O paradoxo da cibersegurança no Brasil: investimos mais, mas continuamos caindo em golpes. Por quê?

Existe um paradoxo cada vez mais evidente no cenário brasileiro de cibersegurança:

as empresas estão investindo mais em proteção, mas os ataques continuam encontrando uma porta de entrada extremamente eficiente: as pessoas.

Dados do mais recente Brazilian CyberSecurity Index mostram essa mudança de cenário. Entre 2021 e 2026, a parcela de empresas brasileiras que mantém investimentos contínuos em segurança da informação passou de 14% para 67%.

O avanço é significativo. Ao mesmo tempo, porém, os ataques de phishing mais que dobraram, alcançando 58% das organizações no período analisado.

O que esses números indicam? Que investir em tecnologia é fundamental, mas não necessariamente suficiente.

Enquanto empresas fortalecem firewalls, sistemas de detecção, antivírus, proteção de endpoints e mecanismos de autenticação, os criminosos também adaptam suas estratégias.

E, muitas vezes, eles não precisam invadir um sistema.

Basta convencer alguém a abrir a porta.

O atacante também mudou de estratégia

Durante muito tempo, a imagem de um ataque cibernético estava associada à exploração de uma vulnerabilidade técnica.

• Um servidor desatualizado.

• Uma aplicação mal configurada.

• Uma porta exposta.

• Uma senha fraca.

Esses riscos continuam existindo.

Mas o cibercrime também evoluiu.

Hoje, uma mensagem cuidadosamente construída pode ser suficiente para induzir um colaborador a:

• clicar em um link malicioso;

• informar suas credenciais;

• abrir um arquivo infectado;

• realizar uma transferência financeira;

• compartilhar informações confidenciais;

• aprovar uma solicitação fraudulenta;

• ou permitir que um atacante avance dentro do ambiente corporativo.

O phishing explora justamente características humanas que fazem parte da rotina profissional: pressa, confiança, distração, autoridade e excesso de informação.

Por isso, não basta perguntar se a empresa possui uma ferramenta capaz de bloquear determinada ameaça.

É necessário perguntar:

As pessoas sabem reconhecer quando estão diante de uma tentativa de fraude?

Cultura de cibersegurança precisa acompanhar o investimento tecnológico

Comprar uma ferramenta é relativamente simples. Fazer com que ela seja corretamente utilizada no dia a dia é outro desafio.

Imagine que uma organização implemente uma solução avançada para identificar phishing, mas os colaboradores não saibam o que fazer quando recebem uma mensagem suspeita.

Ou que exista um canal de denúncia, mas ninguém saiba onde encontrá-lo.

Ou ainda que a empresa realize um treinamento uma vez por ano e considere o tema encerrado.

Nesses casos, existe uma diferença entre possuir um controle e possuir uma cultura de segurança. A cultura aparece quando segurança passa a fazer parte das decisões cotidianas. O colaborador recebe um e-mail estranho e sabe que deve parar, analisar e reportar. Recebe uma solicitação urgente de pagamento e sabe que precisa validar por outro canal. Percebe uma tentativa de coleta de credenciais e entende que não deve prosseguir.

Segurança deixa de ser uma obrigação do departamento de TI e passa a ser uma responsabilidade compartilhada.

O orçamento precisa acompanhar o risco real

Segundo os dados apresentados pelo Brazilian CyberSecurity Index, 39% das empresas não pretendem ampliar seus recursos destinados à segurança neste ano. Em um cenário de orçamento limitado, isso torna ainda mais importante responder a uma pergunta:

Onde está o maior risco para a organização?

Nem sempre a resposta estará na aquisição de uma nova ferramenta.

Dependendo do contexto, pode ser necessário priorizar:

• conscientização e treinamento;

• gestão de identidades e acessos;

• autenticação multifator;

• gestão de vulnerabilidades;

• proteção de endpoints;

• backup e recuperação;

• monitoramento;

• testes de segurança;

• gestão de terceiros;

• resposta a incidentes;

• ou revisão de processos internos.

  
  

Uma estratégia de segurança madura não deveria simplesmente perguntar:

“Qual ferramenta precisamos comprar?”

Deveria começar por:

“Quais riscos precisamos reduzir?”

A partir dessa resposta, os investimentos podem ser direcionados para os controles que realmente fazem sentido para o negócio.

Phishing não é apenas um problema de TI

Existe uma tendência de associar ataques de phishing exclusivamente ao departamento de tecnologia.

Mas a realidade é diferente.

Um ataque pode chegar ao:

• financeiro;

• RH;

• comercial;

• compras;

• jurídico;

• diretoria;

• atendimento;

• marketing;

• ou qualquer outro setor.

Isso significa que a proteção precisa alcançar toda a organização.

Um colaborador do financeiro pode receber um falso pedido de pagamento.

O RH pode receber um currículo malicioso.

O comercial pode receber um falso pedido de proposta.

A diretoria pode ser alvo de uma tentativa de fraude utilizando identidade de um executivo ou parceiro.

O risco não está restrito ao computador. Ele está relacionado ao processo de tomada de decisão. Por isso, programas de conscientização precisam ir além de explicar que “não devemos clicar em links suspeitos”.

É necessário trabalhar situações reais, contexto e tomada de decisão.

Inteligência Artificial também está mudando o cenário

A evolução da Inteligência Artificial acrescenta uma nova camada ao problema.

Fraudes podem utilizar recursos capazes de produzir textos mais convincentes, adaptar mensagens ao perfil da vítima e aumentar a escala das campanhas.

Isso reduz alguns dos sinais tradicionais utilizados para identificar golpes. Erros de português, mensagens genéricas ou textos mal estruturados já não podem ser considerados os únicos indicadores.

O colaborador precisa desenvolver uma capacidade mais ampla de análise.

Por exemplo:

• A solicitação faz sentido?

• O remetente realmente deveria estar pedindo isso?

• Existe pressão ou urgência incomum?

• A informação solicitada é compatível com a atividade daquela pessoa?

• É possível validar a solicitação por outro canal?

Esse tipo de raciocínio é parte essencial da conscientização moderna.

Zero Trust: confiança não pode ser presumida

Outra abordagem que ganha espaço é o modelo Zero Trust, baseado no princípio de que acessos não devem ser considerados confiáveis simplesmente porque estão dentro do ambiente corporativo.

Na prática, isso significa trabalhar com conceitos como:

• verificar continuamente;

• limitar privilégios;

• conceder somente o acesso necessário;

• validar identidade e contexto;

• monitorar atividades;

• reduzir movimentações indevidas dentro do ambiente.

Essa abordagem ajuda a reduzir o impacto caso uma credencial seja comprometida.

Mas, novamente, tecnologia e comportamento precisam caminhar juntos.

O usuário deve compreender por que determinados acessos são restritos e quais comportamentos são esperados.

A pergunta não é “tecnologia ou pessoas?”

Esse talvez seja o principal ponto do debate.

A resposta não está em escolher entre tecnologia e conscientização.

As duas são necessárias.

Uma empresa sem controles tecnológicos adequados fica exposta a ameaças técnicas.

Uma empresa com excelentes ferramentas, mas sem processos e pessoas preparadas, também permanece vulnerável.

É possível pensar na segurança como uma estrutura de camadas:

• Tecnologia ajuda a prevenir, detectar e bloquear ameaças.

• Processos estabelecem como a organização deve agir.

• Pessoas identificam situações de risco e tomam decisões diariamente.

Quando essas três dimensões estão alinhadas, a organização aumenta sua capacidade de prevenção e resposta.

Como construir uma cultura de segurança na prática?

Não existe uma única ação capaz de eliminar o risco humano.

A construção de uma cultura de segurança é contínua e pode envolver:

Treinamentos recorrentes

Não apenas uma capacitação anual, mas ações periódicas e adaptadas aos riscos observados.

Simulações de phishing

Testes controlados podem ajudar a identificar comportamentos de risco e direcionar novas ações de conscientização.

Processos simples de reporte

O colaborador precisa saber exatamente como comunicar uma mensagem suspeita ou um possível incidente.

Políticas claras

As regras precisam ser compreensíveis e aplicáveis à rotina.

Gestão adequada de acessos

Cada pessoa deve ter acesso compatível com sua função e necessidade.

Monitoramento e melhoria contínua

Os resultados dos treinamentos, testes e incidentes devem gerar novos ajustes.

Participação da liderança

Segurança precisa ser tratada como tema estratégico, e não exclusivamente técnico.

O crescimento dos investimentos em segurança da informação demonstra que as organizações estão reconhecendo a importância do tema.

O desafio atual da cibersegurança não é simplesmente construir ambientes cada vez mais tecnológicos. É construir organizações em que tecnologia, processos e pessoas estejam preparados para trabalhar juntos contra o risco.

Porque uma empresa pode ter uma infraestrutura extremamente protegida e ainda assim deixar uma porta aberta.

E essa porta pode ser um clique.