Concentre-se em suas ameaças cibernéticas reais, não apenas na IA

Vamos encarar os fatos: Os ataques cibernéticos com tecnologia de IA são uma possibilidade assustadora. Mas eles não são o maior perigo para sua empresa.

O verdadeiro perigo é a distração que eles causam.

Por mais de 15 anos, tenho testemunhado o mesmo padrão. Os executivos ficam alarmados com a mais nova "superameaça de IA", enquanto a equipe de segurança ainda está tentando responder a perguntas fundamentais, como: "Onde estão as informações mais confidenciais de nossos clientes?" ou "Quem é responsável pela aplicação de patches naquele servidor essencial?" Buscamos as ferramentas mais recentes, enquanto os engenheiros são arrastados para exercícios urgentes de conformidade e as vulnerabilidades cruciais são empurradas para baixo na lista de prioridades.

Esse é o clássico dilema da "fechadura sofisticada em uma porta de tela". As empresas estão se apressando para implementar defesas alimentadas por IA, mas os invasores estão usando a IA com menos restrições e maior agilidade para explorar os pontos fracos fundamentais do processo, da propriedade e da cultura. Para as empresas de médio porte, em particular, negligenciar o básico é um convite aberto para se tornar o próximo exemplo de alerta.

Por que as defesas estáticas falham em um mundo dinâmico

Quando comecei minha carreira, a segurança era uma lista de verificação: antivírus, patches e firewalls fortes. Essa era acabou. Hoje, o malware polimórfico altera seu código para evitar a detecção, e os botnets lançam ataques mais rapidamente do que qualquer pessoa pode reagir.

O tráfego criptografado tornou-se o método de ocultação preferido dos atacantes. O relatório ThreatLabz 2024 da Zscaler revelou que quase 90% dos malwares são agora entregues por meio de canais criptografados. Isso significa que nove em cada dez ameaças estão ocultas das ferramentas de segurança legadas, incapazes de inspecionar esse tráfego.

O verdadeiro obstáculo, entretanto, não é apenas a tecnologia; é a inércia organizacional. Já vi equipes de segurança talentosas perderem semanas apenas buscando aprovação para corrigir uma vulnerabilidade conhecida. No tempo que leva para agendar as reuniões necessárias, um invasor automatizado pode violar o sistema e exfiltrar dados. Permanecer estático não é mais viável. Os programas de segurança devem ser responsivos ao contexto e focados nos aspectos do negócio que se movem mais rapidamente.

A industrialização do crime cibernético

Esse desenvolvimento não deve ser um choque. Os invasores são empresários que administram um empreendimento criminoso. Eles estão simplesmente adotando novas tecnologias para melhorar seu retorno sobre o investimento, assim como fazem as empresas legítimas. A IA está ajudando-os a industrializar suas operações.

• Phishing como serviço, superalimentado: O phishing continua sendo o principal método de invasão, consistentemente relatado pelo FBI e pela IBM como o principal vetor de acesso inicial há anos. Agora, com ferramentas de IA generativas como o "FraudGPT", os criminosos podem produzir campanhas de phishing perfeitamente personalizadas e gramaticalmente perfeitas em uma escala sem precedentes.
• A voz é uma mentira: o phishing por voz ("vishing") está aumentando. A CrowdStrike observou um aumento de 442% à medida que os invasores usam vozes clonadas por IA para se passar por executivos e enganar os funcionários para que transfiram fundos. Uma única chamada custou a uma empresa de energia do Reino Unido mais de US$ 243.000 dessa forma.
• A ascensão do adversário automatizado: Os caçadores de ameaças da CrowdStrike agora se deparam com campanhas automatizadas de ponta a ponta - desde currículos gerados por IA com entrevistas em vídeo deepfake até invasões que não usam malware e operam inteiramente na nuvem.

Os defensores estão enfrentando ameaças que se adaptam e persistem com pouca intervenção humana. Os atacantes vêm se automatizando há anos; a IA simplesmente acelerou seu fluxo de trabalho até a hiperdrive.

Para manter o ritmo, precisamos finalmente abandonar as abordagens desatualizadas e orientadas por listas de verificação em relação à conformidade e à segurança cibernética. Buscar uma solução mágica na mais recente ferramenta do mercado também não é a resposta. Dito isso, esse desafio apresenta uma oportunidade única de voltar aos fundamentos.

Pare de perguntar "Estamos em conformidade?" Comece a se perguntar "Somos resilientes?"

Mesmo com a IA transformando o cenário de ameaças, a maioria das violações ainda ocorre devido à negligência dos princípios básicos. Sim, a voz daquele CEO pode ter sido clonada, mas a falha real provavelmente foi um processo de aprovação financeira falho. A IA foi apenas a etapa final em uma cadeia de fundamentos negligenciados.

A IA não precisa descobrir uma vulnerabilidade de dia zero quando pode localizar um servidor sem patches com cinco anos de idade ou um desenvolvedor com acesso administrativo a tudo. A aquisição de outra ferramenta de segurança com IA não consertará uma cultura de segurança quebrada. A IA deve reforçar processos robustos, não substituí-los.

É nesse ponto que a liderança geralmente comete um erro. Já participei de salas de reuniões em que a pergunta central era: "Estamos em conformidade?" A melhor pergunta é: "Nosso programa de segurança torna nossa empresa mais resiliente?"

A conformidade se torna um exercício de preenchimento de caixas. As equipes de produtos avançam rapidamente, os engenheiros recebem tarefas de segurança sem os recursos adequados e os líderes presumem que uma auditoria limpa equivale à segurança dos negócios. Isso não é verdade. A solução não são mais ferramentas; é um suporte fundamental mais forte de cima para baixo. A segurança deve estar diretamente ligada ao crescimento dos negócios e à integridade do produto.

Um manual pragmático para a era da IA

As empresas da Fortune 500 podem gastar muito com esse problema. As empresas de médio porte devem ser mais estratégicas. Então, o que você deve fazer de fato?

1. Consertar sua base primeiro. Antes de investir em outra ferramenta, certifique-se de ter um inventário sólido de seus dados, controles de acesso irrepreensíveis e um processo de aplicação de patches que funcione de forma confiável.
2. Coloque a IA na agenda. Realize exercícios de mesa simulando ataques orientados por IA. Faça disso uma parte regular dos relatórios executivos para que seja tratado como um risco comercial e não apenas como um problema de TI.
3. Concentre-se no comportamento, não apenas nos sinais estáticos. Priorize as ferramentas que detectam atividades anômalas - como uma conta de usuário que acessa repentinamente um banco de dados que nunca usa - em vez de ferramentas que apenas pesquisam assinaturas de malware conhecidas.

A IA não é o inimigo - a complacência é

A IA não é uma faca de dois gumes; é uma lente de aumento. Ela torna os processos eficientes mais eficazes e os processos falhos desastrosos.

Os invasores sempre terão novas ferramentas à sua disposição. A questão crítica é se a sua estratégia de segurança está construída sobre uma base sólida de resiliência ou se está apenas perseguindo a próxima tendência. A era da segurança do tipo "configure e esqueça" acabou. As organizações que cultivam uma cultura focada em segurança e dominam os fundamentos terão sucesso, mesmo na era das ameaças autônomas.