A atualização crítica da Oracle de julho de 2026 chamou a atenção da comunidade de segurança não apenas pelo número recorde de 1.449 correções, mas pelo que esse volume representa: a Inteligência Artificial está mudando a forma como vulnerabilidades são descobertas. Ao mesmo tempo em que fortalece a defesa, ela também cria novos desafios para as equipes de segurança, que precisam decidir rapidamente quais riscos tratar primeiro.

Durante muitos anos, a gestão de vulnerabilidades era vista como um processo relativamente previsível. Os fabricantes publicavam seus boletins de segurança, as equipes avaliavam o impacto, planejavam uma janela de manutenção e aplicavam as correções conforme a criticidade dos ativos.

Todavia, esse modelo está mudando. Em julho de 2026, o Critical Patch Update (CPU) da Oracle trouxe absurdos 1.449 novos patches distribuídos por centenas de produtos, incluindo Oracle Database, Fusion Middleware, E-Business Suite e diversos componentes de infraestrutura. O volume impressiona, mas o verdadeiro recado está por trás desses números: a descoberta de vulnerabilidades está entrando em uma nova era impulsionada pela Inteligência Artificial.

Para quem atua como CISO, gestor de risco ou analista de cibersegurança, essa mudança merece atenção. A IA deixou de ser apenas uma ferramenta para responder incidentes ou auxiliar na análise de logs. Hoje ela já participa da identificação automática de falhas de programação, revisa grandes volumes de código e ajuda pesquisadores a localizar vulnerabilidades que poderiam permanecer invisíveis durante anos. Trabalhos acadêmicos recentes e iniciativas como o DARPA AI Cyber Challenge demonstram que agentes inteligentes já conseguem apoiar a descoberta e validação de vulnerabilidades em escala cada vez maior.

Esse avanço poderia representar uma excelente notícia para quem desenvolve software, mas existe outro lado dessa história, pois quando um fornecedor publica milhares de correções simultaneamente, ele também divulga, de forma indireta, informações suficientes para que pesquisadores, e também criminosos, iniciem processos de engenharia reversa dos patches. Com apoio de IA, esse trabalho tende a ser muito mais rápido do que no passado. Além disso, indica falhas no desenvolvimento das soluções, o que gera questionamentos se os grandes desenvolvedores realmente aplicam as melhores práticas de desenvolvimento seguro e Secure by Desing.

A janela de exposição (window of exposure) surge enquanto a organização ainda está avaliando impactos, negociando períodos de manutenção ou aguardando homologações. Durante isso,  atacantes podem utilizar ferramentas automatizadas para comparar versões corrigidas e identificar exatamente qual vulnerabilidade foi eliminada. Em muitos casos, isso acelera a criação de exploits conhecidos como “1-day”, desenvolvidos logo após a publicação oficial do patch. O problema, portanto, já não é apenas descobrir vulnerabilidades, mas também o quanto conseguiremos decidir sobre quais delas realmente colocam o negócio em risco e priorizar a implementação de suas correções.

No cenário descrito, onde centenas ou milhares de correções são divulgadas simultaneamente, tentar aplicar tudo imediatamente deixa de ser uma estratégia realista. Surge um fenômeno conhecido entre equipes de segurança como patch fatigue, ou fadiga de patches: excesso de demandas, filas crescentes, recursos limitados e dificuldade para estabelecer prioridades. A pergunta deixa de ser:

“Quantos patches precisamos instalar?”

E passa a ser:

“Quais patches reduzem o maior risco para a organização?”

Essa mudança exige uma gestão muito mais orientada por inteligência do que por volume. Uma priorização madura considera diversos fatores simultaneamente:

• o ativo está exposto à Internet?
• existe exploração ativa conhecida?
• há vulnerabilidades catalogadas pela CISA como exploradas em ambiente real?
• o impacto para o negócio é elevado?
• existe exploração pública ou PoC disponível?
• qual a facilidade de exploração indicada pelo CVSS e por outras métricas contextuais.

Nenhuma dessas perguntas pode ser respondida apenas olhando a pontuação CVSS. Nesse momento entram em cena, o uso de Threat Intelligence, ASM e inventário de ativos, pois a gestão contínua de exposição passa a fazer parte da análise e solução.

Outro ponto importante é compreender que a IA democratiza capacidades. Se ela permite que fabricantes encontrem vulnerabilidades mais rapidamente, também reduz barreiras para pesquisadores independentes e, infelizmente, para agentes maliciosos. A comunidade de segurança já discute esse novo equilíbrio, observando que ferramentas baseadas em LLMs podem acelerar tanto a identificação quanto a correção de falhas, enquanto também aumentam o volume de análises e pesquisas sobre vulnerabilidades recém-divulgadas.

Ao chegar neste ponto da análise, podemos afirmar que o tratado não significa que a Inteligência Artificial seja um problema. Naverdade, muito pelo contrário, ela tende a se tornar um dos principais aliados dos programas modernos de Vulnerability Management. Apenas como exemplo, a IA possibilita termos modelos capazes de correlacionar CVEs, inventários, inteligência de ameaças, exposição externa e criticidade dos ativos, que poderão auxiliar equipes a decidir, em minutos, aquilo que hoje leva dias ou semanas para ser analisado manualmente.

Talvez essa seja a principal lição deixada pelo Oracle CPU de julho de 2026. O recorde de 1.449 patches não representa necessariamente que o software esteja menos seguro. Pode significar exatamente o contrário, que estamos entrando em uma fase em que as vulnerabilidades serão descobertas em uma velocidade sem precedentes graças à automação e à Inteligência Artificial. O verdadeiro diferencial competitivo não será a capacidade de instalar milhares de correções, mas de identificar rapidamente quais delas representam risco real para o negócio e agir antes que adversários façam o mesmo.

No entanto, cabe sempre reforçar que a segurança cibernética continuará sendo uma disputa entre velocidade, inteligência e capacidade de adaptação.

Infere-se, portanto, que o cenário da cibersegurança está passando por uma transformação significativa. A Inteligência Artificial deixou de ser uma promessa e passou a integrar o ciclo completo da gestão de vulnerabilidades, desde a identificação de falhas até a priorização das correções. Essa evolução amplia a capacidade de defesa das organizações, mas também acelera a atuação de agentes maliciosos que utilizam as mesmas tecnologias para reduzir o tempo entre a divulgação de uma vulnerabilidade e sua exploração.

Nesse contexto, a maturidade de um programa de segurança não será medida apenas pela quantidade de patches aplicados, mas pela capacidade de combinar inteligência de ameaças, conhecimento do ambiente, automação e gestão de riscos para tomar decisões rápidas e assertivas.

Mais do que acompanhar a evolução tecnológica, CISOs e analistas precisam desenvolver processos que permitam transformar informação em ação. A Inteligência Artificial deve ser encarada como um multiplicador de capacidades humanas, potencializando a experiência, o pensamento crítico e a capacidade de tomada de decisão.

A velocidade com que vulnerabilidades são descobertas continuará aumentando. O diferencial das organizações resilientes será sua capacidade de correlacionar inteligência, contexto e automação para reduzir a janela de exposição e responder aos riscos de forma eficiente.

Fiquem seguros e utilizem a Inteligência Artificial para evoluir suas técnicas de defesa. A tecnologia continuará evoluindo, e as organizações que aprenderem a utilizá-la de forma estratégica estarão mais preparadas para enfrentar os desafios da segurança cibernética.

As referências abaixo serviram como base técnica e conceitual para a elaboração deste artigo e são recomendadas para aprofundamento do tema.

Oracle Corporation. Critical Patch Update Advisory – July 2026. Disponível em: https://www.oracle.com/security-alerts/cpujul2026.html

Oracle Corporation. Oracle Security Alerts. Disponível em: https://www.oracle.com/security-alerts/

Cybersecurity and Infrastructure Security Agency (CISA). Known Exploited Vulnerabilities (KEV) Catalog. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

DARPA AI Cyber Challenge (AIxCC). Competição sobre Inteligência Artificial aplicada à descoberta e correção automatizada de vulnerabilidades. Disponível em: https://aicyberchallenge.com/semifinal-competition/

The Hacker News. Google’s AI Tool Big Sleep Finds Zero-Day Vulnerability in SQLite. Disponível em: https://thehackernews.com/2024/11/googles-ai-tool-big-sleep-finds-zero.html

CSO Online. Oracle’s July Update Fixes Ten Critical Vulnerabilities in Fusion Middleware. Disponível em: https://www.csoonline.com/article/4200184/oracles-july-update-fixes-ten-10-0-vulnerabilities-in-fusion-middleware.html

GitHub Security Advisories. Base pública de avisos de segurança e vulnerabilidades. Disponível em: https://github.com/advisories

National Vulnerability Database (NVD) – NIST. Base oficial de vulnerabilidades e métricas CVSS. Disponível em: https://nvd.nist.gov/

FIRST – Forum of Incident Response and Security Teams. Common Vulnerability Scoring System (CVSS). Disponível em: https://www.first.org/cvss/

Nota: As análises e reflexões apresentadas neste artigo foram elaboradas a partir de informações públicas disponíveis nas referências acima e representam uma interpretação técnica do autor sobre as tendências relacionadas à gestão de vulnerabilidades, Inteligência Artificial aplicada à cibersegurança e gerenciamento de riscos.

O Brasil foi o terceiro país que mais sofreu ataques com ransomwares em junho, registrando 23 casos. Os dados são da plataforma Ransomware.live, iniciativa de Julien Mousqueton, CISO da Cohesity, empresa líder em segurança de dados com IA. É a primeira vez que o Brasil aparece entre os dez países mais afetados desde o início da publicação de dados do site, em janeiro.

A plataforma monitora e coleta dados de sites de vazamento de grupos de ransomware continuamente para identificar e listar novas vítimas. Ransomwares são softwares maliciosos que bloqueiam o acesso de usuários ou organizações, exigindo pagamento de resgate para restauração, sob a ameaça de vazamento ou exclusão permanente.

O Brasil só aparece atrás de Estados Unidos, com 199 casos, e Alemanha, com 49. O Reino Unido vem logo após o Brasil, com 21, seguido de Índia e Canadá, ambos com 20. França (15), Itália (15), México (14) e Tailândia (13) completam o top 10.

“A emergência do Brasil, Índia e Tailândia como alvos recém identificados pode ser reflexo de uma estratégia deliberada de focar em jurisdições com menor maturidade na resposta a incidentes e na coordenação com forças de segurança”, avalia Gustavo Leite, vice-presidente da Cohesity para América Latina.

O número total de vítimas em junho, 708, representa uma redução de 10,5% em relação às 791 registradas em maio. “Apesar dessa diminuição mensal, o volume permanece historicamente elevado quando comparado aos doze meses anteriores, deixando claro o quão intenso e consistente é o atual cenário de ameaças”, aponta Leite.

Setores mais afetados

Em junho, o mercado B2B se manteve no topo dos alvos mais atingidos, registrando 123 vítimas — uma redução de 23,1% em comparação às 160 de maio. O setor de manufatura ficou na segunda colocação, com 83 ocorrências (queda de 19,4%), seguido por tecnologia, que somou 56 vítimas (recuo de 21,1%).

O segmento de saúde contabilizou 52 vítimas, registrando uma queda de 23,5% em relação às 68 do mês anterior. Na contramão, serviços ao consumidor foi o único a apresentar crescimento: uma alta discreta de 1,9%, passando de 52 para 53 vítimas. Já o setor de serviços financeiros teve um recuo de 26,5%, somando 25 vítimas, enquanto transporte/logística baixou 25,7%, chegando a 26 registros.

Números do site Ransomware.live são divulgados todos os meses pela Cohesity, que conta com a confiança de clientes em mais de 140 países, incluindo 70% da Fortune Global 500.

Ataques com ransomware nos últimos 12 meses:

• Junho – 708
• Maio – 791
• Abril – 870
• Março – 844
• Fevereiro – 784
• Janeiro – 702
• Dezembro de 2025 – 882
• Novembro de 2025- 717
• Outubro de 2025 – 839
• Setembro de 2025 – 598
• Agosto de 2025 – 530
• Julho de 2025 – 547

Setores com ransomwares mais afetados em junho:

1. Mercado B2B – 123 (queda de 23.1% em relação a maio)
2. Manufatura – 83 (queda de 19.4% em relação a maio)
3. Tecnologia – 56 (queda de 21.1% em relação a maio)
4. Serviços ao consumidor – 53 (aumento de 1.9% em relação a maio)
5. Saúde – 52 (queda de 23.5% em relação a maio)
6. Agricultura e produção de alimentos – 36 (queda de 7.7% em relação a maio)
7. Construção – 27 (queda de 15.6% em relação a maio)
8. Transportes/logísticas – 26 (queda de 25.7% em relação a maio)
9. Serviços financeiros – 25 (queda de 26.5% em relação a maio)
10.  Educação – 24 (queda de 14.3% em relação a maio)

Países mais afetados por ataques com ransomwares em junho:

1. Estados Unidos – 199
2. Alemanha – 49
3. Brasil – 23
4. Reino Unido – 21
5. Índia – 20
6. Canadá – 20
7. França – 15
8. Itália – 15
9. México – 14
10. Tailândia – 13

Um tipo de software malicioso tem chamado a atenção de especialistas: o malware bancário. Trata-se de um programa criado para acessar e roubar dados de celulares e computadores e que dá aos criminosos o controle total do dispositivo infectado. Diferente de fraudes financeiras em que o golpista se passa por outra pessoa para pedir uma transferência, aqui o criminoso convence a vítima a instalar um software malicioso que dá acesso a aplicativos, contas bancárias, mensagens e informações pessoais, podendo, inclusive, realizar movimentações financeiras sem que a vítima perceba.

Malware bancário é um mecanismo usado para aplicar golpes digitais e acessar e roubar dados financeiros de celulares e computadores. Costuma chegar até o dispositivo das vítimas por meio de engenharia social, quando o criminoso engana a pessoa para que ela mesma realize alguma ação (como clicar em um link ou baixar um aplicativo de fonte desconhecida), acreditando que se trata de algo legítimo. Depois de instalado, o software funciona como um “espião” dentro do aparelho, transmitindo para o criminoso informações confidenciais como senhas, dados de contas e códigos de segurança.

Como criminosos aplicam golpes com o malware bancário?

Os golpes se iniciam em um contato direto, geralmente por WhatsApp. O criminoso se apresenta como um contato confiável, um representante de uma empresa conhecida, ou de um serviço que a vítima já usa ou tenha interesse. Durante a conversa, ele pede que a pessoa baixe ou atualize um aplicativo, ou até mesmo clique em um link. Em alguns casos, o golpista pode até fazer uma chamada de vídeo ou telefônica para parecer mais convincente, aumentar a sensação de segurança e acompanhar o processo em tempo real, gerando pressão e sentimento de urgência.

Depois disso, o programa malicioso é instalado no celular e o criminoso passa a interferir no funcionamento do aparelho sem que a pessoa perceba. É nesse momento em que ele aproveita para realizar ações em segundo plano, como movimentações financeiras sem autorização. Em poucos minutos, os golpistas podem realizar empréstimos, transferências e outras operações, gerando prejuízos significativos para a vítima.

Como saber se o celular foi infectado?

Alguns sinais podem indicar que há algo errado com o aparelho:

• O celular trava ou fica lento com mais frequência;
• A bateria acaba muito mais rápido que o normal;
• A tela fica preta ou sem resposta por alguns momentos;
• O dispositivo reinicia ou fecha aplicativos de forma repentina;
• O celular esquenta de forma excessiva;
• Mensagens são enviadas automaticamente pelo celular, sem que o usuário tenha realizado a ação;
• Presença de aplicativos desconhecidos, com nomes genéricos ou incomuns, que a pessoa não se lembra de ter instalado;
• Mudanças inesperadas nas configurações do celular ou nos aplicativos instalados;
• Aplicativos solicitando permissões incomuns, como acesso a acessibilidade, mensagens ou controle do dispositivo

Além dos sinais visíveis, é importante ficar atento às permissões concedidas aos aplicativos. Alguns malwares bancários solicitam acesso aos recursos de acessibilidade do celular, uma funcionalidade criada para auxiliar usuários com necessidades específicas. Quando utilizada de forma indevida, essa permissão pode permitir que aplicativos maliciosos visualizem informações exibidas na tela e executem ações no aparelho. Por isso, desconfie sempre que um aplicativo solicitar esse tipo de acesso sem uma justificativa clara.

“Se você perceber comportamentos anormais ou sentir que perdeu o controle do seu aparelho, principalmente após clicar em links desconhecidos ou instalar aplicativos fora das lojas oficiais, o mais seguro é restaurar o dispositivo para as configurações de fábrica. Essa medida ajuda a remover aplicativos ocultos, eliminar permissões indevidas e reduzir o risco de o malware continuar ativo”, orienta Rodrigo Fernandes, Supervisor de Prevenção à Fraude da DM

Dicas para se proteger

A principal forma de prevenção é nunca seguir instruções de terceiros que envolvam a instalação de aplicativos ou o acesso ao seu dispositivo. “Não clique em links suspeitos enviados por mensagem e não baixe aplicativos fora das lojas oficiais, como App Store e Google Play. Desconfie de contatos inesperados, mesmo que pareçam conhecidos, ou feitos por números de empresas que não sejam oficialmente verificados. Além disso, não realize qualquer ação, instalação ou atualização de aplicativo seguindo instruções, nem clique em links enviados por pessoas que não são da sua confiança. E nunca conceda acesso ao seu aparelho durante uma ligação”, aponta Rodrigo Fernandes.

Caí no golpe. E agora?

Se a pessoa desconfia que caiu em um golpe, o mais importante é agir rápido. “Entre em contato com o seu banco ou com a sua instituição financeira pelos canais oficiais para informar o ocorrido e tentar bloquear movimentações. Em seguida, altere suas senhas, principalmente de aplicativos bancários e e-mail, para recuperar o controle dos acessos. Se houver suspeita de instalação de aplicativo malicioso, considere restaurar o dispositivo para as configurações de fábrica. Além disso, é recomendado registrar um boletim de ocorrência, que pode ajudar no acompanhamento do caso”, aconselha o especialista.

Camadas de segurança

Para auxiliar clientes a se prevenir contra os prejuízos causados pelos golpes, a DM conta com camadas de segurança que ajudam a proteger as transações, como:

• Confirmação de compra: em caso de movimentações suspeitas, entramos em contato por ligação ou WhatsApp pra aprovar a transação;
• Bloqueio temporário do cartão: o cliente pode bloquear o cartão rapidamente pelo DM App em caso de suspeita;
• Bloqueio de pagamentos de madrugada: transações realizadas em horários ou padrões considerados fora do comum são bloqueadas;
• Gestão de limite: o usuário pode ajustar o limite conforme o seu perfil de uso, o que ajuda a reduzir possíveis prejuízos.

Além das camadas de segurança presentes no aplicativo DM, os clientes contam com recursos adicionais de proteção, como o código de segurança dinâmico (CVC), que dificulta o uso indevido dos dados do cartão em compras online.

O IDCiber Threat Intelligence Center, por meio do monitoramento contínuo de fontes abertas, fóruns clandestinos e canais especializados, identificou a divulgação de uma alegada base de dados associada ao domínio governamental www.gov.il, anunciada por um ator de ameaça em 22/06/2025. Segundo a publicação analisada, o grupo afirma ter explorado uma vulnerabilidade de API e obtido acesso não autorizado a informações de aproximadamente 268.938 registros de cidadãos, contendo dados pessoais diversos. As evidências observadas incluem amostras de registros supostamente extraídos da base comprometida e disponibilizados em plataforma pública de compartilhamento de conteúdo. Em conformidade com as melhores práticas de proteção à privacidade, os dados pessoais identificáveis (PII) presentes nas amostras foram anonimizados nesta análise, não sendo reproduzidos nomes, documentos, telefones, endereços, e-mails, identificadores ou quaisquer informações que permitam a identificação direta de indivíduos.

A análise preliminar indica que o conjunto de informações alegadamente exposto contém categorias de dados de elevada sensibilidade, incluindo dados cadastrais, informações demográficas, informações de contato, dados de localização e outros atributos pessoais. Caso a autenticidade e atualidade da base sejam confirmadas pelas autoridades competentes, o incidente poderá representar riscos significativos de fraude, engenharia social, campanhas de phishing direcionado, roubo de identidade, comprometimento de contas e outras atividades criminosas. O anúncio também demonstra intenção de monetização dos dados por parte do ator de ameaça, que disponibilizou canal de contato para potenciais interessados na aquisição do conteúdo.

Até o momento da análise, as evidências observadas permitem confirmar a existência de uma publicação reivindicando a violação e exibindo amostras de registros, porém a validação integral da autenticidade, integridade, abrangência e origem dos dados requer investigação técnica complementar pelas entidades responsáveis. Considerando o potencial impacto sobre cidadãos e organizações governamentais, recomenda-se a realização de procedimentos de resposta a incidentes, validação dos dados expostos, revisão dos controles de acesso, análise de vulnerabilidades em APIs, monitoramento reforçado de credenciais e comunicação adequada às partes potencialmente afetadas.

• Classificação do incidente: Vazamento de Dados (Data Breach)
• Organização alvo: Domínio governamental (www.gov.il)
• Data da divulgação identificada: 22/06/2025
• Volume alegado de impacto: 268.938 registros
• Tipo de informação exposta: Dados pessoais e cadastrais (PII) – informações anonimizadas neste relatório
• Severidade estimada: Alta
• Status: Publicação identificada e em monitoramento

Fonte: IDCiber Threat Intelligence Center.

1. Introdução

Alvin Toffler (1928-2016) foi um dos futuristas do século XX. Além de ensaios sobre avanços tecnológicos, escreveu o livro O Choque do Futuro, no ano de 1970.

Em seu livro de maior sucesso, A Terceira Onda (1980), Toffler organizou a história da humanidade não por séculos ou dinastias, mas por grandes “ondas” que representaram momentos de mudanças tecnológicas e sociais.

Para Toffler, uma “onda” ocorre quando uma nova tecnologia ou forma de produzir riqueza colide com a sociedade, transformando modelos econômicos, as relações interpessoais, a forma de produção cultural e até mesmo a maneira como vivemos. As três ondas que Toffler apresentou, resumidamente, foram:

1ª Onda: A Revolução Agrícola – Iniciada há cerca de 10 mil anos, representou a transição do nomadismo para o sedentarismo. Caracterizou-se pelo domínio da agricultura e do pastoreio, onde a terra era a principal fonte de riqueza e poder.

2ª Onda: A Revolução Industrial – iniciada no final do século XVIII (Inglaterra) e que dominou os séculos XIX e XX. Os motores da mudança foram: a máquina a vapor, os combustíveis fósseis e a produção em massa.

3ª Onda: A Era da Informação – emergiu na metade do século XX (década de 1950/1960), cujos motores da mudança foram: o computador, a internet, a biotecnologia.

Ao encerrarmos o primeiro quarto do século XXI, uma ferramenta tecnológica demonstra estar revolucionando o cotidiano da sociedade e, ao mesmo tempo, desafiando nada menos do que a própria inteligência humana: a Inteligência Artificial (IA).

Diante desse cenário, então, surge uma indagação: em que medida o comunicado emitido pelo Five Eyes sobre IA faz soar o alarme para uma quarta onda?

Seria o Mythos, da Anthropic, a corrente de vento que começa a agitar os “mares da tecnologia”, os mesmos que conectam as nações por meio de uma navegação entre bits e bytes?

2) A Inteligência e o alarme

Five Eyes significa a aliança existente entre as Agências de Inteligência dos seguintes países: Austrália, Canadá, Nova Zelândia, Reino Unido e Estados Unidos da América (EUA), e representa, em última instância, a extensão do antigo projeto Echelon (vide livro Contra & Inteligência, 2024, pág. 83).

Em 22/06/2026, agências de cibersegurança ligadas ao Five Eyes emitiram um comunicado conjunto que denotou ser um alerta quanto à rápida obsolescência dos recursos tradicionais de cibersegurança, indicando que o avanço dos modelos de IA de Fronteira pode reduzir significativamente a marcha do tempo em relação à validade de premissas que orientam a cibersegurança tradicional.

Segundo o Five Eyes, as alterações tecnológicas que anteriormente eram esperadas ao longo de anos poderão ocorrer em poucos meses, exigindo maior capacidade de adaptação por parte das organizações públicas e privadas.

Em síntese, Agências de Inteligência anunciaram que ferramentas de IA estão incorporando novas e mais potentes capacidades de encontrar e explorar vulnerabilidades, cada vez mais rapidamente. Ou seja, a marcha do tempo foi acelerada pela IA reduzindo a janela temporal entre o surgimento de uma vulnerabilidade e sua exploração prática.

O alerta baseia-se na rápida evolução dos modelos de IA, que demonstram capacidades para executar, com elevado grau de automação e velocidade, atividades que tradicionalmente exigiam equipes altamente especializadas. Entre elas destacam-se:

‒        o reconhecimento técnico de infraestruturas digitais, mediante o mapeamento automatizado de ativos físicos e serviços;

‒        a identificação e correlação de vulnerabilidades em softwares, sistemas operacionais e aplicações;

‒        a análise de grandes volumes de dados para identificação de padrões, anomalias e oportunidades de exploração; e

‒        a priorização de vetores de ataque e o apoio à tomada de decisão em operações defensivas ou ofensivas no domínio cibernético.

Tarefas que antes dependiam predominantemente de operadores dedicados passam a ser executadas com maior velocidade e escala por sistemas baseados em IA, que, entre outras capacidades, podem reduzir barreiras técnicas para agentes maliciosos, ampliando a velocidade, a automação e a complexidade das operações cibernéticas.

O cenário torna-se ainda mais complexo porque amplia a capacidade operacional tanto de grupos criminosos independentes ou de atores patrocinados por Estados, tornando os ataques mais frequentes, adaptáveis e difíceis de serem detectados.

Embora muitas das recomendações já integrem as boas práticas consolidadas da cibersegurança, tal como a sempre sugerida redução da superfície de ataque, o Five Eyes orienta para que as organizações adotem estratégias baseadas em resiliência operacional, partindo do pressuposto de que incidentes de segurança poderão ocorrer.

Entre as medidas sugeridas estão:

‒        incorporação da IA para as operações defensivas;

‒        modernização de infraestruturas legadas;

‒        cadência de patching;

‒        fortalecimento dos controles de acesso e a aplicação do princípio do menor privilégio; e

‒        aprimoramento das capacidades de detecção, contenção e resposta a incidentes.

O alerta também evidencia uma mudança na dinâmica da cibersegurança. Se, nas últimas décadas, a evolução das defesas ocorreu por meio de melhorias graduais, a IA tende a reduzir significativamente os ciclos de inovação, exigindo revisões mais frequentes das arquiteturas de segurança, dos processos de governança e das estratégias de gestão de riscos. Nesse contexto, a capacidade de adaptação contínua passa a ser um componente essencial da postura de segurança das organizações.

A terminologia IA de Fronteira tornou-se mundialmente reconhecida na Cúpula de Bletchley Park, em novembro de 2023, também conhecida como Artificial Intelligence Safety Summit. Segue-se a sua definição:

2.1 What do we mean by frontier AI models?

For the purposes of this paper, we define “frontier AI models” as highly capable foundation models2 that could exhibit sufficiently dangerous capabilities. Such harms could take the form of significant physical harm or the disruption of key societal functionson a global scale, resulting from intentional misuse or accident [25, 26]. It would be prudent to assume that next-generation foundation models could possess advanced enough capabilities to qualify as frontier AI models, given both the difficulty of predicting when sufficiently dangerous capabilities will arise and the already significant capabilities of today’s models.[1] (grifei)

3) Quem é Mythos 5?

O Mythos 5 é um modelo de IA de Fronteira desenvolvido pela empresa Anthropic, pertencendo à mesma linhagem e geração do Claude.

Enquanto o Claude Fable 5 é a versão comercial e distribuída para o público e empresas, o Claude Mythos 5, como “irmão gêmeo” do Fable 5, compartilha a mesma base de dados, porém com modificações especificamente para defesa técnica avançada.

O Mythos, como modelo de testes controlados, encontrava-se enclausurado dentro de uma sandbox, uma espécie de prisão digital. Ao operar fora dessa sandbox, em pouco tempo, o Mythos encontrou centenas de falhas em sistemas operacionais, tal como o OpenBSD, navegadores, vulnerabilidades zero-day em softwares, além de bugs no Linux, inconsistências essas antes desconhecidas pelas comunidades de cybersegurança.

Essas descobertas, segundo o governo norte-americano, foram entendidas como potencialmente graves à segurança nacional dos EUA, resultando, em 12/06/2025, na diretriz de controle de exportação do Departamento de Comércio dos EUA que exigiu a suspensão imediata do acesso aos dois modelos por qualquer cidadão estrangeiro, tanto fora quanto dentro dos EUA, incluindo os próprios funcionários estrangeiros da Anthropic.

Como consequência, a Anthropic informou que, diante da dificuldade operacional de verificar, em tempo real, a nacionalidade de todos os usuários, optou por desabilitar temporariamente os modelos para toda a sua base de clientes. Segundo a Anthropic, o governo norte-americano não apresentou detalhes técnicos sobre a preocupação de segurança. A empresa declarou entender que a decisão estaria relacionada à existência de um método capaz de contornar (“jailbreak”) determinadas salvaguardas do modelo Fable 5, permitindo sua utilização para identificar vulnerabilidades de softwares.

Segundo a Anthropic, o Mythos 5 estava restrito a um conjunto limitado de organizações participantes do programa Project Glasswing, voltado para defesa cibernética e proteção de infraestruturas críticas.

A preocupação do governo norte-americano, em relação ao Mythos, seria decorrente do alerta de pesquisadores da Amazon que usaram prompts para fazer o Fable 5 fornecer informações supostamente proibidas e que poderiam auxiliar ciberataques.

Em suma, a determinação de suspensão, segundo o governo dos EUA, se deve ao potencial do modelo para acelerar a identificação de vulnerabilidades em softwares complexos, fortalecendo atividades defensivas, como auditorias de segurança e identificação preventiva de falhas. Entretanto, o mesmo modelo poderia ser empregado para apoiar agentes maliciosos a conduzirem operações ofensivas.

4) Reflexões críticas para a cybersegurança

Embora o comunicado do Five Eyes não mencione diretamente a Anthropic ou o Mythos, ambos os episódios convergem para uma mesma preocupação estratégica: o rápido aumento das capacidades ofensivas e defensivas proporcionadas pelos modelos de IA de Fronteira.

A metáfora da “quarta onda” parece ganhar consistência justamente porque os elementos disruptivos dessa transformação não decorrem apenas da evolução tecnológica em si, mas da velocidade com que os modelos de IA de Fronteira passam a alterar o equilíbrio entre ataque e defesa no domínio cibernético, com consequência diretas nas relações socioeconômicas.

A principal mensagem do comunicado é que modelos cada vez mais avançados tendem a acelerar a descoberta de vulnerabilidades, reduzir barreiras técnicas para agentes maliciosos e encurtar significativamente o ciclo de eficácia das arquiteturas tradicionais de cibersegurança.

O caso Mythos 5 da Anthropic representa um exemplo concreto para esse cenário de evolução tecnológica. Ao que tudo indica, em vez de tratar o risco apenas sob uma perspectiva teórica, o governo norte-americano passou a considerar determinados modelos de IA como ativos estratégicos, submetendo-os a mecanismos de controle compatíveis com tecnologias sensíveis de interesse para a segurança nacional, não distante do próprio espectro militar.

Sob essa perspectiva, os dois episódios (Five Eyes e Anthropic) sinalizam uma possível mudança de paradigma. A IA deixa de ser percebida apenas como uma ferramenta de inovação tecnológica e passa a integrar, de forma crescente e dual (civil e militar), as agendas de segurança nacional, governança tecnológica e competição estratégica entre Estados.

Não por acaso, CEOs de gigantes tecnológicas como o Google, OpenAI e a Anthropic estiveram presentes na última reunião do G7, realizada na cidade francesa de Évian-les-Bains, em junho de 2026, coincidentemente dias antes do comunicado das Agências de Inteligência. A ocasião foi marcada por uma deliberação conjunta voltada para o estabelecimento de diretrizes de governança para a IA, com ênfase na proteção de menores em plataformas online.

5) Conclusão parcial

Na medida em que essa nova onda tecnológica ganha forma, a atuação das Agências de Inteligência com projeção global, como o Five Eyes, torna ainda mais relevante o acompanhamento desse fenômeno sob a perspectiva da Inteligência Estratégica e da Contrainteligência Corporativa.

Até recentemente, as preocupações relacionadas à espionagem empresarial concentravam-se na proteção de pessoas, documentos, sistemas e redes. A rápida evolução dos modelos de IA, contudo, introduz uma nova categoria de ativo estratégico: a própria capacidade computacional de acelerar a identificação de vulnerabilidades, de ampliar a produção de conhecimentos técnicos especializados e de influenciar diretamente a vantagem competitiva de Estados e organizações privadas.

Nesse contexto, observa-se também o fortalecimento do que a Bravus Consultoria cita como sendo o Complexo Industrial da Inteligência (vide Contra & Inteligência, 2024, p. 104), caracterizado pela crescente integração entre governos, empresas de tecnologia, universidades, centros de pesquisa e organizações de defesa na disputa por capacidades críticas na Atividade de Inteligência e agora, mais do que nunca, em IA.

Se Alvin Toffler identificou três grandes ondas de transformação da civilização, os acontecimentos recentes sugerem que a IA poderá representar a força motriz de uma quarta onda, cujos efeitos extrapolam o ambiente tecnológico para alcançar a geopolítica, a segurança nacional e, por conseguinte, a contrainteligência corporativa.

Se essa interpretação estiver correta, talvez o alerta do Five Eyes não deva ser compreendido apenas como mais um Relatório de Inteligência (RELINT) sobre cibersegurança, mas como um dos primeiros sinais institucionais de que a IA inaugura uma nova fronteira de competição estratégica entre Estados, empresas e organizações.

Luis Fernando Baptistella

Capitão de Mar e Guerra (Vet.)

Diretor da Bravus Consultoria || Consultor em Inteligência e Contrainteligência

Autor dos livros Contra & Inteligência 4.0 e Counter & Intelligence 4.0

Pós-graduado em Inteligência Estratégica

Fontes consultadas:

https://www.cisa.gov/news-events/news/five-eyes-cyber-security-agencies-statement

Eric Geller – https://www.cybersecuritydive.com/news/ai-cyberattacks-five-eyes-frontier-models-warning/823526/

Pieter Arntz – https://www.malwarebytes.com/blog/ai/2026/06/claude-fable-5-and-mythos-5-abruptly-disabled-after-us-gov-deems-them-too-clever?utm_source=iterable&utm_medium=email&utm_campaign=b2c_pro_oth_20260622_juneweeklynewsletter_v4_178177982315&utm_content=Claude_logo

Bloqueios da Anthropic vieram após alerta da Amazon – CISO Advisor

Professor Danilo Gato – @odanilogato

Nota de Esclarecimento: Embora este artigo de opinião seja fundamentado nas referências citadas, o conceito de Quarta Onda, com base em Alvin Toffler, no que tange à Atividade de Inteligência e à Cybersegurança, é uma tese autoral desenvolvida pelo autor através de pesquisas e estudos próprios. Os direitos sobre esta metodologia/abordagem específica são reservados.

[1] Disponível em https://arxiv.org/abs/2307.03718.

Fonte: https://www.linkedin.com/pulse/quarta-onda-intelig%25C3%25AAncia-artificial-seguran%25C3%25A7a-e-nova-baptistella-xloif/

O setor financeiro global enfrenta uma crise sem precedentes na segurança digital, onde pagar o resgate de dados sequestrados virou a regra, não a exceção. Nos últimos 12 meses, 79% das instituições financeiras que sofreram ataques cibernéticos optaram por pagar os criminosos para recuperar seus sistemas. O dado alarmante faz parte de um novo estudo da Cohesity, empresa líder em segurança de dados com Inteligência Artificial, que ouviu 390 tomadores de decisão de TI e segurança em grandes corporações da América do Sul, América do Norte, Europa e Ásia.

O levantamento traça um diagnóstico severo sobre a vulnerabilidade do mercado: 77% das empresas financeiras globais já foram vítimas de cibercriminosos, sendo que mais da metade (57%) foi alvo de investidas apenas no último ano. O impacto financeiro e reputacional é quase inevitável, com 87% das organizações registrando perdas diretas de receita e 93% enfrentando severas consequências regulatórias ou legais após as invasões.

Apesar do cenário de terra arrasada, a pesquisa revela uma desconexão preocupante entre a realidade dos ataques e a percepção de segurança das lideranças. O cenário atual exige uma mudança profunda de postura, já que as ameaças deixaram de ser eventos isolados para se tornarem uma constante no ambiente digital, com frequência e sofisticação cada vez maiores.

• Confiança em alta: Mesmo com uma em cada quatro empresas sendo atacada repetidamente, 46% dos entrevistados afirmam ter total confiança em suas estratégias de resiliência.
• O fator IA: A Inteligência Artificial surge como a grande aposta de defesa para 39% dos executivos, que acreditam que a tecnologia assumirá um papel central na detecção de ameaças e na tomada de decisões autônomas, otimizando a eficiência das equipes internas e do SOC (Security Operations Center) na resposta a incidentes.

A Estratégia da Sobrevivência: Organização Mínima Viável (MVC)

Diante do consenso de que é praticamente impossível blindar as empresas contra todos os tipos de ameaças, o mercado financeiro passou a adotar uma nova filosofia de sobrevivência: o conceito de Minimum Viable Company (MVC), ou Organização Mínima Viável.

Em vez de gastar energia e tempo tentando reerguer toda a infraestrutura tecnológica de uma só vez após um apagão cibernético, o foco da estratégia MVC muda drasticamente. A prioridade máxima passa a ser a recuperação estritamente essencial. O objetivo é colocar de pé a menor versão funcional possível da empresa, garantindo que o negócio continue operando (mesmo que de forma limitada ou sob condições degradadas) até que a crise seja totalmente controlada.

Medidas Práticas: O Caminho para a Resiliência

Para enfrentar o aumento dessas ameaças, viabilizar a estratégia de MVC e reduzir vulnerabilidades críticas, a Clavis Segurança da Informação destaca medidas prioritárias, com foco no SOC, voltadas à proteção e rápida recuperação do ambiente digital corporativo:

Treinamento de Colaboradores: A capacitação contínua transforma o elo mais fraco em defesa activa, reduzindo drasticamente a eficácia de ataques de phishing e engenharia social.

Controle de Identidade: A adoção de Autenticação Multifator (MFA) é a barreira mais eficiente para impedir que credenciais roubadas permitam o acesso indevido a dados sensíveis.

Monitoramento e Auditoria: O acompanhamento em tempo real permite detectar anomalias rapidamente, enquanto auditorias frequentes corrigem vulnerabilidades antes que sejam exploradas por criminosos.

Automação de Segurança: O uso de ferramentas automatizadas acelera a resposta a incidentes e reduz a janela de exposição de falhas críticas, que pode superar 55 dias.

Backup e Recuperação: Manter cópias de segurança isoladas e planos de recuperação testados garante a continuidade do negócio e protege a empresa contra extorsões digitais.

A segurança de redes corporativas consolida-se como um pilar indispensável para a estabilidade e o crescimento sustentável no mercado brasileiro. Com ameaças cada vez mais ágeis e onerosas, investir em um ecossistema que integre soluções tecnológicas, processos automatizados e conscientização humana deixa de ser uma demanda técnica para se tornar um diferencial competitivo estratégico.

Um disparo indevido no sistema Defesa Civil Alerta expôs a superfície de ataque de uma infraestrutura crítica baseada em redes móveis 4G e 5G, Cell Broadcast e integrações entre governo e operadoras. Este artigo analisa o incidente sob a ótica de arquitetura provável desse sistema, segurança cibernética e telecomunicações.

Na madrugada de sábado, um disparo indevido do sistema Defesa Civil Alerta provocou o envio de mensagens de emergência para diversas regiões do Brasil, sem que houvesse um evento emergencial real correspondente. Segundo nota oficial, a plataforma foi retirada do ar após a identificação de um acesso não autorizado e a Polícia Federal foi acionada para investigação. Embora o episódio tenha sido inicialmente tratado como “possível invasão cibernética”, a análise técnica exige uma leitura mais ampla: trata-se de um sistema altamente distribuído, dependente de múltiplas camadas de infraestrutura, desde aplicações governamentais até redes móveis 4G e 5G operadas por “telecoms”.

O Defesa Civil Alerta é baseado no conceito de Cell Broadcast Service (CBS), padronizado em redes móveis LTE e 5G. Diferente de SMS tradicional, que é ponto a ponto, o Cell Broadcast funciona como um broadcast geográfico, pois a mensagem é injetada na rede da operadora e distribuída para todos os dispositivos conectados a células específicas da antena. Isso reduz latência e garante entrega mesmo em cenários de congestionamento.

Do ponto de vista de arquitetura, o fluxo típico envolve:

• Interface de autorização e gestão de alertas (IDAP ou equivalente institucional)
• Sistema central de decisão da Defesa Civil
• Gateways de integração com operadoras móveis
• Infraestrutura de rede 4G/5G (eNodeB/gNodeB)
• Camada de broadcast para dispositivos finais

Essa cadeia cria uma superfície de ataque ampla e distribuída, onde a segurança não depende de um único ponto, mas da coerência entre autenticação, autorização e integração entre sistemas heterogêneos. Podemos observar que, segundo documentação oficial de concepção de sistemas de alerta, esses sistemas são estruturados em quatro pilares: monitoramento de risco, análise, decisão e comunicação de alerta. O incidente em questão afeta diretamente o último pilar, que é a comunicação, mas pode ter origem em qualquer ponto anterior, incluindo a camada a integração com operadoras.

A nota oficial indica que o sistema foi “acionado remotamente por alguém não autorizado”, o que sugere uma quebra de controle de acesso lógico. Em arquiteturas modernas, isso pode ocorrer por diferentes vetores:

• Credenciais comprometidas em sistemas administrativos
• Token de API exposto ou mal protegido
• Falha em autenticação entre sistemas federados
• Exploração de vulnerabilidade em interface web ou middleware
• Má configuração em gateways de integração com operadoras

Um ponto crítico aqui é que sistemas como o IDAP e plataformas de alerta não operam isoladamente: eles são integrados a múltiplos serviços e dependem de autenticação forte entre domínios administrativos diferentes. Qualquer falha nesse encadeamento pode permitir a emissão indevida de alertas válidos do ponto de vista técnico da rede, mas inválidos do ponto de vista de governança.

Outro aspecto relevante é o papel das redes 4G e 5G. O Cell Broadcast é implementado diretamente na camada de controle da rede móvel, o que significa que, uma vez autorizado o envio, a distribuição é extremamente eficiente e praticamente imune a congestionamentos. No entanto, essa eficiência também implica um risco: a mensagem não passa por validações individuais em cada dispositivo. Ou seja, o controle precisa ser rigorosamente feito na origem. Em termos de segurança, isso caracteriza um modelo de alto impacto e baixa granularidade de controle no endpoint, o que reforça a necessidade de proteção forte na camada de backend.

A presença de um alerta classificado como “Alerta Extremo” com conteúdo fora do padrão esperado, incluindo termos não técnicos como “misantropia”, indica possível comprometimento não apenas do canal de envio, mas também da integridade do payload da mensagem. Isso sugere que o atacante teve capacidade de manipular o conteúdo estruturado do alerta, e não apenas acioná-lo.

Nesse contexto, a análise forense digital torna-se essencial. A perícia normalmente se concentra em:

• Logs de autenticação (quem acessou o sistema e quando)
• Trilha de auditoria de ações administrativas
• Integridade de APIs e tokens de sessão
• Eventual movimentação lateral dentro de redes governamentais
• Correlação com acessos externos via VPNs ou redes administrativas

A retirada imediata do sistema do ar indica uma ação de contenção, típica de resposta a incidentes de alta severidade. Em sistemas críticos, essa decisão é tomada para preservar evidências, impedir novos disparos e reduzir impacto operacional enquanto a integridade do ambiente é verificada.

Do ponto de vista de projeto de sistemas críticos, o incidente evidencia um ponto estrutural a ser destacada, que sistemas de alerta precisam ser desenhados sob o princípio de fail-safe control, onde qualquer comportamento fora do padrão esperado deve resultar em bloqueio automático de emissão, e não em execução.

Além disso, há uma dimensão de confiança pública. Sistemas de alerta via celular funcionam como mecanismos de alta credibilidade. Uma vez acionados incorretamente, há um risco de degradação de confiança. Este fenômeno, conhecido como alert fatigue, representa a situação onde usuários passam a ignorar notificações devido a falsos positivos.

O episódio também evidencia a complexidade da integração entre governo e operadoras de telecomunicações. Redes 4G e 5G operam com múltiplos nós distribuídos e virtualização de funções de rede (NFV), o que amplia a superfície de ataque quando há integração com sistemas externos. Embora o Cell Broadcast seja robusto do ponto de vista de entrega, ele depende criticamente da integridade da camada de sinalização e dos gateways de controle.

Em síntese, o incidente no Defesa Civil Alerta não deve ser interpretado apenas como um evento isolado de invasão, mas como um caso clássico de falha potencial em um sistema complexo com impacto nacional, onde segurança não depende apenas de software, mas da interação entre redes móveis, governança institucional e controles de acesso rigorosos.

A resposta das autoridades, que realizaram a remoção do sistema do ar e acionamento da Polícia Federal, segue o protocolo esperado em incidentes dessa natureza. O desafio agora é estrutural: reforçar autenticação, segmentação de rede, auditoria contínua e mecanismos de validação dupla antes da emissão de qualquer alerta crítico.

No final, o caso reforça uma verdade central da cibersegurança moderna, quanto mais crítico o sistema, menor pode ser a tolerância a falhas de autorização, porque o impacto não é digital, é diretamente na sociedade.

As perdas financeiras e o volume de golpes no setor bancário brasileiro continuam em uma escalada agressiva. Uma nova pesquisa da BioCatch, líder em prevenção a fraudes por inteligência comportamental, revela que 89% dos líderes bancários no Brasil relatam aumento nas tentativas de golpe em 2026. O número representa um salto notável frente aos 77% do ano anterior e supera a média global atual, que é de 81%

O estudo inédito entrevistou 100 profissionais de alta liderança (gerência, diretoria e C-suite) das áreas de gestão de fraudes, prevenção a crimes financeiros, risco e compliance no país. O perfil dos participantes reflete o peso do ecossistema financeiro nacional: 99% atuam em instituições com mais de US$ 10 milhões sob gestão, e metade (50%) gerencia ativos que superam a marca de US$ 1 bilhão.

Embora o Brasil tenha se posicionado como o mercado mais próximo das médias globais entre todos os países pesquisados, os dados nacionais de perdas e sofisticação acendem um alerta vermelho para o setor.

O prejuízo financeiro das fraudes no ecossistema brasileiro

A pressão financeira exercida pelas atividades criminosas já dita o orçamento dos grandes bancos, gerando impactos severos tanto para as instituições quanto para os usuários. No âmbito institucional, mais da metade dos entrevistados no Brasil (51%) perde acima de US$ 10 milhões para fraudes todos os anos. Ao mesmo tempo, para 19% dos entrevistados esse rombo supera os US$ 25 milhões anuais e, para 3%, o dano ultrapassa a marca de US$ 100 milhões.

Na outra ponta, o prejuízo transferido ao cliente final é igualmente alarmante. Cerca de 74% dos executivos afirmam que seus clientes perdem mais de US$ 5 milhões anualmente em fraudes autorizadas e golpes, e quase metade (44%) relata perdas de clientes acima de US$ 10 milhões ao ano.

Esse cenário é ainda mais agravado pelo dinamismo e rapidez dos ataques, que preocupam diretamente os comitês de risco: atualmente, 82% dos líderes de fraude no Brasil declaram estar muito preocupados com o aumento na velocidade da atividade fraudulenta, um índice superior aos 76% registrados na média global.

Deepfakes e novas vulnerabilidades

A inteligência artificial transformou-se rapidamente em uma arma de engenharia social nas mãos de organizações criminosas, desafiando as defesas tradicionais das instituições brasileiras. Essa nova realidade é evidente no avanço dos ataques baseados em deepfakes, já observados por quase dois terços (63%) dos executivos no Brasil nos últimos 12 meses, um índice significativamente superior à média global de 50%. Na prática, a tecnologia não está criando golpes inteiramente novos, mas tornando as táticas existentes muito mais críveis em um mercado onde o Pix, o WhatsApp, o mobile banking e o comércio em redes sociais estão profundamente enraizados no cotidiano.

Um dos reflexos disso no dia a dia do ecossistema nacional são os golpes de emergência familiar por chamadas ou mensagens no WhatsApp, em que criminosos utilizam áudios gerados por IA para imitar a voz de filhos ou cônjuges simulando uma urgência e solicitando transferências Pix imediatas. Da mesma forma, os criminosos clonam a voz de gerentes ou utilizam áudio e vídeo alterados por IA em falsas chamadas de suporte bancário; a vítima é induzida a acreditar que sua conta está sob ataque e acaba convencida a transferir fundos para uma suposta ‘conta segura’ ou a instalar softwares de acesso remoto.

Paralelamente, o país enfrenta sérias dificuldades para barrar golpes de falsificação de identidade (impersonation), com 60% dos tomadores de decisão locais classificando como muito ou extremamente difíceis de reconhecer. E, olhando para o futuro, a preocupação com a próxima onda de ataques é um consenso: para 90% dos profissionais brasileiros entrevistados, a IA Agêntica pode se tornar a maior vulnerabilidade explorável pelo crime organizado no próximo ano. E, além de tudo, 83% apontam que será extremamente desafiador mitigar o problema e distinguir ações legítimas assistidas por IA de atividades maliciosas ou manipuladas.

“A grande virada de chave tecnológica que estamos presenciando reside na evolução dos agentes de IA tradicionais para a chamada IA Agêntica. Enquanto um agente comum executa de forma rígida uma única tarefa programada, a IA Agêntica possui autonomia para traçar caminhos alternativos e contornar barreiras até atingir seu objetivo”, afirma Diego Baldin, diretor de Global Advisory da BioCatch para a América Latina.

“Quando essa tecnologia é capturada pelo crime organizado, passamos a lidar com sistemas automatizados capazes de conduzir interações complexas de engenharia social, persuadindo uma vítima até que ela esteja totalmente convencida, para só então repassar o ataque para um operador humano, que  conclui o golpe. Esse ecossistema não apenas automatiza o roubo de dados, mas é inteligente o suficiente para filtrar e priorizar as informações mais valiosas, conectar-se a outras ferramentas maliciosas e aprender com os próprios erros em tempo real. Se o algoritmo encontra um bloqueio de segurança, ele recalcula a rota autonomamente até conseguir violar o sistema.”

A urgência da inteligência interbancária

Diante de um cenário em que a autenticação tradicional perde eficácia contra a persuasão digital e a tecnologia avançada, a alta liderança bancária do país aponta o compartilhamento de dados em rede como uma das principais soluções.

A grande maioria dos executivos brasileiros (88%) acredita que o compartilhamento de inteligência entre bancos teria um impacto positivo significativo na capacidade de conter fraudes e crimes financeiros. Indo além, 89% afirmam que obter inteligência em tempo real sobre a conta destinatária envolvida em uma transação seria o divisor de águas para identificar e conter golpes financeiros antes que o dinheiro seja pulverizado.

Curiosamente, a pesquisa também revelou uma característica cultural do mercado nacional: os líderes bancários brasileiros são significativamente menos propensos do que seus pares internacionais a afirmar que suas instituições investem em prevenção de fraudes para evitar a perda de clientes (churn). Apenas 23% dos executivos no Brasil citam a perda de clientes como motivo para investimentos na área, contra 39% globalmente. O foco do país está direcionado firmemente no combate à sofisticação tática do crime e na proteção sistêmica do fluxo financeiro.

“A IA já está redefinindo a velocidade e a sofisticação das ameaças no Brasil, permitindo que criminosos escalem ataques de engenharia social com o uso de deepfakes em um ritmo muito superior à média global”, conta Baldin.

“O dado mais revelador é que no ecossistema brasileiro, ao contrário do mercado global, a liderança local investe em prevenção a fraudes motivada pela blindagem financeira imediata. Em um ambiente hiperconectado e de transações instantâneas, a urgência financeira e operacional parece ter prioridade, ao conter o vazamento monetário e a velocidade do crime. Para vencer essa corrida, o setor precisa ir além das checagens estáticas de identidade: o futuro depende do entendimento contínuo e em tempo real do comportamento e da intenção do usuário, combinado com uma rede de inteligência interbancária que neutralize as contas de laranjas usadas para lavar o produto das fraudes.”

Acesse a pesquisa completa aqui.

Os pesquisadores de ameaças da Gen (NASDAQ: GEN), líder global na promoção da liberdade digital por meio de um portfólio de marcas confiáveis que inclui Norton, Avast, LifeLock e MoneyLion, entre outras, identificaram uma sofisticada campanha de fraude que utiliza falsas ofertas de emprego e processos de recrutamento aparentemente legítimos para roubar credenciais de acesso dos usuários e obter informações sensíveis. Os criminosos exploram a reputação de organizações e marcas amplamente reconhecidas, assim como o interesse gerado por grandes acontecimentos internacionais, para dar maior credibilidade aos seus golpes.

Entre os exemplos analisados, foram encontrados sites que se passavam pela FIFA e por outras entidades e marcas vinculadas a um dos eventos esportivos mais aguardados de 2026. No entanto, os pesquisadores também observaram tentativas semelhantes que utilizavam a imagem de empresas reconhecidas de diferentes setores para gerar confiança nos usuários.

A investigação revelou que os criminosos não se limitam a publicar vagas falsas. Em muitos casos, eles constroem processos completos de contratação que incluem perfis falsos de recrutadores, alguns deles baseados em fotografias e informações de profissionais reais disponíveis publicamente em plataformas como o LinkedIn. Além disso, enviam convites de calendário e direcionam as vítimas para sites projetados para imitar páginas legítimas de recrutamento.

Os pesquisadores alertam que uma página de emprego com aparência profissional não garante que seja autêntica. Os cibercriminosos podem copiar logotipos, fotografias, descrições de vagas e até botões de login de sites legítimos para criar páginas fraudulentas altamente convincentes. Além disso, o uso de ferramentas de inteligência artificial facilitou a criação desse tipo de sites maliciosos, tornando-os cada vez mais difíceis de detectar.

Uma vez no site, os usuários são convidados a iniciar sessão por meio de opções conhecidas, como o acesso com o Google. No entanto, por trás dessas páginas há formulários criados para capturar credenciais e outras informações sensíveis. Os pesquisadores observaram que algumas campanhas rejeitavam contas pessoais e solicitavam especificamente contas corporativas, com o objetivo de obter acesso a sistemas internos, arquivos e outros recursos empresariais.

“A engenharia social tornou-se cada vez mais sofisticada. Os cibercriminosos já não dependem apenas de e-mails suspeitos ou mensagens mal redigidas; agora são capazes de replicar processos completos de recrutamento, inclusive com ajuda da IA, e aproveitar a confiança gerada por marcas e organizações reconhecidas. Isso transforma as falsas ofertas de emprego em uma ameaça especialmente perigosa, já que as vítimas acreditam estar diante de uma oportunidade profissional legítima quando, na realidade, estão entregando acesso a informações valiosas”, afirma Iskander Sanchez-Rola, Diretor Sênior de IA e Inovação na Norton.

Os pesquisadores também descobriram que, uma vez que uma página maliciosa é removida, os criminosos geralmente registram novos domínios para dar continuidade à campanha. Essa capacidade de adaptação dificulta a detecção e permite que as ameaças permaneçam ativas por mais tempo.

Desde 1º de maio de 2026, os produtos da Gen, incluindo Norton, bloquearam mais de 250 ataques relacionados a essas campanhas, embora os especialistas alertem que o alcance real pode ser maior devido à constante evolução das táticas utilizadas pelos cibercriminosos.

Para ajudar os usuários a identificar esse tipo de ameaça, os especialistas da Norton recomendam:

• Desconfiar de ofertas de emprego inesperadas ou excessivamente atraentes.
• Verificar se as vagas provêm de sites oficiais e prestar atenção ao endereço do site.
• Confirmar a legitimidade dos recrutadores antes de fornecer informações pessoais.
• Evitar inserir credenciais em páginas acessadas por links recebidos por e-mail ou aplicativos de mensagens.
• Suspeitar de qualquer processo de recrutamento que solicite credenciais corporativas ou informações sensíveis em etapas iniciais.
• Confirmar a existência da vaga diretamente nos canais oficiais da organização.
• Utilizar ferramentas de cibersegurança, como o Norton 360 com Norton Scam Protection, que utiliza inteligência artificial para ajudar a detectar tentativas de phishing e sites fraudulentos antes que comprometam informações pessoais ou credenciais de acesso.

À medida que as campanhas de fraude evoluem, a combinação entre engenharia social e o uso indevido de marcas reconhecidas continua se tornando uma das ferramentas mais eficazes para os cibercriminosos. Manter uma postura crítica e verificar cada etapa do processo pode ajudar a diferenciar uma oportunidade legítima de uma fraude projetada para comprometer informações pessoais e corporativas.

Sobre a Gen

A Gen (NASDAQ: GEN) é uma empresa global dedicada a impulsionar a Liberdade Digital por meio de suas marcas de consumo confiáveis, incluindo Norton, Avast, LifeLock, MoneyLion e outras. A família de marcas da Gen tem como base a oferta de segurança cibernética e empoderamento financeiro para as primeiras gerações digitais. Hoje, a Gen capacita as pessoas a viverem suas vidas digitais com segurança, privacidade e confiança para as gerações futuras. A Gen oferece produtos e serviços premiados em cibersegurança, privacidade online, proteção de identidade e bem-estar financeiro para quase 500 milhões de usuários em mais de 150 países. Saiba mais em GenDigital.com.

Sobre os Laboratórios de Ameaças da Gen

Os Laboratórios de Ameaças da Gen representam a equipe de pesquisa e tecnologia de Segurança Cibernética dentro da Gen, focada em descobrir e analisar as mais recentes ameaças digitais e golpes em todo o mundo. Com base em dados, pesquisa e experiência técnica, a equipe mapeia padrões e riscos que moldam um cenário de ameaças em constante evolução. Essas descobertas impulsionam tecnologias de segurança que protegem as pessoas em todo o portfólio de marcas confiáveis da Gen, incluindo Norton, Avast e LifeLock, entre outras.

Sobre a Norton

A Norton é líder em cibersegurança e faz parte da Gen (NASDAQ: GEN), empresa global dedicada a promover a Liberdade Digital por meio de um portfólio de marcas confiáveis para o consumidor. A Norton capacita milhões de pessoas e famílias com proteção premiada para seus dispositivos, privacidade online e identidade digital. Os produtos e serviços da Norton são certificados por organizações independentes de testes, incluindo AV-TEST, AV-Comparatives e SE Labs. A Norton também é membro fundadora da Coalition Against Stalkerware. Saiba mais em https://br.norton.com

Os cibercriminosos agora visam os serviços financeiros mais do que qualquer outro setor para ataques de negação de serviço distribuída (DDoS) na web e em APIs (camadas 3 e 4), revela a Akamai (NASDAQ: AKAM) em seu relatório State of the Internet (SOTI) intitulado AI-Empowered Botnets and API Visibility Gaps: Attack Trends in Financial Services. As descobertas revelam uma mudança perigosa à medida que hacktivistas pró-Irã e bots impulsionados por IA usam táticas de DDoS para interromper serviços bancários online, sistemas de pagamento e aplicações críticas.

Impulsionada por infraestruturas alimentadas por IA, a duração média dos ataques globais de DDoS das camadas 3 e 4 direcionados ao setor de serviços financeiros aumentou 738% desde 2024. Isso mostra que, embora a transformação digital tenha permitido avanços como serviços bancários online e pagamentos em tempo real, ela também facilitou as invasões.

Algumas descobertas importantes do relatório:

• Entre os líderes de serviços financeiros entrevistados no Estudo sobre o impacto da segurança de APIs de 2026, 96% relataram pelo menos um incidente com a segurança de APIs nos últimos 12 meses, o índice mais alto entre todos os setores.

• Em 2025, 60% do total de ataques na web e 83% das incursões contra pontos de extremidade de APIs visaram serviços bancários.

• Quase 80% das instituições financeiras enfrentaram ataques de ransomware nos últimos dois anos, mas menos da metade adotou tecnologias avançadas de segurança.

• A atividade avançada de bots aumentou 147% no final de 2025 e, em um estudo de caso, impressionantes 96% de todo o tráfego de websites foram identificados como bots de scraping mal-intencionados.

• Os métodos de ataques cibernéticos contra serviços financeiros variam significativamente de acordo com a região: a EMEA é o principal alvo de DDoS das camadas 3 e 4 (62%), a APAC é a mais visada por DDoS da camada 7 (52%) e, na América do Norte, os ataques na web são os mais predominantes (44%).

“Os cibercriminosos e hacktivistas continuam impulsionando os ataques de DDoS, transformando-os em uma ameaça constante, e os serviços financeiros estão na mira”, afirma Steve Winterfeld, CISO consultivo da Akamai. “Além disso, os dados mostram que as APIs são cada vez mais visadas, pois a IA não reduz os riscos de segurança tradicionais, ela os amplifica. Felizmente, as organizações de serviços financeiros podem aproveitar as estratégias de segurança e as práticas recomendadas detalhadas neste relatório.”

O relatório também mostra tendências baseadas em dados sobre atividades criminosas, a participação do CISO da FS-ISAC, um destaque de segurança sobre recursos MITRE, um destaque de nuvem sobre as diferenças entre arquiteturas de IA e estratégias práticas de mitigação de ataques de DNS e DDoS.

Já em seu 12º ano, os relatórios SOTI Security da Akamai continuam oferecendo insights críticos sobre tendências de cibersegurança e desempenho na web, extraídos de ataques observados na infraestrutura protetiva de cibersegurança da Akamai, que lida com uma parcela significativa do tráfego global da web.

Sobre a Akamai

A Akamai é a empresa de cibersegurança e computação em nuvem que potencializa e protege negócios online. Nossas soluções de segurança líderes de mercado, inteligência avançada contra ameaças e equipe de operações globais oferecem defesa em profundidade para garantir a segurança de dados e aplicações empresariais em todos os lugares. As abrangentes soluções de computação em nuvem da Akamai oferecem desempenho e acessibilidade na plataforma mais distribuída do mundo. Empresas globais confiam na Akamai para obter a confiabilidade, a escala e a experiência necessárias para expandir seus negócios com confiança. Saiba mais em akamai.com e akamai.com/blog, ou siga a Akamai Technologies no X e no LinkedIn.

O avanço das fraudes digitais, especialmente as associadas ao roubo de cookies e sequestro de sessões, tem pressionado os modelos tradicionais de autenticação. Durante anos, a autenticação multifator (MFA) combinando senhas com SMS, tokens ou aplicativos autenticadores foi considerada suficiente para garantir acesso seguro. Contudo, o cenário de ameaças mudou de maneira radical. A explosão de malwares infostealers, ataques adversary-in-the-middle (AiTM), botnets e técnicas avançadas de phishing expôs uma fragilidade e mostrou que o MFA tradicional valida apenas o momento inicial do acesso, mas não protege a sessão ativa. Assim, quando um cookie é roubado, o invasor pode assumir a conta sem repetir o processo de login, explorando um ponto cego crítico para os métodos de autenticação clássicos.

Nesse contexto, a biometria comportamental surge como uma resposta altamente eficaz. Ao contrário dos fatores convencionais, que se baseiam no que o usuário sabe ou possui, ela se fundamenta em como o usuário se comporta. Ritmo de digitação, microvariações neuromusculares, padrões de movimentação do mouse, cadência de navegação e até pequenas rotinas motoras tornam-se sinais computáveis de identidade. A singularidade desses padrões cria um fator comportamental extremamente difícil de reproduzir, mesmo por atacantes humanos assistidos por IA ou bots avançados. Ao ser incorporada às plataformas modernas de IAM (Identity and Access Management), essa abordagem transforma a autenticação de um evento isolado para um processo contínuo.

O usuário não prova quem é apenas no login, ele confirma sua identidade a cada interação, de forma invisível e sem fricção. Quando ocorre qualquer mudança significativa no padrão comportamental, seja brusca ou mesmo sutil, o sistema reage com adaptações dinâmicas. Pequenas variações podem solicitar um desafio adicional, desvios maiores podem restringir ações críticas, e anomalias graves levam ao encerramento imediato da sessão. Esse monitoramento contínuo elimina precisamente o ponto cego explorado pelo roubo de sessões.

O setor financeiro, constantemente pressionado pelo dilema entre elevar a segurança e preservar uma experiência positiva do cliente, encontra aqui uma solução equilibrada. A biometria comportamental opera de maneira “invisível” e elimina dependências excessivas de desafios explícitos, reduzindo atritos e aumentando a resiliência contra fraudes baseadas em credenciais legítimas. Mesmo que um invasor possua senha, código MFA e cookie válido, ele não consegue replicar com precisão o comportamento cognitivo e motor do usuário real. Isso reduz de forma substancial tanto a eficácia do roubo de sessão quanto o sucesso de ataques que dependem de engenharia social.

Essa transformação também afeta a maneira como o MFA é compreendido. Ele não está sendo substituído, o que está contecendo na verdade é que ele está evoluindo para um modelo adaptativo, contextual e comportamental, no qual a confiança é recalculada continuamente, não apenas no instante do login. O MFA deixa de ser uma barreira estática e passa a integrar uma arquitetura de risco dinâmica, capaz de responder em tempo real ao comportamento do usuário e ao contexto da interação.

Do ponto de vista operacional, a biometria comportamental também reforça mecanismos de detecção de bots. Enquanto é relativamente fácil para um bot inserir códigos MFA ou repetir ações mecânicas, replicar comportamentos é praticamente impossível, pois trata-se de ações, muitas vezes involuntärias, neuromusculares, padrões motores consistentes ou a “assinatura digital” que caracteriza um ser humano. Isso amplia a capacidade de defesa contra fraude automatizada e ataques em escala.

Plataformas modernas já incorporam essa visão, como Microsoft Entra ID, Okta Adaptive MFA, BioCatch, LexisNexis Behavioral Biometrics e soluções avançadas de risco que utilizam sinais de identidade baseados em IA. Esses sistemas combinam análise comportamental, machine learning e detecção contínua de anomalias para identificar substituição de identidade, uso indevido de credenciais e tentativas de viver dentro da sessão comprometida.

A tendência é inexorável, as organizações que enxergam a autenticação apenas como um ponto de verificação isolado estarão cada vez mais expostas a riscos sofisticados. Por outro lado, aquelas que integram sinais comportamentais ao seu IAM estarão melhor preparadas para enfrentar a nova geração de fraudes digitais, onde o roubo de identidade tornou-se silencioso, persistente e altamente automatizado. A biometria comportamental não apenas reforça a segurança, mas redefine a própria noção de identidade digital ao transformar cada ação do usuário em uma confirmação de legitimidade.

Por vezes, a segurança mais forte é a que o usuário nem percebe.

O Active Directory, serviço de diretório da Microsoft usado para gerenciar e organizar recursos de rede, continua sendo um dos principais focos dos agentes maliciosos, pois seu comprometimento garante amplo acesso acesso a todos os recursos gerenciados por ele. Esse trabalho visa realizar uma análise sobre a transição para o NetExec (nxc) em 2026, explorando como operadores de Red Team utilizam o abuso de protocolos para validar riscos e como Blue Teams constroem defesas resilientes contra movimentação lateral e abuso de credenciais.

No ecossistema de segurança cibernética de 2026, ferramentas de automação são vitais para medir a resiliência de uma rede. O CrackMapExec (CME) deu lugar ao NetExec (nxc), que se consolidou como a ferramenta para auditorias de segurança em ambientes Windows, particularmente focando no Active Directory.

Para o Red Team, o NetExec funciona como uma plataforma centralizada para execução de comandos em massa, suportando protocolos essenciais como SMB, WMI, WinRM, LDAP e MSSQL. Para o Blue Team, ele representa o “caso de teste” perfeito: se a ferramenta opera sem resistência, a visibilidade de logs do SIEM e a eficácia do EDR precisam de revisão imediata.

A força do NetExec não reside em explorar falhas de código (CVEs), mas em abusar de configurações nativas inseguras que persistem em redes corporativas.Um dos vetores mais eficazes é o Pass-the-Hash (PtH) em escala. O NetExec automatiza a tentativa de autenticação usando hashes NTLM em sub-redes inteiras, permitindo identificar rapidamente onde administradores deixaram sessões expostas ou reutilizaram credenciais em múltiplas máquinas. Complementarmente, a ferramenta realiza a enumeração silenciosa via LDAP, mapeando grupos de administradores de domínio e identificando usuários vulneráveis ao AS-REP Roasting, aqueles com “Pre-Authentication” desativada, com uma velocidade que processos manuais não alcançam.

Outro ponto crítico é o abuso de SMB Relay. Em redes onde a assinatura de pacotes (SMB Signing) não é obrigatória, o NetExec permite que o operador intercepte o tráfego e obtenha execução remota de código (RCE) sem jamais possuir uma senha válida, apenas redirecionando a autenticação de uma máquina legítima para o alvo desejado.

Para os defensores, o NetExec fornece o roteiro do que precisa ser protegido. O uso dessa ferramenta gera padrões comportamentais claros que devem ser o foco da engenharia de detecção. O primeiro indicador são as anomalias de log-on. O Blue Team deve buscar volumes atípicos de log-ons bem-sucedidos vindo de uma única origem para múltiplos destinos em um curto espaço de tempo. Além disso, o monitoramento de criação de serviços remotos é importantíssimo. O uso de módulos como do SMB gera processos de terminal ou PowerShell que devem disparar alertas imediatos nas proteções de EndPoint. Por fim, a detecção de tráfego RPC/SMB não criptografado em zonas críticas é um sinal claro de tentativa de Relay. Para neutralizar a eficácia dessas técnicas, a defesa deve implementar medidas estruturais que eliminem as vulnerabilidades de desenvolvimento exploradas pelo NetExec.

Para mitigar ataques de SMB Relay, a ação mais direta é impor o SMB Signing como obrigatório via GPO em toda a rede. Contra o Pass-the-Hash, é fundamental implementar o LAPS (Windows Local Administrator Password Solution), que garante senhas únicas para cada estação, e restringir privilégios de administradores locais para evitar a persistência lateral.

Protocolos obsoletos que facilitam o envenenamento de rede, como LLMNR e NBT-NS, devem ser desativados em favor do mDNS. Para proteger as credenciais na memória contra o LSASS Dumping, a ativação do Credential Guard do Windows é a defesa padrão em 2026. Por fim, ataques de força bruta ou Password Spraying devem ser contidos com a implementação de Autenticação de Múltiplos Fatores (MFA) em todos os pontos de acesso e políticas de bloqueio inteligente de contas.

Os ataques de ransomware estão longe de desacelerar. No último ano, foram registradas 11.796 vítimas diretas desse tipo de ciberataque ao redor do mundo, 1,3 vítimas por hora, segundo dados do BTTng da Apura Cyber Intelligence, plataforma de inteligência em ameaças cibernéticas. O impacto vai além dos números: empresas paralisadas, serviços essenciais comprometidos e milhões de pessoas expostas a riscos iminentes.

A onda de ataques abrange qualquer empresa de todos os segmentos, desde a saúde até os serviços públicos. Em maio passado, a Ascension Healthcare, uma das maiores operadoras de saúde dos EUA, foi alvo de um ataque cibernético que comprometeu sistemas críticos, incluindo registros médicos e comunicação interna. Hospitais ficaram sem acesso a informações essenciais por semanas, forçando equipes a recorrerem a procedimentos manuais. “Isso gerou riscos reais, com erros relatados no Kansas e em Detroit, que poderiam ter resultado em graves consequências médicas”, explica Anchises Moraes, Especialista de Theat Intel da Apura.

A Ascension não divulgou oficialmente o grupo por trás do ataque, mas investigações apontam para o Black Basta. Sete dos vinte e cinco mil servidores foram comprometidos, e 5,6 milhões de indivíduos receberam notificações sobre o possível vazamento de dados.

No Brasil, a TOTVS foi alvo do grupo BlackByte, com relatos de que dados da empresa foram acessados. A companhia informou seus acionistas, garantindo a continuidade dos serviços, mas sem dissipar completamente a incerteza. Já a Sabesp sofreu um ataque do grupo RansomHouse, que não apenas roubou dados, mas também os publicou posteriormente.

O futuro dos ataques: alvos menores, impactos maiores

Se antes os criminosos miravam grandes corporações exigindo valores exorbitantes, a tendência é que ataques menores, porém em massa, ganhem força em todo o mundo, incluindo o Brasil. Pequenas e médias empresas se tornaram alvos fáceis, já que possuem menos recursos para segurança e maior propensão a pagar resgates. “Elas têm mais dificuldade em recuperar dados roubados ou encriptados, tornando-se presas ideais para esses criminosos”, alerta Anchises.

A expansão internacional do grupo de cibercriminosos conhecido como Scattered Spider acendeu um sinal de alerta entre empresas latino-americanas. Especialistas em segurança apontam que, embora não haja registros confirmados de ataques desse grupo no Brasil ou vizinhos até o momento, seu alcance global e métodos sofisticados representam um risco iminente para organizações na região.

Com táticas de engenharia social elaboradas e capacidade de driblar defesas tradicionais, o Scattered Spider tem mirado grandes empresas em diversos países. “A questão não é mais ‘se’ seremos atacados, mas de ‘quando’ e ‘como’, afirma Felipe Guimarães, Chief Information Security Officer da Solo Iron. “As táticas empregadas pelo grupo exploram fragilidades universais, presentes em empresas em todo o mundo – o que inclui as empresas latino-americanas”, pondera o especialista.

Um dos maiores riscos é que os setores visados pelo Scattered Spider no exterior também são pilares econômicos na América Latina. O grupo historicamente focou suas ações em empresas de telecomunicações, terceirização de processos de negócios (BPO) e grandes empresas de tecnologia – indústrias que possuem ampla presença na região. Nos últimos tempos, foi observado um aumento de interesse do grupo pelo setor financeiro global, o que inclui bancos e instituições presentes no Brasil e países vizinhos.

“Isso significa que companhias latino-americanas, seja diretamente ou através de filiais e parceiras, podem entrar na mira à medida que o Scattered Spider amplia seu raio de atuação. Mesmo empresas que não operam internacionalmente devem se precaver, pois os criminosos podem enxergar organizações locais como pontes de entrada para fornecedores ou clientes globais, ou simplesmente como alvos lucrativos por si sós, caso identifiquem falhas de segurança exploráveis”, pontua Guimarães.

Na mira das agências de inteligência

Relatórios do FBI e da Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA descrevem o Scattered Spider como “especialista em engenharia social”, empregando diversas técnicas para roubar credenciais e burlar autenticações.

Entre os métodos documentados estão phishing por e-mail e SMS (smishing), ataques de vishing (ligações telefônicas fraudulentas) em que os criminosos se passam por equipe de TI da própria empresa, e até esquemas elaborados de SIM swap – quando convencem operadoras de telefonia a transferir o número de celular de uma vítima para um chip sob controle deles. Essas táticas permitem interceptar códigos de autenticação multifator (MFA) enviados via SMS ou aplicativos, dando aos invasores as chaves para acessar sistemas internos.

Alguns incidentes recentes no cenário latino-americano já envolveram vetores parecidos, como uso de ferramentas legítimas em ataques e exploração de credenciais vazadas, o que reforça a necessidade de vigilância. Em 2024, por exemplo, houve casos de gangues de ransomware operando na região que abusaram de softwares legítimos e brechas em procedimentos internos de empresas, aplicando práticas muito similares ao do Scattered Spider.

Estratégias de mitigação

Diante da crescente ameaça representada por grupos como o Scattered Spider, Guimarães recomenda a adoção de estratégias com foco especial em fortalecer métodos avançados de autenticação multifator (MFA), preferencialmente resistentes a phishing, como chaves físicas de segurança ou soluções baseadas em certificados digitais. Técnicas como MFA com validação numérica e a restrição do uso de SMS para autenticação são essenciais para reduzir o risco de engenharia social e ataques por fadiga de notificações, muito usados pelo grupo.

Além disso, a adoção de uma abordagem mais robusta em relação à gestão de identidades e acessos (IAM) é uma estratégia muito importante na contenção desse tipo de ameaça. “As identidades digitais estão se tornando uma nova superfície de ataque; por isso, é fundamental que as empresas implementem políticas rígidas de gestão de identidades, controle granular de acessos e monitoramento contínuo das atividades dos usuários”, destaca.

“Também é muito importante o controle rigoroso sobre ferramentas de acesso remoto e a implantação de monitoramento avançado. É recomendável que as organizações restrinjam o uso dessas ferramentas por meio de listas autorizadas e adotem sistemas robustos como EDR e DLP para identificar rapidamente atividades suspeitas”, finaliza o especialista.

Relatórios recentes revelam que as vulnerabilidades em APIs, as chamadas Interfaces de Programação de Aplicações, são responsáveis por uma parte significativa das falhas de segurança nos sistemas modernos. Um estudo da Akamai apontou que 84% dos profissionais de segurança enfrentaram incidentes relacionados a APIs entre 2023 e 2024, refletindo um aumento contínuo nos últimos três anos. Essa crescente dependência tem gerado diversas preocupações com segurança.

As APIs desempenham um papel de extrema relevância na comunicação entre sistemas e na troca de dados, sendo importantes para o funcionamento de aplicativos móveis, plataformas de e-commerce e serviços em nuvem. No entanto, a grande exposição dessas interfaces às redes aumenta o risco de ataques, sendo exemplos de ameaças comuns a autenticação e autorização fracas, a exposição de dados confidenciais e a falta de controle adequado de acesso.

De acordo com o Relatório sobre o Estado da Segurança de API de 2025 da Salt Security, a rápida expansão dos ecossistemas de API –  impulsionada pela migração para a nuvem, integração de plataformas e monetização de dados – está superando as medidas de segurança existentes, expondo as empresas a riscos ainda maiores. “Com a ampliação da interconexão de aplicações e serviços online, as APIs se tornaram alvos atrativos para cibercriminosos, tornando a proteção dessas interfaces cada vez mais estratégica para a segurança de dados”, comenta Rogerio Rutledge,  DPO da Runtalent, empresa referência em tecnologia e serviços digitais.

O executivo destaca que, para proteger as APIs e evitar que elas sejam exploradas por cibercriminosos, as empresas precisam adotar estratégias robustas de segurança. “É preciso entender que as APIs são portas abertas para os dados da organização. Assim, proteger essas interfaces exige uma abordagem proativa, que vai além da autenticação básica e da criptografia de dados. Monitorar e auditar as APIs em tempo real, implementar controles rigorosos de acesso e adotar práticas de codificação segura são medidas fundamentais para garantir a integridade e a confidencialidade das informações”, explica.

Entre as principais práticas recomendadas para fortalecer a segurança das APIs, Rutledge destaca:

1. Autenticação e autorização fortes: Implementar autenticação multifatorial (MFA) e usar tokens de segurança como OAuth 2.0 para garantir que apenas usuários autorizados acessem as APIs.
2. Validação e sanitização de entradas: Realizar a validação rigorosa de todas as entradas e saídas para evitar a injeção de códigos maliciosos.
3. Uso de criptografia robusta: Garantir que todos os dados sensíveis, tanto em trânsito quanto em repouso, sejam criptografados com protocolos seguros como TLS e AES.
4. Monitoramento e auditoria contínuos: Implementar sistemas de monitoramento em tempo real para detectar atividades suspeitas e realizar auditorias regulares para garantir que as APIs não apresentem vulnerabilidades.
5. Testes de segurança regulares: Realizar testes de penetração e análise de vulnerabilidades nas APIs de forma contínua para identificar e corrigir falhas de segurança antes que possam ser exploradas.

O gestor ressalta que, com o aumento da dependência de APIs para o funcionamento de sistemas e serviços, as empresas precisam estar preparadas para os desafios crescentes de segurança que surgem nesse cenário. “O investimento em soluções eficazes de proteção é fundamental para proteger dados sensíveis e garantir a continuidade dos negócios. Negligenciar a proteção dessas interfaces pode expor organizações a prejuízos financeiros, danos à reputação e perdas irreversíveis de confiança. Portanto, adotar uma abordagem preventiva, automatizada e alinhada às melhores práticas do setor é o caminho mais seguro para manter a integridade dos sistemas e assegurar a resiliência digital das empresas”, finaliza o executivo.

Com o avanço acelerado da inteligência artificial generativa e a naturalização do trabalho digital em escala global, o phishing ganhou novas formas e complexidade. Se antes os golpes se restringiam a e-mails genéricos com links suspeitos, hoje eles simulam comunicações internas com impressionante realismo. Para se ter uma ideia dessa transformação, de acordo com relatório da KnowBe4, somente no primeiro trimestre de 2025, 60,7% das simulações clicadas no primeiro trimestre de 2025 imitavam comunicações de equipes internas, sendo que 49,7% mencionavam diretamente o setor de Recursos Humanos.

A frequência desses ataques também revela o quanto esse tipo de ciberataque se consolidou como uma ameaça constante e altamente eficaz. Segundo dados da GreatHorn, mais da metade das organizações (57%) relata lidar com tentativas de phishing diariamente ou pelo menos uma vez por semana. Já a CSO Online aponta que 80% dos incidentes de segurança cibernética reportados atualmente têm origem nesse tipo de golpe.

Para Vinicius Gallafrio, CEO da MadeinWeb, empresa referência em soluções digitais e inteligência artificial, os ataques de phishing deixaram de ser óbvios e evoluíram para se camuflar nas práticas do dia a dia corporativo. ”Mesmo com o avanço de tecnologias de proteção, o fator humano segue como a principal porta de entrada para invasores, explorando, sobretudo, a rotina e a pressa das equipes. Esses golpes exploram a linguagem comum entre colegas, imitam padrões visuais internos e simulam urgências típicas de lideranças ou do RH. O desafio está em perceber o que parece legítimo, mas não é. Por isso, mais do que tecnologia, precisamos cultivar uma cultura de segurança entre os colaboradores”, comenta.

Diante desse novo cenário, identificar comportamentos suspeitos exige atenção a sinais cada vez mais sutis. O primeiro passo é observar mudanças no tom da mensagem: pedidos urgentes, tom de cobrança inesperado e linguagem excessivamente formal ou fora do padrão da empresa são indícios comuns.

Outra característica marcante dos golpes mais recentes é o uso de horários estratégicos para envio, como início da manhã, finais de expediente ou períodos de maior volume de trabalho. O objetivo é capturar a atenção em momentos de menor vigilância. Além disso, ferramentas corporativas como mensageiros internos e plataformas de colaboração passaram a ser usadas como canal de disseminação de phishing, imitando interações autênticas entre colegas e gestores.

Com isso, o papel das equipes de segurança da informação vai além da aplicação de políticas técnicas ou da adoção de ferramentas robustas. É preciso estabelecer uma vigilância coletiva e constante, onde cada colaborador se reconheça como elo fundamental da defesa corporativa. A identificação de padrões sutis de fraude, o questionamento de comunicações atípicas e o reporte ágil de atividades suspeitas devem fazer parte do cotidiano organizacional.

“Nenhuma tecnologia, por mais avançada que seja, substitui o olhar atento de um time bem preparado. O phishing de 2025 não engana pela técnica, mas pelo contexto, e é nisso que precisamos estar atentos. A segurança digital começa onde termina a automatização: no senso crítico humano, na colaboração e na capacidade de questionar o que parece normal demais para ser verdade”, conclui

Tokens e senhas já não são os métodos favoritos para acessar dispositivos ou contas pessoais. Dando lugar às impressões digitais, reconhecimento facial e até à análise da voz, os sistemas biométricos representam a nova fronteira na autenticação de transações.

Mais de 4,2 bilhões de dispositivos móveis já utilizam algum tipo de biometria ativa, segundo a Juniper Research, e a previsão é que, até o final de 2026, 57% de todas as transações digitais globais serão validadas por esses métodos. No Brasil, a adesão à tecnologia também já é uma realidade palpável. Uma pesquisa da Accenture mostra que 73% dos consumidores brasileiros se sentem mais seguros usando biometria do que os tradicionais códigos numéricos em aplicativos bancários e carteiras digitais.

E, infelizmente, isso também atrai a atenção dos criminosos cibernéticos. “Com o avanço das tecnologias biométricas, especialmente o reconhecimento facial, empresas e governos vêm reforçando sistemas de segurança com identificações automáticas de indivíduos. No entanto, esse movimento é acompanhado pelo cibercrime na busca por técnicas sofisticadas, alimentadas por Inteligência Artificial, capazes de burlar os sistemas de autenticação”, explica Anchises Moraes, Head de Threat Intelligencena Apura Cyber Intelligence S.A.

Segundo o especialista em cibersegurança, criminosos utilizam desde impressoras de alta resolução até softwares para falsificar características biométricas, desafiando a proteção tecnológica de aplicativos bancários, serviços públicos e plataformas financeiras.

Esses ataques podem ser classificados em cinco níveis de complexidade. O nível 1 utiliza fotos digitais de alta resolução, vídeos em HD e até máscaras de papel, enquanto o nível 2 se baseia em bonecos realistas e máscaras 3D de látex ou silicone. Já no nível 3, os fraudadores recorrem a artefatos ultra-realistas e cabeças de cera. O nível 4 envolve a alteração de mapas faciais 3D para enganar os servidores de autenticação quanto à “prova de vida”. O estágio mais avançado, nível 5, inclui a injeção digital de imagens e vídeos diretamente nos dispositivos, ou mesmo o uso de deepfakes altamente convincentes, levando sistemas a aceitar a fraude como se fosse atividade orgânica do usuário legítimo.

Fraudes com deepfake e uso de identidades digitais sintéticas têm crescido no Brasil. Relatórios, como o da Deloitte publicado pelo portal Infochannel, apontam que o prejuízo econômico com fraudes movidas por inteligência artificial pode chegar a R$ 4,5 bilhões até final de 2025. Crescimentos de mais de 800% no uso de deepfakes já foram observados.

Na China, um caso emblemático escancarou o potencial destrutivo desses golpes. Um empregado de uma estatal foi induzido a transferir US$ 622 mil (cerca de R$ 3,1 milhões) após conversar por vídeo com quem acreditava ser seu próprio CEO. O fraudador usou deepfake em tempo real para replicar a imagem e voz da liderança da empresa, produzindo uma situação de extrema urgência para forçar as transferências. O golpe usou vídeos públicos do executivo para criar o avatar, e golpes similares vêm sendo relatados desde então.

Anchises esclarece, portanto, que as empresas de cibersegurança têm apostado em múltiplas camadas de proteção para mitigar essas ameaças. Uma das principais estratégias é a adoção de sistemas multimodais: combina-se dados de vídeo, áudio, sensores de temperatura, profundidade e análise comportamental, dificultando a ação dos golpistas. Sistemas avançados também integram detecção de deepfakes em tempo real e biometria comportamental, que monitora detalhes como velocidade de digitação, pressão sobre o touchscreen e até a forma como o dispositivo é manuseado.

Outras táticas envolvem técnicas de desafio e resposta  dinâmico, com desafios imprevisíveis gerados por IA (como pedir para piscar apenas um olho ou falar informações contextuais não planejadas), e a junção de provas de vida (“liveness”) passivas com ativas – mixando análises automáticas de vídeo com interações em tempo real. Ademais, cresce o monitoramento sistemático de vazamentos: equipes especializadas vasculham a dark web e bases de dados abertas em busca de imagens e perfis reciclados em novas tentativas de fraude. Apesar da sofisticação dos ataques, a resposta das empresas também evolui, demonstrando que a guerra pela identidade digital está apenas começando.

“Por isso se faz fundamental o trabalho desenvolvido pela Apura em conjunto com outras empresas de cibersegurança, ao monitorar as redes em busca de possíveis ameaças e, quando, infelizmente, um ataque for bem-sucedido, avaliar minuciosamente todos os fatores envolvidos para desenvolver e aprimorar ainda mais as táticas defensivas contra cibercriminosos que querem explorar as vulnerabilidades do uso de biometrias”, finaliza o especialista da Apura Cyber Intelligence.

Sobre a Apura Cyber Intelligence, acesse: https://apura.com.br

https://www.identy.io/pt-br/fraudes-causadas-por-ia-podem-causar-prejuizos-economicos-de-cerca-de-r-45-bilhoes-ao-brasil-em-2025

Mesmo com o avanço da tecnologia e da inteligência artificial, falhas humanas como senhas fracas e configurações incorretas em nuvem continuam sendo o principal gatilho de ataques, causando prejuízos milionários às empresas. Para se ter uma ideia, segundo dados da IBM, o custo médio de uma violação de dados no Brasil chegou a R$7,19 milhões, sendo o phishing, responsável por 16% das violações, e o uso indevido de IA os vetores mais comuns. O relatório aponta ainda que, no cenário global, o prejuízo médio por ataque chega a US$4,44 milhões, evidenciando que o impacto financeiro das violações permanece elevado independentemente da região.

Segundo especialistas, o cenário se torna ainda mais crítico porque, quanto mais avançadas e complexas são as tecnologias, maior é o impacto de erros simples cometidos por pessoas. Além disso, outro relatório da IBM aponta que 63% das empresas afetadas não possuem políticas consolidadas de governança de IA, o que aumenta o risco de erros na operação de tecnologias críticas.

Para Rafael Dantas, Head de Cibersegurança da TLD, empresa referência em tecnologia, esses números mostram que a vulnerabilidade humana deixou de ser um tema comportamental e passou a ser uma questão estratégica. “A tecnologia evoluiu, mas o ponto de falha mais explorado ainda é o comportamento das pessoas. Quando uma empresa ignora treinamento, governança e orientação contínua, ela amplia exponencialmente a probabilidade de que um erro cotidiano se transforme em um incidente milionário”, afirma.

A análise global da Fortinet reforça esse movimento ao mostrar que configurações em nuvem permanecem entre as principais portas de entrada para ataques. Permissões abertas, identidades mal definidas, senhas padrão e chaves expostas seguem sendo falhas humanas que facilitam acessos indevidos. Para completar, o relatório identificou um aumento de 500% na circulação de credenciais corporativas roubadas em fóruns clandestinos, impulsionado por hábitos inseguros de colaboradores.

O preparo adequado reduz tanto ataques externos quanto violações internas. “Mesmo com o avanço técnico das ameaças — que hoje exploram IA, automação e ataques cada vez mais sofisticados — grande parte dos incidentes ainda nasce do básico: um clique em link malicioso, uma credencial exposta ou um desvio de procedimento. O investimento em tecnologia precisa caminhar junto com a capacitação contínua. Segurança não é só sobre ferramentas. É sobre comportamento, cultura e repetição diária.”, comenta Rafael Dantas.

Treinamentos contínuos, simulações, revisão de permissões, processos robustos de governança e cultura ativa de reporte são os elementos que reduzem drasticamente a superfície de ataque. Empresas que conseguem engajar suas equipes em segurança têm resultados concretos: menos incidentes, respostas mais rápidas e danos menores. Pessoas preparadas são, hoje, o maior diferencial para reduzir riscos.

Em um cenário em que ataques se tornam mais rápidos e automatizados, o maior desafio continua sendo humano. Capacitar pessoas deixou de ser uma iniciativa periférica e se tornou uma das principais medidas para proteger operações, reputação e continuidade das empresas.