Brasil ocupa a terceira posição mundial em incidentes cibernéticos à medida que ataques impulsionados por IA se tornam mais sofisticados

imagem gerada por IA

Flavio Sartori 

O Brasil se consolidou como um dos países mais afetados por incidentes cibernéticos relatados publicamente, ao mesmo tempo que enfrenta uma nova geração de ameaças cada vez mais sofisticadas, envolvendo inteligência artificial, roubo de identidade e uso indevido de serviços digitais confiáveis. De acordo com o mais recente Relatório de Ameaças Cibernéticas da Trellix, que analisou dados coletados entre 1º de outubro de 2025 e 31 de março de 2026, o Brasil ocupou a terceira posição mundial em uma análise baseada em relatórios públicos do setor, respondendo por 3,45% de todos os casos registrados, atrás apenas dos Estados Unidos (6,8%) e da Índia (5,27%). O relatório também identificou o país como palco de seis campanhas documentadas de ransomware no período — a maior representação entre todos os países da América Latina, refletindo o interesse crescente de operadores de ransomware pela base de grandes empresas da região.

De acordo com a análise da Trellix sobre o cenário de ameaças no Brasil, o Pix tem atraído cada vez mais a atenção dos cibercriminosos, que combinam engenharia social, phishing e roubo de credenciais para cometer fraudes financeiras. A inteligência artificial também está ampliando a escala e a sofisticação dessas operações, ajudando criminosos a criar mensagens mais convincentes e automatizar diferentes etapas de suas campanhas.

O roubo de credenciais continua sendo um dos principais vetores de comprometimento observados no país. Entre as técnicas utilizadas estão a coleta de informações armazenadas localmente, como arquivos e credenciais salvas em um dispositivo; o keylogging, que registra as teclas digitadas pelo usuário; a exfiltração de dados por meio de canais de comando e controle; e a ofuscação de comandos, que dificulta a detecção de ações maliciosas.

Uma das principais conclusões do relatório global é o uso contínuo de ferramentas legítimas de administração já disponíveis nos sistemas operacionais. Na análise de atividades relacionadas a ameaças persistentes avançadas, o PowerShell apareceu em 49,6% das detecções, enquanto o Prompt de Comando do Windows esteve presente em 48,9%. Ao utilizar ferramentas comuns em ambientes corporativos, os agentes de ameaças conseguem misturar atividades maliciosas às operações legítimas da rede, tornando os ataques mais difíceis de serem identificados pelas equipes de segurança.

No Brasil, essa evolução ocorre à medida que os agentes de ameaça buscam cada vez mais contornar tecnologias convencionais de detecção, reforçando a necessidade de estratégias de segurança capazes de identificar comportamentos suspeitos, em vez de depender exclusivamente de assinaturas de malwares conhecidos.

"Os cibercriminosos estão direcionando cada vez mais seus ataques ao ecossistema de identidade digital do Brasil, combinando IA, phishing e roubo de credenciais para automatizar fraudes em larga escala. As organizações precisam ir além da detecção tradicional e concentrar seus esforços em uma segurança baseada em comportamento e identidade", afirma Rodrigo Buosi, country manager da Trellix no Brasil.

O relatório também destaca como os agentes de ameaça estão incorporando a inteligência artificial às suas operações para automatizar e modificar continuamente códigos maliciosos. Em vez de utilizar malwares estáticos, os invasores agora conseguem adaptar rapidamente suas campanhas, tornando-as mais resistentes aos métodos tradicionais de detecção e reduzindo significativamente o tempo necessário para desenvolver novas técnicas de ataque.

A escala dessa mudança já é visível em duas frentes documentadas pela própria Trellix em suas pesquisas mais recentes. De um lado, surgiram famílias de malware batizadas de PromptFlux e PromptSteal, que fazem chamadas a modelos de linguagem em tempo real durante a execução do ataque, gerando comportamento malicioso único a cada vez — rompendo a lógica tradicional de que o código malicioso precisa estar pré-codificado em um arquivo binário fixo. De outro, grupos como o APT36 já adotam o que a companhia chama de "doutrina vibeware": o uso de IA para produzir em massa implantes de qualidade mediana, mas em grande variedade, escritos em linguagens de programação pouco convencionais como Nim, Zig e Crystal, na tentativa de sobrecarregar mecanismos de detecção pela pura quantidade e diversidade de variantes.

A IA permite que os invasores modifiquem rapidamente códigos maliciosos, personalizem campanhas de phishing e automatizem ataques cibernéticos em uma velocidade sem precedentes. À medida que as organizações brasileiras continuam ampliando o uso de serviços em nuvem e suas operações digitais, as equipes de segurança enfrentam uma pressão crescente para detectar ameaças com base no comportamento, e não apenas em assinaturas de malwares conhecidos, reduzindo o tempo de resposta diante de ataques em constante evolução.

O recente estudo da Trellix, "Inteligência Artificial como Arma: A Mercantilização do Cibercrime", mostrou claramente que a IA está reduzindo significativamente as barreiras para a prática de crimes cibernéticos sofisticados. A inteligência artificial passou a ser comercializada ativamente como uma poderosa capacidade operacional, com ferramentas vendidas em fóruns criminosos com planos de preço, canais de suporte, atualizações regulares e até avaliações de clientes — características típicas de produtos comerciais legítimos. Um exemplo documentado pela companhia é a ferramenta batizada de "APEX AI", que permite a um operador digitar apenas o domínio de um alvo e receber, em resposta, um plano de ataque de ransomware detalhado, passo a passo, incluindo a identificação de funcionários que poderiam ser alvos de campanhas de spear-phishing. Tarefas que antes exigiam operadores experientes trabalhando com diversas ferramentas especializadas podem ser cada vez mais condensadas em fluxos de trabalho automatizados de um único comando.

Para as equipes de defesa, esse cenário reforça a necessidade de combinar inteligência de ameaças, detecção comportamental e controles de segurança capazes de identificar atividades anômalas à medida que os ataques evoluem.

Outra mudança importante identificada pela Trellix é o uso indevido cada vez maior de serviços digitais legítimos para ocultar atividades maliciosas. Em vez de depender de uma infraestrutura controlada pelos próprios invasores, os cibercriminosos utilizam cada vez mais serviços confiáveis em nuvem, plataformas de colaboração e até mesmo tecnologias de blockchain para disfarçar as comunicações com dispositivos comprometidos.

Para as organizações brasileiras, onde o trabalho híbrido e os serviços em nuvem se tornaram padrão em muitos setores, essa tendência torna o tráfego malicioso significativamente mais difícil de ser diferenciado de atividades corporativas legítimas. Por isso, as empresas são incentivadas a ampliar a visibilidade de seus ambientes em nuvem, monitorar o comportamento dos usuários e implementar controles de segurança focados em identidade, capazes de detectar sinais sutis de comprometimento antes que os invasores estabeleçam uma presença persistente nos sistemas.

Além disso, entre os setores mais afetados no Brasil, especificamente no primeiro trimestre de 2026, o governo respondeu por 39% das detecções registradas pela Trellix, seguido pelo setor de telecomunicações, com 33%, e pelas instituições financeiras, com 16%. Educação e serviços empresariais aparecem em seguida, ambos com 6%.

Além das ameaças motivadas por ganhos financeiros, o relatório global da Trellix destaca que as atividades cibernéticas estão sendo cada vez mais coordenadas com operações militares físicas em resposta a acontecimentos geopolíticos. Segundo o documento, a instabilidade geopolítica observada ao longo de 2025 evoluiu para conflitos diretos entre Estados no início de 2026, marcando um ponto de inflexão na evolução da guerra moderna.

Conflitos internacionais, disputas territoriais e tensões entre Estados influenciaram diretamente o comportamento dos agentes de ameaça. Esses grupos combinam cada vez mais operações militares, diplomáticas e cibernéticas como parte de estratégias de guerra híbrida, ampliando os riscos enfrentados por organizações em todo o mundo. A Trellix observa que, durante períodos de instabilidade geopolítica, os agentes de ameaças tendem a priorizar ataques contra governos e infraestruturas críticas para promover objetivos estratégicos e militares.

"Esta será a primeira eleição presidencial brasileira em que ferramentas de IA generativa estarão amplamente acessíveis e suficientemente avançadas para criar imagens, vídeos e vozes sintéticas altamente realistas. Isso representa um novo cenário para o país e aumenta os riscos de campanhas de desinformação, golpes de engenharia social e tentativas de manipulação. Para compreender o desafio que enfrentaremos, 70% dos brasileiros acreditam que a IA pode influenciar o resultado das eleições deste ano", explica Buosi.

Estratégias como inteligência operacional de ameaças, Zero Trust, proteção de identidades e monitoramento contínuo de vulnerabilidades devem desempenhar um papel cada vez mais relevante na defesa das organizações brasileiras. Além disso, à medida que as organizações adotam agentes de IA, a segurança deve envolver múltiplas camadas de proteção. As equipes precisam entender como esses agentes operam e a que podem ter acesso. Cada agente deve ter uma identidade única, acesso controlado e um mecanismo de desativação para evitar que um agente comprometido afete o restante do ambiente.