471,2 milhões de notificações de vítimas de data breach nos primeiros 6 meses de 2026. Mais do que a população dos Estados Unidos. Mais do que os 278,8 milhões registrados em todo o ano de 2025. Segundo o relatório H1 2026 do ITRC, apresentado por James E. Lee em 22 de julho, se você empilhasse todas essas notificações, uma em cima da outra, a pilha alcançaria o espaço. Nós lemos o relatório e o sinal é claro: o problema não é só a escala — é a opacidade.
A escala: três incidentes, 80% do total
Os números do relatório H1 2026 do ITRC são absurdos em concentração. Um único incidente gerou 58% do total: Instructure, a empresa por trás do Canvas, a plataforma de educação usada por milhares de escolas e universidades — 275 milhões de notificações. Under Armour contribuiu com mais 72,7 milhões. SoundCloud com 29,8 milhões.
Três incidentes. 377,5 milhões de notificações. 80% do total. Segundo o relatório H1 2026 do ITRC, 10,3% dos comprometimentos geraram 83,4% de todas as notificações. O problema é focal — não é difuso. Isso muda a estratégia de defesa: contenção de blast radius importa mais do que cobertura uniforme.
Importante: 471 milhões é o número de notificações, não de indivíduos únicos. Uma mesma pessoa pode receber múltiplas notificações quando seus dados estão em vários serviços comprometidos. A métrica mede volume de exposição, não população afetada.
A crise de transparência: 24% em 2026, quase 100% em 2020
O número mais alarmante do relatório não é o de notificações — é o de transparência. Segundo o relatório H1 2026 do ITRC, apenas 24% das notificações emitidas no 1º semestre de 2026 incluíam detalhes sobre o ataque. O vetor. A causa raiz. Em 2020, esse número era próximo de 100%. A cada ano, cai. A cada ano, sabemos menos sobre o que está acontecendo.
Os dados que temos são preocupantes. Os dados que não temos são piores. Quando a Tech86 implementa programas de segurança para clientes corporativos, o primeiro diagnóstico quase sempre revela a mesma falha: as empresas detectam o ataque. O vetor, permanece desconhecido. A notificação foi enviada porque a lei exige. O detalhe do vetor não foi incluído porque a lei não exige.
O ITRC enquadra isso como risco de ecossistema, não apenas como falha legal. Quando uma empresa não documenta o vetor, todo o mercado fica cego para o mesmo ataque. O atacante reutiliza a mesma técnica em cento de outras vítimas porque ninguém compartilhou o indicador.
Insider wrongdoing multiplicado por 7 e zero-days no limite
Segundo o relatório H1 2026 do ITRC, insider wrongdoing multiplicou por 7: 21 incidentes em 6 meses, contra 3 em todo o ano de 2025. O relatório cita especificamente funcionários demitidos do setor de tech recrutados por estados-nação para sabotar infraestrutura interna. Não é insider threat convencional — é adversário recrutado, com acesso prévio, conhecimento da arquitetura e motivação geopolítica.
Zero-days também pressionam: 14 no semestre, quase igualando os 17 de todo o ano anterior. A janela entre descoberta de vulnerabilidade e patch explorável encurta. Quando combinados com insider wrongdoing, o kill chain fica mais curto e o dwell time mais difícil de detectar.
Supply chain como multiplicador estrutural
Segundo o relatório H1 2026 do ITRC, supply chain continua sendo um multiplicador. 38 incidentes iniciais geraram 280,6 milhões de notificações e impactaram 206 entidades. Um ataque, duzentas vítimas. A matemática é simples: comprometer um fornecedor é atacar todos os downstream de uma vez.
Isso explica a concentração. Quando 10,3% dos comprometimentos geram 83,4% das notificações, o problema não é difuso — é focal. Os caminhos de ataque se concentram em poucas superfícies: vendors de supply chain, identidades privilegiadas, endpoints de acesso remoto. Zero Trust e least privilege access reduzem o blast radius exatamente nesses pontos.
A projeção: 3.600 incidentes, quarto ano acima de 3.000
O relatório projeta que 2026 pode superar 3.600 incidentes. O recorde atual é 3.322, de 2025. Se a projeção se confirmar, será o quarto ano consecutivo acima de 3.000. A tendência não é de estabilização — é de aceleração.
Segundo o ITRC, as recomendações para organizações são: Zero Trust, acesso de menor privilégio, verificação de fornecedores em tempo real e transparência voluntária. Para indivíduos: congelar crédito, migrar para passkeys, ativar MFA. Nada disso é novidade. O que muda é a urgência — e o fato de que a transparência voluntária, não o mínimo legal, é o que separa um ecossistema que aprende de um que repete os mesmos ataques.
Conclusão: a pilha continua crescendo e ninguém pode ver
A pilha continua crescendo. E a maior parte dela, ninguém pode ver. 471,2 milhões de notificações em 6 meses, mas apenas 24% com detalhe de vetor. As empresas detectam o ataque, enviam a notificação e omitem o que importa. O mínimo legal foi cumprido. O ecossistema ficou cego.
Na Tech86, nós ajudamos empresas corporativas a construir programas de segurança e resposta a incidentes que vão além do mínimo legal — documentando vetor, contendo blast radius com Zero Trust, monitorando insider wrongdoing com controles de offboarding e tratando supply chain como risco de primeira classe. A transparência não é passivo legal. É investimento de segurança.