Em um momento em que a nuvem se consolida como a espinha dorsal da infraestrutura digital global, o Relatório de Riscos de Segurança na Nuvem 2025 da Tenable, acende um alerta crítico: quase 1 em cada 10 ambientes de armazenamento em nuvem publicamente acessíveis carrega dados confidenciais — 97% deles classificados como restritos ou confidenciais. O estudo indica que essas exposições são agravadas por configurações incorretas e segredos incorporados ao código, criando vetores diretos de ataque em larga escala.
Ambientes de nuvem enfrentam riscos drasticamente maiores devido a dados confidenciais expostos, configurações incorretas, vulnerabilidades subjacentes e segredos mal armazenados, como senhas, chaves de API e credenciais. O Relatório de Riscos de Segurança na Nuvem de 2025 fornece uma análise aprofundada dos problemas de segurança na nuvem mais importantes que afetam dados, identidade, carga de trabalho e recursos de IA, além de oferecer estratégias práticas de mitigação para ajudar as organizações a reduzir riscos proativamente e fechar lacunas críticas.
Principais conclusões
Segredos encontrados em diversos recursos de nuvem estão colocando organizações em risco: Mais da metade das organizações (54%) armazenam pelo menos um segredo diretamente nas definições de tarefas do Amazon Web Services (AWS) Elastic Container Service (ECS), criando um caminho de ataque direto. Problemas semelhantes foram encontrados entre organizações que usam os fluxos de trabalho do Google Cloud Platform (GCP), Cloud Run (52%) e Microsoft Azure Logic Apps (31%). De forma alarmante, 3,5% de todas as instâncias do AWS Elastic Compute Cloud (EC2) contêm segredos nos dados do usuário — um grande risco, dada a ampla utilização do EC2.
A segurança da carga de trabalho na nuvem está melhorando, mas as combinações tóxicas persistem: Embora o número de organizações com uma “trilogia de nuvem tóxica” — uma carga de trabalho publicamente exposta, criticamente vulnerável e altamente privilegiada — tenha diminuído de 38% para 29%, essa combinação perigosa ainda representa um risco significativo e comum.
O uso de Provedores de Identidade (IdPs) por si só não elimina o risco: Embora 83% das organizações da AWS estejam aplicando as melhores práticas no uso de serviços IdP para gerenciar suas identidades na nuvem, padrões excessivamente permissivos, direitos excessivos e permissões permanentes ainda as expõem a ameaças baseadas em identidade.
“Apesar dos incidentes de segurança que testemunhamos nos últimos anos, as organizações continuam a deixar ativos críticos na nuvem, desde dados confidenciais até segredos, expostos por meio de configurações incorretas evitáveis”, disse Ari Eitan, diretor de pesquisa de Segurança na Nuvem da Tenable.
“O caminho para os atacantes costuma ser simples: explorar o acesso público, roubar segredos incorporados ou abusar de identidades privilegiadas. Para fechar essas lacunas, as equipes de segurança precisam de visibilidade total em seus ambientes e da capacidade de priorizar e automatizar a correção antes que as ameaças aumentem. A nuvem exige uma gestão de riscos contínua e proativa, e não uma colcha de retalhos reativa.”
“O relatório reforça o que temos observado no mercado: sem uma abordagem unificada de gerenciamento de exposição, as organizações ficam vulneráveis a riscos evitáveis que comprometem dados críticos e impactam diretamente o negócio”, diz Arthur Capella, country manager da Tenable Brasil. “Gerenciar a exposição à nuvem de forma contínua, identificar e corrigir configurações incorretas e vulnerabilidades é essencial para reduzir a superfície de ataque e garantir a resiliência operacional em um ambiente digital cada vez mais complexo.”
O relatório reflete as descobertas da equipe da Tenable Cloud Research com base na telemetria de cargas de trabalho em diversos ambientes corporativos e de nuvem pública, analisadas de outubro de 2024 a março de 2025.
