Ameaças de hackers levam à adoção da ‘confiança zero’

A cibersegurança das empresas deixou de ser apenas uma proteção restrita à área de tecnologia para se tornar uma questão vital para o negócio. Na esteira dessas mudanças, a adoção de arquiteturas de confiança zero, ou “zero trust”, avançou. Em vez de presumir que um usuário é confiável por estar dentro da rede corporativa, cada acesso precisa ser verificado continuamente. A mudança acompanha um ambiente de risco mais complexo. Vazamentos de dados, uso de ferramentas de inteligência artificial sem autorização e ataques contra credenciais ampliaram o risco de exposição das companhias. Segundo o estudo “Cost of a Data Breach Report 2025”, da IBM Security, o custo médio global de um único incidente com vazamento de dados é de US$ 4,44 milhões. Entre as 600 organizações estudadas, cerca de 20% afirmaram terem sofrido uma violação devido a incidentes de segurança envolvendo inteligência artificial oculta, o uso de ferramentas de IA dentro de uma organização sem aprovação ou controle das áreas responsáveis. Para organizações com altos níveis de IA oculta, essas violações adicionaram US$ 670 mil ao custo médio da violação em comparação com as que tinham níveis baixos ou nenhum nível de IA oculta. Segundo Nicolas Mucci, líder em serviços de cibersegurança para a IBM América Latina, as cifras não se limitam aos valores necessários para a recuperação técnica dos sistemas comprometidos. “Essa costuma ser apenas uma parte da conta”, afirma. “A empresa precisa investigar o incidente, conter o ataque, restaurar operações, atender exigências regulatórias e, muitas vezes, oferecer suporte a clientes afetados. Se o negócio parar durante algumas horas ou dias, há também perda de receita e produtividade.” Outra pesquisa, a “Microsoft Digital Defense Report 2025”, apontou que em 80% dos incidentes investigados pelas equipes de segurança da Microsoft os invasores  buscavam roubar dados, e que mais da metade dos ataques com motivação conhecida envolveu extorsão ou ransomware, o “sequestro” de dados. “Ou seja, o risco cibernético hoje tem impacto direto sobre operação, reputação, continuidade e resultado de negócio”, diz André Toledo, líder de segurança na Microsoft Brasil. O desafio se torna maior porque a rotina de trabalho mudou nas empresas, com a rede corporativa deixando de ser um ambiente concentrado em um único perímetro. É nessa lógica que entra o “zero trust”. A estratégia parte do pressuposto de que nenhum acesso deve ser automaticamente confiável. É uma abordagem baseada em três princípios: verificar explicitamente, conceder apenas o privilégio necessário e assumir que uma violação pode acontecer. “Cada solicitação de acesso deve ser autenticada e autorizada com base em sinais como identidade, dispositivo, localização, comportamento e nível de risco”, afirma Toledo. A prevenção ainda não é o principal motivador para muitas organizações” O perfil dos ataques atuais ajuda a explicar esses cuidados. A maioria deles não é uma invasão sofisticada, mas, sim, um acesso legítimo comprometido, usado exatamente como deveria ser usado, só que pela pessoa errada, diz Luciano Simão, chief information security officer (CISO) da Claranet Brasil. “Os atacantes não gastam mais tempo e energia para ‘arrombar a porta’, eles investem em soluções mais simples e rápidas e fazem login.” A expansão da inteligência artificial generativa acrescentou uma nova camada de preocupação. O problema, segundo Mucci, aparece quando esse uso ocorre sem regras claras. Um colaborador, por exemplo, pode inserir em uma plataforma pública informações confidenciais, contratos, código-fonte ou dados de clientes sem avaliar os riscos envolvidos. Wesney Bolzan Silva, CEO e cofundador da TBRsafe, empresa participante do hub Moov4, também vê o uso desgovernado de IA como um risco emergente e avalia que muitas companhias ainda confundem confiança zero com a compra de uma solução tecnológica. “Penso que o maior erro é imaginar que ‘zero trust’ seja uma tecnologia ou algum componente que pode ser comprado e resolver os problemas de segurança. Não. Definitivamente não”, afirma. Segundo ele, trata-se de uma mudança de arquitetura e de mentalidade. “Hoje, a identidade é o novo perímetro.” Esse modelo também muda a forma de lidar com incidentes. Em vez de trabalhar apenas para impedir ataques, a empresa passa a estruturar sua arquitetura considerando que uma violação pode acontecer e que seu impacto precisa ser limitado rapidamente. Para Natalian Silva, identity advisor partner na IAM Brasil, as empresas mais maduras já tratam a cibersegurança como um processo permanente de gestão de riscos, mas essa não é a regra. “Ainda observamos que grande parte das empresas brasileiras intensifica os investimentos em cibersegurança após sofrer um incidente, uma exigência regulatória ou uma recomendação de auditoria”, afirma. “Embora esse cenário esteja mudando, a prevenção ainda não é o principal motivador para muitas organizações.”