Sistemas mais complexos acentuam riscos cibernéticos

Cristine Hoepers, gerente-geral do CERT.br/NIC.br: estudos mostram que usuários não compreendem alertas de segurança enviados por plataformas digitais
Divulgação
A Polícia Federal deflagrou em agosto uma operação contra um grupo acusado de invadir sistemas de instituições financeiras e causar um prejuízo de R$ 227 milhões.
Segundo a investigação, os criminosos fizeram transferências e pagamentos de boletos para contas de intermediários e depois movimentaram os recursos para outras contas e corretoras de criptoativos.
A PF não informou quais instituições foram atingidas nem como ocorreu a invasão.
Foram cumpridos quatro mandados de prisão preventiva e sete de busca e apreensão.
Esse foi pelo menos o terceiro grande ataque neste ano - o Banco do Nordeste e o BTG Pactual foram os outros alvos.
Invasão de sistemas, roubo de credenciais e exploração de falhas continuam entre os riscos enfrentados pelos bancos.
A dependência crescente de fornecedores, serviços de nuvem e sistemas de pagamento aumentou o número de acessos e integrações que precisam ser monitorados.
Em dezembro, o Banco Central reforçou as exigências de segurança cibernética para as instituições financeiras, incluindo integração segura entre sistemas, controle de acessos, testes de invasão, monitoramento de credenciais e regras específicas para serviços prestados por terceiros.
Uma vulnerabilidade em um fornecedor também pode afetar serviços bancários, mesmo sem atingir diretamente os sistemas centrais da instituição.
Esse risco ganhou peso com a maior integração entre bancos, empresas de tecnologia e plataformas externas.
Uma falha pode surgir fora do banco e afetar um serviço usado diretamente pelo cliente.
Isso vale para empresas de tecnologia, provedores de nuvem e outros prestadores conectados à operação.
Quanto mais sistemas conversam entre si, maior é o número de acessos, credenciais e integrações que precisam ser acompanhados.
Qualquer pessoa com um computador e internet consegue fazer um ataque”
Para Sebastian Stranieri, CEO da empresa de identidade digital VU, a inteligência artificial não criou um novo tipo de ataque aos bancos, mas barateou e simplificou a ação, que antes exigia mais tempo e recursos.
“Os ataques vão aumentar? Sim, porque é muito barato fazer um ataque hoje.
Qualquer pessoa com um computador e internet consegue fazer um ataque automatizado.”
O aumento do número de tentativas não significa, porém, mais ataques bem-sucedidos.
Sistemas bancários também usam automação para procurar comportamentos fora do padrão e reduzir o tempo em que uma vulnerabilidade permanece aberta.
Na identificação dos clientes, uma imagem compatível com o documento deixou de ser suficiente.
Bancos podem cruzar a biometria com localização, aparelho utilizado e comportamento do cliente.
Deepfakes também passaram a ser usados para tentar burlar sistemas de identificação e autenticação.
Segundo relatório da empresa especializada em controle de identidade Sumsub, houve alta de 126% nas tentativas de golpes com deepfakes no Brasil em 2025.
Os bancos também começam a lidar com agentes de IA capazes de executar operações em nome dos clientes.
Até aqui, boa parte dos sistemas foi construída para verificar quem é a pessoa e se ela pode executar uma operação.
Quando um agente passa a agir em seu nome, também será preciso definir a extensão dessa autorização.
“A gente vai ter que começar a entender qual agente está fazendo algo para aquele cliente, e aí tem uma questão que para mim é importante, é sobre não só autenticar os dois, mas a delegação”, afirmou Marisa Reghini, vice-presidente de negócios digitais e tecnologia do Banco do Brasil, durante o painel “Quem lidera na era de IA: tecnologia, dados ou negócio?”, na Febraban Tech 2026.
O phishing (envio de mensagens falsas para enganar pessoas), que antes era muitas vezes disparado em massa, passou a acompanhar a vítima por diferentes canais.
De acordo com Cristine Hoepers, gerente-geral do CERT.br/NIC.br, a abordagem pode começar por e-mail e continuar por celular, SMS ou telefone.
“O phishing erra muito, joga e vê quem cai.
Mas não era interativo, e hoje é uma interação.
Quem está fazendo a fraude tem uma certa interação com a vítima.”
Os próprios mecanismos de segurança podem complicar essa decisão.
Hoepers diz que estudos mostram usuários interpretando de forma errada alertas apresentados por plataformas digitais.
Em alguns casos, a pessoa entende que está tudo certo quando a mensagem indicava justamente o contrário.
“Quando é confuso para quem está tendo que tomar uma decisão - o que é legítimo, o que não é -, você está facilitando o trabalho da engenharia social”, afirma.