O setor de seguros ficou em nono lugar em número de organizações violadas nos dados de casos da Kroll entre junho de 2025 e junho de 2026, respondendo por 5% das violações de acordo com o relatório completo. Perspectiva de violação de dados 2026 relatório, mas em segundo lugar no número total de indivíduos afetados, atrás apenas da tecnologia. Essa lacuna entre a frequência das violações e o impacto individual é a conclusão central do relatório e aponta diretamente para a forma como a exposição a terceiros amplifica o alcance de um único incidente.
O estudo da Kroll baseia-se em dados de incidentes de violação de junho de 2025 a junho de 2026 e em uma pesquisa complementar com 250 líderes de risco e conformidade e executivos de alto escalão.
De todos os indivíduos afetados nos casos tratados pela Kroll no período de doze meses, 69% foram afetados por uma violação de terceiros, ou seja, uma violação originada por um fornecedor, contratado ou prestador de serviços, e não pela organização que detém os dados. Olhando especificamente para os indivíduos afetados por terceiros, o setor de tecnologia representou 79%, com finanças em 9%, seguros em 6% e cuidados de saúde em 5%.
Em todos os casos tratados pela Kroll, e não apenas nas violações de terceiros, a tecnologia ficou em primeiro lugar para os indivíduos afetados, seguida pelo seguro com 10%. As violações no setor de seguros ficaram em nono lugar em número de organizações, mas em segundo lugar em termos de pessoas afetadas em geral, uma divisão que reflete o quão profundamente interconectados as seguradoras e seus fornecedores de tecnologia se tornaram.
Quando um incidente atinge muitos segurados
Katherine Keefe, diretora administrativa e líder global do setor de seguros cibernéticos da Kroll, traçou uma linha direta entre esses dados e a forma como os sinistros cibernéticos se acumulam. “Um único compromisso de fornecedor ou plataforma não produz uma reivindicação”, disse ela. “Tal compromisso produz dezenas, às vezes centenas de reivindicações apresentadas por segurados não relacionados que compartilham nada além de um fornecedor comum.” O resultado, observou ela, é o risco de agregação, que é um padrão de perda que não se comporta em nada como a violação de vítima única que o mercado cibernético foi originalmente construído para precificar.
Os subscritores estão se ajustando. Keefe disse que as operadoras estão examinando mais de perto a gestão de risco dos fornecedores na subscrição inicial e na renovação, e estão olhando especificamente para fornecedores que atendem a amplas áreas de um determinado setor. O tratamento de reclamações também está mudando. Quando vários segurados são envolvidos no mesmo evento de causa raiz, as equipes exigem respostas coordenadas a incidentes e abordagens de notificação de violação que diferem dos fluxos de trabalho padrão de um único segurado. Subscritores cibernéticos e profissionais de sinistros cibernéticos que lidam com eventos de agregação orientados pelo fornecedor estão cada vez mais a trabalhar em cenários que os primeiros modelos de precificação do mercado não contemplavam.
O relatório completo também registrou um aumento anual de 87% nas violações do setor de seguros, um número ausente no comunicado à imprensa, mas digno de nota junto com os números do impacto. Vem com a ressalva de que o conjunto de dados da Kroll reflete os incidentes que tratou e não o mercado como um todo, pelo que o aumento sinaliza direção e não escala. Ainda assim, a combinação de frequência crescente e impacto individual desproporcional coloca as relações com os fornecedores do setor sob uma lente mais nítida do que a maioria das classificações de violação sugerem.
A lacuna de conscientização dentro das organizações
A pesquisa complementar da Kroll com 250 líderes de risco e conformidade e executivos de alto escalão acrescenta outra dimensão. Os líderes de TI e tecnologia identificaram violações de fornecedores e terceiros como o seu maior risco de conformidade, com 54%, em comparação com 40% dos executivos de alto escalão e 30% dos líderes dedicados de risco e conformidade. As dependências dos fornecedores também foram classificadas entre os quatro principais desafios de resposta a violações, citadas por 41% dos entrevistados. O padrão observado em organizações de todos os tamanhos, sugerindo que se trata de uma questão estrutural e não de recursos.
Denyl Green, chefe global de notificação de violação da Kroll, apontou a preparação como a variável que mais afeta a forma como as organizações gerenciam quando um fornecedor é comprometido. “As empresas que respondem de forma mais eficaz já mapearam as suas relações com terceiros e o subsequente efeito dominó, com um plano acordado antes de ocorrer um incidente”, disse ela. “Essa preparação pode reduzir a complexidade e o custo de gerenciar uma violação.”
Essa observação corre paralelamente ao que os subscritores perguntam cada vez mais durante o processo de inscrição e renovação. O risco do fornecedor passou de uma linha secundária de questionamento para uma linha primária na forma como os subscritores avaliam os candidatos e avaliam as renovações. O fato de um cliente ter mapeado seus relacionamentos com terceiros e documentado dependências de alto risco agora é um fator na forma como a cobertura é estruturada, e não apenas se ela é concedida.
