O Brasil vive um momento crítico no campo da cibersegurança. Em 2024, o país movimentou R$17 bilhões em investimentos no setor, reflexo direto do crescimento de ameaças digitais cada vez mais sofisticadas, segundo dados da Peers Consulting + Technology. No primeiro semestre de 2025, o cenário se intensificou: ataques com ransomware aumentaram 149% no mundo, enquanto golpes que utilizam inteligência artificial já representam mais de 80% dos casos de phishing, de acordo com a Axis Insurance e a Hoxhunt.
A recente tentativa de desvio bilionário via sistema do Banco Central, com ataque hacker à C&M Software, que afetou seis instituições financeiras e é considerado o maior da história do Brasil, acendeu o alerta vermelho em setores estratégicos, principalmente no sistema financeiro, infraestrutura crítica e administração pública.
Nesse contexto de alta complexidade e exposição, Rodolfo Almeida, COO da ViperX, empresa especializada em proteção de ativos digitais, aponta cinco frentes críticas de ameaça que devem dominar o cenário de risco cibernético nos próximos meses. A análise leva em conta tendências globais, dados de inteligência de ameaças e incidentes reais registrados recentemente.
A seguir, os principais vetores de ameaça identificados:
- Ransomware 3.0 com tripla extorsão
A nova geração de ransomware vai além da criptografia e do vazamento de dados. Grupos como Qilin, Akira e RansomHub passaram a incluir também ataques de negação de serviço (DDoS), ampliando o impacto e a pressão sobre as vítimas. Segundo relatório da Axis Insurance, os incidentes com ransomware cresceram 149% no primeiro semestre de 2025, e 31% já envolvem o chamado modelo de tripla extorsão.
“O Brasil é um dos principais alvos, especialmente por conta de sistemas de pagamentos como o Pix e o Open Finance. O impacto imediato atrai grupos que buscam alto retorno com baixo esforço físico”, explica Rodolfo Almeida.
- Deepfakes em tempo real usados em fraudes corporativas
Clonagem de voz e vídeo em tempo real passou a ser utilizada por criminosos para fraudes conhecidas como BEC 2.0 (Business Email Compromise). A técnica já provocou prejuízos de mais de US$200 milhões no mundo em 2025, de acordo com a Veriff. Um dos casos mais emblemáticos foi o da empresa britânica Arup, que perdeu US$25 milhões após uma videochamada com um executivo falso.
“Ferramentas de deepfake ‘como serviço’ tornaram essas fraudes acessíveis. Em segundos, criminosos simulam aprovações ou autorizações com aparência legítima”, alerta Almeida.
- Ataques à cadeia de suprimentos de software
O comprometimento de bibliotecas open source e plataformas SaaS tem crescido de forma acelerada. Em junho, um incidente envolvendo a Groundhogg distribuiu malware por meio de uma atualização oficial, atingindo toda a base de clientes. Relatório da ReversingLabs aponta um aumento de 1.300% em pacotes OSS maliciosos desde 2020. No Brasil, a exigência de SBOM (Software Bill of Materials) — um inventário que detalha todos os componentes e dependências de um software — passou a ser incorporada aos contratos com instituições financeiras.
“Organizações precisam auditar não só suas próprias aplicações, mas também o ecossistema de fornecedores e integrações. A cadeia de software é hoje um dos elos mais frágeis”, comenta o executivo.
- Exploração de APIs financeiras
A aceleração do Open Finance e a crescente dependência de APIs vêm acompanhadas de falhas de segurança. No dia 2 de julho, o ataque à C&M Software – que segue repercutindo – afetou seis instituições financeiras brasileiras, provocando vazamento de dados, suspensão temporária de serviços e um prejuízo bilionário, considerado o maior da história do país até o momento.
Segundo a Akamai, 88,7% das instituições financeiras foram alvo de ataques a APIs no último ano, com foco em brechas como autenticação fraca e autorização mal configurada (BOLA). “APIs mal protegidas expõem não só dados, mas também fluxos financeiros críticos. É uma porta de entrada cada vez mais visada pelos cibercriminosos”, afirma Rodolfo Almeida.
- Phishing com IA e hiperpersonalização
Com a ajuda de modelos de linguagem natural, os e-mails de phishing ficaram mais difíceis de detectar. Conteúdos são gerados com base no histórico de comportamento da vítima, com tom personalizado e livre de erros. A Hoxhunt identificou que 82% dos e-mails de phishing em 2025 já foram produzidos com apoio de inteligência artificial. Quando comparadas com campanhas convencionais, essas mensagens apresentam uma taxa de clique 17% maior. “Não se trata mais de detectar erros de português. Os ataques agora são sofisticados, bem escritos e altamente direcionados. A IA mudou o jogo”, pontua Almeida.
Como mitigar os riscos? Entre as principais recomendações da ViperX para mitigar as ameaças estão:
- Autenticação multifator com tokens físicos
- Confirme transferências ou solicitações de dados sensíveis por um segundo canal (telefonema conhecido ou app oficial).
- Monitoramento contínuo de APIs e implementação de gateways de segurança
- Auditoria de fornecedores e exigência de SBOM
- Treinamentos de conscientização 2.0: inclua “desafio deepfake” e simulações de phishing com IA para treinar reconhecimento de voz/vídeo falsos.
O que fazer se suspeitar que foi vítima?
- Isolar e coletar evidências: desconecte o dispositivo da rede, mas não o desligue; preserve logs.
- Trocar credenciais: altere senhas de e-mail, bancos e redes sociais de um dispositivo confiável.
- Avisar a instituição financeira: bloqueie cartões/Pix imediatamente; muitos bancos têm canal 24 h de fraude.
- Registrar incidente: abra ticket no CERT.br e faça boletim de ocorrência (delegacia de crimes cibernéticos).
- Contato com especialistas: acione sua equipe de resposta a incidentes para análise forense, erradicação e prevenção de reinfecção.
Leave a comment