Resilience: IA acelerou os ciberataques e reduziu a minutos a janela de reação dos defensores

A IA não criou esquemas de crime cibernético fundamentalmente novos, mas reforçou muito os antigos. De acordo com as conclusões de Resilience, IBM e ReliaQuest, ficou mais fácil para os atacantes lançar phishing em massa, automatizar o reconhecimento e acelerar a invasão da infraestrutura, enquanto os defensores têm apenas alguns minutos para responder.

Por que os ataques ficaram mais rápidos

O principal efeito da IA generativa não é o surgimento de ataques "mágicos", mas a redução do custo e da complexidade de operações conhecidas. O que antes exigia uma equipe, tempo e boas habilidades agora pode ser montado mais rápido: escrever um e-mail convincente, adaptá-lo a uma empresa específica, traduzi-lo para o idioma necessário, imitar um estilo corporativo e disparar para centenas de destinatários de uma vez. Para os criminosos, isso significa uma barreira de entrada menor e mais chances de escalar o ataque quase sem aumento de custos.

Os relatórios da IBM, da ReliaQuest e da Resilience concordam num ponto: a IA é especialmente útil quando é preciso aumentar rapidamente a credibilidade e o ritmo. Os modelos generativos ajudam a preparar cenários de engenharia social, aceleram a análise de dados abertos sobre a vítima e encurtam o tempo entre o primeiro contato e a tentativa de obter acesso. Se antes uma empresa podia ter horas para notar uma atividade suspeita, agora a cadeia de ataque costuma se desenrolar quase em tempo real.

Onde a defesa falha

O mais incômodo nessas conclusões é que os pontos fracos das empresas são conhecidos há muito tempo e mudaram pouco. A IA não eliminou a higiene básica de segurança nem a tornou menos importante. Pelo contrário: as velhas brechas organizacionais e de processo ficaram mais perigosas, porque os atacantes agora passam por elas mais rápido e com mais confiança. Isso é especialmente visível em cenários em que a pessoa decide sob pressão, não enxerga o quadro completo ou confia em um processo familiar.

• procedimentos fracos no help desk
• pouca visibilidade dos dispositivos na rede
• erros na gestão de acessos
• comprometimento do e-mail corporativo
• transferências de dinheiro fraudulentas

Cada um desses itens parece conhecido, mas, combinado com a IA, vira um amplificador de risco. Um pedido falso de redefinição de senha fica mais convincente, o e-mail de um "colega" tem estilo e tom mais limpos, e preparar um ataque ao setor financeiro leva menos tempo. Se a empresa não sabe bem quais dispositivos estão conectados à infraestrutura e quem tem quais permissões, o atacante se firma mais rápido lá dentro. O comprometimento de e-mail e os erros de acesso continuam sendo o caminho mais curto até o dinheiro e os sistemas críticos.

Por que quase não há tempo

Outra conclusão do Cyber Risk Report 2025 é que a janela de reação das equipes de segurança encolheu de forma notável. Não se trata mais apenas da qualidade da detecção, mas também da velocidade de decisão. Quando campanhas de phishing, falsificação de identidade e coleta inicial de dados são automatizadas, o incidente chega ao ponto crítico antes que os processos padrão de escalonamento consigam agir. O ritmo antigo, com verificação manual, aprovações demoradas e inventário de ativos incompleto, simplesmente perde.

Para as empresas, isso significa que já não basta se defender apenas com treinamento de funcionários. São necessários procedimentos mais rígidos de verificação de identidade no help desk, minimização de permissões excessivas, revisão constante dos dispositivos e automação da resposta a eventos no e-mail e nos sistemas de acesso. Caso contrário, até um ataque não muito sofisticado, reforçado por IA, vira um incidente caro: com sequestro de conta, ordem de pagamento falsa ou movimentação lateral pela rede antes que a equipe entenda a dimensão do problema.

O que isso significa

A principal conclusão é simples: a IA não substituiu os métodos clássicos dos cibercriminosos, mas os tornou mais rápidos, baratos e massivos. Por isso, não vão se dar bem as empresas que adotam IA apenas no papel, mas as que colocaram ordem nos acessos, no e-mail, no help desk e na visibilidade da infraestrutura, e aprenderam a responder a ataques em minutos, não em horas.