Um terço das empresas teve reunião escutada. Quase ninguém procurou.

Em agosto de 2026 a Bitkom publicou, com o serviço de inteligência interna alemão, o estudo Wirtschaftsschutz 2026: mil e três empresas alemãs com mais de dez funcionários, ouvidas entre abril e junho.

Um número me parou.

33% relataram escuta de reuniões.

Não é o número que costuma virar manchete — a manchete foi o prejuízo, entre 211 e 270,8 bilhões de euros. Mas é o número que muda o que se faz na segunda-feira, porque ele é maior que os que todo mundo teme:

| | % das empresas afetadas | |---|---| | Furto de equipamento de TI ou telecom | 60% | | Furto de documentos, amostras, componentes | 37% | | Escuta de reuniões | 33% | | Ransomware | 25% | | Sabotagem física da produção | 23% | | Ataque a senhas | 18% | | Phishing | 16% |

Leia de novo a ordem. A escuta de reunião aparece à frente do ransomware. E enquanto uma empresa média tem orçamento, ferramenta e fornecedor para o ransomware, quase nenhuma tem qualquer coisa para a linha de cima.

Por que você nunca lê sobre isso

Faz vinte e cinco anos que trabalho com o assunto, e a distorção é antiga: incidente de escuta praticamente não vira notícia.

O motivo é simples. Quem encontra um dispositivo na sala de reunião descobriu duas coisas ao mesmo tempo: que o segredo vazou, e que a empresa era penetrável. Nenhuma das duas se anuncia. O caso morre num relatório interno, às vezes numa demissão silenciosa, raramente num boletim de ocorrência. O que chega ao jornal é o que virou processo criminal — e aí já se passaram anos.

Então o gestor forma a intuição dele pelo que lê. Lê sobre ransomware todo dia e sobre escuta quase nunca. Conclui que um é frequente e o outro é coisa de filme.

O estudo alemão diz o contrário, com mil e três respondentes.

O número que assusta mais

Tem um dado no mesmo estudo que passou despercebido e que, para mim, é o mais grave:

Só 67% das empresas conseguiram confirmar com certeza que o ataque de fato ocorreu — contra 87% um ano antes.

A capacidade de detecção caiu vinte pontos em doze meses.

Isso significa que os percentuais acima são piso, não teto. Uma empresa que não sabe dizer se foi atacada também não sabe dizer que não foi. E na escuta ambiental essa cegueira é estrutural: um dispositivo passivo, bem instalado, não gera log, não dispara alerta, não aparece em SIEM nenhum. Ele não deixa rastro digital porque não é um problema digital.

É por isso que a mesma empresa que detecta uma tentativa de login anômala em segundos pode passar dois anos com um transmissor na sala do conselho.

O que é varredura, na prática

Varredura eletrônica — TSCM, technical surveillance counter-measures — é a disciplina que procura o que não deixa log.

Ela é física e é metódica. Envolve, em linhas gerais:

• Análise de espectro de radiofrequência, procurando emissões que não pertencem àquele ambiente
• Inspeção física de mobiliário, forro, tomadas, luminárias, quadros, aparelhos de telefone, réguas de energia — os lugares onde há alimentação elétrica e ninguém olha
• Varredura de linhas telefônicas e de rede, atrás de derivações e alterações elétricas
• Termografia, porque dispositivo alimentado dissipa calor
• Junção não linear, que encontra semicondutor mesmo desligado

O último item merece nota, porque desfaz o mal-entendido mais comum: um dispositivo desligado ainda é encontrável. Quem confia em detector de RF de bolso só encontra o que está transmitindo naquele instante. Gravador que armazena e é recolhido depois não transmite nada — e é justamente o modelo mais usado contra reunião de conselho, porque não tem nada para o RF pegar.

Quando faz sentido

Varredura não é assinatura mensal para toda empresa. É controle de evento e de perímetro crítico. Faz sentido quando:

• Há operação sensível em curso — fusão, aquisição, negociação coletiva, litígio relevante, demissão de executivo
• Existe sala de conselho ou de diretoria com reunião recorrente sobre estratégia
• Houve obra, manutenção ou mudança de layout — a janela de instalação favorita é a que tem gente estranha circulando com autorização
• O ambiente é temporário: sala de hotel, escritório alugado, espaço de evento
• Alguém percebeu que informação vazou e o caminho digital não explica

E há o teste que eu faço em toda avaliação: quem tem chave da sala? Segurança física da informação começa por controle de acesso, não por equipamento. Boa parte das varreduras que encontram algo encontram porque a resposta a essa pergunta era mais longa do que deveria.

O que eu levo

O número alemão não prova que a sua empresa está escutada. Prova outra coisa, mais útil: que a escuta de reunião é comum o bastante para ser tratada como risco ordinário, e não como paranoia.

O padrão que eu vejo há décadas é sempre o mesmo. A empresa investe no risco que consegue medir, e o risco que ela não consegue medir vira o risco que ela não tem. Só que a ausência de medição não é ausência de evento — é ausência de instrumento.

É a diferença entre risco aceitável e risco esquecido. Um terço daquelas mil e três empresas descobriu de que lado estava.

---

Fontes: Bitkom, Angriffe auf die deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten (26/08/2026), estudo Wirtschaftsschutz 2026 apresentado em conjunto com o Bundesamt für Verfassungsschutz.