){kind=link}
Durante décadas, a noção popular de ameaça digital se resumiu a um arquivo infectado que alguém baixava por engano e que um antivírus era capaz de identificar e colocar em quarentena. Esse modelo mental continua sendo útil, mas descreve apenas uma fatia pequena do que acontece atualmente, porque boa parte dos ataques bem-sucedidos dos últimos anos não envolveu nenhum arquivo suspeito, nenhum download voluntário e, em alguns casos, nenhum software malicioso no sentido tradicional.
Em vez de tentar enganar o antivírus, os invasores passaram a explorar aquilo que os sistemas de defesa confiam por padrão: um periférico conectado à porta USB, uma atualização assinada por um fornecedor legítimo, ou o contato de um colega no WhatsApp. São vetores que proteções digitais não conseguem conter.
smart_display
Nossos vídeos em destaque
A seguir, o TecMundo detalha cinco categorias de ameaça que ilustram essa mudança, com os casos que as tornaram conhecidas e as medidas práticas de proteção para cada uma.
Vírus deixaram de ser a única ameaça digital?
Os vírus não desapareceram, mas passaram a ser só mais um dos problemas em cibersegurança. A indústria de antivírus trabalha constantemente na detecção de arquivos maliciosos conhecidos, mas o crime não descansa, e novos métodos de ataque são desenvolvidos o tempo inteiro.
Três deslocamentos explicam a maior parte do fenômeno. O primeiro é a mudança do software para o hardware e o firmware, terreno em que o antivírus tem visibilidade limitada ou nenhuma. O segundo é a exploração da confiança institucional, atacando fornecedores para chegar a milhares de clientes de uma vez em vez de atacar cada alvo individualmente. O terceiro é o retorno da engenharia social como vetor dominante, agora com ferramentas de inteligência artificial para impulsionar a fabricação de golpes e torná-los ainda mais convincentes.
5 ameaças de segurança digital muito além dos vírus tradicionais
1. BadUSB: quando um cabo ou pendrive vira uma arma
O ataque conhecido como BadUSB explora uma característica do próprio padrão USB: quando um dispositivo é conectado, ele informa ao computador que tipo de periférico é, e o sistema aceita essa declaração sem questionar. Um pendrive pode se apresentar como teclado, e a partir daí digitar comandos em altíssima velocidade, instalar programas e abrir conexões remotas sem que nenhum arquivo suspeito seja copiado para o disco.
)
A técnica foi demonstrada publicamente em 2014 por pesquisadores da SR Labs, que mostraram ser possível reprogramar o firmware do controlador USB de dispositivos comuns. Como o firmware fica em uma camada abaixo do sistema operacional, o antivírus não consegue inspecioná-lo, e formatar o dispositivo não remove a modificação.
O caso mais conhecido de ataque por mídia removível é o Stuxnet, o malware que sabotou centrífugas de enriquecimento de urânio no Irã por volta de 2010 e que chegou a uma instalação isolada da internet justamente por meio de pendrives. Mais recentemente, cabos de carregamento com hardware embutido, vendidos abertamente como ferramentas de teste de segurança, tornaram o ataque acessível a qualquer pessoa disposta a gastar algumas dezenas de dólares.
Como se proteger:
- Nunca conecte dispositivos USB de origem desconhecida, incluindo brindes de eventos e itens encontrados em locais públicos;
- Use apenas cabos e carregadores próprios;
- Prefira tomadas elétricas comuns a portas USB públicas em aeroportos e cafés;
- Considere adaptadores que bloqueiam os pinos de dados e permitem apenas a passagem de energia.
- Em ambientes corporativos, políticas de controle de dispositivos que exigem autorização prévia para periféricos são a medida mais eficaz.
2. Ataques à cadeia de suprimentos
Em um supply chain attack, o alvo direto não é a vítima final, e sim um fornecedor em quem ela confia. O invasor compromete o processo de desenvolvimento ou distribuição de um software legítimo e insere código malicioso naquilo que os clientes vão baixar e instalar espontaneamente, com assinatura digital válida e por canais oficiais.
O episódio que consolidou a categoria foi o comprometimento da SolarWinds, descoberto no fim de 2020. Atacantes inseriram um backdoor no processo de compilação da plataforma Orion, usada para gestão de redes, e a atualização contaminada foi distribuída a milhares de organizações, entre elas agências do governo dos Estados Unidos e grandes empresas de tecnologia.
Um caso posterior mostrou o alcance do problema no software livre. Em março de 2024, foi descoberto um backdoor plantado na biblioteca de compressão XZ Utils, presente em incontáveis distribuições Linux. Foi descoberto por acidente e corrigido antes de ser disseminado para o público geral.
Como se proteger:
- Para o usuário comum, a defesa possível é manter o número de softwares instalados sob controle; baixar sempre das fontes oficiais e aplicar atualizações de segurança assim que possível, já que a correção costuma ser publicada rapidamente após a descoberta.
- Para empresas, o caminho passa por inventário de componentes de terceiros, monitoramento de comportamento anômalo em aplicações confiáveis e segmentação de rede que limite o alcance de um fornecedor comprometido.
3. Deepfakes usados para fraudes e golpes
A síntese de voz e vídeo por inteligência artificial deixou de ser demonstração de laboratório e passou a integrar operações de fraude com prejuízos verificados. O Brasil é um dos países com maior circulação deste tipo de golpe, que se aproveitam da confiança atribuída a instituições financeiras.
)
Em escala menor, a mesma tecnologia alimenta golpes que clonam a voz de familiares a partir de poucos segundos de áudio extraídos de redes sociais, simulando pedidos urgentes de dinheiro. A eficácia é resultado de uma combinação sofisticada entre familiaridade e o senso de urgência da mensagem.
Como se proteger:
- Estabeleça um procedimento de verificação por canal alternativo para qualquer solicitação financeira relevante, ligando para um número já conhecido em vez de responder ao contato recebido;
- Combine com familiares e com a equipe de trabalho uma palavra de verificação que não circule publicamente.
- Desconfie sistematicamente de urgência combinada com sigilo, elementos comuns deste tipo de fraude;
- Reduza a exposição pública de áudio e vídeo em perfis abertos.
4. Ransomware com dupla extorsão
O ransomware clássico criptografava arquivos e cobrava pelo resgate da chave, o que dava ao backup o papel de solução definitiva. O modelo atual acrescentou uma segunda etapa: antes de criptografar, os invasores copiam os dados e ameaçam publicá-los caso o pagamento não ocorra, tornando o backup insuficiente como única linha de defesa.
O ataque à Colonial Pipeline, em maio de 2021, interrompeu o principal duto de combustíveis da costa leste dos Estados Unidos e provocou desabastecimento em vários estados, apesar de os sistemas operacionais do duto não terem sido diretamente comprometidos. O acesso inicial veio de uma credencial de VPN sem autenticação em duas etapas. Já o caso da Change Healthcare, em 2024, paralisou parte significativa do processamento de pagamentos do sistema de saúde americano e expôs dados de dezenas de milhões de pessoas.
O ecossistema também se profissionalizou. Grupos operam no modelo de ransomware como serviço, no qual desenvolvedores licenciam a ferramenta para afiliados que executam os ataques e dividem os lucros, o que reduziu drasticamente a barreira técnica de entrada.
Como se proteger:
- Mantenha backups seguindo a regra de três cópias em dois tipos de mídia, com pelo menos uma desconectada da rede, e teste periodicamente a restauração, que é a etapa que costuma falhar no momento crítico.
- Ative autenticação em duas etapas em todos os serviços que a ofereçam, com preferência por aplicativos autenticadores em vez de SMS, e aplique atualizações de segurança em servidores e acessos remotos com prioridade.
5. Golpes potencializados por inteligência artificial
Modelos de linguagem tornaram triviais tarefas que antes limitavam o alcance das fraudes. Mensagens de phishing escritas em português correto, com o vocabulário da instituição imitada e personalizadas com dados públicos da vítima, deixaram de exigir tempo ou habilidade linguística.
)
A automação também ampliou a escala das fraudes de relacionamento e investimento: se antes era necessário um operador humano para manter uma conversa com a vítima, agora um chatbot faz de forma automática.
Há ainda um vetor que envolve a própria adoção de IA. Assistentes com acesso a arquivos, e-mails ou navegador podem ser manipulados por instruções ocultas em conteúdo que processam, técnica conhecida como injeção de prompt (prompt injection).
Como se proteger:
- Desloque o critério de avaliação da forma para o contexto, verificando remetente, domínio real do link e plausibilidade da solicitação em vez da qualidade do texto;
- Nunca acesse serviços financeiros por links recebidos, digitando o endereço diretamente ou usando o aplicativo oficial.
- Ao usar assistentes de IA com acesso a dados pessoais, avalie quais permissões são realmente necessárias e trate com cautela pedidos de ação vindos de conteúdo externo que o assistente processou.
Como se proteger das ameaças digitais atuais
As cinco categorias descritas exploram vetores distintos, mas as medidas que reduzem o risco em todas elas são em boa parte as mesmas, e nenhuma depende de conhecimento técnico avançado.
A autenticação em duas etapas é a medida isolada com melhor relação entre esforço e proteção, porque reduz o valor de uma senha vazada, situação que está na origem de uma parcela expressiva dos incidentes. Aplicativos autenticadores e chaves físicas são preferíveis ao SMS, vulnerável à clonagem de chip.
Um gerenciador de senhas resolve o problema da reutilização de credenciais entre serviços, que transforma o vazamento de um site irrelevante em acesso a contas importantes. A alternativa realista para a maioria das pessoas não é memorizar senhas distintas, e sim delegar essa função a uma ferramenta.
Manter sistema e aplicativos atualizados fecha vulnerabilidades já conhecidas, que respondem pela maior parte das invasões bem-sucedidas, e o mesmo vale para backups testados, que preservam a capacidade de recuperação quando as camadas anteriores falham.
Por fim, vale registrar que a desconfiança diante de urgência e sigilo é o hábito que atravessa todas as categorias listadas. Praticamente todo ataque baseado em engenharia social depende de convencer a vítima a agir rápido e sem consultar ninguém, e a simples decisão de adiar a resposta por alguns minutos costuma ser suficiente para desfazer o golpe.
Para acompanhar as ameaças que circulam no Brasil e as recomendações de proteção conforme novas técnicas aparecem, vale acompanhar a editoria de Segurança do TecMundo.