Por Que 2025 Foi Diferente?
Em segurança web, o volume de ataques aumenta a cada ano. Mais aplicações são expostas à internet, mais APIs são publicadas, mais ferramentas de automação chegam às mãos dos atacantes. Por isso, "o número de ataques aumentou" não é, por si só, uma história nova. O que tornou 2025 diferente não foi apenas o volume.
Em 2025, os ataques web subiram de cerca de 4 mil milhões em 2024 para 6,29 mil milhões de incidentes. Isso representa um aumento de cerca de 56% num ano. No mesmo período, os ataques apoiados por IA cresceram de forma notável, o volume de Layer 7 DDoS saltou, o tráfego de bots começou a superar o tráfego humano e surgiram, em sequência, vulnerabilidades de alto impacto em componentes de infraestrutura crítica.
Mas a verdadeira mudança foi mais profunda. 2025 foi o ano em que a automação ofensiva deixou de ser apenas "um bot que envia mais requisições" e passou a adicionar capacidade de decisão à cadeia de ataque. As ferramentas apoiadas por IA conseguiram gerar variantes de payload, tentar contornar regras de WAF por tentativa, acelerar a descoberta de vulnerabilidades e, em alguns cenários, avançar cadeias de ataque sem um operador humano.
Por isso, ler 2025 apenas como um ano de volume seria incompleto. Uma leitura mais precisa: 2025 foi o ano em que o aumento de escala nos ataques web se transformou num problema de segurança arquitetural. WAF, proteção contra DDoS, gerenciamento de bots, acesso consciente de identidade, isolamento e registro forense já não são títulos de produtos separados; tornaram-se respostas complementares dadas ao mesmo panorama de ameaças.
Números de Destaque
O panorama geral de 2025 pode ser lido por meio de alguns grandes números. Cada um é importante por si só; lidos em conjunto, mostram um quadro maior.
A partir dos 4 mil milhões de 2024 — crescimento anual de 56%
Indusface Estatísticas de Vulnerabilidades 2026Aumento anual nos incidentes apoiados por IA
Microsoft Security Blog, 2026Botnet Aisuru, outubro de 2025 — novo teto volumétrico
TR7 Análise — Botnet AisuruAumento anual em ataques na camada de aplicação
TR7 Análise — Salto do Layer 7 DDoS 2025O volume de ataques aumentou. A automação de ataques amadureceu. O DDoS deixou de ser apenas um problema de volume de rede e passou a ser também um problema de lógica de aplicação. Os bots deixaram de ser a exceção — ultrapassaram pela primeira vez 51% do tráfego total. A IA aumentou a geração de ataques e a velocidade de variação. As CVEs críticas concentraram-se em camadas de infraestrutura amplamente difundidas. A mensagem que 2025 deixou às equipes de segurança foi clara: uma única camada de defesa não consegue, sozinha, enfrentar este panorama.
Volume de Ataques: O Que Há por Trás do Aumento de 56%?
Em 2025, o número de ataques web documentados chegou a 6,29 mil milhões. Em relação à linha de base de cerca de 4 mil milhões em 2024, é um aumento considerável. No entanto, explicar esse aumento apenas com "mais aplicações foram expostas à internet" não é suficiente. A superfície de ataque cresceu; mas a velocidade de aumento do volume de ataques é demasiado alta para ser explicada apenas pelo número de novas aplicações e serviços.
Por trás desse crescimento havia três fatores principais. Primeiro, a automação tornou-se o padrão — o facto de o tráfego de bots ter alcançado mais de metade do tráfego total mudou o pressuposto de segurança. Já não é confiável assumir, por padrão, que há um humano por trás da requisição recebida. Essa mudança sentiu-se especialmente em credential stuffing, abuso de API, raspagem de conteúdo, monitoramento de preços e inventário, criação de contas falsas, click fraud, varredura automatizada de vulnerabilidades e tentativas de takeover de conta.
Segundo, a IA tornou a automação de ataques mais adaptável. Em 2024, a automação operava na maioria das vezes com lógica de script fixa. Em 2025, os ataques apoiados por IA ampliaram esse modelo — as ferramentas de IA conseguiram gerar variantes de payload, preparar novas tentativas com base em mensagens de erro e criar formas de codificação alternativas para contornar o WAF. O atacante já não repete apenas o mesmo ataque; consegue modificá-lo conforme a defesa.
Terceiro, as CVEs críticas afetaram camadas de infraestrutura amplamente difundidas. Algumas vulnerabilidades críticas surgidas em 2025 afetaram superfícies corporativas muito amplas — tocaram componentes fundamentais como a borda de rede das organizações, a infraestrutura de documentos, os frameworks de frontend, os serviços de parsing de documentos e os sistemas de e-mail. O grande volume de ataques cresceu ainda mais à medida que essas CVEs se combinaram com tentativas automatizadas de varredura e exploração.
As Vulnerabilidades Críticas de 2025
Muitas vulnerabilidades foram publicadas em 2025. No entanto, algumas tiveram um peso desproporcional no panorama de ameaças do ano, devido à superfície que afetaram e ao seu potencial de exploração.
As CVEs de Alto Impacto de 2025
| CVE | Período | Alvo | Por Que Foi Importante? |
|---|---|---|---|
| CVE-2025-7775 | Agosto de 2025 | NetScaler ADC | Risco de RCE sem autenticação numa infraestrutura amplamente usada na borda de rede corporativa |
| CVE-2025-53770 | Julho de 2025 | SharePoint | RCE zero-day numa infraestrutura de documentos e colaboração comum em grandes organizações |
| CVE-2025-55182 | Dezembro de 2025 | React 19 / Next.js RSC | Risco de classe RCE que cria uma ampla superfície no ecossistema moderno de frontend |
| CVE-2025-66516 | Final de 2025 | Apache Tika | Risco de SSRF/XXE em fluxos de parsing de documentos |
| CVE-2025-52691 | Final de 2025 | SmarterMail | Risco de RCE via upload de arquivos na infraestrutura de e-mail |
O ponto comum dessas vulnerabilidades era terem uma ampla superfície de distribuição. Componentes ADC como o NetScaler ficam na borda de rede das organizações. Sistemas como o SharePoint estão ligados a documentos, identidade e fluxos de trabalho internos. Frameworks como React e Next.js tocam a maior parte das aplicações web modernas. Componentes de parsing de documentos como o Apache Tika interagem diretamente com uploads de usuários. Os servidores de e-mail são alvos de alto valor há muito tempo. Essas vulnerabilidades não devem ser vistas apenas como falhas técnicas — cada uma mostrou quão amplamente os fluxos de trabalho críticos das organizações dependem de componentes comuns compartilhados. 2025 lembrou que as vulnerabilidades ao nível da cadeia de suprimentos e dos frameworks representam um risco direto não só para as equipes de desenvolvimento, mas também para as equipes de entrega de aplicações e de arquitetura de segurança.
A Mudança da IA: De Ferramenta de Apoio a Instrumento de Ataque
Uma das mudanças mais importantes de 2025 foi a transformação do papel da IA no lado do atacante. Em anos anteriores, a IA era vista mais como ferramenta de apoio — usada em tarefas como escrever texto de phishing, gerar fragmentos de código, preparar scripts simples ou resumir documentação de ataque. Em 2025, esse papel ampliou-se.
A IA tornou-se uma parte mais ativa da cadeia de ataque. Foi usada de forma mais notável na geração de payloads, na tentativa de variações, na descoberta de vulnerabilidades, na adaptação de exploits, no abuso de credenciais e em fluxos de agentes autônomos. Essa mudança gerou três consequências.
As Três Consequências da Mudança da IA
A Variação de Payloads Acelerou
Os sistemas WAF e IDS funcionam com lógica de detecção baseada em determinados padrões — ainda são valiosos porque capturam classes de ataque conhecidas em escala. No entanto, a geração de payloads apoiada por IA facilitou ao atacante produzir um grande número de variantes que alcançam o mesmo objetivo. Quando um payload é bloqueado, ele pode tentar uma codificação diferente, uma estrutura de parâmetros diferente, uma sintaxe diferente, um nesting diferente ou uma forma de requisição diferente — com a IA, de forma mais rápida e com variação mais ampla. Isso pressionou especialmente as abordagens de WAF baseadas em regex.
A Cadeia de Ataque Tornou-se Mais Autônoma
Alguns relatórios de 2025 mostraram que um único agente autônomo conseguia visar centenas de firewalls espalhados por vastas geografias, sem um operador humano. Quando o operador humano não precisa executar cada passo manualmente, a capacidade de ataque deixa de ser limitada pelo número de pessoas. O agente pode fazer reconhecimento, mudar de estratégia em caso de erro, tentar variantes de exploit e reportar resultados — o que aumenta a pressão de tempo do lado da defesa.
O Mythos de 2026 Foi a Continuação de 2025
Em 2026, a decisão da Anthropic de não tornar público o seu modelo Claude Mythos pareceu um grande ponto de ruptura. Mas o terreno formou-se em 2025. Ao longo do ano, viu-se a capacidade de ataque apoiada por IA aumentar, os sistemas agentic assumirem mais tarefas e pressionarem as abordagens clássicas de detecção. O anúncio do Mythos foi a continuação dessa tendência; não o seu início. 2025 deve ser lido, em termos de ameaças de IA, não como um ano de preparação, mas como um ano de transformação.
Evolução do DDoS: Volume e Camada de Aplicação Cresceram ao Mesmo Tempo
No lado do DDoS, 2025 chamou a atenção em duas direções distintas. De um lado, os ataques volumétricos alcançaram novos tetos; do outro, o Layer 7 DDoS cresceu muito mais rápido. Ver os dois como a mesma ameaça é um erro — têm impactos diferentes, métodos de detecção diferentes e estratégias de mitigação diferentes.
DDoS Volumétrico: O Nível de 29,7 Tbps
O ataque do botnet Aisuru em outubro de 2025 estabeleceu um novo teto para o DDoS volumétrico. O alvo desse tipo de ataque não é a lógica de aplicação — o objetivo é saturar a largura de banda, a infraestrutura de rede, a capacidade de borda ou as conexões upstream. A defesa exige ampla capacidade de rede, scrubbing distribuído, arquitetura anycast, colaborações upstream e filtragem rápida ao nível L3/L4. O teto dos ataques volumétricos ainda está a subir — o planejamento de capacidade DDoS deve basear-se não nas estatísticas dos anos anteriores, mas em expectativas de aumento mais agressivas.
Layer 7 DDoS: Menos Ruído, Mais Dano
O crescimento de cerca de 550% do Layer 7 DDoS em 2025 apontou uma tendência mais importante. Esses ataques visam a lógica de aplicação — o volume de rede pode ser baixo, mas sobrecarrega endpoints custosos para a aplicação (busca, login, carrinho, geração de relatórios, consultas a API). Podem parecer, vistos de fora, tráfego HTTP legítimo. A defesa exige consciência de aplicação: análise de custo de endpoint, detecção comportamental, gerenciamento de bots, rate limiting por sessão, política consciente de identidade, separação de cache/workload, integração com WAF. O DDoS já não é apenas um problema de largura de banda, mas um problema de resiliência de aplicação.
Impacto por Setor
Em 2025, os ataques web afetaram todos os setores. No entanto, alguns setores destacaram-se tanto em volume quanto em impacto.
Serviços Financeiros
O alvo de maior valor ao longo do ano. Portais bancários, sistemas de pagamento, fluxos de autenticação de clientes, serviços financeiros baseados em API e sistemas de backend móveis foram alvo de credential stuffing, DDoS, abuso de API e automação de fraude. O risco não é apenas a interrupção — takeover de conta, manipulação de transações financeiras, vazamento de dados de clientes e consequências regulatórias também são impactos diretos.
Infraestrutura Crítica
Energia, telecomunicações, transportes, serviços públicos e sistemas de controle industrial destacaram-se em 2025 como alvos de alto impacto. As interfaces SCADA e ICS são geridas de forma diferente dos sistemas de TI clássicos devido à exigência de continuidade operacional. Os ataques à infraestrutura crítica devem ser avaliados não só em termos de segurança de dados, mas também de segurança operacional e impacto público.
Empresas Centradas em API
Para SaaS, fintech, plataformas de desenvolvedores e backends de aplicações móveis, a superfície de API tornou-se em 2025 um dos principais alvos. Nos ataques a API observam-se padrões diferentes do comportamento clássico de páginas web — o atacante visa diretamente os endpoints, abusa de tokens, faz manipulação de parâmetros e testa os limites de autorização. A segurança de API não é um subtítulo da segurança web; é uma superfície primária separada.
Varejo e E-Commerce
Um dos setores mais intensamente afetados pelo tráfego de bots. Credential stuffing, raspagem de preços, acúmulo de inventário, criação de contas falsas, abuso de cupões e click fraud aumentaram ao longo do ano. O objetivo do ataque, muitas vezes, não é diretamente tomar o controle do sistema — é extrair valor econômico. Esgotar estoque, roubar informação de preços, abusar de promoções ou consumir o orçamento de publicidade também são problemas sérios de segurança e de receita.
Saúde
Permaneceu sob pressão em termos de ransomware, ataques a portais de pacientes, exposição de PHI e abuso de credenciais. Como os dados de saúde têm longa duração e alto valor, continuam atraentes para os atacantes. À medida que os portais de pacientes e os serviços online aumentam, a superfície web também cresce. O problema fundamental não é apenas a privacidade — a continuidade do serviço e a segurança do paciente também podem ser diretamente afetadas.
Governo e Setor Público
Permaneceu no centro de campanhas que visam espionagem, interrupção e confiança pública. O perfil dos atacantes é mais diverso — grupos de cibercrime, atores patrocinados por estados, grupos hacktivistas e redes de bots oportunistas podem atacar a mesma superfície com propósitos diferentes. Uma tendência importante: o esbatimento ainda maior da linha entre o cibercrime e a atividade alinhada com estados.
O Que o OWASP Top 10:2025 Nos Diz?
A versão 2025 do OWASP Top 10 mostrou a mudança na segurança web também ao nível da metodologia. Dois novos títulos chamaram especialmente a atenção.
A03 Falhas na Cadeia de Suprimentos de Software tornou-se agora uma das categorias principais oficiais da segurança de aplicações web. Isto não diz respeito apenas aos pacotes open source — processos de build, sistemas de CI/CD, container images, cadeias de assinatura, assistentes de codificação por IA e integrações de serviços de terceiros devem ser considerados parte deste título.
A10 Tratamento Inadequado de Condições Excepcionais torna assunto de segurança não só a forma como as aplicações funcionam no fluxo normal, mas também como se comportam perante erros, carga, latência, dados em falta, estados inesperados e edge-cases.
Uma das mudanças de classificação mais notáveis é a ascensão das más configurações de segurança. Armazenamento na nuvem mal configurado, headers de segurança em falta, padrões com permissões em excesso, configurações de CORS incorretas e interfaces de administração expostas estiveram na base de muitos incidentes em 2025. Essa mudança transmite uma mensagem importante: na segurança web moderna, a vulnerabilidade não é apenas um erro de código; é um erro de arquitetura, de configuração e de cadeia de suprimentos.
O recuo da categoria de injection também é significativo nesse sentido. Os frameworks modernos, as consultas parametrizadas e as ferramentas SAST reduziram os riscos clássicos de injection. Mas isso não significa que a segurança web tenha ficado mais fácil. O risco deslocou-se para outras áreas.
A Mudança Arquitetural Que Começou em 2025
Em 2025, a conversa sobre segurança começou a ser menos centrada em produtos e mais centrada em arquitetura. Especialmente para aplicações de alto valor, a seguinte pergunta foi feita com mais frequência: o que acontece se o atacante atravessar uma camada? Essa pergunta colocou os controles estruturais ao lado das camadas de detecção e bloqueio.
O Remote Browser Isolation Tornou-se Mainstream
O RBI foi visto durante muito tempo como um controle de segurança de nicho. No final de 2025 e início de 2026, o aumento dos investimentos em RBI por grandes fornecedores de segurança mudou essa percepção. Os ataques apoiados por IA, o prompt injection, o risco de endpoint e a exposição direta de aplicações de alto valor ao cliente tornaram o isolamento um controle central. A aplicação não roda no dispositivo do usuário; o usuário vê apenas o fluxo de pixels.
A Defesa em Profundidade Regressou
2025 mostrou mais uma vez que a era de resolver a segurança com um único produto chegou ao fim. O WAF era necessário, mas não era suficiente sozinho. A proteção contra DDoS era necessária, mas estava incompleta sem conhecer a lógica de aplicação. O gerenciamento de bots era necessário, mas era limitado sem contexto de identidade. As conversas dos compradores mudaram da pergunta "qual WAF?" para a pergunta "como é que essas camadas funcionam em conjunto?". O panorama de ameaças moderno exige não uma única barreira de produto, mas camadas que trabalham em conjunto.
O Registro Forense Tornou-se um Controle Fundamental
À medida que as janelas de violação se estreitaram, a reconstrução pós-incidente tornou-se mais crítica. Quando um ataque avança em poucos segundos, gerar apenas um alarme não basta. A equipe de segurança deve conseguir perceber depois o que aconteceu: que sessão foi afetada, que usuário chegou a que ecrã, que requisições foram enviadas, que dados foram visualizados, que logs alguém tentou alterar. Registro completo de sessão, capturas de ecrã inteligentes, captura de requisição/resposta, cadeia de cliques e logs com integridade protegida tornaram-se fundamentais.
O Zero Trust Tornou-se Operacional
O zero trust foi durante muito tempo tratado como um objetivo que ficava nos diagramas de arquitetura. Em 2025, tornou-se uma necessidade operacional para mais organizações. Cada requisição é avaliada com contexto de identidade, não se assume confiança implícita entre serviços, o usuário não é considerado seguro para todo o sistema só porque foi admitido uma vez, a autorização é concedida com o mínimo escopo, o contexto de risco é avaliado continuamente. Tornou-se mais importante num ambiente em que os ataques apoiados por IA aceleraram e as janelas de patch se estreitaram.
Algumas tendências que começaram em 2025 acelerarão em 2026. A capacidade de ataque por IA continuará a aumentar — a descoberta de vulnerabilidades, a adaptação de exploits, o bypass de WAF, o prompt injection, a evasão do gerenciamento de bots e as cadeias de ataque agentic tornar-se-ão mais importantes. As equipes de defesa precisarão de modelar a IA não apenas como ferramenta de apoio, mas também como capacidade de ataque. A abordagem de controle por padrão acelerará: a detecção e a resposta continuarão necessárias, mas não bastarão sozinhas para as aplicações de alto valor. Mais organizações construirão a arquitetura partindo do pressuposto de que alguns ataques avançarão antes de serem detectados e de modo a limitar a margem de manobra do atacante mesmo numa primeira violação bem-sucedida. A pressão regulatória (DORA, NIS2, AI Act) tornar-se-á mais visível — colocará em primeiro plano a resiliência operacional, o risco da cadeia de suprimentos, as dependências de terceiros, o reporte de incidentes e a governança. As equipes de segurança precisarão não só de bloquear ataques, mas também de conseguir comprovar os seus controles.
Como as Camadas TR7 Respondem ao Panorama de 2025
A plataforma TR7 responde às classes de ameaça que se destacaram em 2025 não com uma única barreira de produto, mas com uma abordagem WAAP em camadas. Cada camada tem uma função diferente. O valor vem do trabalho conjunto dessas camadas.
WAF para Volume e Padrões
A camada fundamental que enfrenta tentativas de exploit conhecidas, violações de protocolo, padrões de ataque comuns e varreduras dirigidas a CVEs críticas. Quando surgem vulnerabilidades de amplo impacto como React2Shell, NetScaler, SharePoint, Tika e semelhantes, as regras gerenciadas do WAF fornecem uma camada importante de redução de risco até que o patch seja aplicado. O WAF reduz os ataques conhecidos e comuns, mas não resolve sozinho todo o panorama de ameaças.
Proteção contra DDoS em Layer 3, 4 e 7
2025 mostrou que o DDoS cresceu tanto na direção volumétrica quanto na da camada de aplicação. A proteção não deve ficar apenas ao nível L3/L4 — para ataques de Layer 7 são necessárias consciência de aplicação, análise comportamental, custo de endpoint e distinção de bots. A abordagem multicamada de DDoS da TR7 trata ambas as classes em conjunto.
Gerenciamento de Bots para a Era dos 51%
Quando os bots ultrapassam metade do tráfego total, o gerenciamento de bots deixa de ser opcional. O TR7 Gerenciamento de Bots classifica o tráfego automatizado por categorias com impressão digital comportamental, sinais TLS/HTTP/2, contexto de IP/ASN, fluxo de sessão e classificação de intenção. Os bots necessários são permitidos, os bots toleráveis são limitados, os bots hostis são bloqueados e os agentes de IA autorizados são avaliados num contexto de política separado.
AGS para uma Postura Zero-Trust
O TR7 AGS gere o acesso às aplicações por meio de políticas de identidade, contexto e risco. Cada sessão é avaliada com contexto de autenticação e autorização — usuário, dispositivo, localização, aplicação, nível de risco e decisões de política passam a fazer parte do processo de acesso. No acesso a aplicações de alto valor, reduz o pressuposto clássico de confiança dentro da rede.
TR7 ZeroLeak para Aplicações de Alto Valor
Uma das lições mais importantes de 2025: algumas aplicações precisam não só de ser protegidas, mas de ser separadas da superfície do cliente. O TR7 ZeroLeak executa aplicações web sensíveis num ambiente isolado — não são enviados ao dispositivo do usuário DOM, JavaScript, respostas de API ou tokens de sessão. Um controle estrutural nas áreas em que a abordagem de detecção em primeiro lugar não basta.
Registro Forense
Quando as janelas de violação caem para segundos, a reconstrução pós-incidente torna-se crítica. A camada de registro forense da TR7 — vídeo completo de sessão, capturas de ecrã inteligentes, rastros de clique/navegação, registro de teclas por palavra, logs de incidentes com integridade protegida — dá às equipes de segurança a possibilidade de perceber depois o que aconteceu no incidente. É necessária não só para conformidade, mas para a resposta real a incidentes.
Conclusão: 2025 Foi o Aviso, 2026 Será o Ano da Implementação
O panorama de ataques web de 2025 colocou em primeiro plano algumas perguntas arquiteturais que a segurança corporativa havia adiado. O volume de ataques aumentou. Os bots tornaram-se a maioria. A IA entrou nas cadeias de ataque. O Layer 7 DDoS cresceu. As CVEs críticas afetaram camadas de infraestrutura amplamente difundidas. O risco da cadeia de suprimentos ampliou-se. O registro forense e o isolamento tornaram-se mais importantes.
A este panorama não se pode responder apenas com mais regras, mais alarmes ou mais dashboards. As organizações que querem entrar preparadas em 2026 precisam de abordar a segurança de forma em camadas e arquitetural.
O WAF reduz os ataques conhecidos. A proteção contra DDoS preserva a continuidade. O gerenciamento de bots classifica o tráfego automatizado. O AGS fornece acesso consciente de identidade. O ZeroLeak isola as aplicações de alto valor. O registro forense torna visível a verdade pós-incidente.
A principal lição de 2025: as ameaças não só aumentaram; aceleraram e diversificaram-se ao ponto de mudar o modelo de defesa.
Fontes
Medição anual dos volumes e tendências de ataques a aplicações web. https://www.indusface.com/blog/key-vulnerability-statistics/
Resumo de fim de ano das CVEs mais impactantes. https://strobes.co/blog/top-cves-of-december-2025/
Classificação independente e análise de ataques. https://socradar.io/blog/top-10-cves-of-2025-vulnerabilities-trends/
Retrospetiva de vulnerabilidades focada no profissional. https://www.intruder.io/blog/top-vulnerabilities-2025
Documentação da transição da IA de ferramenta de apoio a instrumento de ataque. https://www.microsoft.com/en-us/security/blog/2026/04/02/threat-actor-abuse-of-ai-accelerates-from-tool-to-cyberattack-surface/
A versão 2025 da classificação de riscos de referência do OWASP. https://owasp.org/Top10/2025/0x00_2025-Introduction/
Notícia dos comprometimentos notáveis da cadeia de suprimentos do ano. https://www.infosecurity-magazine.com/news-features/five-flaws-exploited-2025-software/
Acompanhamento oficial de ataques em ambiente real. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Entre Preparado em 2026
O panorama de 2025 tornou obrigatória a conversa arquitetural que a segurança corporativa vinha adiando. A plataforma TR7 WAAP oferece uma abordagem de defesa em profundidade para o ambiente de ameaças de 2026, posicionando em conjunto as camadas de WAF, proteção contra DDoS, gerenciamento de bots, AGS, isolamento visual ZeroLeak e registro forense. O objetivo não é apenas detectar ataques — é limitar a superfície de aplicação, o escopo de acesso e o domínio de impacto mesmo que o atacante atravesse uma camada.
Explorar a Plataforma TR7