As Ameaças de IA São uma Distracção. Seu Problema Real Está Mais Perto de Casa

Vamos ser honestos: ataques cibernéticos impulsionados por IA são uma perspectiva aterradora. Mas eles não são a maior ameaça ao seu negócio.

A maior ameaça é a distracção que eles criam.

Por mais de 15 anos, eu vi a mesma história se desenrolar. A liderança fica assustada com a última “super-ameaça de IA”, enquanto a equipe de segurança ainda luta para responder a perguntas básicas como “Onde está nossos dados de cliente mais sensíveis?” ou “Quem é o responsável por atualizar aquele sistema crítico?” Nós perseguimos ferramentas novas e brilhantes enquanto os engenheiros são puxados para exercícios de conformidade de última hora, e vulnerabilidades críticas são despriorizadas.

Este é o clássico “problema do cadeado sofisticado em uma porta de tela”. As organizações estão correndo para implantar defesas impulsionadas por IA, mas os atacantes estão usando a IA com menos regras e mais agilidade para caminhar direto por lacunas fundamentais nos processos, propriedade e cultura. Para as empresas de mercado médio, em particular, ignorar os básicos é um convite para se tornar a próxima história de advertência.

Por Que as Defesas Estáticas Falham em um Mundo Dinâmico

Quando eu comecei minha carreira, a segurança era uma lista de verificação: antivírus, patches e firewalls fortes. Esse mundo está longe. Hoje, malware polimórfico reescreve a si mesmo para evitar assinaturas, e botnets lançam ataques mais rápido do que qualquer humano pode responder.

O tráfego criptografado se tornou o esconderijo favorito do adversário. O relatório ThreatLabz de 2024 da Zscaler encontrou que quase 90% do malware agora é entregue por canais criptografados. Isso significa que nove em cada dez ameaças são invisíveis para as ferramentas legadas que não podem inspecionar esse tráfego.

O verdadeiro gargalo, no entanto, não é apenas a tecnologia; é a fricção organizacional. Eu assisti a equipes de segurança excelentes gastarem semanas apenas tentando obter aprovação para fechar uma lacuna conhecida. No tempo que leva para agendar as reuniões, um atacante automatizado pode entrar e sair. Ser estático não é mais uma opção. Os programas de segurança devem ser conscientes do contexto e focados nas partes em movimento rápido do negócio.

A Industrialização do Cibercrime

Isso não deve surpreender ninguém. Os atacantes são empreendedores que dirigem um negócio. Eles estão simplesmente adotando nova tecnologia para melhorar seu ROI – assim como nós. A IA está ajudando a industrializar suas operações.

• Phishing como um Serviço, Superalimentado: O phishing ainda é a principal forma de entrada. O FBI e a IBM o relatam como o principal vetor de acesso inicial há anos. Agora, com ferramentas de IA geradoras como “FraudGPT”, os criminosos podem criar campanhas de phishing personalizadas e sem erros de gramática em uma escala que nunca vimos.
• A Voz é uma Mentira: O phishing de voz (“vishing”) está explodindo. A CrowdStrike viu um aumento de 442% à medida que os atacantes usam vozes clonadas por IA para se passar por executivos e enganar os funcionários para transferir fundos. Uma empresa de energia do Reino Unido perdeu mais de $243.000 desta forma em uma única ligação.
• A Ascensão do Adversário Automatizado: Os caçadores de ameaças da CrowdStrike agora veem campanhas automatizadas de ponta a ponta – desde currículos gerados por IA com entrevistas de vídeo deepfake até intrusões sem malware que vivem inteiramente na nuvem.

Os defensores estão enfrentando ameaças que se adaptam e persistem com supervisão humana mínima. Os atacantes vêm automatizando por anos; a IA apenas colocou seu fluxo de trabalho em hiperdrive.

Para acompanhar, é hora de deixarmos de lado as abordagens ultrapassadas e baseadas em listas de verificação para conformidade e segurança cibernética. Procurar uma bala de prata com a última ferramenta no mercado não é a resposta. Dito isso, esta é uma oportunidade única para voltar aos básicos.

Pare de Perguntar “Estamos Conformes?” Comece a Perguntar “Estamos Resilientes?”

Mesmo à medida que a IA reorganiza o cenário, a maioria das violações ainda ocorre porque os fundamentos são negligenciados. Claro, a voz do CEO foi clonada, mas a falha real provavelmente foi um processo de aprovação financeira quebrado. A IA foi apenas o passo final em uma cadeia de básicos perdidos.

A IA não precisa encontrar uma exploração de zero dia quando pode encontrar um servidor desatualizado de cinco anos ou um desenvolvedor com direitos de administração para tudo. Comprar outra ferramenta de segurança impulsionada por IA não irá consertar uma cultura quebrada. A IA deve fortalecer processos fortes, não substituí-los.

É aqui que a liderança geralmente erra. Eu estive em salas de reunião onde a pergunta era: “Estamos conformes?” A melhor pergunta é: “Nosso programa de segurança torna nosso negócio mais forte?”

A conformidade se torna um exercício de marcação de caixas. As equipes de produto avançam, os engenheiros recebem tarefas de segurança sem recursos e os líderes assumem que uma auditoria limpa significa que o negócio está seguro. Não é. A solução não é mais ferramentas; é uma estrutura mais sólida de cima para baixo. A segurança deve estar diretamente ligada ao crescimento do negócio e à integridade do produto.

Um Livro de Instruções Pragmático para a Era de IA

As empresas da Fortune 500 podem jogar dinheiro nesse problema. As empresas de mercado médio têm que ser mais inteligentes. Então, o que você realmente faz?

1. Conserte Sua Fundação Primeiro. Antes de comprar outra ferramenta, certifique-se de que você tem um inventário sólido de seus dados, controles de acesso à prova de balas e um processo de atualização que realmente funciona.
2. Coloque a IA na Agenda. Execute exercícios de mesa baseados em ataques impulsionados por IA. Faça disso uma parte regular dos relatórios da diretoria para que seja tratado como um risco de negócios, não como um problema de TI.
3. Foque no Comportamento, Não Apenas em Sinais Estáticos. Priorize ferramentas que detectam atividade estranha – como uma conta de usuário que acessa repentinamente um banco de dados que nunca tocou – sobre ferramentas que apenas caçam malware conhecido.

A IA Não é o Inimigo – A Complacência é

A IA não é uma espada de dois gumes; é uma lupa. Ela torna processos bons mais eficientes e processos ruins catastróficos.

Os atacantes sempre terão novas ferramentas. A verdadeira pergunta é se sua estratégia de segurança é construída sobre uma base sólida de resiliência ou apenas perseguindo o próximo objeto brilhante. A era da segurança “configura e esqueça” acabou. As organizações que constroem uma cultura de segurança e acertam os fundamentos vencerão, mesmo na era de ameaças autônomas.