Depois de um ataque de ransomware, a reunião de crise costuma partir de uma pergunta equivocada: qual tecnologia sofisticada os criminosos usaram? Na maior parte dos casos, a resposta é bem menos impressionante. O acesso veio de credenciais vazadas em repositórios públicos, de conexões remotas montadas às pressas na expansão do trabalho híbrido ou de vulnerabilidades conhecidas que nunca foram corrigidas. A narrativa de que a inteligência artificial está turbinando os ataques ganhou espaço, mas a telemetria aponta para outra direção: aquilo que as próprias empresas deixaram exposto.
O Data Breach Investigations Report 2025, da Verizon, analisou 22.052 incidentes e 12.195 violações confirmadas. O ransomware esteve presente em 44% das violações, um salto expressivo em relação à edição anterior. Os vetores de entrada, no entanto, são velhos conhecidos: credenciais roubadas (22%), exploração de vulnerabilidades (20%, com alta de 34% no ano) e phishing (15%). Nenhum deles depende de IA generativa.
O que mudou foi a economia do crime. De acordo com o Crypto Crime Report 2026, da Chainalysis, os grupos de ransomware arrecadaram cerca de US$ 820 milhões, queda de 8%, enquanto os ataques reivindicados publicamente cresceram perto de 50%. A parcela de vítimas que pagou resgate caiu para 28%, o menor patamar já registrado pela empresa. Mais ataques rendendo menos dinheiro explicam a mudança de comportamento dos criminosos melhor do que qualquer avanço tecnológico recente.
Barreira de entrada caiu antes de a inteligência artificial chegar ao crime
A fragmentação do ecossistema criminoso começou antes da atual onda de IA. Operações policiais internacionais dispersaram afiliados experientes em grupos menores e em atacantes que agem sozinhos. O modelo de ransomware como serviço derrubou a barreira técnica: hoje, operadores com pouco conhecimento conduzem campanhas completas usando ferramentas alugadas.
A Chainalysis também mapeou um mercado de corretores de acesso inicial, que movimentou ao menos US$ 14 milhões vendendo acessos prontos a redes corporativas. Essas compras costumam anteceder em cerca de 30 dias o aumento de vítimas publicadas em sites de vazamento. A cadeia do ransomware se especializou, e cada etapa funciona sem qualquer automação inteligente.
Essa reorganização mudou o alvo preferencial. Sem fôlego para negociações longas com grandes corporações, os grupos menores passaram a mirar pequenas e médias empresas, que pagam resgates menores, decidem mais rápido e resistem menos. Segundo a Verizon, o ransomware apareceu em 88% das violações nesse segmento, proporção muito acima da observada em grandes organizações, que contam com equipes dedicadas, segmentação de rede e processos de recuperação testados.
Visibilidade externa define quem vira alvo
Para o decisor, a pergunta que importa não é qual tecnologia o atacante usou, e sim por que a empresa foi escolhida. Quase sempre, a resposta é visibilidade. As vítimas não são selecionadas por alguma fragilidade única, mas por estarem expostas e por se encaixarem no que as varreduras automatizadas procuram: credenciais à venda em mercados clandestinos, serviços de acesso remoto abertos à internet e equipamentos de borda em versões vulneráveis.
O ataque direcionado, em que a organização é estudada e perseguida durante semanas, é exceção estatística, ainda que ocupe boa parte do imaginário dos conselhos de administração.
Atribuir os ataques à IA desloca o orçamento para a ameaça errada. A empresa que investe em defesas contra ataques hipotéticos conduzidos por algoritmos, mas mantém credenciais vazadas sem monitoramento, acesso remoto sem autenticação multifator e equipamentos de borda fora da gestão de vulnerabilidades, está reagindo ao noticiário, não ao próprio risco. A ameaça que de fato paralisa operações no país continua entrando pela porta aberta.
Gestão contínua de exposição vale mais do que caçar a ameaça do momento
A saída passa por inverter prioridades. Em vez de correr atrás da tecnologia de defesa da moda a cada trimestre, a organização precisa reduzir de forma contínua o que oferece ao atacante. Isso envolve descoberta permanente da superfície externa, correção priorizada pelo que está realmente exposto (e não apenas pelo que é classificado como grave no papel), autenticação multifator em todo acesso remoto e monitoramento de credenciais corporativas em fontes abertas e clandestinas.
São controles menos chamativos do que soluções com apelo de IA, mas atuam exatamente sobre os vetores que os dados de incidentes apontam ano após ano.
O critério para o próximo ciclo orçamentário não deveria ser a novidade da ameaça, e sim a distância entre o que a empresa expõe hoje e a velocidade com que consegue corrigir essa exposição, já que os atacantes a descobrem o tempo todo. Enquanto essa distância não diminuir, o debate sobre o papel da IA no cibercrime seguirá sendo, para a maioria das organizações brasileiras, uma distração cara.
