do ransomware e de outro malware (29%) e do phishing (26%). Já as causas efetivas dos incidentes são menos mediáticas:
| Causa principal dos incidentes | % de inquiridos |
|---|---|
| Phishing | 26% |
| Vulnerabilidades de software por corrigir | 23% |
| Falta de monitorização de segurança | 22% |
| Palavras-passe fracas | 20% |
Michal Jankech, vice-presidente da ESET para os segmentos empresarial, PME e MSP, resume o problema. Segundo ele, as preocupações das PME são moldadas pelas notícias sobre ameaças emergentes, enquanto riscos rotineiros como o phishing, as vulnerabilidades por corrigir e a falta de monitorização ficam subestimados. A telemetria da própria ESET aponta no mesmo sentido: em todo o ano de 2025, 34% de todas as ameaças detetadas foram phishing ou estavam relacionadas com phishing.
A Silicon Republic, que analisou os dados para a região EMEA, acrescenta outro dado. Segundo a ESET, no seu serviço de deteção e resposta geridas (MDR), nenhum incidente envolveu IA generativa “de forma significativa”.
As consequências que mais pesam
Quanto ao impacto de um ataque, a perda de dados preocupa 50% dos inquiridos, a interrupção operacional 40% e as consequências financeiras 37%. A lista mostra que um incidente, para uma PME, vai muito além do departamento de informática: pode parar a faturação, travar entregas e expor dados de clientes.
Sobre os desafios, acompanhar a evolução das ameaças é o principal desafio para 34% das organizações, e 32% destacam a dificuldade de acompanhar novas tecnologias como a inteligência artificial.
A IA entra mais depressa do que as regras
Muitas PME já usam inteligência artificial, mas as regras internas ainda não acompanham. 73% das organizações afirmam estar a integrar esta tecnologia e 70% reconhecem que o seu uso traz novos riscos de cibersegurança. No entanto, apenas 60% dizem ter uma política de IA. Isto significa que perto de quatro em cada dez empresas usam ou testam ferramentas de IA sem regras sobre que dados podem ser partilhados com elas.
Juraj Jánošík, vice-presidente de inteligência artificial da ESET, explica onde a IA já tem efeito real. Segundo ele, o impacto prático da IA hoje tem muito menos a ver com malware autónomo inovador e muito mais com campanhas de phishing em maior volume e mais convincentes, além de acelerar o desenvolvimento de malware. Por outras palavras, a IA torna mais eficaz uma ameaça que já é a mais comum.
Formação: valorizada, mas nem sempre bem feita
Há sinais positivos. Até 87% das PME consideram a formação dos colaboradores muito importante ou crítica para a sua ciber-resiliência, e 72% estão a passar de programas básicos para formação mais estruturada, com simulações de phishing e reforço regular. Na região EMEA, porém, apenas 43% recorrem a programas de formação de qualidade, como as simulações de phishing.
O que uma PME pode fazer já
As causas apontadas pelo estudo levam a medidas conhecidas e com custo acessível:
- Gestão de atualizações: fazer um inventário de sistemas, routers, VPN e aplicações expostas à internet, e definir prazos curtos para aplicar correções críticas.
- Proteção do e-mail: configurar
SPF,DKIMeDMARC, e criar um processo simples para os colaboradores reportarem mensagens suspeitas. - Autenticação multifator: ativar a MFA no e-mail, nos acessos remotos e nas contas de administração, e usar um gestor de palavras-passe.
- Monitorização: centralizar os registos (
logs) e ponderar um serviço de deteção e resposta gerido quando não há equipa interna. - Política de IA: definir que ferramentas estão autorizadas e que tipos de dados nunca podem ser introduzidos nelas.
- Formação contínua: fazer simulações de phishing periódicas em vez de uma sessão única por ano.
Porque é que isto importa em Portugal
O estudo não inclui dados portugueses, mas os resultados coincidem com o que o Centro Nacional de Cibersegurança tem observado no país. Na 6.ª edição do relatório “Riscos & Conflitos”, o CNCS identificou cibercriminosos, atores estatais e hacktivistas como os agentes de ameaça mais relevantes, com impacto crescente por motivações económicas e geopolíticas. Entre as ciberameaças mais relevantes, o mesmo relatório destaca o phishing e o smishing, outras formas de engenharia social e burlas online, bem como a exploração de vulnerabilidades. A ameaça geopolítica existe, mas a porta de entrada mais provável continua a ser a de sempre.
Há também uma dimensão legal. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2) alarga as obrigações de gestão de risco e de notificação de incidentes a muitas médias empresas de setores abrangidos. Inclui ainda requisitos sobre a segurança da cadeia de fornecimento, o que também afeta PME que prestam serviços a entidades reguladas. Quando um incidente compromete dados pessoais, o RGPD obriga a avaliar a notificação à CNPD no prazo de 72 horas. Os incidentes podem ser reportados ao CERT.PT, que integra o CNCS.
Perguntas frequentes
Quantas empresas participaram no estudo da ESET?
O ESET SMB Cyber Readiness Index 2026 inquiriu 4400 decisores de PME com 25 a 1000 endpoints, em 13 países da América do Norte, Europa e Ásia. Os dados divulgados não incluem resultados específicos para Portugal.
Qual é a principal causa de incidentes nas PME?
O phishing, apontado por 26% dos inquiridos. Seguem-se as vulnerabilidades de software por corrigir (23%), a falta de monitorização (22%) e as palavras-passe fracas (20%).
A inteligência artificial já está a ser usada em ataques contra PME?
Segundo a ESET, o efeito mais visível da IA é tornar as campanhas de phishing mais numerosas e convincentes, e não o malware autónomo. O malware com IA é a ameaça que mais preocupa as empresas, mas continua pouco frequente nos incidentes reais.
O que deve uma PME portuguesa fazer em caso de incidente?
Deve conter o incidente, preservar evidências e reportá-lo ao CERT.PT. Se estiver abrangida pelo Regime Jurídico da Cibersegurança, tem de cumprir os prazos de notificação. Se houver dados pessoais envolvidos, deve avaliar a notificação à CNPD em 72 horas, como exige o RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ESET (comunicado), pela ESET (análise do relatório), pela WeLiveSecurity e pelo CNCS (Boletim do Observatório).