Sinopse: Por que a falha que tirou do ar sites de governos em três continentes deveria mudar a forma como o setor público brasileiro compra, constrói e aposenta sistemas.

Na quarta-feira, 21 de outubro de 2026, a Anatel suspendeu o acesso externo ao SEI. O TRF1 fez o mesmo, e a Justiça Federal da 4ª Região interrompeu sistemas digitais. Na Holanda, saíram do ar o portal do governo, o Porto de Roterdã e hospitais. Nenhum desses órgãos tinha sido invadido. Desligaram por precaução, porque não conseguiam saber, com a rapidez necessária, se estavam expostos.

A causa foi o PHP2Shell com duas falhas críticas no interpretador do PHP (CVE-2026-109618 e CVE-2026-109619, nota 9,2 no CVSS v4.0). O PHP está presente em cerca de 70% dos sites cuja tecnologia de servidor é identificável. As falhas permitem executar código no servidor sem login e, em algumas configurações, antes que a aplicação rode uma única linha. Todas as versões desde a 5.4, de 2012, são afetadas.

Os detalhes vazaram um dia antes da correção, e as tentativas de exploração, aceleradas por IA, começaram horas depois da publicação. O episódio foi tratado como emergência técnica. Quem trabalha com governança deveria observa-lo como um teste de estresse não programado da gestão de ativos, da arquitetura e da responsabilidade sobre dados de cidadãos. O que já sabemos é que muitos órgãos não passaram nesse teste.

O problema não é o PHP

O projeto PHP corrigiu as falhas em 21 de outubro para as quatro versões suportadas, da 8.2 à 8.5. O problema está no que não tem como ser corrigido, pois temos sistemas rodando versões que o projeto abandonou há anos e a tempos a substituição é indicada. Portanto, seria cômodo culpar a linguagem, mas seria muito errado.

Os números das varreduras públicas são duros. Uma simples contagem no Shodan feita em 20 de outubro encontrou cerca de 884 mil servidores expostos à internet com versões do PHP fora de suporte. Isso é 59% de todos os servidores que revelam a versão. Cerca de 371 mil rodam PHP 5.6 ou 7.2, para os quais não existe correção oficial alguma. Na web como um todo, a W3Techs registrava em agosto que 37,5% dos sites em PHP ainda usavam gerações encerradas.

O setor público aparece com clareza onde há dados. Em poucas horas, usando ferramentas abertas, o Centro Nacional de Resposta a Incidentes da Colômbia, encontrou servidores de domínios .gov.co com versões do PHP de mais de 15 anos. No Brasil, a evidência está na própria reação, sistemas como SEI, eproc e outros, que rodam sobre PHP, foram suspensos justamente por causa dessa dependência.

Em gestão, podemos chamar isso de dívida técnica. Ao contrário da dívida financeira, ela não aparece no balanço. Acumula juros em silêncio até que alguém a cobre de uma vez. Esta cobrança ficou mais rápida. A Wiz encontrou a primeira dessas falhas em 19 de agosto, com ferramentas próprias e modelos de IA de fronteira, e o defeito estava no código havia mais de uma década. O que antes exigia meses de pesquisa especializada passa a levar dias. Sistemas legados, que contavam com a obscuridade como proteção, perderam essa camada de segurança.

Dados de cidadãos não aceitam “sistema antigo” como justificativa

O Governo é o maior controlador de dados pessoais do país. Um processo administrativo pode conter CPF, endereço, laudos de perícia médica, informações fiscais, dados de crianças e registros disciplinares. Boa parte são dados pessoais sensíveis, conforme o art. 5º, II, da LGPD.

A lei não permite tratar a obsolescência como problema exclusivo da TI. Três dispositivos merecem leitura atenta de qualquer dirigente público:

• Art. 6º, VII e VIII: segurança e prevenção são princípios da lei, não recomendações.
• Art. 46: o controlador deve adotar medidas técnicas e administrativas aptas a proteger os dados. O §2º exige que essas medidas sejam observadas desde a concepção do produto ou serviço até a sua execução. Basicamente, trata-se do privacy by design escrito na lei.
• Art. 49: os sistemas usados no tratamento devem ser estruturados para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da lei.

Um sistema que depende de um runtime sem suporte, para o qual uma falha crítica conhecida não terá correção, dificilmente atende ao art. 49. Mantê-lo em produção, tratando dados sensíveis e exposto à internet, deixa de ser uma limitação técnica. Passa a ser uma decisão de risco, e toda decisão de risco tem um responsável.

Há um ponto que costuma passar despercebido. Para órgãos públicos, a LGPD não prevê multa, mas prevê publicização da infração, bloqueio e eliminação dos dados (art. 52, §3º). Bloquear os dados de um sistema que sustenta um serviço público equivale, na prática, a interromper o serviço. Somam-se a isso o dever de comunicar incidentes à ANPD e aos titulares (art. 48 e Resolução CD/ANPD nº 15/2024) e a responsabilização de gestores perante os órgãos de controle.

Secure by Design: a segurança é responsabilidade de quem constrói

O conceito ganhou força em 2023, quando a CISA, agência de cibersegurança dos EUA, e parceiros de vários países publicaram os princípios de Secure by Design. A ideia central é simples, que o ônus da segurança não pode ficar com quem usa o sistema, na verdade deve ser assumido por quem o projeta, constrói e mantém. Os princípios são três, e cada um tem uma tradução direta para o setor público:

1. Assumir os resultados de segurança do cliente. No Estado, o cliente final é o cidadão, cujo dado está no sistema e que não tem como escolher outro fornecedor.
2. Transparência radical e responsabilização. Saber e informar quais componentes existem, quais vulnerabilidades conhecidas carregam e como estão sendo tratadas.
3. Liderança a partir do topo. Segurança como objetivo institucional, com patrocínio da alta direção, e não como tarefa delegada à equipe de infraestrutura.

O PHP2Shell traz uma lição técnica que reforça essa agenda. As falhas são de segurança de memória, como use-after-free, no interpretador, que é escrito em C. A aplicação em PHP pode ter sido escrita com todo o cuidado e, mesmo assim, herdar a vulnerabilidade do runtime. Não por acaso, a própria CISA vem pedindo aos fabricantes roteiros de migração para linguagens com segurança de memória.

Para o gestor público, a consequência prática é que o runtime, o sistema operacional e as bibliotecas fazem parte do sistema. Precisam estar no inventário, no contrato e no planejamento de ciclo de vida.

No Estado, Secure by Design começa na contratação. A segurança precisa entrar no estudo técnico preliminar e no termo de referência das contratações regidas pela Lei 14.133/2021, como requisito verificável. Não como cláusula genérica de “atender às boas práticas”, mas com exigências concretas:

• componentes em versões suportadas durante toda a vigência do contrato;
• prazo máximo para aplicar correções críticas;
• entrega de lista de componentes de software (SBOM) a cada versão;
• configurações seguras por padrão;
• testes de segurança antes de cada liberação.

Desenvolvimento seguro é processo, não ferramenta

Utilizar um testador de vulnerabilidades não é ter desenvolvimento seguro. O que muda o resultado é um ciclo de vida em que a segurança tem etapas, responsáveis e evidências. Não faltam referências para estruturar isso:

Referência	O que oferece	Uso prático no órgão
NIST SP 800-218 (SSDF)	Práticas em quatro grupos: preparar a organização, proteger o software, produzir software seguro e responder a vulnerabilidades	Base para exigências contratuais a fornecedores e fábricas de software
OWASP SAMM	Modelo de maturidade com níveis mensuráveis por prática	Diagnóstico inicial e metas anuais de evolução
ISO/IEC 27001:2022, Anexo A	Controles 8.8 (vulnerabilidades técnicas), 8.25 a 8.29 (ciclo de desenvolvimento, requisitos, arquitetura, codificação e testes seguros) e 8.30 (desenvolvimento terceirizado)	Integração ao sistema de gestão e à auditoria interna
CISA Secure by Design	Princípios e práticas a evitar, como vulnerabilidades conhecidas não tratadas e senhas padrão	Linguagem comum entre alta direção, TI e fornecedores

 

O que essas referências têm em comum, e que o PHP2Shell deixou exposto, é a gestão de dependências. Um sistema não é apenas o código contratado. É também o runtime, o servidor web, o sistema operacional e dezenas de bibliotecas. Sem uma lista de componentes (SBOM) e sem acompanhar o fim de vida de cada um, o órgão só descobre que está exposto quando o CERT publica o alerta.

O próximo fim de vida já tem data. O PHP 8.2, uma das versões corrigidas agora, perde o suporte em 31 de dezembro de 2026. Quem atualizou às pressas para a 8.2 está a pouco mais de dois meses de voltar ao mesmo lugar.

Atualizar, encapsular ou substituir

Nem todo sistema legado precisa ser reescrito, e nem todo pode esperar. A decisão deve considerar dois eixos: a criticidade dos dados e do serviço que o sistema sustenta, e a viabilidade de mantê-lo em uma base suportada. Sistemas que tratam dados sensíveis e não têm caminho de atualização são a prioridade de substituição. Os demais seguem para atualização ou encapsulamento, sempre com prazo.

• Alta criticidade com atualização viável. A decisão deve ser atualizar já. Migrar runtime e aplicação para versões suportadas, com testes de regressão e janela planejada. É o caminho de menor custo e deve ser a prioridade imediata.
• Alta criticidade com atualização inviável. A decisão é substituir. Um sistema que trata dados sensíveis e não tem como ser atualizado é o candidato prioritário à troca, com plano, prazo e orçamento. Até lá, fica encapsulado.
• Baixa criticidade com a atualização viável. Planejar para atualizar no ciclo regular, dentro da gestão de mudanças e com monitoramento do fim de vida.
• Baixa criticidade, atualização inviável. Propor para encapsular ou desativar. Retirar da internet, colocar atrás de VPN ou WAF, restringir acesso e registrar a exceção com dono e prazo. Muitas vezes, a melhor resposta é simplesmente “desligar”.

Em qualquer quadrante, aceitar o risco só é legítimo como decisão formal da alta direção, com prazo de validade. Nunca por omissão.

A agenda do CISO público

O PHP2Shell vai sair do noticiário, mas a dívida técnica continua. Proponho uma agenda em três horizontes, que pode ser adaptada ao porte e à maturidade de cada órgão.

1) Próximos 90 dias

1. Inventariar todos os ativos que executam PHP e outros runtimes, inclusive sistemas de terceiros, hospedagem contratada e equipamentos, com versão e grau de exposição.
2. Confirmar que as correções do PHP2Shell foram aplicadas e procurar indícios de comprometimento a partir de 20 de outubro, quando os detalhes vazaram.
3. Classificar cada sistema nos quatro caminhos acima e registrar os riscos aceitos, com responsável e prazo.
4. Cruzar o inventário com o encarregado de dados para identificar quais sistemas legados tratam dados sensíveis.

2) Em 12 meses

1. Aprovar uma política de ciclo de vida de componentes: nenhum sistema em produção com runtime fora de suporte sem exceção formal.
2. Padronizar cláusulas de segurança nos termos de referência: versões suportadas, prazo para correções críticas, SBOM e testes.
3. Fazer o diagnóstico de maturidade com o OWASP SAMM e fixar metas anuais.
4. Levar indicadores à alta direção: percentual de sistemas em versões suportadas, tempo médio para corrigir vulnerabilidades críticas e exceções vencidas.

3) Em 36 meses

1. Executar o plano de substituição dos sistemas críticos sem caminho de atualização, com recursos previstos no planejamento orçamentário.
2. Incorporar o desenvolvimento seguro, alinhado ao SSDF, a todas as contratações e equipes internas.
3. Exercitar periodicamente o cenário de “falha crítica pública sem correção disponível”, com critérios pré-aprovados para tirar serviços do ar.

O preço de esperar

O PHP2Shell levou dois meses entre a descoberta e a correção. O próximo pode ser descoberto em dias e explorado em horas, porque as mesmas ferramentas de IA usadas pelos pesquisadores também estão ao alcance dos atacantes. A janela entre a divulgação e o ataque está encolhendo, e os sistemas legados estão do lado errado dela.

Os órgãos que tiraram sites do ar fizeram a escolha certa naquele momento. Mas desligar porque não se sabe o que está exposto é sintoma de falha de governança, e não sinal de prudência. O cidadão que entrega seus dados ao Estado não pode trocar de fornecedor, e isso torna a obrigação do poder público maior, não menor.

Atualizar ou substituir sistemas legados custa caro e não rende inauguração. Mas custa menos do que explicar à ANPD, ao Tribunal de Contas e à sociedade por que um dado sensível vazou por uma falha que tinha data de validade conhecida.

Referências

• Wiz Research – PHP2Shell
• Google Cloud – Responding to core PHP vulnerabilities
• The Hacker News – PHP Issues Emergency Patches
• Greenbone – PHP2Shell e versões fora de suporte
• CybelAngel – exposição por versão
• IONIX – versões afetadas e fim de vida do PHP 8.2
• W3Techs – uso do PHP por versão
• Impacto TIC – alerta do Colcert
• Canaltech – Anatel e tribunais suspendem sistemas
• The Next Web – governos europeus tiram sites do ar
• Lei nº 13.709/2018 (LGPD)
• CISA – Secure by Design
• NIST SP 800-218 – Secure Software Development Framework
• OWASP SAMM

Sinopse

A proteção de infraestruturas críticas depende de muito mais do que criptografar dados e impedir acessos não autorizados. Em ambientes industriais, uma comunicação que não chega ao destino, um comando que sofre atraso ou um equipamento de rede comprometido podem interferir diretamente na operação de bombas, válvulas, sistemas de distribuição elétrica e outros processos físicos.

Motivação

A crescente integração entre redes industriais, sistemas corporativos e serviços em nuvem amplia essas dependências e introduz novos desafios para a segurança cibernética. O problema não está apenas em quem consegue entrar em um sistema, mas também em quem pode interferir nas comunicações das quais esse sistema depende para funcionar.

Uma pesquisa divulgada pelo Homeland Security Newswire, em 16 de outubro de 2026, ilustra esse cenário ao descrever uma técnica denominada ICS-Sniper, direcionada às comunicações de sistemas industriais. O estudo oferece uma oportunidade para discutir os limites dos controles tradicionais e a importância de integrar arquitetura segura, inteligência de ameaças e resiliência operacional.

A superfície de ataque não termina no perímetro da planta

Sistemas de controle industrial, conhecidos como ICS (Industrial Control Systems), são utilizados para monitorar e controlar processos físicos. Entre eles estão os sistemas SCADA (Supervisory Control and Data Acquisition), além dos sistemas aplicados em controladores lógicos programáveis (PLC), unidades terminais remotas (RTU) e interfaces homem-máquina (HMI).

Esses componentes desempenham funções diferentes, mas dependem da troca confiável e tempestiva de informações. Sensores fornecem dados sobre o processo, controladores executam lógicas de operação e sistemas de supervisão permitem que operadores acompanhem condições e intervenham quando necessário.

Historicamente, muitos ambientes industriais foram projetados para operar de maneira isolada. A necessidade de integração com sistemas corporativos, acesso remoto, manutenção especializada e serviços em nuvem ampliou a conectividade e, consequentemente, a superfície de ataque. Essa transformação não significa que a conectividade deva ser eliminada. Ela exige que cada conexão seja compreendida, justificada, monitorada e protegida de acordo com o risco operacional.

Um roteador, um gateway industrial ou um equipamento utilizado para conectar uma planta a um serviço externo pode representar um ponto relevante nessa arquitetura. Com esse componente comprometido, o impacto não precisa se limitar ao equipamento, pois pode alcançar as comunicações necessárias ao funcionamento de processos físicos. A segurança industrial, portanto, precisa considerar não apenas os ativos finais, mas também os caminhos pelos quais circulam os dados e os comandos que sustentam a operação.

ICS-Sniper: quando o tráfego criptografado se torna um ponto de exploração

A notícia publicada pelo Homeland Security Newswire apresenta uma técnica de ataque chamada ICS-Sniper, associada à possibilidade de interferir seletivamente nas comunicações entre instalações industriais e sistemas de monitoramento ou controle conectados à nuvem. O cenário descrito depende do comprometimento prévio de um roteador situado no caminho da comunicação. A partir desse ponto, o atacante pode observar características do tráfego, como o tamanho dos pacotes e os momentos em que são transmitidos, mesmo quando o conteúdo está criptografado.

Essas características podem revelar padrões de comunicação. Quando determinadas mensagens aparecem de maneira previsível, torna-se possível tentar identificá-las por seus padrões externos e interferir seletivamente em sua entrega. O aspecto relevante é que esse tipo de ataque não exige necessariamente a quebra da criptografia. O objetivo é interferir na disponibilidade da comunicação, e não, obrigatoriamente, ler ou modificar o conteúdo protegido.

Segundo o artigo, testes laboratoriais com modelos de sistemas de tratamento de água demonstraram efeitos operacionais associados à interrupção de comunicações, incluindo atraso no início do bombeamento de água tratada e prolongamento do estado de abertura de uma válvula simulada. Esses resultados devem ser interpretados com precisão. Trata-se de efeitos demonstrados experimentalmente, não de evidência de que a mesma técnica tenha sido utilizada contra uma instalação real. A possibilidade de reproduzir consequências semelhantes depende da arquitetura, dos protocolos, das salvaguardas existentes e das características do processo industrial.

Ainda assim, a pesquisa evidencia um problema importante, pois proteger o conteúdo de uma mensagem não garante que ela chegará ao destino no momento necessário.

Do pacote de rede ao impacto físico

Em ambientes industriais, a relação entre comunicação digital e processo físico é direta. Uma mensagem pode carregar uma medição, uma solicitação de atuação, uma atualização de estado ou uma informação necessária à coordenação de diferentes componentes. A perda ou o atraso dessas mensagens pode produzir efeitos distintos, conforme o processo envolvido. Uma estação de tratamento pode perder temporariamente a capacidade de acompanhar determinadas variáveis. Um sistema de bombeamento pode operar com informações desatualizadas. Em instalações elétricas, a perda de comunicação entre equipamentos pode comprometer funções de supervisão e coordenação. Esses efeitos não são automáticos. Sistemas industriais bem projetados possuem alarmes, intertravamentos, proteções independentes e mecanismos de operação segura. O impacto depende da função afetada, do tempo de indisponibilidade, das dependências entre componentes e da capacidade de resposta do sistema.

Para a análise de riscos, é útil representar a possível cadeia de consequências:

 

1. Equipamento de comunicação comprometida
2. Interferência no Fluxo de Mensagens
3. perda de informação ou coordenação
4. alteração das condições operacionais
5. possível impacto sobre o serviço.

Essa cadeia é um modelo de análise, não uma sequência inevitável. Seu valor está em ajudar a identificar onde uma falha cibernética pode atravessar a fronteira entre o ambiente digital e o processo físico.

Por essa razão, a avaliação de segurança precisa incluir consequências operacionais, e não apenas a quantidade de dados expostos ou o número de sistemas acessados.

Modelo Purdue e ISA/IEC 62443

Uma das referências utilizadas para compreender a organização de redes industriais é o modelo Purdue, associado à arquitetura de referência de sistemas de produção. Ele representa diferentes níveis funcionais, desde os dispositivos de campo e controladores até a supervisão, as operações industriais e os sistemas corporativos.

Em arquiteturas atuais, uma zona desmilitarizada industrial, ou DMZ industrial, pode ajudar a intermediar a troca de informações entre o ambiente industrial e as redes corporativas ou externas. Essa separação reduz a necessidade de conexões diretas e permite aplicar controles específicos a cada fluxo. Entretanto, a simples existência de uma DMZ não garante segurança. Regras de comunicação inadequadas, equipamentos vulneráveis e acessos administrativos excessivos podem preservar caminhos de ataque.

A ISA/IEC 62443 complementa essa abordagem ao estabelecer princípios e requisitos para a segurança de sistemas de automação e controle industrial. Entre seus conceitos estão a avaliação de riscos, a definição de zonas e condutos e a aplicação de requisitos de segurança compatíveis com as necessidades de cada ambiente. Na prática, algumas medidas merecem atenção:

• Identificar e documentar os equipamentos que conectam a planta a redes externas e serviços em nuvem.
• Restringir comunicações aos fluxos efetivamente necessários para a operação.
• Proteger interfaces administrativas e acessos remotos com autenticação forte, privilégios mínimos e registros de atividade.
• Monitorar alterações de configuração, atualizações de firmware e comportamentos anormais nos equipamentos de rede.
• Avaliar caminhos alternativos de comunicação e os riscos introduzidos por mecanismos de redundância.

A arquitetura deve ser analisada de ponta a ponta. Segmentar a rede reduz a exposição e limita a propagação de incidentes, mas precisa ser combinado com monitoramento, gestão de vulnerabilidades e mecanismos de continuidade operacional.

Inteligência de Ameaças Cibernéticas

A Inteligência de Ameaças Cibernéticas (CTI) contribui para transformar informações sobre técnicas, vulnerabilidades e comportamentos adversários em decisões defensivas. No contexto industrial, isso exige compreender as características dos equipamentos, os protocolos utilizados, as dependências entre sistemas e as consequências que uma interrupção pode produzir.

O MITRE ATT&CK for ICS oferece uma base para organizar táticas e técnicas associadas a ambientes de controle industrial. Sua matriz inclui comportamentos relacionados ao bloqueio de comunicações, à perda de disponibilidade e à interferência no controle de processos. Essa referência pode apoiar a construção de hipóteses de investigação e a identificação de lacunas de detecção. Entretanto, a associação de um incidente a uma técnica específica exige evidências. Uma falha de comunicação, isoladamente, não comprova a presença de um adversário.

Para investigar situações suspeitas, a CTI pode orientar a correlação de diferentes fontes de informação:

• Registros de roteadores, firewalls e gateways industriais.
• Alterações de configuração e sessões administrativas não habituais.
• Perdas, atrasos ou interrupções de pacotes fora dos padrões operacionais.
• Alarmes de processo e divergências entre comandos enviados e estados observados.
• Eventos de autenticação e atividades incomuns em acessos remotos.
• Informações sobre vulnerabilidades conhecidas dos equipamentos envolvidos.

A análise precisa distinguir fatos confirmados, hipóteses e lacunas de informação. Essa disciplina evita conclusões precipitadas e ajuda a direcionar a coleta de evidências para as questões mais relevantes.

Outro ponto importante é a relação entre segurança cibernética e engenharia de controle. Uma anomalia de rede pode ter origem em uma falha técnica, uma mudança operacional legítima ou uma ação maliciosa. A investigação deve considerar essas possibilidades antes de atribuir a causa do evento.

Resiliência operacional: detectar, conter e continuar operando

A proteção de infraestruturas críticas precisa ir além da prevenção. Mesmo com controles adequados, falhas de equipamentos, erros de configuração e incidentes cibernéticos podem ocorrer. A capacidade de manter condições seguras e recuperar os serviços deve fazer parte do planejamento.

Quatro frentes ajudam a estruturar essa capacidade.

• Prevenção. Manter inventários atualizados, avaliar vulnerabilidades, reduzir conexões desnecessárias e proteger os equipamentos que transportam comunicações operacionais. A gestão de riscos deve considerar tanto os ativos industriais quanto os componentes de rede e os serviços externos dos quais dependem.
• Detecção. Estabelecer uma linha de base do comportamento normal das comunicações e correlacionar dados de rede com eventos do processo. A detecção de atrasos, perdas seletivas de mensagens e divergências entre comandos e estados físicos pode ajudar a identificar incidentes que não seriam percebidos por ferramentas tradicionais de segurança de TI.
• Contenção. Definir procedimentos para isolar componentes comprometidos sem provocar riscos adicionais ao processo. A decisão de interromper uma conexão industrial precisa considerar as consequências para a segurança física, a continuidade do serviço e os mecanismos de proteção existentes.
• Continuidade e recuperação. Testar procedimentos de operação local, redundância, restauração de configurações e recuperação de equipamentos. Os testes devem verificar se as alternativas de contingência realmente mantêm o processo em condições seguras e se a retomada da conectividade não reintroduz o problema.

Essas medidas precisam ser desenvolvidas em conjunto por profissionais de segurança cibernética, engenharia, operação e gestão de riscos. Em ambientes industriais, uma resposta tecnicamente correta do ponto de vista da rede pode ser inadequada se desconsiderar os requisitos do processo físico.

O contexto brasileiro

No Brasil, a proteção de infraestruturas críticas deve ser analisada à luz da Política Nacional de Segurança de Infraestruturas Críticas, da Estratégia Nacional de Segurança de Infraestruturas Críticas e dos instrumentos aplicáveis a cada setor.

No setor elétrico, a Resolução Normativa ANEEL nº 964/2021 constitui uma referência regulatória de segurança cibernética para os agentes abrangidos por suas disposições. Sua aplicação deve ser examinada em conjunto com os requisitos e procedimentos vigentes do setor.

Para sistemas de água e saneamento, as referências técnicas internacionais, como os materiais da Agência de Proteção Ambiental dos Estados Unidos (EPA), podem apoiar avaliações de risco, preparação para incidentes e planejamento de recuperação. Sua utilização no Brasil deve respeitar as características regulatórias e operacionais locais. A adoção de referências internacionais não substitui a análise das obrigações nacionais. Ela oferece, contudo, uma base técnica para identificar boas práticas e estruturar controles compatíveis com o risco.

O desafio é integrar governança, engenharia e segurança cibernética em um modelo de proteção que considere a continuidade dos serviços essenciais como um objetivo operacional.

Conclusão

A pesquisa sobre o ICS-Sniper chama atenção para uma dimensão frequentemente subestimada da segurança industrial: a possibilidade de interferir em comunicações sem necessariamente quebrar a criptografia ou comprometer diretamente os controladores.

O caso reforça que a segurança de infraestruturas críticas depende de múltiplas camadas de proteção. Criptografia, segmentação, segurança dos equipamentos de rede, monitoramento comportamental e mecanismos de continuidade possuem funções complementares. Nenhum desses controles, isoladamente, assegura a disponibilidade de um processo industrial. A proteção precisa considerar os caminhos de comunicação, as dependências tecnológicas e as consequências físicas que uma falha pode produzir.

Nesse cenário, a CTI oferece uma contribuição importante ao conectar pesquisas, vulnerabilidades, técnicas adversárias e evidências operacionais. Seu valor está em apoiar decisões fundamentadas, priorizar riscos e orientar a investigação antes que uma anomalia se transforme em uma interrupção relevante.

A questão estratégica não é apenas saber se os dados estão protegidos durante a transmissão. É também verificar se os sistemas conseguem reconhecer uma comunicação comprometida, responder com segurança e preservar a continuidade das operações.

Em infraestruturas críticas, a segurança cibernética precisa proteger não apenas a informação que circula, mas também a capacidade de manter os serviços essenciais funcionando de maneira segura e confiável.

Referências

1. Homeland Security Newswire. Researchers uncover new cyber threat to water and energy networks. 16 out. 2026.
2. National Institute of Standards and Technology (NIST). Guide to Operational Technology (OT) Security. Special Publication 800-82, Revision 3, setembro de 2023.
3. International Society of Automation (ISA) / International Electrotechnical Commission (IEC). Série ISA/IEC 62443 — Security for Industrial Automation and Control Systems.
4. MITRE. ATT&CK for Industrial Control Systems. Base de conhecimento sobre táticas e técnicas de adversários em ambientes industriais.
5. U.S. Environmental Protection Agency (EPA). Cybersecurity for the Water Sector. Orientações para avaliação de riscos, preparação e resposta a incidentes em sistemas de água e saneamento.
6. Brasil. Decreto nº 9.573, de 22 de novembro de 2018. Política Nacional de Segurança de Infraestruturas Críticas.
7. Brasil. Decreto nº 10.569, de 9 de dezembro de 2020. Estratégia Nacional de Segurança de Infraestruturas Críticas.
8. Brasil. Decreto nº 11.200, de 15 de setembro de 2022. Plano Nacional de Segurança de Infraestruturas Críticas.
9. Agência Nacional de Energia Elétrica (ANEEL). Resolução Normativa nº 964, de 14 de dezembro de 2021. Política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica.

Sinopse: A fiscalização da ANPD, a proteção de crianças e adolescentes e o uso da inteligência artificial exigem dos órgãos estaduais uma gestão de dados capaz de proteger direitos, fundamentar decisões administrativas e demonstrar o cumprimento da legislação.

A proteção de dados pessoais ocupa um espaço cada vez mais relevante na gestão pública. O Mapa de Temas Prioritários da Autoridade Nacional de Proteção de Dados (ANPD) para o biênio 2026–2027 aponta quatro áreas de atenção:

• os direitos dos titulares;
• a proteção de crianças e adolescentes no ambiente digital;
• o tratamento de dados pelo Poder Público; e
• o uso da inteligência artificial e de tecnologias emergentes.

Esses temas têm implicações diretas para a Administração Pública estadual. Além de cumprir a Lei Geral de Proteção de Dados Pessoais (LGPD), os órgãos precisam conciliar a proteção dos cidadãos com as suas competências legais, a transparência administrativa, a continuidade dos serviços e a responsabilidade pelo uso dos recursos públicos.

Nesse cenário, a publicação de políticas e normas internas, embora necessária, não resolve todos os problemas. A Administração precisa demonstrar como as regras são aplicadas no cotidiano, quem responde por cada atividade e quais controles existem para evitar irregularidades. Essa comprovação depende de processos bem definidos, registros confiáveis e responsabilidades distribuídas de acordo com as atribuições de cada área. Algumas prioridades merecem atenção dos gestores estaduais:

• o atendimento aos direitos dos titulares;
• a proteção de crianças e adolescentes; e
• a governança da inteligência artificial.

O tratamento de dados pelo Poder Público deve ser considerado em todas elas, pois envolve questões jurídicas, administrativas e tecnológicas que não podem ser resolvidas isoladamente.

1. Direitos dos titulares: atendimento organizado e responsabilidades definidas

Os artigos 18 e 19 da LGPD estabelecem direitos dos titulares e regras para o atendimento de determinadas solicitações. Na Administração Pública estadual, o cumprimento dessas obrigações pode ser trabalhoso. As informações estão distribuídas entre sistemas legados, bases de dados independentes e diferentes unidades administrativas. Em alguns casos, o atendimento também depende de informações mantidas por outros órgãos ou mesmo empresas contratadas.

Por esse motivo, um endereço eletrônico ou um canal de atendimento, por si só, não garante o cumprimento da lei. O órgão precisa de um procedimento que permita registrar cada solicitação, identificar os dados envolvidos, encaminhar a demanda às unidades responsáveis e acompanhar os prazos até a conclusão.

O encarregado pelo tratamento de dados pessoais ou os pontos focais dos órgãos tem papel importante nessa articulação, especialmente na orientação das unidades e no acompanhamento das medidas necessárias. Sua atuação, contudo, não substitui as responsabilidades das áreas que coletam, utilizam, armazenam ou compartilham as informações. A participação da tecnologia da informação, da segurança da informação, das áreas finalísticas e da assessoria jurídica também deve ocorrer conforme a natureza de cada demanda.

Os próprios registros de atendimento podem servir como evidência de conformidade. Datas de recebimento e resposta, encaminhamentos, justificativas e comunicações com os titulares permitem verificar se os procedimentos foram observados e identificar eventuais falhas. Indicadores como o percentual de solicitações atendidas no prazo, o tempo médio de resposta e o volume de demandas pendentes ajudam a avaliar os resultados e a localizar pontos de atraso. O desafio está em assegurar que qualquer cidadão consiga exercer seus direitos por meio de um processo institucional confiável, mesmo quando as informações estão distribuídas entre diferentes unidades e sistemas.

2. Crianças e adolescentes: proteção incorporada aos serviços digitais

Serviços estaduais de educação, saúde, assistência social, segurança pública e inclusão podem tratar dados pessoais de crianças e adolescentes em diferentes etapas do atendimento. A proteção desses dados exige atenção às características dos titulares, às finalidades do tratamento e às consequências de eventual exposição ou utilização inadequada das informações.

O artigo 14 da LGPD determina que o tratamento de dados pessoais de crianças e adolescentes observe seu melhor interesse. A Lei nº 15.211/2025, conhecida como ECA Digital, também estabelece medidas de proteção de crianças e adolescentes no ambiente digital. A aplicação dessas regras deve considerar as características de cada serviço e as disposições legais pertinentes.

Na Administração Pública, a análise não pode se limitar à existência de uma autorização dos responsáveis. CAbe a verificação da competência legal do órgão, a finalidade do tratamento, a base legal aplicável e as exigências específicas de proteção dos menores. O consentimento dos pais ou responsáveis legais não é uma exigência exigível para todas as operações, pois sua necessidade depende das circunstâncias e do enquadramento jurídico de cada caso.

A proteção precisa fazer parte do planejamento dos serviços, desde a concepção de uma nova solução até a revisão de plataformas já utilizadas. A coleta deve se restringir aos dados necessários para a finalidade prevista. Os acessos precisam ser compatíveis com as atribuições dos usuários, e os compartilhamentos devem ter justificativa e controles adequados.

Os contratos com fornecedores de tecnologia merecem atenção especial. Plataformas educacionais, aplicativos, sistemas de atendimento e serviços terceirizados podem envolver diferentes agentes no tratamento das informações. O órgão precisa conhecer as responsabilidades de cada parte, as condições de acesso aos dados, as medidas de segurança e os procedimentos previstos para incidentes.

A documentação dessas decisões permite demonstrar como os riscos foram avaliados e quais medidas foram adotadas. Registros das bases legais, avaliações de risco, controles de acesso e justificativas para o compartilhamento devem acompanhar a gestão do serviço.

A proteção de crianças e adolescentes, portanto, não deve ficar restrita a avisos de privacidade ou documentos contratuais. Ela precisa orientar as decisões administrativas e técnicas que determinam como os serviços públicos digitais funcionam.

3. Inteligência artificial: controle sobre o uso de dados e as decisões automatizadas

A inteligência artificial oferece oportunidades para melhorar a análise de informações, reduzir tarefas repetitivas e ampliar a capacidade de atendimento dos órgãos públicos. Ao mesmo tempo, seu uso pode gerar problemas relacionados à discriminação, à falta de transparência, à utilização inadequada de dados pessoais e à dificuldade de contestar decisões que afetem os cidadãos.

O risco aumenta quando essas ferramentas influenciam a concessão de benefícios, a definição de prioridades de atendimento, as atividades de fiscalização ou outras decisões com consequências relevantes para as pessoas. Nessas situações, a Administração pública precisa compreender como a tecnologia é utilizada, quais informações alimentam os sistemas e quais efeitos podem decorrer de seus resultados.

A LGPD oferece referências importantes para esse controle. O artigo 11 disciplina o tratamento de dados pessoais sensíveis. O artigo 20 trata do direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses dos titulares. O artigo 38 permite que a ANPD determine a elaboração de relatório de impacto à proteção de dados pessoais.

A adoção de inteligência artificial pelos órgãos estaduais deve ser acompanhada de regras claras sobre finalidade, responsabilidade, acesso às informações e supervisão. Também é necessário manter registros que permitam compreender as decisões relevantes, avaliar os resultados e apurar eventuais falhas.

Um inventário das aplicações de inteligência artificial utilizadas pela instituição pode organizar esse trabalho. O levantamento deve identificar as ferramentas em uso, as áreas responsáveis, os dados tratados, as finalidades e os possíveis impactos sobre os cidadãos. Com essas informações, o órgão consegue estabelecer prioridades, avaliar riscos e definir os controles necessários para cada aplicação.

A avaliação de impacto antes da implantação também pode ajudar a prevenir problemas, principalmente nos sistemas com maior potencial de afetar direitos. Essa medida deve ser adotada conforme o risco e o enquadramento jurídico da operação, sem pressupor que toda aplicação de inteligência artificial esteja automaticamente sujeita à elaboração de relatório de impacto.

Outro ponto de atenção está no uso cotidiano de ferramentas de inteligência artificial generativa pelos servidores. O envio de documentos administrativos, dados pessoais ou informações protegidas por sigilo a plataformas externas pode criar riscos que nem sempre são percebidos pelo usuário. Orientações internas, critérios de uso e medidas técnicas de proteção precisam considerar essa realidade.

A governança da inteligência artificial não depende apenas da escolha de ferramentas seguras. Ela exige que a instituição conheça as aplicações utilizadas, estabeleça limites para seu uso e mantenha condições de verificar os resultados e responder por suas decisões.

Da conformidade à capacidade de demonstrar resultados

As três prioridades apresentam um desafio comum, que é fazer com que a proteção de dados seja parte efetiva da gestão pública, em vez de permanecer restrita a normas e documentos institucionais. Essa mudança exige a participação da alta administração, da Comissão de Proteção de dados ou , em sua ausência, do encarregado pelo tratamento de dados pessoais, das áreas de tecnologia e segurança da informação, das unidades finalísticas, da assessoria jurídica, da gestão contratual e do controle interno. Cada área deve contribuir dentro de suas competências, com responsabilidades definidas e mecanismos de articulação que evitem lacunas na execução dos controles.

Um diagnóstico institucional pode identificar o que já está funcionando e quais medidas ainda precisam ser adotadas. O levantamento deve abranger processos administrativos, sistemas próprios, soluções contratadas, serviços em nuvem e compartilhamentos de dados com outras instituições. A partir desse quadro, será possível estabelecer prioridades, designar responsáveis, definir prazos e acompanhar a execução das medidas corretivas.

A quantidade de políticas publicadas não é suficiente para avaliar a maturidade de uma instituição. O aspecto mais relevante é a capacidade de demonstrar que os procedimentos funcionam, que os riscos são tratados de maneira adequada e que as decisões administrativas respeitam os direitos dos cidadãos.

A preparação pdeve partir dessa perspectiva. A proteção de dados pessoais precisa integrar a governança, a gestão de riscos e o planejamento dos serviços estaduais. Com responsabilidades bem distribuídas, controles verificáveis e registros consistentes, para que a Administração Pública esteja mais preparada para responder às exigências legais e de fiscalização, além de fortalecer a confiança da sociedade nos serviços que presta.

Neste trabalho iremos discutir sobre como vulnerabilidades, identidade, confiança, supply chain e inteligência artificial estão convergindo para produzir operações cibernéticas mais rápidas e complexas.

Iniciamos com a afirmação de que a análise convencional de vulnerabilidades frequentemente termina no momento em que identifica a falha. No entanto, a análise de ameaças precisa começar justamente neste momento.

Vamos pensar o óbvio: Uma vulnerabilidade crítica pode permitir execução remota. Um bypass de autenticação pode permitir acesso a um sistema. Uma leitura arbitrária de arquivos pode expor informações sensíveis. Mas nenhuma dessas situações, isoladamente, descreve toda a capacidade operacional que pode ser obtida por um adversário.Portanto, a pergunta relevante para o time de CTI não é apenas:

“Qual vulnerabilidade foi identificada?”

A questão deve ser:

“O que um adversário consegue fazer com esse acesso?”

Essa mudança de perspectiva ajuda a explicar uma série de incidentes recentes. Em vez de eventos isolados, eles podem ser observados como partes de uma mesma cadeia:

Initial Access → Execution → Credential Access → Privilege Escalation → Persistence → Discovery → Lateral Movement → Collection → Exfiltration/Impact.

O ponto central é que o acesso inicial raramente representa o objetivo final.

Vamos agora considerar o recente caso do GitLab CVE-2026-85706. A falha é uma vulnerabilidade de path traversal não autenticada, classificada como CVSS 10.0. A exploração permite ao atacante fornecer um caminho arbitrário para que o servidor GitLab leia um arquivo no próprio sistema. A documentação da plataforma deixa uma distinção importante: o servidor pode ler o arquivo durante a exploração, mas isso não significa automaticamente que o conteúdo tenha sido efetivamente entregue ao atacante. É necessário investigar os indicadores apropriados para determinar eventual exfiltração.

Essa distinção é particularmente importante para CTI. Portanto, o analista não deve saltar diretamente de:

“Existe uma vulnerabilidade crítica”

para:

“Os segredos foram comprometidos.”

O raciocínio precisa seguir a cadeia:

Vulnerabilidade → leitura de arquivo → possível exposição de segredo → investigação de exfiltração → acesso subsequente.

O que interessa, portanto, é a capacidade potencial e a capacidade efetivamente observada.

A arquitetura do ativo modifica a análise sobre o acesso indevido. Esse entendimento pode ser aplicado ao Cisco Identity Services Engine. Em 16 de setembro de 2026, a Cisco publicou o alerta sobre a CVE-2026-76460, uma vulnerabilidade crítica que permite a um atacante remoto e não autenticado contornar a autenticação por meio de uma API do ISE. A fabricante classificou a falha com CVSS 10.0 e informou que não existem soluções alternativas, posteriormente, a exploração passou a ser tratada como ativa. Aqui cabe uma observação importante, o dado importante para CTI não é somente a pontuação de severidade, mas o papel do ativo e o impacto de seu comprometimento. O ISE não é simplesmente mais um servidor exposto. Ele integra mecanismos relacionados a identidade e controle de acesso.

Assim, a análise precisa considerar:

Qual ativo foi comprometido?

Que confiança esse ativo concentra?

Que identidades, políticas ou recursos dependem dele?

Que posição ele ocupa na arquitetura?

Uma mesma técnica de exploração pode produzir consequências muito diferentes dependendo do “ponto” em que ocorre.

Prosseguindo em nossa análise, historicamente, a defesa concentrou grande parte da atenção no host: proteger o computador, o servidor e a estação de trabalho. Essa visão continua válida, mas é atualmente considerada insuficiente. O atacante moderno também busca:

• credenciais;
• tokens de sessão;
• chaves de API;
• autorizações OAuth;
• credenciais privilegiadas;
• identidades federadas;
• mecanismos de autenticação persistente.

A razão é simples, a identidade tornou-se um ativo operacional, pois, depois que uma identidade legítima é obtida, o adversário pode deixar de depender exclusivamente da exploração técnica. Ele passa a operar dentro do ambiente por meio de mecanismos que o próprio ambiente reconhece como legítimos. A pergunta de CTI muda então de:

“Qual máquina foi comprometida?”

para:

“Qual identidade passou a ser controlada e o que ela pode fazer?”

Esse entendimento é essencial para interpretar ataques modernos.

A confiança pode ser explorada em diferentes camadas.

• Human Trust: O atacante convence uma pessoa a executar uma ação. O ClickFix é um exemplo direto. O CTIR Gov descreveu campanhas nas quais páginas aparentam apresentar CAPTCHA, erro ou atualização e orientam a vítima a abrir o “Executar” do Windows e colar um comando que inicia um processo malicioso.
• Brand Trust: A marca ou plataforma conhecida funciona como elemento de credibilidade. A vítima reconhece o nome e reduz sua desconfiança.
• Software Trust: Plugins, extensões, bibliotecas e componentes utilizados por aplicações legítimas podem ampliar a superfície de ataque.
• Identity Trust: OAuth, SSO, sessões e tokens permitem que uma ação aparentemente legítima seja realizada dentro de uma relação de confiança previamente estabelecida.
• Infrastructure Trust: Serviços legítimos, APIs, cloud e infraestrutura corporativa podem ser utilizados depois que o adversário consegue adquirir uma identidade ou acesso válido.

A consequência é uma superfície de ataque que já não pode ser descrita apenas como “Internet exposta”. A confiança transformou-se em superfície de ataque. Ela inclui relações de confiança. O conceito de attack chaining ajuda a interpretar esses eventos. Em vez de:

CVE → ataque

temos:

Exploit → acesso → descoberta → segredo → identidade → privilégio → persistência → movimento → impacto.

A campanha contra PaperCut é particularmente relevante nesse contexto, pois segundo a GreyNoise, um adversário utilizou centenas de agentes de IA para desenvolver, testar e executar ataques contra instalações vulneráveis do PaperCut NG/MF. A campanha comprometeu pelo menos 440 instâncias associadas a 395 organizações em 48 países. Os agentes foram utilizados em diferentes etapas da operação, desde a preparação do exploit até a expansão em escala.

Em alguns casos observados pela pesquisa, o intervalo entre o acesso inicial e a obtenção de privilégios elevados foi de poucos minutos. Em um dos casos divulgados, uma organização teria passado do acesso inicial a domínio administrativo em sete minutos. Isso muda a relevância operacional da vulnerabilidade. com o Attack chaining, a unidade de análise passa a ser a cadeia e, não apenas, a existência de um exploit para uma CVE. Sendo que a velocidade com que esse exploit pode ser transformado em uma operação faz toda a diferença.

Durante muito tempo, o modelo mental de uma operação cibernética podia ser representado como:

Reconhecimento → desenvolvimento → teste → exploração → persistência.

A automação altera esse intervalo, pois um conjunto de agentes pode executar tarefas paralelas:

Reconhecimento

↓

geração e adaptação

↓

teste

↓

execução

↓

nova tentativa

↓

escala

O caso PaperCut é relevante justamente porque a pesquisa da GreyNoise descreve agentes sendo utilizados em paralelo para construção de exploits, preparação de alvos e operações de comprometimento. A consequência para a defesa é direta, pois o tempo entre descoberta e exploração pode diminuir. Isso pressiona processos defensivos tradicionalmente baseados em ciclos mais longos de identificação, avaliação e correção. Nesse momento precisamos entender que o Agentic AI não é simplesmente “mais uma ferramenta”.

Inicialmente, torna-se necessário distinguir alguns níveis.

• AI-assisted: O humano decide e a IA auxilia.
• AI-augmented: A IA executa partes da operação.
• AI-orchestrated: A IA coordena diferentes ferramentas e fluxos.

Quando falamos da Agentic AI, o sistema recebe um objetivo e executa uma sequência de ações com menor intervenção humana. Essa diferença é relevante porque a unidade operacional deixa de ser uma única tarefa. O agente pode observar um resultado, interpretar a falha, alterar a estratégia e tentar novamente. Esse comportamento iterativo que aproxima o uso de IA de um componente operacional. No caso PaperCut, a GreyNoise relatou o emprego de centenas de agentes e fluxos paralelos para escalar o comprometimento.

O debate, portanto, não deveria ser reduzido a “IA usada por criminosos”. A pergunta mais útil é:

Quais etapas da cadeia passaram a ser automatizáveis?

Não podemos subestimar a relevância do Supply chain e sua quebra de confiança, pois a mesma lógica anterior aparece quando analisamos software de terceiros. Um componente pode ser legítimo, atualizado e amplamente utilizado. Ainda assim, sua posição dentro da arquitetura pode transformá-lo em um ponto de concentração de risco. A cadeia pode ser representada assim:

Fornecedor → software → biblioteca → plugin → dependência → aplicação → organização.

Quanto mais autonomia o componente possui e quanto maiores forem suas permissões, maior pode ser a consequência da quebra dessa relação de confiança. Essa discussão ganha relevância adicional com agentes de IA, porque um plugin ou extensão utilizado por um agente pode adquirir capacidade muito maior do que teria quando empregado como simples componente passivo. Por isso, supply chain deve ser analisada não apenas como procedência do código, mas como:

“O que este componente consegue fazer dentro do ambiente?”

Existe ainda uma consequência mais ampla. O acesso digital pode alcançar processos físicos. Em 2026, autoridades norte-americanas alertaram para ataques contra controladores lógicos programáveis expostos à Internet no setor de água e saneamento, associados a interrupções ou degradações operacionais. Aqui a cadeia ganha outra dimensão:

IT → identidade → gerenciamento → OT → processo físico.

Isso demonstra por que CTI não deve avaliar uma ameaça apenas pelo sistema diretamente comprometido, necessitamos perguntar:

qual processo depende desse sistema?

Um ataque contra um servidor pode ser um incidente de TI. Um ataque contra um sistema que controla um processo operacional pode transformar o mesmo evento em um problema de continuidade, segurança ou comprometer uma infraestrutura crítica.

A nossa análise até aqui aponta para mudanças na forma como se trabalha a inteligência de ameaças cibernéticas. Esse cenário sugere uma mudança de foco.

De:

Qual CVE apareceu hoje?

Para:

Qual capacidade operacional essa ameaça pode obter?

Uma matriz de análise pode começar assim:

Elemento	Pergunta de CTI
Vulnerabilidade	Como o adversário entra?
Exploração	Já está sendo utilizada?
Ativo	Onde ocorre o acesso?
Identidade	Que identidade pode ser obtida?
Credencial	Que recursos ela permite acessar?
Privilégio	Até onde o adversário pode chegar?
Persistência	Como permanece?
TTP	Como opera?
Automação/IA	Que etapas podem ser aceleradas?
Infraestrutura	Que outros ativos dependem desse ponto?
Impacto	O que pode ser interrompido, alterado ou extraído?

 

Esse modelo também ajuda a separar fatos de hipóteses.

• Uma vulnerabilidade pode existir sem exploração.
• Uma exploração pode ocorrer sem exfiltração comprovada.
• Uma credencial pode ser obtida sem privilégio administrativo.
• Um acesso privilegiado pode não resultar em impacto.

Para CTI, essas diferenças são decisivas.

Os casos analisados apontam para uma arquitetura conceitual mais ampla:

Vulnerabilidade

↓

Execução / acesso

↓

Segredo

↓

Identidade

↓

Privilégio

↓

Persistência

↓

Movimentação

↓

Infraestrutura

↓

Automação / IA

↓

Impacto

Mas duas forças atravessam toda a cadeia:

• Confiança; e
• Automação.

A confiança permite entrar, permanecer ou parecer legítimo. A automação permite repetir, acelerar e ampliar. Essa combinação merece atenção.

A partir do tratado até aqui, podemos inferir que a existência de uma vulnerabilidade crítica continua sendo um indicador relevante, mas ela representa apenas uma parte da anatomia em análise. O verdadeiro valor analítico está em compreender a transformação:

falha → acesso → segredo → identidade → privilégio → capacidade operacional → impacto.

A campanha contra PaperCut mostra como a automação pode acelerar essa transformação em escala. O caso Cisco demonstra que uma falha em um componente relacionado à identidade pode ampliar a importância estratégica do acesso. O GitLab mostra por que a análise precisa distinguir leitura potencial de exfiltração efetivamente comprovada. O ClickFix demonstra que a confiança humana pode substituir mecanismos técnicos tradicionais de entrada. Por fim, os incidentes em ambientes OT mostram que a cadeia pode terminar muito além da máquina originalmente comprometida. Por isso, o indicador mais importante de uma ameaça não é necessariamente a existência de uma vulnerabilidade crítica, podemos afirmar que é a combinação entre acesso, identidade, privilégio, confiança, persistência, automação e velocidade operacional.

A defesa precisa acompanhar a cadeia, não apenas o evento. Fiquem seguros e sejam analíticos quando se tratar de olhar com olhos de inteligência.

Natália Küster Gabardo¹

Resumo A rápida expansão da Inteligência Artificial (IA) em 2026 transformou a tecnologia de uma ferramenta de automação em uma parceira ativa nos processos decisórios humanos. Paralelamente, essa evolução ampliou a superfície de ataque digital, intensificando dilemas éticos e riscos de cibersegurança. Este artigo analisa o impacto dos vazamentos de dados no Brasil, a fragilidade gerada pela “Shadow IA”, os perigos das redes abertas e o novo papel estratégico do Chief Information Security Officer (CISO) diante de regulamentações rigorosas. A metodologia baseia-se em análise documental e estudos de caso contemporâneos. Conclui-se que a resiliência organizacional depende da integração indissociável entre tecnologia robusta, ética aplicada e governança estratégica.

Palavras-chave: Cibersegurança; Ética na IA; Shadow IA; LGPD; Resiliência Corporativa.

1.  Introdução

No cenário tecnológico de 2026, a Inteligência Artificial (IA) permeia serviços, governança pública e interações sociais, deixando de ser uma promessa futurista para se integrar à tomada de decisão humana (MALTEMPI, 2026). Contudo, a eficácia técnica não pode ser dissociada da responsabilidade ética, uma vez que a expansão dessas capacidades intensificou preocupações sobre transparência e proteção de direitos fundamentais (BARAVALLE et al., 2025).

O Brasil registrou em 2025 um impacto financeiro médio de R$ 7,19 milhões por vazamento de dados, uma alta de 6,5% que pressiona as organizações a encararem a segurança não como custo, mas como pilar de continuidade de negócios (SINDPD, 2026). Este artigo sustenta que a resiliência corporativa — a

capacidade de antecipar, absorver e se recuperar de incidentes — só se concretiza quando tecnologia, ética e governança operam como um sistema integrado, não como silos isolados.

2.  Dilemas Éticos e a “Caixa Preta” da IA

O uso de IA em processos críticos, como concessão de crédito ou seleção de pessoal, levanta o desafio central da explicabilidade. Sistemas que operam como “caixas pretas” — cujas decisões não podem ser compreendidas nem pelos próprios engenheiros que os construíram — geram insegurança jurídica e social quando as conclusões automatizadas carecem de justificativas compreensíveis para os afetados (MALTEMPI, 2026). Sem explicabilidade, não há como contestar uma decisão algorítmica, o que fere diretamente princípios do devido processo legal e da transparência administrativa.

Um dos reflexos mais perigosos dessa opacidade são os vieses algorítmicos. Sistemas treinados em dados históricos que refletem desigualdades estruturais — de raça, gênero ou classe — tendem a reproduzir e até amplificar essas discriminações em escala massiva (MALTEMPI, 2026). Uma IA de recrutamento treinada com currículos majoritariamente masculinos, por exemplo, pode “aprender” que homens são candidatos preferíveis, perpetuando a exclusão. O problema não está no algoritmo em si, mas nos dados que o alimentam — e na ausência de curadoria ética sobre esses dados.

A esse cenário soma-se o paradoxo da autoria: quando uma máquina participa ativamente da criação intelectual — redigindo textos, compondo música ou gerando imagens — os conceitos tradicionais de autoria e responsabilidade são desafiados (MALTEMPI, 2026). Quem responde por um conteúdo danoso gerado por IA? O desenvolvedor? O usuário? A própria máquina? A indefinição jurídica nesse campo cria zonas de impunidade que a regulamentação ainda não alcançou.

Por fim, a desinformação potencializada por IA representa uma ameaça direta à estabilidade democrática. O avanço dos deepfakes — vídeos e áudios sintéticos praticamente indistinguíveis da realidade — exige regulamentações urgentes sobre rotulagem obrigatória de conteúdo sintético e criminalização de seu uso malicioso (MALTEMPI, 2026). Sem essas barreiras, a confiança pública em registros audiovisuais, antes considerados provas robustas, se erosiona por completo.

3.  Shadow IA: A Fragilidade da Governança Invisível

Se os dilemas éticos representam o desafio visível da IA, a Shadow IA opera nas sombras — e é precisamente aí que reside seu perigo. Caracterizada pelo uso de ferramentas de inteligência artificial por funcionários sem autorização formal da TI, a Shadow IA cresce na mesma proporção que a popularização de ferramentas como ChatGPT, Copilot e assistentes de código (SINDPD, 2026).

O problema é alarmante em escala. Conforme Peck (2026), o Relatório da IBM aponta que 97% das empresas atingidas por violações em IA não possuíam mecanismos de controle de privilégios. Isso significa que, na prática, qualquer funcionário pode alimentar um modelo de IA com dados corporativos sensíveis — planilhas de clientes, códigos-fonte, estratégias de negócio — sem que a organização sequer tome conhecimento. Esses incidentes ocorrem frequentemente via aplicativos, APIs ou plugins de terceiros que se conectam diretamente aos sistemas internos, criando canais de vazamento invisíveis aos controles tradicionais de segurança (PECK, 2026).

A gravidade da Shadow IA não está apenas no risco de vazamento, mas na impossibilidade de gerenciar o que não se enxerga. Sem mapeamento de dados e trilhas de auditoria que capturem o uso não autorizado de IA, a gestão de riscos corporativos opera cega (SINDPD, 2026). Construir resiliência contra a Shadow IA exige, portanto, três camadas de defesa: visibilidade (descobrir onde e como a IA está sendo usada), controle (estabelecer políticas de uso aceitável e privilégios mínimos) e educação (conscientizar os funcionários sobre os riscos antes que a proibição simples se mostre ineficaz).

4.  Ameaças Contemporâneas e o Fator Humano

Por mais sofisticadas que sejam as defesas tecnológicas, o comportamento do usuário permanece como o elo mais frágil — e mais explorado — da cadeia de segurança (PECK, 2026). De nada adianta investir em firewalls de última geração se um colaborador, distraído ou desinformado, entrega suas credenciais a um golpista. A resiliência organizacional, portanto, começa pelo fator humano.

4.1  Phishing e Engenharia Social

O phishing é uma técnica de má-fé que explora a confiança ou o medo do usuário para obter dados sensíveis (CERT.br, 2012). O que era um e-mail mal escrito com promessas de prêmios evoluiu para campanhas altamente personalizadas, alimentadas por IA, que replicam com precisão a linguagem e o estilo de comunicação de colegas e fornecedores. Em 2026, novas variantes utilizam códigos de dispositivos habilitados por IA para explorar fluxos de autenticação como o OAuth, sequestrando sessões legítimas sem que o usuário perceba (MINUTO DA SEGURANÇA, 2026).

4.2  Redes Wi-Fi Abertas

Se o phishing explora a confiança, as redes Wi-Fi abertas exploram a conveniência. Conexões públicas em aeroportos, cafeterias e hotéis são vulneráveis a ataques de interceptação (sniffing) e redes falsas (evil twin), nas quais o atacante cria um ponto de acesso idêntico ao legítimo e captura todos os dados transmitidos sem criptografia (NIC.br, 2026). Oneda et al. (2025) alertam que esses pontos de acesso facilitam a distribuição de malware e o roubo de credenciais em escala.

A recomendação técnica central é o uso de VPN (Rede Virtual Privada) para criptografar todo o tráfego entre o dispositivo e o destino, tornando inútil a interceptação. Aliada a isso, a adoção obrigatória de MFA (Autenticação de Múltiplos Fatores) garante que mesmo credenciais roubadas não sejam suficientes para acessar sistemas críticos (G1, 2026). Essas duas medidas, embora simples, formam uma barreira robusta contra a maioria dos ataques que exploram o fator humano.

5.  Impacto Econômico e Cenário Regulatório

A conjugação de ameaças éticas, Shadow IA e vulnerabilidade humana produz um impacto financeiro crescente. O setor de Saúde no Brasil lidera os prejuízos por vazamentos, com custos superiores a R$ 11 milhões por ocorrência (GABARDO, 2026).

Estudo de caso: Instituto ISAC. Um dos episódios mais emblemáticos de 2026 foi o ataque de ransomware ao Instituto ISAC, que comprometeu dados sensíveis de 500 mil pacientes, incluindo informações médicas, CPFs e prontuários. O caso ganhou contornos ainda mais graves com a investigação da ANPD, que apurou falhas não apenas na proteção dos dados, mas também na comunicação aos titulares — obrigação prevista no art. 48 da LGPD (CONVERGÊNCIA DIGITAL, 2026). As lições do caso ISAC são claras: a resiliência não se mede apenas pela capacidade de evitar o ataque, mas pela preparação para responder quando ele ocorre — e isso inclui planos de comunicação de incidentes, notificação ágil aos afetados e evidências técnicas de que as medidas de segurança eram adequadas antes da violação.

No âmbito regulatório, a Resolução CMN nº 5.274 estabeleceu um novo patamar de rigor para o setor financeiro, exigindo mecanismos expressos de detecção de intrusão e monitoramento da deep e dark web (PECK, 2026). A conformidade agora exige evidências técnicas robustas — resultados de testes de intrusão, varreduras de vulnerabilidades periódicas e trilhas de auditoria contínuas (PECK, 2026). O que antes era “recomendável” tornou-se mandatório, e as organizações que não se adequarem enfrentarão não apenas multas regulatórias, mas exclusão de cadeias de suprimento que passam a exigir comprovação de maturidade cibernética como critério de contratação.

6.  Liderança e Estratégias de Resiliência

Diante desse cenário, o papel do CISO evoluiu de técnico para estrategista central na mitigação de riscos digitais (NEUBER, 2025). Não basta mais configurar firewalls e gerenciar patches — o CISO de 2026 precisa traduzir riscos técnicos em linguagem de negócio, defender orçamentos de segurança perante conselhos administrativos e integrar a cibersegurança à estratégia corporativa.

CISOs proativos que utilizam frameworks consolidados como NIST CSF, CIS Controls ou ISO/IEC 27001 conseguem reduzir em 25% as perdas financeiras e em 30% o tempo de resposta a incidentes (NEUBER, 2025). Esses números não são acidentais: frameworks maduros fornecem processos testados para detecção, resposta e recuperação, eliminando o improviso que custa caro durante uma crise.

Lições do caso CrowdStrike (2024). Embora não tenha sido um ataque cibernético, a falha massiva que paralisou 8,5 milhões de PCs Windows em 2024 oferece uma lição valiosa sobre resiliência: a dependência excessiva de um único fornecedor de segurança é, em si mesma, um risco estratégico (IBSEC, 2024). O incidente — causado por uma atualização defeituosa sem controle de qualidade adequado — demonstrou que mesmo empresas tecnicamente robustas podem falhar, e que planos de redundância e validação de atualizações em ambiente controlado são tão críticos quanto as defesas contra ameaças externas.

A construção da imunidade digital passa por uma mudança de mentalidade: em vez de negociar resgates, as empresas devem priorizar o disaster recovery e tratar o ransomware como um risco estratégico vital, com planos testados periodicamente (MINUTO DA SEGURANÇA, 2026). A pergunta que todo conselho administrativo deveria fazer não é “estamos protegidos?”, mas “se formos atacados hoje, quanto tempo levaremos para voltar a operar?”.

7.  Conclusão

A análise do cenário de 2026 revela que cibersegurança e ética na IA não são mais temas periféricos ou responsabilidade exclusiva dos departamentos de TI — são imperativos de sobrevivência organizacional. A transparência e a explicabilidade das decisões automatizadas tornaram-se critérios de aceitação social superiores ao desempenho isolado dos sistemas. Uma IA que aprova crédito com 99% de acerto, mas é incapaz de explicar por que negou um empréstimo a um cliente qualificado, é um passivo jurídico e reputacional, não um ativo tecnológico.

Para as empresas brasileiras, a maturidade cibernética exige uma mudança cultural profunda: a segurança precisa sair do departamento de TI e ocupar a sala do conselho. Isso significa orçamento adequado, liderança qualificada (CISOs com assento estratégico), evidências técnicas auditáveis e, acima de tudo, educação contínua do fator humano — porque o elo mais fraco também pode ser o mais fortalecido quando bem treinado.

A resiliência corporativa em 2026 não se define pela ausência de incidentes — nenhuma organização está imune — mas pela capacidade de responder, aprender e se adaptar após cada violação. As empresas que entenderem isso não apenas sobreviverão aos próximos ataques; sairão delas mais fortes.

 

Referências Bibliográficas

BARAVALLE, Adriana et al. Ethical Dilemmas for Cybersecurity and the Impact of

Artificial Intelligence. Anais do Simpósio Brasileiro de Cibersegurança (SBSeg), 2025.

CERT.br. Cartilha de Segurança para Internet. Versão 4.0. São Paulo: CGI.br, 2012.

CONVERGÊNCIA DIGITAL. Ataque cibernético vaza dados de 500 mil pacientes e ANPD investiga infrações graves à LGPD, 2026.

GABARDO, Natália Küster. Resiliência e Proteção de Dados no Cenário Digital. Segurança da Informação, 2026.

IBSEC. Desvendando o problema recente com a atualização do software CrowdStrike, 2024.

MALTEMPI, Clark. Inteligência Artificial e Ética: Desafios e Perspectivas para 2026, 2026.

MINUTO DA SEGURANÇA. Por que pagar o resgate se tornou um risco jurídico, 2026.

NEUBER, Diego. Liderança de CISOs sob pressão: tomada de decisão estratégica em ambientes modernos de cibersegurança. Revista Tópicos, 2025.

NIC.br. Fascículo Redes. Cartilha de Segurança para Internet. São Paulo: CGI.br, 2026.

ONEDA, A. R. et al. Os perigos de redes Wi-Fi abertas. Seminário de Iniciação Científica (SIEPE), Editora Unoesc, 2025.

PECK, Patricia. Novas regras para a segurança digital em 2026. Febraban Tech, 2026.

ROHR, Altieres. Usar VPN em Wi-Fi público no celular deixa a conexão mais segura?. G1 – Globo, 2026.

SINDPD. Brasil registra custo recorde por vazamentos de dados em 2025, 2026.

SOCIEDADE BRASILEIRA DE COMPUTAÇÃO. Código de Ética e Conduta

Profissional da SBC. Resolução nº 02, 2024.

 

 

Engenharia de Software, Universidade do Contestado, Curitibanos, Santa Catarina, Brasil, natalia.gabardo@aluno.unc.br

A atualização crítica da Oracle de julho de 2026 chamou a atenção da comunidade de segurança não apenas pelo número recorde de 1.449 correções, mas pelo que esse volume representa: a Inteligência Artificial está mudando a forma como vulnerabilidades são descobertas. Ao mesmo tempo em que fortalece a defesa, ela também cria novos desafios para as equipes de segurança, que precisam decidir rapidamente quais riscos tratar primeiro.

Durante muitos anos, a gestão de vulnerabilidades era vista como um processo relativamente previsível. Os fabricantes publicavam seus boletins de segurança, as equipes avaliavam o impacto, planejavam uma janela de manutenção e aplicavam as correções conforme a criticidade dos ativos.

Todavia, esse modelo está mudando. Em julho de 2026, o Critical Patch Update (CPU) da Oracle trouxe absurdos 1.449 novos patches distribuídos por centenas de produtos, incluindo Oracle Database, Fusion Middleware, E-Business Suite e diversos componentes de infraestrutura. O volume impressiona, mas o verdadeiro recado está por trás desses números: a descoberta de vulnerabilidades está entrando em uma nova era impulsionada pela Inteligência Artificial.

Para quem atua como CISO, gestor de risco ou analista de cibersegurança, essa mudança merece atenção. A IA deixou de ser apenas uma ferramenta para responder incidentes ou auxiliar na análise de logs. Hoje ela já participa da identificação automática de falhas de programação, revisa grandes volumes de código e ajuda pesquisadores a localizar vulnerabilidades que poderiam permanecer invisíveis durante anos. Trabalhos acadêmicos recentes e iniciativas como o DARPA AI Cyber Challenge demonstram que agentes inteligentes já conseguem apoiar a descoberta e validação de vulnerabilidades em escala cada vez maior.

Esse avanço poderia representar uma excelente notícia para quem desenvolve software, mas existe outro lado dessa história, pois quando um fornecedor publica milhares de correções simultaneamente, ele também divulga, de forma indireta, informações suficientes para que pesquisadores, e também criminosos, iniciem processos de engenharia reversa dos patches. Com apoio de IA, esse trabalho tende a ser muito mais rápido do que no passado. Além disso, indica falhas no desenvolvimento das soluções, o que gera questionamentos se os grandes desenvolvedores realmente aplicam as melhores práticas de desenvolvimento seguro e Secure by Desing.

A janela de exposição (window of exposure) surge enquanto a organização ainda está avaliando impactos, negociando períodos de manutenção ou aguardando homologações. Durante isso,  atacantes podem utilizar ferramentas automatizadas para comparar versões corrigidas e identificar exatamente qual vulnerabilidade foi eliminada. Em muitos casos, isso acelera a criação de exploits conhecidos como “1-day”, desenvolvidos logo após a publicação oficial do patch. O problema, portanto, já não é apenas descobrir vulnerabilidades, mas também o quanto conseguiremos decidir sobre quais delas realmente colocam o negócio em risco e priorizar a implementação de suas correções.

No cenário descrito, onde centenas ou milhares de correções são divulgadas simultaneamente, tentar aplicar tudo imediatamente deixa de ser uma estratégia realista. Surge um fenômeno conhecido entre equipes de segurança como patch fatigue, ou fadiga de patches: excesso de demandas, filas crescentes, recursos limitados e dificuldade para estabelecer prioridades. A pergunta deixa de ser:

“Quantos patches precisamos instalar?”

E passa a ser:

“Quais patches reduzem o maior risco para a organização?”

Essa mudança exige uma gestão muito mais orientada por inteligência do que por volume. Uma priorização madura considera diversos fatores simultaneamente:

• o ativo está exposto à Internet?
• existe exploração ativa conhecida?
• há vulnerabilidades catalogadas pela CISA como exploradas em ambiente real?
• o impacto para o negócio é elevado?
• existe exploração pública ou PoC disponível?
• qual a facilidade de exploração indicada pelo CVSS e por outras métricas contextuais.

Nenhuma dessas perguntas pode ser respondida apenas olhando a pontuação CVSS. Nesse momento entram em cena, o uso de Threat Intelligence, ASM e inventário de ativos, pois a gestão contínua de exposição passa a fazer parte da análise e solução.

Outro ponto importante é compreender que a IA democratiza capacidades. Se ela permite que fabricantes encontrem vulnerabilidades mais rapidamente, também reduz barreiras para pesquisadores independentes e, infelizmente, para agentes maliciosos. A comunidade de segurança já discute esse novo equilíbrio, observando que ferramentas baseadas em LLMs podem acelerar tanto a identificação quanto a correção de falhas, enquanto também aumentam o volume de análises e pesquisas sobre vulnerabilidades recém-divulgadas.

Ao chegar neste ponto da análise, podemos afirmar que o tratado não significa que a Inteligência Artificial seja um problema. Naverdade, muito pelo contrário, ela tende a se tornar um dos principais aliados dos programas modernos de Vulnerability Management. Apenas como exemplo, a IA possibilita termos modelos capazes de correlacionar CVEs, inventários, inteligência de ameaças, exposição externa e criticidade dos ativos, que poderão auxiliar equipes a decidir, em minutos, aquilo que hoje leva dias ou semanas para ser analisado manualmente.

Talvez essa seja a principal lição deixada pelo Oracle CPU de julho de 2026. O recorde de 1.449 patches não representa necessariamente que o software esteja menos seguro. Pode significar exatamente o contrário, que estamos entrando em uma fase em que as vulnerabilidades serão descobertas em uma velocidade sem precedentes graças à automação e à Inteligência Artificial. O verdadeiro diferencial competitivo não será a capacidade de instalar milhares de correções, mas de identificar rapidamente quais delas representam risco real para o negócio e agir antes que adversários façam o mesmo.

No entanto, cabe sempre reforçar que a segurança cibernética continuará sendo uma disputa entre velocidade, inteligência e capacidade de adaptação.

Infere-se, portanto, que o cenário da cibersegurança está passando por uma transformação significativa. A Inteligência Artificial deixou de ser uma promessa e passou a integrar o ciclo completo da gestão de vulnerabilidades, desde a identificação de falhas até a priorização das correções. Essa evolução amplia a capacidade de defesa das organizações, mas também acelera a atuação de agentes maliciosos que utilizam as mesmas tecnologias para reduzir o tempo entre a divulgação de uma vulnerabilidade e sua exploração.

Nesse contexto, a maturidade de um programa de segurança não será medida apenas pela quantidade de patches aplicados, mas pela capacidade de combinar inteligência de ameaças, conhecimento do ambiente, automação e gestão de riscos para tomar decisões rápidas e assertivas.

Mais do que acompanhar a evolução tecnológica, CISOs e analistas precisam desenvolver processos que permitam transformar informação em ação. A Inteligência Artificial deve ser encarada como um multiplicador de capacidades humanas, potencializando a experiência, o pensamento crítico e a capacidade de tomada de decisão.

A velocidade com que vulnerabilidades são descobertas continuará aumentando. O diferencial das organizações resilientes será sua capacidade de correlacionar inteligência, contexto e automação para reduzir a janela de exposição e responder aos riscos de forma eficiente.

Fiquem seguros e utilizem a Inteligência Artificial para evoluir suas técnicas de defesa. A tecnologia continuará evoluindo, e as organizações que aprenderem a utilizá-la de forma estratégica estarão mais preparadas para enfrentar os desafios da segurança cibernética.

As referências abaixo serviram como base técnica e conceitual para a elaboração deste artigo e são recomendadas para aprofundamento do tema.

Oracle Corporation. Critical Patch Update Advisory – July 2026. Disponível em: https://www.oracle.com/security-alerts/cpujul2026.html

Oracle Corporation. Oracle Security Alerts. Disponível em: https://www.oracle.com/security-alerts/

Cybersecurity and Infrastructure Security Agency (CISA). Known Exploited Vulnerabilities (KEV) Catalog. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

DARPA AI Cyber Challenge (AIxCC). Competição sobre Inteligência Artificial aplicada à descoberta e correção automatizada de vulnerabilidades. Disponível em: https://aicyberchallenge.com/semifinal-competition/

The Hacker News. Google’s AI Tool Big Sleep Finds Zero-Day Vulnerability in SQLite. Disponível em: https://thehackernews.com/2024/11/googles-ai-tool-big-sleep-finds-zero.html

CSO Online. Oracle’s July Update Fixes Ten Critical Vulnerabilities in Fusion Middleware. Disponível em: https://www.csoonline.com/article/4200184/oracles-july-update-fixes-ten-10-0-vulnerabilities-in-fusion-middleware.html

GitHub Security Advisories. Base pública de avisos de segurança e vulnerabilidades. Disponível em: https://github.com/advisories

National Vulnerability Database (NVD) – NIST. Base oficial de vulnerabilidades e métricas CVSS. Disponível em: https://nvd.nist.gov/

FIRST – Forum of Incident Response and Security Teams. Common Vulnerability Scoring System (CVSS). Disponível em: https://www.first.org/cvss/

Nota: As análises e reflexões apresentadas neste artigo foram elaboradas a partir de informações públicas disponíveis nas referências acima e representam uma interpretação técnica do autor sobre as tendências relacionadas à gestão de vulnerabilidades, Inteligência Artificial aplicada à cibersegurança e gerenciamento de riscos.

00A Gen (NASDAQ: GEN) publicou seu Relatório de Ameaças do primeiro semestre de 2026 para ajudar as pessoas a entender quais ciberameaças estão emergindo e quais riscos estão moldando a vida digital hoje. Um ponto em comum permeia todo o relatório: cibercriminosos estão se movendo para mais perto das partes confiáveis da vida digital. Eles não estão apenas enviando links maliciosos ou distribuindo malwares, mas também explorando o contexto, sessões, fluxos de trabalho, marcas, sistemas de atualização, plataformas de publicidade e autoridade delegada.

 A confiança se tornou a nova superfície de ataque

A descoberta central do Relatório de Ameaças é uma mudança em como os ataques funcionam. As ameaças mais eficazes na primeira metade de 2026 não dependeram de explorações técnicas ou engano óbvio, elas tiveram sucesso porque eram difíceis de distinguir da vida digital normal. Golpes chegaram através de uma plataforma de reserva de hotel, referenciando uma reserva real. Contas de WhatsApp foram comprometidas não através de uma violação de senha, mas ao enganar usuários para aprovarem o navegador de um cibercriminoso como um dispositivo vinculado. A fraude se moveu através de contas financeiras reais e verificadas porque as pessoas por trás daquelas contas tinham sido recrutadas através das redes sociais com ofertas de dinheiro rápido. E agentes de IA, operando com permissões que o usuário já tinha concedido, foram parados antes de executarem um shell reverso (técnica de invasão que dá o controle remoto do sistema ao cibercriminoso).

“Os ataques mais eficazes no primeiro semestre de 2026 não pareciam ataques”, afirma Vita Santrucek, Diretor de Tecnologia e Desenvolvimento na Gen. “Eles chegaram por meio de plataformas de reservas, conversas familiares em aplicativos de mensagens, canais de atualização de software e fluxos de trabalho de agentes de IA — todos ambientes nos quais as pessoas já confiam. À medida que os cibercriminosos se misturam às experiências digitais do dia a dia, a proteção precisa estar cada vez mais próxima dos momentos em que essa confiança é conquistada, explorada ou quebrada”.

 Entre golpes, violações de identidade e de privacidade, o padrão é o mesmo: o ataque se moveu para dentro de sistemas confiáveis antes que o perigo se tornasse visível.

Destaques do Relatório de Ameaças

 A telemetria da Gen do primeiro semestre de 2026 mostra a atividade de tendências nas principais áreas de ameaças ao longo dos últimos seis meses.

As principais descobertas incluem:

• 114,2 milhões de ataques de golpes de e-shop bloqueados, aumento de 109% – destacando o risco crescente de lojas online falsas visando compradores.
• Um aumento de 387% em golpes de personificação de governo – mostrando que criminosos estão crescentemente explorando a confiança em instituições públicas para roubar dinheiro e informações.
• Um aumento de mais de 454% nos golpes de personificação de familiares, enquanto uma atividade separada, chamada “GhostPairing”, mostrou como o recurso de dispositivo vinculado do WhatsApp pode ser explorado para obter acesso persistente a uma conta e permitir que pessoas se passem por familiares.
• 20,3 milhões de ataques de golpes de suporte técnico bloqueados – refletindo tentativas contínuas de enganar pessoas para darem a golpistas acesso remoto a seus dispositivos ou informações financeiras.
• Mais de 304 milhões de impressões de anúncios de golpes identificadas através da União Europeia e do Reino Unido em menos de um mês, evidenciando o quão facilmente anúncios fraudulentos podem alcançar as pessoas.
• Aproximadamente 1,9 bilhão de tentativas de rastreamento bloqueadas durante o primeiro semestre de 2026 – demonstrando a escala do rastreamento online que pode corroer a privacidade do consumidor.
• Os alertas de notificação de violação de dados do Norton e do LifeLock com fontes de origem atribuídas aumentaram 628,1%, chegando a 3,3 milhões. No total, mais de 10 milhões de notificações de violação de dados foram enviadas, comprovando que as informações pessoais de um número cada vez maior de pessoas estão sendo expostas em vazamentos de dados.
• Aumento de 734% nos alertas de atividade de contas bancárias — mais uma evidência da rápida exploração financeira que acontece após uma violação.
• 1 milhão de ataques de web skimming bloqueados, aumento de 212% – mostrando como criminosos continuaram a visar fluxos de checkout onde usuários já esperam inserir detalhes de pagamento.
• Mais de 15,7 milhões de registros violados contendo endereços de e-mail identificados, dando a cibercriminosos mais oportunidades para visar consumidores com phishing, golpes e tentativas de tomada de conta.

 As principais descobertas no Brasil incluem diversas categorias de golpes que registraram aumento no primeiro semestre de 2026, entre elas:

• Golpes relacionados a apostas (+755%)

• Golpes financeiros genéricos (+261%)

• Golpes de suporte técnico (+93%)

• Golpes de lojas online falsas (e-shop scams) (+62%)

• Golpes de relacionamento (+24%)

• Phishing (+20%)

• A atividade de ransomware aumentou 43%

• A atividade de exploits aumentou 31%

• A atividade de droppers aumentou 23%

• A atividade de infostealers: web skimming (+176%), ladrões de senhas (password stealers) (+16%) e ameaças do tipo banker (+10%).

• O relatório também identificou uma tendência específica no Brasil: PDFs falsos de pagamento que imitavam marcas de comércio eletrônico e instituições bancárias foram utilizados para atingir o ecossistema de pagamentos via boleto.

O relatório também identifica a IA agêntica como uma fronteira de segurança emergente. À medida que os sistemas de IA ganham a capacidade de navegar, instalar softwares, acessar arquivos, conectar-se a serviços e agir em nome dos usuários, os cibercriminosos visam cada vez mais as permissões e a confiança em que esses sistemas se baseiam. A telemetria inicial do Sage, a plataforma de segurança agêntica da Gen por trás de recursos como o AI Agent Protection da Norton e Avast, revelou que os comportamentos de risco mais comuns de agentes de IA envolveram:

1. Tentar executar comandos de sistema perigosos.
2. Tentar abrir um canal de comando remoto, o que poderia permitir que um invasor controlasse o sistema.
3. Baixar e executar códigos da internet.
4. Ler arquivos de credenciais sem autorização.
5. Tentar criar um acesso remoto persistente, como adicionar uma chave SSH confiável.
6. Tentar anular as instruções do agente.

O Relatório completo de Ameaças do primeiro semestre de 2026 da Gen está disponível (em inglês) em: https://www.gendigital.com/blog/insights/reports/threat-report-h1-2026.

O Brasil foi o terceiro país que mais sofreu ataques com ransomwares em junho, registrando 23 casos. Os dados são da plataforma Ransomware.live, iniciativa de Julien Mousqueton, CISO da Cohesity, empresa líder em segurança de dados com IA. É a primeira vez que o Brasil aparece entre os dez países mais afetados desde o início da publicação de dados do site, em janeiro.

A plataforma monitora e coleta dados de sites de vazamento de grupos de ransomware continuamente para identificar e listar novas vítimas. Ransomwares são softwares maliciosos que bloqueiam o acesso de usuários ou organizações, exigindo pagamento de resgate para restauração, sob a ameaça de vazamento ou exclusão permanente.

O Brasil só aparece atrás de Estados Unidos, com 199 casos, e Alemanha, com 49. O Reino Unido vem logo após o Brasil, com 21, seguido de Índia e Canadá, ambos com 20. França (15), Itália (15), México (14) e Tailândia (13) completam o top 10.

“A emergência do Brasil, Índia e Tailândia como alvos recém identificados pode ser reflexo de uma estratégia deliberada de focar em jurisdições com menor maturidade na resposta a incidentes e na coordenação com forças de segurança”, avalia Gustavo Leite, vice-presidente da Cohesity para América Latina.

O número total de vítimas em junho, 708, representa uma redução de 10,5% em relação às 791 registradas em maio. “Apesar dessa diminuição mensal, o volume permanece historicamente elevado quando comparado aos doze meses anteriores, deixando claro o quão intenso e consistente é o atual cenário de ameaças”, aponta Leite.

Setores mais afetados

Em junho, o mercado B2B se manteve no topo dos alvos mais atingidos, registrando 123 vítimas — uma redução de 23,1% em comparação às 160 de maio. O setor de manufatura ficou na segunda colocação, com 83 ocorrências (queda de 19,4%), seguido por tecnologia, que somou 56 vítimas (recuo de 21,1%).

O segmento de saúde contabilizou 52 vítimas, registrando uma queda de 23,5% em relação às 68 do mês anterior. Na contramão, serviços ao consumidor foi o único a apresentar crescimento: uma alta discreta de 1,9%, passando de 52 para 53 vítimas. Já o setor de serviços financeiros teve um recuo de 26,5%, somando 25 vítimas, enquanto transporte/logística baixou 25,7%, chegando a 26 registros.

Números do site Ransomware.live são divulgados todos os meses pela Cohesity, que conta com a confiança de clientes em mais de 140 países, incluindo 70% da Fortune Global 500.

Ataques com ransomware nos últimos 12 meses:

• Junho – 708
• Maio – 791
• Abril – 870
• Março – 844
• Fevereiro – 784
• Janeiro – 702
• Dezembro de 2025 – 882
• Novembro de 2025- 717
• Outubro de 2025 – 839
• Setembro de 2025 – 598
• Agosto de 2025 – 530
• Julho de 2025 – 547

Setores com ransomwares mais afetados em junho:

1. Mercado B2B – 123 (queda de 23.1% em relação a maio)
2. Manufatura – 83 (queda de 19.4% em relação a maio)
3. Tecnologia – 56 (queda de 21.1% em relação a maio)
4. Serviços ao consumidor – 53 (aumento de 1.9% em relação a maio)
5. Saúde – 52 (queda de 23.5% em relação a maio)
6. Agricultura e produção de alimentos – 36 (queda de 7.7% em relação a maio)
7. Construção – 27 (queda de 15.6% em relação a maio)
8. Transportes/logísticas – 26 (queda de 25.7% em relação a maio)
9. Serviços financeiros – 25 (queda de 26.5% em relação a maio)
10.  Educação – 24 (queda de 14.3% em relação a maio)

Países mais afetados por ataques com ransomwares em junho:

1. Estados Unidos – 199
2. Alemanha – 49
3. Brasil – 23
4. Reino Unido – 21
5. Índia – 20
6. Canadá – 20
7. França – 15
8. Itália – 15
9. México – 14
10. Tailândia – 13

Um tipo de software malicioso tem chamado a atenção de especialistas: o malware bancário. Trata-se de um programa criado para acessar e roubar dados de celulares e computadores e que dá aos criminosos o controle total do dispositivo infectado. Diferente de fraudes financeiras em que o golpista se passa por outra pessoa para pedir uma transferência, aqui o criminoso convence a vítima a instalar um software malicioso que dá acesso a aplicativos, contas bancárias, mensagens e informações pessoais, podendo, inclusive, realizar movimentações financeiras sem que a vítima perceba.

Malware bancário é um mecanismo usado para aplicar golpes digitais e acessar e roubar dados financeiros de celulares e computadores. Costuma chegar até o dispositivo das vítimas por meio de engenharia social, quando o criminoso engana a pessoa para que ela mesma realize alguma ação (como clicar em um link ou baixar um aplicativo de fonte desconhecida), acreditando que se trata de algo legítimo. Depois de instalado, o software funciona como um “espião” dentro do aparelho, transmitindo para o criminoso informações confidenciais como senhas, dados de contas e códigos de segurança.

Como criminosos aplicam golpes com o malware bancário?

Os golpes se iniciam em um contato direto, geralmente por WhatsApp. O criminoso se apresenta como um contato confiável, um representante de uma empresa conhecida, ou de um serviço que a vítima já usa ou tenha interesse. Durante a conversa, ele pede que a pessoa baixe ou atualize um aplicativo, ou até mesmo clique em um link. Em alguns casos, o golpista pode até fazer uma chamada de vídeo ou telefônica para parecer mais convincente, aumentar a sensação de segurança e acompanhar o processo em tempo real, gerando pressão e sentimento de urgência.

Depois disso, o programa malicioso é instalado no celular e o criminoso passa a interferir no funcionamento do aparelho sem que a pessoa perceba. É nesse momento em que ele aproveita para realizar ações em segundo plano, como movimentações financeiras sem autorização. Em poucos minutos, os golpistas podem realizar empréstimos, transferências e outras operações, gerando prejuízos significativos para a vítima.

Como saber se o celular foi infectado?

Alguns sinais podem indicar que há algo errado com o aparelho:

• O celular trava ou fica lento com mais frequência;
• A bateria acaba muito mais rápido que o normal;
• A tela fica preta ou sem resposta por alguns momentos;
• O dispositivo reinicia ou fecha aplicativos de forma repentina;
• O celular esquenta de forma excessiva;
• Mensagens são enviadas automaticamente pelo celular, sem que o usuário tenha realizado a ação;
• Presença de aplicativos desconhecidos, com nomes genéricos ou incomuns, que a pessoa não se lembra de ter instalado;
• Mudanças inesperadas nas configurações do celular ou nos aplicativos instalados;
• Aplicativos solicitando permissões incomuns, como acesso a acessibilidade, mensagens ou controle do dispositivo

Além dos sinais visíveis, é importante ficar atento às permissões concedidas aos aplicativos. Alguns malwares bancários solicitam acesso aos recursos de acessibilidade do celular, uma funcionalidade criada para auxiliar usuários com necessidades específicas. Quando utilizada de forma indevida, essa permissão pode permitir que aplicativos maliciosos visualizem informações exibidas na tela e executem ações no aparelho. Por isso, desconfie sempre que um aplicativo solicitar esse tipo de acesso sem uma justificativa clara.

“Se você perceber comportamentos anormais ou sentir que perdeu o controle do seu aparelho, principalmente após clicar em links desconhecidos ou instalar aplicativos fora das lojas oficiais, o mais seguro é restaurar o dispositivo para as configurações de fábrica. Essa medida ajuda a remover aplicativos ocultos, eliminar permissões indevidas e reduzir o risco de o malware continuar ativo”, orienta Rodrigo Fernandes, Supervisor de Prevenção à Fraude da DM

Dicas para se proteger

A principal forma de prevenção é nunca seguir instruções de terceiros que envolvam a instalação de aplicativos ou o acesso ao seu dispositivo. “Não clique em links suspeitos enviados por mensagem e não baixe aplicativos fora das lojas oficiais, como App Store e Google Play. Desconfie de contatos inesperados, mesmo que pareçam conhecidos, ou feitos por números de empresas que não sejam oficialmente verificados. Além disso, não realize qualquer ação, instalação ou atualização de aplicativo seguindo instruções, nem clique em links enviados por pessoas que não são da sua confiança. E nunca conceda acesso ao seu aparelho durante uma ligação”, aponta Rodrigo Fernandes.

Caí no golpe. E agora?

Se a pessoa desconfia que caiu em um golpe, o mais importante é agir rápido. “Entre em contato com o seu banco ou com a sua instituição financeira pelos canais oficiais para informar o ocorrido e tentar bloquear movimentações. Em seguida, altere suas senhas, principalmente de aplicativos bancários e e-mail, para recuperar o controle dos acessos. Se houver suspeita de instalação de aplicativo malicioso, considere restaurar o dispositivo para as configurações de fábrica. Além disso, é recomendado registrar um boletim de ocorrência, que pode ajudar no acompanhamento do caso”, aconselha o especialista.

Camadas de segurança

Para auxiliar clientes a se prevenir contra os prejuízos causados pelos golpes, a DM conta com camadas de segurança que ajudam a proteger as transações, como:

• Confirmação de compra: em caso de movimentações suspeitas, entramos em contato por ligação ou WhatsApp pra aprovar a transação;
• Bloqueio temporário do cartão: o cliente pode bloquear o cartão rapidamente pelo DM App em caso de suspeita;
• Bloqueio de pagamentos de madrugada: transações realizadas em horários ou padrões considerados fora do comum são bloqueadas;
• Gestão de limite: o usuário pode ajustar o limite conforme o seu perfil de uso, o que ajuda a reduzir possíveis prejuízos.

Além das camadas de segurança presentes no aplicativo DM, os clientes contam com recursos adicionais de proteção, como o código de segurança dinâmico (CVC), que dificulta o uso indevido dos dados do cartão em compras online.

A transformação digital tem revolucionado a medicina. Prontuários eletrônicos, equipamentos conectados à internet, sistemas integrados de gestão e plataformas de telemedicina tornaram os hospitais mais ágeis e eficientes. No entanto, essa rápida evolução trouxe consigo um desafio crítico: o aumento exponencial da vulnerabilidade a ataques cibernéticos.

Hoje, as instituições de saúde figuram entre os alvos mais visados por criminosos digitais. Além do alto valor comercial das informações armazenadas, que incluem dados pessoais, históricos médicos e registros financeiros, esses ambientes dependem da disponibilidade ininterrupta de seus sistemas para garantir a assistência à vida. Quando ocorre um incidente cibernético, os impactos vão muito além do vazamento de dados. A indisponibilidade tecnológica pode paralisar consultas, suspender cirurgias, adiar exames laboratoriais e até comprometer o funcionamento de dispositivos médicos essenciais.

Para Flavio Cruz, da Cyrex Security, empresa especializada em cibersegurança, o setor precisa tratar a proteção digital como um pilar estratégico de continuidade operacional. “Os hospitais estão hiperconectados e essa transformação trouxe ganhos inestimáveis para a qualidade da assistência. Porém, quanto maior a conectividade, maior é a superfície de ataque. Um incidente na saúde não representa apenas prejuízo financeiro; ele afeta diretamente a ponta do atendimento e coloca vidas em risco. Por isso, investir em prevenção, monitoramento contínuo e planos de resposta a incidentes deixou de ser uma demanda exclusiva da TI e passou a ser uma necessidade de governança corporativa”, afirma o executivo.

Para mitigar esses riscos, especialistas recomendam medidas fundamentais como a segmentação de redes hospitalares, a atualização constante de softwares, o uso de autenticação multifator (MFA) e a realização de backups isolados e protegidos. Contudo, o fator humano continua sendo decisivo: treinar e capacitar os colaboradores para identificar tentativas de fraude e engenharia social é indispensável, já que esta segue como uma das principais portas de entrada para invasões.

A necessidade de amadurecer a segurança digital é respaldada por dados globais contundentes. De acordo com o relatório Cost of a Data Breach 2025, da IBM, o segmento de saúde registrou o maior custo médio por incidente entre todos os setores analisados, atingindo a marca de US$ 7,42 milhões por violação de dados. Além disso, as organizações do setor levaram, em média, 279 dias para identificar e conter um ataque, um longo período em que operações críticas podem permanecer sob ameaça.

Outro levantamento da IBM, o X-Force Threat Intelligence Index 2025, aponta que 70% dos ataques atendidos por sua equipe de resposta a incidentes tiveram como alvo organizações de infraestrutura crítica, grupo no qual os hospitais estão inseridos. Em mais de um quarto dos casos, os invasores exploraram vulnerabilidades conhecidas que poderiam ter sido corrigidas, o que reforça a urgência de auditorias e correções constantes em equipamentos e aplicações.

No Brasil, o cenário é igualmente alarmante. Hospitais, clínicas e operadoras de saúde vêm sofrendo sucessivas tentativas de ransomware e sequestro de dados nos últimos anos. “Os dados mostram que a saúde virou uma prioridade para o crime organizado digital. Quando uma instituição para devido a um ataque, estamos falando de pacientes sem acesso ao próprio histórico clínico. A cibersegurança deve caminhar lado a lado com a segurança assistencial. Afinal, investir em prevenção custa muito menos do que remediar a paralisação de uma operação hospitalar”, conclui Flávio Cruz.

O IDCiber Threat Intelligence Center, por meio do monitoramento contínuo de fontes abertas, fóruns clandestinos e canais especializados, identificou a divulgação de uma alegada base de dados associada ao domínio governamental www.gov.il, anunciada por um ator de ameaça em 22/06/2025. Segundo a publicação analisada, o grupo afirma ter explorado uma vulnerabilidade de API e obtido acesso não autorizado a informações de aproximadamente 268.938 registros de cidadãos, contendo dados pessoais diversos. As evidências observadas incluem amostras de registros supostamente extraídos da base comprometida e disponibilizados em plataforma pública de compartilhamento de conteúdo. Em conformidade com as melhores práticas de proteção à privacidade, os dados pessoais identificáveis (PII) presentes nas amostras foram anonimizados nesta análise, não sendo reproduzidos nomes, documentos, telefones, endereços, e-mails, identificadores ou quaisquer informações que permitam a identificação direta de indivíduos.

A análise preliminar indica que o conjunto de informações alegadamente exposto contém categorias de dados de elevada sensibilidade, incluindo dados cadastrais, informações demográficas, informações de contato, dados de localização e outros atributos pessoais. Caso a autenticidade e atualidade da base sejam confirmadas pelas autoridades competentes, o incidente poderá representar riscos significativos de fraude, engenharia social, campanhas de phishing direcionado, roubo de identidade, comprometimento de contas e outras atividades criminosas. O anúncio também demonstra intenção de monetização dos dados por parte do ator de ameaça, que disponibilizou canal de contato para potenciais interessados na aquisição do conteúdo.

Até o momento da análise, as evidências observadas permitem confirmar a existência de uma publicação reivindicando a violação e exibindo amostras de registros, porém a validação integral da autenticidade, integridade, abrangência e origem dos dados requer investigação técnica complementar pelas entidades responsáveis. Considerando o potencial impacto sobre cidadãos e organizações governamentais, recomenda-se a realização de procedimentos de resposta a incidentes, validação dos dados expostos, revisão dos controles de acesso, análise de vulnerabilidades em APIs, monitoramento reforçado de credenciais e comunicação adequada às partes potencialmente afetadas.

• Classificação do incidente: Vazamento de Dados (Data Breach)
• Organização alvo: Domínio governamental (www.gov.il)
• Data da divulgação identificada: 22/06/2025
• Volume alegado de impacto: 268.938 registros
• Tipo de informação exposta: Dados pessoais e cadastrais (PII) – informações anonimizadas neste relatório
• Severidade estimada: Alta
• Status: Publicação identificada e em monitoramento

Fonte: IDCiber Threat Intelligence Center.

1. Introdução

Alvin Toffler (1928-2016) foi um dos futuristas do século XX. Além de ensaios sobre avanços tecnológicos, escreveu o livro O Choque do Futuro, no ano de 1970.

Em seu livro de maior sucesso, A Terceira Onda (1980), Toffler organizou a história da humanidade não por séculos ou dinastias, mas por grandes “ondas” que representaram momentos de mudanças tecnológicas e sociais.

Para Toffler, uma “onda” ocorre quando uma nova tecnologia ou forma de produzir riqueza colide com a sociedade, transformando modelos econômicos, as relações interpessoais, a forma de produção cultural e até mesmo a maneira como vivemos. As três ondas que Toffler apresentou, resumidamente, foram:

1ª Onda: A Revolução Agrícola – Iniciada há cerca de 10 mil anos, representou a transição do nomadismo para o sedentarismo. Caracterizou-se pelo domínio da agricultura e do pastoreio, onde a terra era a principal fonte de riqueza e poder.

2ª Onda: A Revolução Industrial – iniciada no final do século XVIII (Inglaterra) e que dominou os séculos XIX e XX. Os motores da mudança foram: a máquina a vapor, os combustíveis fósseis e a produção em massa.

3ª Onda: A Era da Informação – emergiu na metade do século XX (década de 1950/1960), cujos motores da mudança foram: o computador, a internet, a biotecnologia.

Ao encerrarmos o primeiro quarto do século XXI, uma ferramenta tecnológica demonstra estar revolucionando o cotidiano da sociedade e, ao mesmo tempo, desafiando nada menos do que a própria inteligência humana: a Inteligência Artificial (IA).

Diante desse cenário, então, surge uma indagação: em que medida o comunicado emitido pelo Five Eyes sobre IA faz soar o alarme para uma quarta onda?

Seria o Mythos, da Anthropic, a corrente de vento que começa a agitar os “mares da tecnologia”, os mesmos que conectam as nações por meio de uma navegação entre bits e bytes?

2) A Inteligência e o alarme

Five Eyes significa a aliança existente entre as Agências de Inteligência dos seguintes países: Austrália, Canadá, Nova Zelândia, Reino Unido e Estados Unidos da América (EUA), e representa, em última instância, a extensão do antigo projeto Echelon (vide livro Contra & Inteligência, 2024, pág. 83).

Em 22/06/2026, agências de cibersegurança ligadas ao Five Eyes emitiram um comunicado conjunto que denotou ser um alerta quanto à rápida obsolescência dos recursos tradicionais de cibersegurança, indicando que o avanço dos modelos de IA de Fronteira pode reduzir significativamente a marcha do tempo em relação à validade de premissas que orientam a cibersegurança tradicional.

Segundo o Five Eyes, as alterações tecnológicas que anteriormente eram esperadas ao longo de anos poderão ocorrer em poucos meses, exigindo maior capacidade de adaptação por parte das organizações públicas e privadas.

Em síntese, Agências de Inteligência anunciaram que ferramentas de IA estão incorporando novas e mais potentes capacidades de encontrar e explorar vulnerabilidades, cada vez mais rapidamente. Ou seja, a marcha do tempo foi acelerada pela IA reduzindo a janela temporal entre o surgimento de uma vulnerabilidade e sua exploração prática.

O alerta baseia-se na rápida evolução dos modelos de IA, que demonstram capacidades para executar, com elevado grau de automação e velocidade, atividades que tradicionalmente exigiam equipes altamente especializadas. Entre elas destacam-se:

‒        o reconhecimento técnico de infraestruturas digitais, mediante o mapeamento automatizado de ativos físicos e serviços;

‒        a identificação e correlação de vulnerabilidades em softwares, sistemas operacionais e aplicações;

‒        a análise de grandes volumes de dados para identificação de padrões, anomalias e oportunidades de exploração; e

‒        a priorização de vetores de ataque e o apoio à tomada de decisão em operações defensivas ou ofensivas no domínio cibernético.

Tarefas que antes dependiam predominantemente de operadores dedicados passam a ser executadas com maior velocidade e escala por sistemas baseados em IA, que, entre outras capacidades, podem reduzir barreiras técnicas para agentes maliciosos, ampliando a velocidade, a automação e a complexidade das operações cibernéticas.

O cenário torna-se ainda mais complexo porque amplia a capacidade operacional tanto de grupos criminosos independentes ou de atores patrocinados por Estados, tornando os ataques mais frequentes, adaptáveis e difíceis de serem detectados.

Embora muitas das recomendações já integrem as boas práticas consolidadas da cibersegurança, tal como a sempre sugerida redução da superfície de ataque, o Five Eyes orienta para que as organizações adotem estratégias baseadas em resiliência operacional, partindo do pressuposto de que incidentes de segurança poderão ocorrer.

Entre as medidas sugeridas estão:

‒        incorporação da IA para as operações defensivas;

‒        modernização de infraestruturas legadas;

‒        cadência de patching;

‒        fortalecimento dos controles de acesso e a aplicação do princípio do menor privilégio; e

‒        aprimoramento das capacidades de detecção, contenção e resposta a incidentes.

O alerta também evidencia uma mudança na dinâmica da cibersegurança. Se, nas últimas décadas, a evolução das defesas ocorreu por meio de melhorias graduais, a IA tende a reduzir significativamente os ciclos de inovação, exigindo revisões mais frequentes das arquiteturas de segurança, dos processos de governança e das estratégias de gestão de riscos. Nesse contexto, a capacidade de adaptação contínua passa a ser um componente essencial da postura de segurança das organizações.

A terminologia IA de Fronteira tornou-se mundialmente reconhecida na Cúpula de Bletchley Park, em novembro de 2023, também conhecida como Artificial Intelligence Safety Summit. Segue-se a sua definição:

2.1 What do we mean by frontier AI models?

For the purposes of this paper, we define “frontier AI models” as highly capable foundation models2 that could exhibit sufficiently dangerous capabilities. Such harms could take the form of significant physical harm or the disruption of key societal functionson a global scale, resulting from intentional misuse or accident [25, 26]. It would be prudent to assume that next-generation foundation models could possess advanced enough capabilities to qualify as frontier AI models, given both the difficulty of predicting when sufficiently dangerous capabilities will arise and the already significant capabilities of today’s models.[1] (grifei)

3) Quem é Mythos 5?

O Mythos 5 é um modelo de IA de Fronteira desenvolvido pela empresa Anthropic, pertencendo à mesma linhagem e geração do Claude.

Enquanto o Claude Fable 5 é a versão comercial e distribuída para o público e empresas, o Claude Mythos 5, como “irmão gêmeo” do Fable 5, compartilha a mesma base de dados, porém com modificações especificamente para defesa técnica avançada.

O Mythos, como modelo de testes controlados, encontrava-se enclausurado dentro de uma sandbox, uma espécie de prisão digital. Ao operar fora dessa sandbox, em pouco tempo, o Mythos encontrou centenas de falhas em sistemas operacionais, tal como o OpenBSD, navegadores, vulnerabilidades zero-day em softwares, além de bugs no Linux, inconsistências essas antes desconhecidas pelas comunidades de cybersegurança.

Essas descobertas, segundo o governo norte-americano, foram entendidas como potencialmente graves à segurança nacional dos EUA, resultando, em 12/06/2025, na diretriz de controle de exportação do Departamento de Comércio dos EUA que exigiu a suspensão imediata do acesso aos dois modelos por qualquer cidadão estrangeiro, tanto fora quanto dentro dos EUA, incluindo os próprios funcionários estrangeiros da Anthropic.

Como consequência, a Anthropic informou que, diante da dificuldade operacional de verificar, em tempo real, a nacionalidade de todos os usuários, optou por desabilitar temporariamente os modelos para toda a sua base de clientes. Segundo a Anthropic, o governo norte-americano não apresentou detalhes técnicos sobre a preocupação de segurança. A empresa declarou entender que a decisão estaria relacionada à existência de um método capaz de contornar (“jailbreak”) determinadas salvaguardas do modelo Fable 5, permitindo sua utilização para identificar vulnerabilidades de softwares.

Segundo a Anthropic, o Mythos 5 estava restrito a um conjunto limitado de organizações participantes do programa Project Glasswing, voltado para defesa cibernética e proteção de infraestruturas críticas.

A preocupação do governo norte-americano, em relação ao Mythos, seria decorrente do alerta de pesquisadores da Amazon que usaram prompts para fazer o Fable 5 fornecer informações supostamente proibidas e que poderiam auxiliar ciberataques.

Em suma, a determinação de suspensão, segundo o governo dos EUA, se deve ao potencial do modelo para acelerar a identificação de vulnerabilidades em softwares complexos, fortalecendo atividades defensivas, como auditorias de segurança e identificação preventiva de falhas. Entretanto, o mesmo modelo poderia ser empregado para apoiar agentes maliciosos a conduzirem operações ofensivas.

4) Reflexões críticas para a cybersegurança

Embora o comunicado do Five Eyes não mencione diretamente a Anthropic ou o Mythos, ambos os episódios convergem para uma mesma preocupação estratégica: o rápido aumento das capacidades ofensivas e defensivas proporcionadas pelos modelos de IA de Fronteira.

A metáfora da “quarta onda” parece ganhar consistência justamente porque os elementos disruptivos dessa transformação não decorrem apenas da evolução tecnológica em si, mas da velocidade com que os modelos de IA de Fronteira passam a alterar o equilíbrio entre ataque e defesa no domínio cibernético, com consequência diretas nas relações socioeconômicas.

A principal mensagem do comunicado é que modelos cada vez mais avançados tendem a acelerar a descoberta de vulnerabilidades, reduzir barreiras técnicas para agentes maliciosos e encurtar significativamente o ciclo de eficácia das arquiteturas tradicionais de cibersegurança.

O caso Mythos 5 da Anthropic representa um exemplo concreto para esse cenário de evolução tecnológica. Ao que tudo indica, em vez de tratar o risco apenas sob uma perspectiva teórica, o governo norte-americano passou a considerar determinados modelos de IA como ativos estratégicos, submetendo-os a mecanismos de controle compatíveis com tecnologias sensíveis de interesse para a segurança nacional, não distante do próprio espectro militar.

Sob essa perspectiva, os dois episódios (Five Eyes e Anthropic) sinalizam uma possível mudança de paradigma. A IA deixa de ser percebida apenas como uma ferramenta de inovação tecnológica e passa a integrar, de forma crescente e dual (civil e militar), as agendas de segurança nacional, governança tecnológica e competição estratégica entre Estados.

Não por acaso, CEOs de gigantes tecnológicas como o Google, OpenAI e a Anthropic estiveram presentes na última reunião do G7, realizada na cidade francesa de Évian-les-Bains, em junho de 2026, coincidentemente dias antes do comunicado das Agências de Inteligência. A ocasião foi marcada por uma deliberação conjunta voltada para o estabelecimento de diretrizes de governança para a IA, com ênfase na proteção de menores em plataformas online.

5) Conclusão parcial

Na medida em que essa nova onda tecnológica ganha forma, a atuação das Agências de Inteligência com projeção global, como o Five Eyes, torna ainda mais relevante o acompanhamento desse fenômeno sob a perspectiva da Inteligência Estratégica e da Contrainteligência Corporativa.

Até recentemente, as preocupações relacionadas à espionagem empresarial concentravam-se na proteção de pessoas, documentos, sistemas e redes. A rápida evolução dos modelos de IA, contudo, introduz uma nova categoria de ativo estratégico: a própria capacidade computacional de acelerar a identificação de vulnerabilidades, de ampliar a produção de conhecimentos técnicos especializados e de influenciar diretamente a vantagem competitiva de Estados e organizações privadas.

Nesse contexto, observa-se também o fortalecimento do que a Bravus Consultoria cita como sendo o Complexo Industrial da Inteligência (vide Contra & Inteligência, 2024, p. 104), caracterizado pela crescente integração entre governos, empresas de tecnologia, universidades, centros de pesquisa e organizações de defesa na disputa por capacidades críticas na Atividade de Inteligência e agora, mais do que nunca, em IA.

Se Alvin Toffler identificou três grandes ondas de transformação da civilização, os acontecimentos recentes sugerem que a IA poderá representar a força motriz de uma quarta onda, cujos efeitos extrapolam o ambiente tecnológico para alcançar a geopolítica, a segurança nacional e, por conseguinte, a contrainteligência corporativa.

Se essa interpretação estiver correta, talvez o alerta do Five Eyes não deva ser compreendido apenas como mais um Relatório de Inteligência (RELINT) sobre cibersegurança, mas como um dos primeiros sinais institucionais de que a IA inaugura uma nova fronteira de competição estratégica entre Estados, empresas e organizações.

Luis Fernando Baptistella

Capitão de Mar e Guerra (Vet.)

Diretor da Bravus Consultoria || Consultor em Inteligência e Contrainteligência

Autor dos livros Contra & Inteligência 4.0 e Counter & Intelligence 4.0

Pós-graduado em Inteligência Estratégica

Fontes consultadas:

https://www.cisa.gov/news-events/news/five-eyes-cyber-security-agencies-statement

Eric Geller – https://www.cybersecuritydive.com/news/ai-cyberattacks-five-eyes-frontier-models-warning/823526/

Pieter Arntz – https://www.malwarebytes.com/blog/ai/2026/06/claude-fable-5-and-mythos-5-abruptly-disabled-after-us-gov-deems-them-too-clever?utm_source=iterable&utm_medium=email&utm_campaign=b2c_pro_oth_20260622_juneweeklynewsletter_v4_178177982315&utm_content=Claude_logo

Bloqueios da Anthropic vieram após alerta da Amazon – CISO Advisor

Professor Danilo Gato – @odanilogato

Nota de Esclarecimento: Embora este artigo de opinião seja fundamentado nas referências citadas, o conceito de Quarta Onda, com base em Alvin Toffler, no que tange à Atividade de Inteligência e à Cybersegurança, é uma tese autoral desenvolvida pelo autor através de pesquisas e estudos próprios. Os direitos sobre esta metodologia/abordagem específica são reservados.

---

[1] Disponível em https://arxiv.org/abs/2307.03718.

 

Fonte: https://www.linkedin.com/pulse/quarta-onda-intelig%25C3%25AAncia-artificial-seguran%25C3%25A7a-e-nova-baptistella-xloif/

O setor financeiro global enfrenta uma crise sem precedentes na segurança digital, onde pagar o resgate de dados sequestrados virou a regra, não a exceção. Nos últimos 12 meses, 79% das instituições financeiras que sofreram ataques cibernéticos optaram por pagar os criminosos para recuperar seus sistemas. O dado alarmante faz parte de um novo estudo da Cohesity, empresa líder em segurança de dados com Inteligência Artificial, que ouviu 390 tomadores de decisão de TI e segurança em grandes corporações da América do Sul, América do Norte, Europa e Ásia.

O levantamento traça um diagnóstico severo sobre a vulnerabilidade do mercado: 77% das empresas financeiras globais já foram vítimas de cibercriminosos, sendo que mais da metade (57%) foi alvo de investidas apenas no último ano. O impacto financeiro e reputacional é quase inevitável, com 87% das organizações registrando perdas diretas de receita e 93% enfrentando severas consequências regulatórias ou legais após as invasões.

Apesar do cenário de terra arrasada, a pesquisa revela uma desconexão preocupante entre a realidade dos ataques e a percepção de segurança das lideranças. O cenário atual exige uma mudança profunda de postura, já que as ameaças deixaram de ser eventos isolados para se tornarem uma constante no ambiente digital, com frequência e sofisticação cada vez maiores.

• Confiança em alta: Mesmo com uma em cada quatro empresas sendo atacada repetidamente, 46% dos entrevistados afirmam ter total confiança em suas estratégias de resiliência.
• O fator IA: A Inteligência Artificial surge como a grande aposta de defesa para 39% dos executivos, que acreditam que a tecnologia assumirá um papel central na detecção de ameaças e na tomada de decisões autônomas, otimizando a eficiência das equipes internas e do SOC (Security Operations Center) na resposta a incidentes.

A Estratégia da Sobrevivência: Organização Mínima Viável (MVC)

Diante do consenso de que é praticamente impossível blindar as empresas contra todos os tipos de ameaças, o mercado financeiro passou a adotar uma nova filosofia de sobrevivência: o conceito de Minimum Viable Company (MVC), ou Organização Mínima Viável.

Em vez de gastar energia e tempo tentando reerguer toda a infraestrutura tecnológica de uma só vez após um apagão cibernético, o foco da estratégia MVC muda drasticamente. A prioridade máxima passa a ser a recuperação estritamente essencial. O objetivo é colocar de pé a menor versão funcional possível da empresa, garantindo que o negócio continue operando (mesmo que de forma limitada ou sob condições degradadas) até que a crise seja totalmente controlada.

Medidas Práticas: O Caminho para a Resiliência

Para enfrentar o aumento dessas ameaças, viabilizar a estratégia de MVC e reduzir vulnerabilidades críticas, a Clavis Segurança da Informação destaca medidas prioritárias, com foco no SOC, voltadas à proteção e rápida recuperação do ambiente digital corporativo:

Treinamento de Colaboradores: A capacitação contínua transforma o elo mais fraco em defesa activa, reduzindo drasticamente a eficácia de ataques de phishing e engenharia social.

Controle de Identidade: A adoção de Autenticação Multifator (MFA) é a barreira mais eficiente para impedir que credenciais roubadas permitam o acesso indevido a dados sensíveis.

Monitoramento e Auditoria: O acompanhamento em tempo real permite detectar anomalias rapidamente, enquanto auditorias frequentes corrigem vulnerabilidades antes que sejam exploradas por criminosos.

Automação de Segurança: O uso de ferramentas automatizadas acelera a resposta a incidentes e reduz a janela de exposição de falhas críticas, que pode superar 55 dias.

Backup e Recuperação: Manter cópias de segurança isoladas e planos de recuperação testados garante a continuidade do negócio e protege a empresa contra extorsões digitais.

A segurança de redes corporativas consolida-se como um pilar indispensável para a estabilidade e o crescimento sustentável no mercado brasileiro. Com ameaças cada vez mais ágeis e onerosas, investir em um ecossistema que integre soluções tecnológicas, processos automatizados e conscientização humana deixa de ser uma demanda técnica para se tornar um diferencial competitivo estratégico.

Dois acontecimentos recentes acenderam um alerta global sobre a evolução das fraudes digitais e a profissionalização do crime cibernético. De um lado, pesquisadores da Cybernews identificaram uma base exposta contendo aproximadamente 24 bilhões de registros de credenciais, incluindo e-mails, nomes de usuário, senhas em texto claro e URLs de acesso. De outro, o governo da Índia bloqueou temporariamente o Telegram após suspeitas de que grupos organizados estariam utilizando a plataforma para tentar fraudar candidatos do NEET 2026, principal exame nacional de admissão para cursos de medicina do país. Para a LC SEC, consultoria especializada em cibersegurança e compliance, os dois episódios evidenciam a crescente profissionalização do crime digital.

Segundo informações divulgadas pela Cybernews, a base reúne dados provenientes de diferentes fontes, incluindo infostealers, compilações de vazamentos anteriores e outras exposições digitais acumuladas ao longo dos anos. Embora ainda não seja possível determinar quantos registros são duplicados ou quantas pessoas únicas foram afetadas, a consolidação desse volume de informações em um único conjunto amplia significativamente o potencial para ataques de tomada de contas, fraudes financeiras e invasões corporativas.

Na Índia, o caso envolvendo o Telegram também chamou a atenção pela escala da operação, pois, segundo informações divulgadas pela Reuters, o bloqueio temporário da plataforma ocorreu após autoridades apontarem que grupos organizados teriam utilizado o aplicativo para coordenar tentativas de fraude relacionadas ao exame NEET 2026. O episódio ganhou repercussão nacional após o cancelamento dos resultados de cerca de 2,3 milhões de estudantes em meio a investigações sobre possível vazamento de questões e irregularidades no processo seletivo.

Embora distintos, os dois casos compartilham um elemento importante: a utilização de plataformas digitais como parte da infraestrutura que sustenta operações criminosas. Ao rastrear a origem dos dados presentes na base identificada pela Cybernews, os pesquisadores encontraram 36 fontes distintas de informação. Segundo a investigação, grande parte delas estaria associada a canais do Telegram utilizados para compartilhamento de credenciais roubadas, dados obtidos em violações de segurança e materiais relacionados a atividades ilícitas.

“O aspecto mais relevante desses casos é que eles mostram como o crime digital funciona atualmente. Não estamos falando apenas de vazamentos ou de uma plataforma específica, mas de um ecossistema onde dados roubados são coletados, organizados, compartilhados e utilizados por diferentes grupos criminosos. O Telegram aparece nesse contexto como um dos canais identificados para circulação dessas informações, evidenciando como plataformas digitais podem ser incorporadas à cadeia operacional das fraudes”, afirma Luiz Cláudio, CEO e fundador da LC SEC.

O cenário acompanha uma tendência observada globalmente pelo relatório Microsoft Digital Defense de 2025, que aponta que mais de 97% dos ataques contra identidade são baseados em senhas e que esse tipo de ameaça cresceu 32% no primeiro semestre de 2025. O relatório também destaca que mecanismos de autenticação multifator resistentes a phishing são capazes de bloquear mais de 99% desses ataques.

Na avaliação do especialista, o foco das organizações não deve estar apenas na proteção de sistemas, mas também na gestão da identidade digital. “Quando credenciais comprometidas passam a circular livremente, os criminosos conseguem assumir contas legítimas, acessar ambientes corporativos e utilizar essas informações para ataques mais sofisticados. A identidade digital se tornou um dos ativos mais valiosos e mais visados do ambiente corporativo”, explica Luiz Claudio.

Diante desse cenário, a LC SEC recomenda que empresas revisem suas políticas de autenticação, ampliem o uso de autenticação multifator (MFA), fortaleçam processos de validação de identidade e monitorem continuamente credenciais expostas. A adoção de estratégias de Threat Intelligence, avaliações periódicas de acessos privilegiados e programas permanentes de conscientização também são medidas importantes para reduzir riscos e antecipar movimentos de grupos criminosos.

Ataques com ransomwares fizeram 791 vítimas no mês de maio, numa leve diminuição de 9,1% em comparação aos 870 registrados em abril. Os dados são da plataforma Ransomware.live, iniciativa de Julien Mousqueton, especialista em cibersegurança e executivo da Cohesity, empresa líder em segurança de dados com IA.

O site monitora e coleta dados de sites de vazamento de grupos de ransomware continuamente para identificar e listar novas vítimas. Ransomwares são softwares maliciosos que bloqueiam o acesso de usuários ou organizações, exigindo pagamento de resgate para restauração, sob a ameaça de vazamento ou exclusão permanente.

Olhando para os últimos 12 meses, a atividade permanece substancialmente elevada. O número de maio está bem acima da faixa de 501 a 598 vista entre junho e setembro, e somente um pouco abaixo do pico recente de 882 em dezembro. “A queda de 9,1% em relação a abril é estatisticamente notável, mas não deve ser interpretada como evidência de uma queda sustentada”, analisa Gustavo Leite, vice-presidente da Cohesity para América Latina e Caribe.

Apesar desse recuo, o cenário de ameaças permaneceu dinâmico, diz. “Quatro grupos divulgaram suas primeiras vítimas em maio, e nove agentes novos apareceram em sites de vazamento. Isso sinaliza a fragmentação contínua do ecossistema de ‘ransomware-as-a-service’, quando desenvolvedores profissionais alugam ou vendem sua infraestrutura para outros hackers”.

Segundo Leite, o surgimento de nove atores em um mês reflete a fragmentação do ecossistema, onde afiliados mudam de nome ou se separam de grandes operações. Apesar desse influxo, 15 grupos antes ativos ficaram inativos em maio. “Embora novas operações surjam, muitas são efêmeras devido à pressão policial, dissolução interna ou mudança de identidade”, destaca.

Países e setores mais afetados

Os Estados Unidos seguiram como o país mais afetado, representando 309 das 791 vítimas (39,1%). O Reino Unido (49 vítimas) e a Alemanha (41 vítimas) ocuparam o segundo e o terceiro lugares, respectivamente. O Canadá (32), a Espanha (23) e o Japão (17), aparecem em seguida, antes de Austrália (20), México (16) e França (16).

O mercado B2B continuou sendo o mais visado, com 160 vítimas. O setor de manufatura registrou 103 casos, seguido pelos setores de tecnologia (71) e saúde (68). “O alto volume registrado constantemente no setor de saúde ressalta a persistente atratividade do setor para operadores de ransomware que buscam alvos com alto potencial de exploração”, diz o executivo.

O vice-presidente da Cohesity para América Latina e Caribe também chamou a atenção para os 39 casos no setor de agricultura e produção de alimentos. “Ataques a esse setor têm aumentado, numa tendência que merece atenção, dadas as implicações para a infraestrutura crítica das cadeias de suprimentos de alimentos”, disse. O setor de educação figurou pela primeira vez no ranking dos dez principais setores neste mês, com 28 vítimas.

Números do site Ransomware.live são divulgados todos os meses pela Cohesity, que conta com a confiança de clientes em mais de 140 países, incluindo 70% da Fortune Global 500.

Ataques com ransomware nos últimos 12 meses:

• Maio – 791
• Abril – 870
• Março – 844
• Fevereiro – 784
• Janeiro – 702
• Dezembro de 2025 – 882
• Novembro – 717
• Outubro – 839
• Setembro – 598
• Agosto – 530
• Julho – 547
• Junho – 501

Setores com ransomwares mais afetados em maio:

1. Mercado B2B – 160
2. Manufatura – 103
3. Tecnologia – 71
4. Saúde – 68
5. Serviços ao consumidor – 52
6. Agricultura e produção de alimentos – 39
7. Transportes/logísticas – 35
8. Serviços financeiros – 34
9. Construção – 32
10. Educação – 28

Países mais afetados por ataques com ransomwares em maio:

1. Estados Unidos – 309
2. Reino Unido – 49
3. Alemanha – 41
4. Canadá – 32
5. Espanha – 23
6. Austrália – 20
7. Itália – 20
8. Japão – 17
9. França – 16
10. México – 16

Um disparo indevido no sistema Defesa Civil Alerta expôs a superfície de ataque de uma infraestrutura crítica baseada em redes móveis 4G e 5G, Cell Broadcast e integrações entre governo e operadoras. Este artigo analisa o incidente sob a ótica de arquitetura provável desse sistema, segurança cibernética e telecomunicações.

Na madrugada de sábado, um disparo indevido do sistema Defesa Civil Alerta provocou o envio de mensagens de emergência para diversas regiões do Brasil, sem que houvesse um evento emergencial real correspondente. Segundo nota oficial, a plataforma foi retirada do ar após a identificação de um acesso não autorizado e a Polícia Federal foi acionada para investigação. Embora o episódio tenha sido inicialmente tratado como “possível invasão cibernética”, a análise técnica exige uma leitura mais ampla: trata-se de um sistema altamente distribuído, dependente de múltiplas camadas de infraestrutura, desde aplicações governamentais até redes móveis 4G e 5G operadas por “telecoms”.

O Defesa Civil Alerta é baseado no conceito de Cell Broadcast Service (CBS), padronizado em redes móveis LTE e 5G. Diferente de SMS tradicional, que é ponto a ponto, o Cell Broadcast funciona como um broadcast geográfico, pois a mensagem é injetada na rede da operadora e distribuída para todos os dispositivos conectados a células específicas da antena. Isso reduz latência e garante entrega mesmo em cenários de congestionamento.

Do ponto de vista de arquitetura, o fluxo típico envolve:

• Interface de autorização e gestão de alertas (IDAP ou equivalente institucional)
• Sistema central de decisão da Defesa Civil
• Gateways de integração com operadoras móveis
• Infraestrutura de rede 4G/5G (eNodeB/gNodeB)
• Camada de broadcast para dispositivos finais

Essa cadeia cria uma superfície de ataque ampla e distribuída, onde a segurança não depende de um único ponto, mas da coerência entre autenticação, autorização e integração entre sistemas heterogêneos. Podemos observar que, segundo documentação oficial de concepção de sistemas de alerta, esses sistemas são estruturados em quatro pilares: monitoramento de risco, análise, decisão e comunicação de alerta. O incidente em questão afeta diretamente o último pilar, que é a comunicação, mas pode ter origem em qualquer ponto anterior, incluindo a camada a integração com operadoras.

A nota oficial indica que o sistema foi “acionado remotamente por alguém não autorizado”, o que sugere uma quebra de controle de acesso lógico. Em arquiteturas modernas, isso pode ocorrer por diferentes vetores:

• Credenciais comprometidas em sistemas administrativos
• Token de API exposto ou mal protegido
• Falha em autenticação entre sistemas federados
• Exploração de vulnerabilidade em interface web ou middleware
• Má configuração em gateways de integração com operadoras

Um ponto crítico aqui é que sistemas como o IDAP e plataformas de alerta não operam isoladamente: eles são integrados a múltiplos serviços e dependem de autenticação forte entre domínios administrativos diferentes. Qualquer falha nesse encadeamento pode permitir a emissão indevida de alertas válidos do ponto de vista técnico da rede, mas inválidos do ponto de vista de governança.

Outro aspecto relevante é o papel das redes 4G e 5G. O Cell Broadcast é implementado diretamente na camada de controle da rede móvel, o que significa que, uma vez autorizado o envio, a distribuição é extremamente eficiente e praticamente imune a congestionamentos. No entanto, essa eficiência também implica um risco: a mensagem não passa por validações individuais em cada dispositivo. Ou seja, o controle precisa ser rigorosamente feito na origem. Em termos de segurança, isso caracteriza um modelo de alto impacto e baixa granularidade de controle no endpoint, o que reforça a necessidade de proteção forte na camada de backend.

A presença de um alerta classificado como “Alerta Extremo” com conteúdo fora do padrão esperado, incluindo termos não técnicos como “misantropia”, indica possível comprometimento não apenas do canal de envio, mas também da integridade do payload da mensagem. Isso sugere que o atacante teve capacidade de manipular o conteúdo estruturado do alerta, e não apenas acioná-lo.

Nesse contexto, a análise forense digital torna-se essencial. A perícia normalmente se concentra em:

• Logs de autenticação (quem acessou o sistema e quando)
• Trilha de auditoria de ações administrativas
• Integridade de APIs e tokens de sessão
• Eventual movimentação lateral dentro de redes governamentais
• Correlação com acessos externos via VPNs ou redes administrativas

A retirada imediata do sistema do ar indica uma ação de contenção, típica de resposta a incidentes de alta severidade. Em sistemas críticos, essa decisão é tomada para preservar evidências, impedir novos disparos e reduzir impacto operacional enquanto a integridade do ambiente é verificada.

Do ponto de vista de projeto de sistemas críticos, o incidente evidencia um ponto estrutural a ser destacada, que sistemas de alerta precisam ser desenhados sob o princípio de fail-safe control, onde qualquer comportamento fora do padrão esperado deve resultar em bloqueio automático de emissão, e não em execução.

Além disso, há uma dimensão de confiança pública. Sistemas de alerta via celular funcionam como mecanismos de alta credibilidade. Uma vez acionados incorretamente, há um risco de degradação de confiança. Este fenômeno, conhecido como alert fatigue, representa a situação onde usuários passam a ignorar notificações devido a falsos positivos.

O episódio também evidencia a complexidade da integração entre governo e operadoras de telecomunicações. Redes 4G e 5G operam com múltiplos nós distribuídos e virtualização de funções de rede (NFV), o que amplia a superfície de ataque quando há integração com sistemas externos. Embora o Cell Broadcast seja robusto do ponto de vista de entrega, ele depende criticamente da integridade da camada de sinalização e dos gateways de controle.

Em síntese, o incidente no Defesa Civil Alerta não deve ser interpretado apenas como um evento isolado de invasão, mas como um caso clássico de falha potencial em um sistema complexo com impacto nacional, onde segurança não depende apenas de software, mas da interação entre redes móveis, governança institucional e controles de acesso rigorosos.

A resposta das autoridades, que realizaram a remoção do sistema do ar e acionamento da Polícia Federal, segue o protocolo esperado em incidentes dessa natureza. O desafio agora é estrutural: reforçar autenticação, segmentação de rede, auditoria contínua e mecanismos de validação dupla antes da emissão de qualquer alerta crítico.

No final, o caso reforça uma verdade central da cibersegurança moderna, quanto mais crítico o sistema, menor pode ser a tolerância a falhas de autorização, porque o impacto não é digital, é diretamente na sociedade.

As perdas financeiras e o volume de golpes no setor bancário brasileiro continuam em uma escalada agressiva. Uma nova pesquisa da BioCatch, líder em prevenção a fraudes por inteligência comportamental, revela que 89% dos líderes bancários no Brasil relatam aumento nas tentativas de golpe em 2026. O número representa um salto notável frente aos 77% do ano anterior e supera a média global atual, que é de 81%

O estudo inédito entrevistou 100 profissionais de alta liderança (gerência, diretoria e C-suite) das áreas de gestão de fraudes, prevenção a crimes financeiros, risco e compliance no país. O perfil dos participantes reflete o peso do ecossistema financeiro nacional: 99% atuam em instituições com mais de US$ 10 milhões sob gestão, e metade (50%) gerencia ativos que superam a marca de US$ 1 bilhão.

Embora o Brasil tenha se posicionado como o mercado mais próximo das médias globais entre todos os países pesquisados, os dados nacionais de perdas e sofisticação acendem um alerta vermelho para o setor.

O prejuízo financeiro das fraudes no ecossistema brasileiro

A pressão financeira exercida pelas atividades criminosas já dita o orçamento dos grandes bancos, gerando impactos severos tanto para as instituições quanto para os usuários. No âmbito institucional, mais da metade dos entrevistados no Brasil (51%) perde acima de US$ 10 milhões para fraudes todos os anos. Ao mesmo tempo, para 19% dos entrevistados esse rombo supera os US$ 25 milhões anuais e, para 3%, o dano ultrapassa a marca de US$ 100 milhões.

Na outra ponta, o prejuízo transferido ao cliente final é igualmente alarmante. Cerca de 74% dos executivos afirmam que seus clientes perdem mais de US$ 5 milhões anualmente em fraudes autorizadas e golpes, e quase metade (44%) relata perdas de clientes acima de US$ 10 milhões ao ano.

Esse cenário é ainda mais agravado pelo dinamismo e rapidez dos ataques, que preocupam diretamente os comitês de risco: atualmente, 82% dos líderes de fraude no Brasil declaram estar muito preocupados com o aumento na velocidade da atividade fraudulenta, um índice superior aos 76% registrados na média global.

Deepfakes e novas vulnerabilidades

A inteligência artificial transformou-se rapidamente em uma arma de engenharia social nas mãos de organizações criminosas, desafiando as defesas tradicionais das instituições brasileiras. Essa nova realidade é evidente no avanço dos ataques baseados em deepfakes, já observados por quase dois terços (63%) dos executivos no Brasil nos últimos 12 meses, um índice significativamente superior à média global de 50%. Na prática, a tecnologia não está criando golpes inteiramente novos, mas tornando as táticas existentes muito mais críveis em um mercado onde o Pix, o WhatsApp, o mobile banking e o comércio em redes sociais estão profundamente enraizados no cotidiano.

Um dos reflexos disso no dia a dia do ecossistema nacional são os golpes de emergência familiar por chamadas ou mensagens no WhatsApp, em que criminosos utilizam áudios gerados por IA para imitar a voz de filhos ou cônjuges simulando uma urgência e solicitando transferências Pix imediatas. Da mesma forma, os criminosos clonam a voz de gerentes ou utilizam áudio e vídeo alterados por IA em falsas chamadas de suporte bancário; a vítima é induzida a acreditar que sua conta está sob ataque e acaba convencida a transferir fundos para uma suposta ‘conta segura’ ou a instalar softwares de acesso remoto.

Paralelamente, o país enfrenta sérias dificuldades para barrar golpes de falsificação de identidade (impersonation), com 60% dos tomadores de decisão locais classificando como muito ou extremamente difíceis de reconhecer. E, olhando para o futuro, a preocupação com a próxima onda de ataques é um consenso: para 90% dos profissionais brasileiros entrevistados, a IA Agêntica pode se tornar a maior vulnerabilidade explorável pelo crime organizado no próximo ano. E, além de tudo, 83% apontam que será extremamente desafiador mitigar o problema e distinguir ações legítimas assistidas por IA de atividades maliciosas ou manipuladas.

“A grande virada de chave tecnológica que estamos presenciando reside na evolução dos agentes de IA tradicionais para a chamada IA Agêntica. Enquanto um agente comum executa de forma rígida uma única tarefa programada, a IA Agêntica possui autonomia para traçar caminhos alternativos e contornar barreiras até atingir seu objetivo”, afirma Diego Baldin, diretor de Global Advisory da BioCatch para a América Latina.

“Quando essa tecnologia é capturada pelo crime organizado, passamos a lidar com sistemas automatizados capazes de conduzir interações complexas de engenharia social, persuadindo uma vítima até que ela esteja totalmente convencida, para só então repassar o ataque para um operador humano, que  conclui o golpe. Esse ecossistema não apenas automatiza o roubo de dados, mas é inteligente o suficiente para filtrar e priorizar as informações mais valiosas, conectar-se a outras ferramentas maliciosas e aprender com os próprios erros em tempo real. Se o algoritmo encontra um bloqueio de segurança, ele recalcula a rota autonomamente até conseguir violar o sistema.”

A urgência da inteligência interbancária

Diante de um cenário em que a autenticação tradicional perde eficácia contra a persuasão digital e a tecnologia avançada, a alta liderança bancária do país aponta o compartilhamento de dados em rede como uma das principais soluções.

A grande maioria dos executivos brasileiros (88%) acredita que o compartilhamento de inteligência entre bancos teria um impacto positivo significativo na capacidade de conter fraudes e crimes financeiros. Indo além, 89% afirmam que obter inteligência em tempo real sobre a conta destinatária envolvida em uma transação seria o divisor de águas para identificar e conter golpes financeiros antes que o dinheiro seja pulverizado.

Curiosamente, a pesquisa também revelou uma característica cultural do mercado nacional: os líderes bancários brasileiros são significativamente menos propensos do que seus pares internacionais a afirmar que suas instituições investem em prevenção de fraudes para evitar a perda de clientes (churn). Apenas 23% dos executivos no Brasil citam a perda de clientes como motivo para investimentos na área, contra 39% globalmente. O foco do país está direcionado firmemente no combate à sofisticação tática do crime e na proteção sistêmica do fluxo financeiro.

“A IA já está redefinindo a velocidade e a sofisticação das ameaças no Brasil, permitindo que criminosos escalem ataques de engenharia social com o uso de deepfakes em um ritmo muito superior à média global”, conta Baldin.

“O dado mais revelador é que no ecossistema brasileiro, ao contrário do mercado global, a liderança local investe em prevenção a fraudes motivada pela blindagem financeira imediata. Em um ambiente hiperconectado e de transações instantâneas, a urgência financeira e operacional parece ter prioridade, ao conter o vazamento monetário e a velocidade do crime. Para vencer essa corrida, o setor precisa ir além das checagens estáticas de identidade: o futuro depende do entendimento contínuo e em tempo real do comportamento e da intenção do usuário, combinado com uma rede de inteligência interbancária que neutralize as contas de laranjas usadas para lavar o produto das fraudes.”

Acesse a pesquisa completa aqui.

A expectativa sobre a Copa do Mundo de 2026 vem sendo amplamente explorada por cibercriminosos em escala global. Levantamento realizado pelo FortiGuard Labs, laboratório de inteligência da Fortinet, identificou mais de 13 mil domínios registrados com referências ao torneio entre janeiro e maio deste ano. Desse universo, cerca de 1.140 endereços (o equivalente a 8,8%) foram classificados como maliciosos ou suspeitos, evidenciando o uso crescente do maior evento do futebol mundial como isca para fraudes digitais.

De acordo com a análise, a infraestrutura criada pelos criminosos sustenta campanhas organizadas voltadas à aplicação de golpes financeiros e ao roubo de informações sensíveis. Entre as principais ameaças observadas estão páginas falsas para venda de ingressos, inclusive por meio de canais como o Telegram; lojas virtuais fraudulentas de produtos oficiais; plataformas ilegítimas de transmissão de partidas; campanhas de phishing e falsas oportunidades de emprego relacionadas ao evento.

Nos dois meses que antecederam a competição, foi identificado um crescimento expressivo no registro de novos domínios ligados à Copa do Mundo, acompanhando o movimento do mercado e dos países na ampliação das ações direcionadas ao evento e aumento do interesse do público. O levantamento apontou que mais de 270 mil credenciais de usuários/fãs que visitaram sites relacionados à FIFA foram identificadas em registros de roubo de dados baseados em delimitadores.

Contas falsas em redes sociais
Outro destaque do levantamento é a proliferação de perfis falsos em redes sociais. Mais de 1.700 contas e canais que utilizam indevidamente a identidade visual e a marca da FIFA foram identificados em plataformas digitais, especialmente Facebook e Instagram:

• Instagram – 60,27%
• Facebook – 28,94%
• X (antigo Twitter) – 8,16%
• Telegram – 1,66%
• Youtube – 0,97%

“Esses ambientes são utilizados para disseminar promoções inexistentes, páginas de phishing, sorteios falsos e outras estratégias de engenharia social destinadas a enganar torcedores. Os pesquisadores também utilizaram a circulação de aplicativos maliciosos que simulam serviços de apostas esportivas, streaming de partidas e acompanhamento de resultados. Distribuídos por sites não oficiais e canais de mensagens, esses aplicativos podem instalar malwares capazes de roubar credenciais, capturar dados financeiros e comprometer os dispositivos das vítimas”, aponta Alexandre Bonatti, vice-presidente de Engenharia da Fortinet Brasil.

A comercialização fraudulenta de ingressos aparece entre os golpes mais recorrentes. Criminosos criam páginas praticamente idênticas às oficiais para convencer consumidores a realizar pagamentos ou fornecer dados pessoais e bancários. Em muitos casos, a sensação de urgência e a escassez de ingressos são utilizadas para induzir decisões rápidas e reduzir a desconfiança dos usuários.

As falsas lojas de produtos licenciados também ganharam espaço nas campanhas identificadas pelo FortiGuard Labs. Bonatti comenta que os cibercriminosos têm aproveitado o interesse por camisas, itens colecionáveis e produtos exclusivos da Copa do Mundo para comercializar mercadorias inexistentes ou falsificadas, a partir de ambientes que replicam o visual de marcas conhecidas.

“Outra modalidade em crescimento envolve vagas de trabalho temporárias ligadas ao torneio. Mensagens distribuídas por redes sociais, aplicativos de conversa e e-mails direcionam candidatos para páginas falsas de recrutamento que simulam processos seletivos legítimos e capturam credenciais de acesso e informações pessoais”, acrescenta o executivo.

Além das fraudes voltadas aos consumidores, a Fortinet alerta para a necessidade de empresas e organizações envolvidas no evento e parceiros comerciais reforçarem seus mecanismos de proteção. O monitoramento contínuo de domínios semelhantes às marcas, a adoção de autenticação multifator, a atualização constante dos sistemas e o compartilhamento de inteligência sobre ameaças são medidas essenciais para reduzir riscos durante todo o ciclo da competição.

Como consumidores podem se proteger

• Conferir cuidadosamente o endereço do site antes de realizar qualquer compra ou informar dados pessoais;
• Priorizar a aquisição de ingressos e produtos em canais oficiais ou parceiros autorizados;
• Desconfiar de ofertas com descontos muito acima do mercado ou com prazo extremamente limitado;
• Evitar downloads de aplicativos e plataformas de streaming provenientes de fontes não oficiais;
• Utilizar autenticação multifator em contas digitais sempre que possível;
• Acompanhar regularmente movimentações bancárias e notificações de cartões para identificar operações suspeitas.

Recomendações para empresas

Para fortalecer a proteção contra ameaças cibernéticas durante a Copa do Mundo, a Fortinet recomenda que as empresas adotem uma estratégia integrada de segurança. Entre as principais medidas estão o monitoramento contínuo de domínios que possam explorar indevidamente suas marcas, a implementação de soluções avançadas para detecção de phishing e fraudes digitais, além da manutenção permanente de plataformas, aplicações e integrações atualizadas.

A companhia também destaca a importância de reforçar políticas de autenticação multifator para contas críticas e administrativas, promover ações de conscientização voltadas a colaboradores, parceiros e clientes sobre os golpes mais comuns relacionados ao torneio e estabelecer processos integrados de resposta a incidentes, garantindo uma atuação rápida diante de tentativas de fraude ou comprometimento de credenciais.

Sobre a Fortinet
A Fortinet (NASDAQ: FTNT) é uma força motriz na evolução da segurança cibernética e na convergência de rede e segurança. Nossa missão é proteger pessoas, dispositivos e dados em todos os lugares, e hoje oferecemos segurança cibernética onde você precisar com o maior portfólio integrado de mais de 50 produtos de nível empresarial. Mais de meio milhão de clientes confiam nas soluções da Fortinet, que estão entre as mais implantadas, mais patenteadas e mais validadas do setor. O Fortinet Training Institute, um dos maiores e mais amplos programas de treinamento do setor, dedica-se a disponibilizar treinamento em segurança cibernética e novas oportunidades de carreira para todos. O FortiGuard Labs, laboratório de pesquisa e inteligência de ameaças de elite da Fortinet, desenvolve e utiliza aprendizado de máquina de ponta e tecnologias de IA para fornecer aos clientes inteligência de ameaças acionável e proteção oportuna e consistente com a melhor classificação do mercado. Saiba mais em www.fortinet.com/br, Fortinet Blog e FortiGuard Labs.

Os pesquisadores de ameaças da Gen (NASDAQ: GEN), líder global na promoção da liberdade digital por meio de um portfólio de marcas confiáveis que inclui Norton, Avast, LifeLock e MoneyLion, entre outras, identificaram uma sofisticada campanha de fraude que utiliza falsas ofertas de emprego e processos de recrutamento aparentemente legítimos para roubar credenciais de acesso dos usuários e obter informações sensíveis. Os criminosos exploram a reputação de organizações e marcas amplamente reconhecidas, assim como o interesse gerado por grandes acontecimentos internacionais, para dar maior credibilidade aos seus golpes.

Entre os exemplos analisados, foram encontrados sites que se passavam pela FIFA e por outras entidades e marcas vinculadas a um dos eventos esportivos mais aguardados de 2026. No entanto, os pesquisadores também observaram tentativas semelhantes que utilizavam a imagem de empresas reconhecidas de diferentes setores para gerar confiança nos usuários.

A investigação revelou que os criminosos não se limitam a publicar vagas falsas. Em muitos casos, eles constroem processos completos de contratação que incluem perfis falsos de recrutadores, alguns deles baseados em fotografias e informações de profissionais reais disponíveis publicamente em plataformas como o LinkedIn. Além disso, enviam convites de calendário e direcionam as vítimas para sites projetados para imitar páginas legítimas de recrutamento.

Os pesquisadores alertam que uma página de emprego com aparência profissional não garante que seja autêntica. Os cibercriminosos podem copiar logotipos, fotografias, descrições de vagas e até botões de login de sites legítimos para criar páginas fraudulentas altamente convincentes. Além disso, o uso de ferramentas de inteligência artificial facilitou a criação desse tipo de sites maliciosos, tornando-os cada vez mais difíceis de detectar.

Uma vez no site, os usuários são convidados a iniciar sessão por meio de opções conhecidas, como o acesso com o Google. No entanto, por trás dessas páginas há formulários criados para capturar credenciais e outras informações sensíveis. Os pesquisadores observaram que algumas campanhas rejeitavam contas pessoais e solicitavam especificamente contas corporativas, com o objetivo de obter acesso a sistemas internos, arquivos e outros recursos empresariais.

“A engenharia social tornou-se cada vez mais sofisticada. Os cibercriminosos já não dependem apenas de e-mails suspeitos ou mensagens mal redigidas; agora são capazes de replicar processos completos de recrutamento, inclusive com ajuda da IA, e aproveitar a confiança gerada por marcas e organizações reconhecidas. Isso transforma as falsas ofertas de emprego em uma ameaça especialmente perigosa, já que as vítimas acreditam estar diante de uma oportunidade profissional legítima quando, na realidade, estão entregando acesso a informações valiosas”, afirma Iskander Sanchez-Rola, Diretor Sênior de IA e Inovação na Norton.

Os pesquisadores também descobriram que, uma vez que uma página maliciosa é removida, os criminosos geralmente registram novos domínios para dar continuidade à campanha. Essa capacidade de adaptação dificulta a detecção e permite que as ameaças permaneçam ativas por mais tempo.

Desde 1º de maio de 2026, os produtos da Gen, incluindo Norton, bloquearam mais de 250 ataques relacionados a essas campanhas, embora os especialistas alertem que o alcance real pode ser maior devido à constante evolução das táticas utilizadas pelos cibercriminosos.

Para ajudar os usuários a identificar esse tipo de ameaça, os especialistas da Norton recomendam:

• Desconfiar de ofertas de emprego inesperadas ou excessivamente atraentes.
• Verificar se as vagas provêm de sites oficiais e prestar atenção ao endereço do site.
• Confirmar a legitimidade dos recrutadores antes de fornecer informações pessoais.
• Evitar inserir credenciais em páginas acessadas por links recebidos por e-mail ou aplicativos de mensagens.
• Suspeitar de qualquer processo de recrutamento que solicite credenciais corporativas ou informações sensíveis em etapas iniciais.
• Confirmar a existência da vaga diretamente nos canais oficiais da organização.
• Utilizar ferramentas de cibersegurança, como o Norton 360 com Norton Scam Protection, que utiliza inteligência artificial para ajudar a detectar tentativas de phishing e sites fraudulentos antes que comprometam informações pessoais ou credenciais de acesso.

À medida que as campanhas de fraude evoluem, a combinação entre engenharia social e o uso indevido de marcas reconhecidas continua se tornando uma das ferramentas mais eficazes para os cibercriminosos. Manter uma postura crítica e verificar cada etapa do processo pode ajudar a diferenciar uma oportunidade legítima de uma fraude projetada para comprometer informações pessoais e corporativas.

Sobre a Gen

A Gen (NASDAQ: GEN) é uma empresa global dedicada a impulsionar a Liberdade Digital por meio de suas marcas de consumo confiáveis, incluindo Norton, Avast, LifeLock, MoneyLion e outras. A família de marcas da Gen tem como base a oferta de segurança cibernética e empoderamento financeiro para as primeiras gerações digitais. Hoje, a Gen capacita as pessoas a viverem suas vidas digitais com segurança, privacidade e confiança para as gerações futuras. A Gen oferece produtos e serviços premiados em cibersegurança, privacidade online, proteção de identidade e bem-estar financeiro para quase 500 milhões de usuários em mais de 150 países. Saiba mais em GenDigital.com.

Sobre os Laboratórios de Ameaças da Gen

Os Laboratórios de Ameaças da Gen representam a equipe de pesquisa e tecnologia de Segurança Cibernética dentro da Gen, focada em descobrir e analisar as mais recentes ameaças digitais e golpes em todo o mundo. Com base em dados, pesquisa e experiência técnica, a equipe mapeia padrões e riscos que moldam um cenário de ameaças em constante evolução. Essas descobertas impulsionam tecnologias de segurança que protegem as pessoas em todo o portfólio de marcas confiáveis da Gen, incluindo Norton, Avast e LifeLock, entre outras.

Sobre a Norton

A Norton é líder em cibersegurança e faz parte da Gen (NASDAQ: GEN), empresa global dedicada a promover a Liberdade Digital por meio de um portfólio de marcas confiáveis para o consumidor. A Norton capacita milhões de pessoas e famílias com proteção premiada para seus dispositivos, privacidade online e identidade digital. Os produtos e serviços da Norton são certificados por organizações independentes de testes, incluindo AV-TEST, AV-Comparatives e SE Labs. A Norton também é membro fundadora da Coalition Against Stalkerware. Saiba mais em https://br.norton.com

A instabilidade no cenário internacional impulsionou 66% das organizações globais a reestruturarem suas defesas digitais em resposta à volatilidade geopolítica. Os dados são do estudo Global Cybersecurity Outlook 2026, realizado pelo Fórum Econômico Mundial em parceria com a Accenture e líderes do setor, que destaca ainda que 94% dos líderes entrevistados identificam a IA como a principal força a remodelar o risco cibernético no próximo ano, elevando o potencial de ataques voltados à espionagem e à interrupção de infraestruturas críticas.

Embora a influência geopolítica nas decisões de segurança digital apresente oscilações, o tema permanece central na agenda estratégica. Na prática, esse cenário acelera a necessidade de integrar a cibersegurança às decisões de infraestrutura e continuidade operacional, especialmente em setores críticos e altamente digitalizados.

Para  Rafael Dantas, Head de Cibersegurança da TLD, empresa brasileira especializada em tecnologia, a digitalização acelerada, especialmente no setor público, trouxe ganhos expressivos de eficiência, mas também reforça a necessidade de reforçar a segurança para possíveis ataques em sistemas e dados estratégicos. “A cibersegurança não pode mais ser vista apenas como um suporte técnico; ela deve integrar a arquitetura das infraestruturas tecnológicas para assegurar a continuidade de serviços essenciais e a soberania digital das instituições”, comenta.

Nesse contexto, falhas de proteção podem gerar impactos sistêmicos, desde a interrupção de serviços públicos essenciais até o vazamento de dados sensíveis de milhões de cidadãos. Especialistas reforçam que a salvaguarda dessas estruturas deve ser tratada como um pilar fundamental da infraestrutura nacional.

Os dados reforçam a relevância do tema. De acordo com dados do relatório do Cenário Global de Ameaças de 2026 da Fortinet® (NASDAQ: FTNT), líder global em cibersegurança que impulsiona a convergência entre redes e segurança, o Brasil concentrou 753,8 bilhões de tentativas de ataques ao longo de 2025, revelando que o cibercrime funciona como um sistema, com hackers criminosos atuando em todo o ciclo de vida do ataque e finalizando com agentes ocultos.

O volume coloca o Brasil entre os países mais visados da América Latina, evidenciando que a ameaça é também local e crescente. Setores como financeiro, governo e saúde seguem como os principais alvos, dada a criticidade dos dados que concentram e a dependência de sistemas digitais para a operação de serviços essenciais.

A combinação entre tensões geopolíticas, adoção acelerada de IA e lacunas de maturidade em segurança cria um ambiente de risco multidimensional, que exige das organizações uma postura cada vez mais proativa e estratégica.

“Enquanto as ameaças evoluem com o apoio de inteligência artificial e financiamento estruturado, muitas organizações ainda reagem de forma reativa. O momento exige uma mudança de mentalidade: cibersegurança precisa estar na mesa das lideranças executivas, com orçamento, governança e visão de longo prazo como vantagem competitiva e requisito de soberania”, conclui.