Relatório da SEK revela que 71% dos ataques começam com roubo de login e que máquinas superam humanos em 109 para 1, exigindo novas defesas.
Cibersegurança (IA)
A forma como as empresas se protegem da internet mudou radicalmente. De nada adianta ter uma proteção forte na entrada, como um portão digital, pois os ataques hoje invadem usando contas de acesso válidas de pessoas ou máquinas. O novo relatório Think Ahead Report 2026, feito pela SEK, mostra que a inteligência artificial tornou essa ameaça mais rápida e difícil de notar.
Os dados indicam que 71% das invasões reais em 2025 começaram com o roubo de senhas ou credenciais. Isso superou a exploração de falhas técnicas no software como principal forma de entrada. Além disso, as contas automáticas de máquinas já são 109 vezes mais numerosas que as de pessoas, sendo 79 delas ligados a inteligência artificial.
Os 5 pontos que explicam a crise da segurança digital
- Identidades vazadas são a porta de entrada mais comum dos hackers.
- Máquinas conectadas superam humanos em proporção de 109 para 1 no trabalho corporativo.
- O tempo médio para um invasor circular na rede caiu para apenas 29 minutos.
- A IA permite criar ataques com voz, vídeo e textos reais, confundindo as vítimas.
- A defesa deve focar em governar acessos e não apenas em firewalls clássicos.
O estudo aponta cinco prioridades para frear essa nova geração de ataques em 2026. A primeira é colocar a gestão de quem é quem no centro da defesa. A segunda é combater o risco humano amplificado pela IA. A terceira é usar automação para responder rápido. A quarta é cuidar de todos os parceiros fora da empresa. E a última é criar regras claras para o uso corporativo de IA.
"Tudo começa a partir de um login, e o que antes era humano agora é agêntico, tornando o desafio exponencialmente mais complexo. Quando uma identidade é comprometida, o atacante entra pela porta da frente utilizando acessos e autorizações válidas, causando alto impacto operacional, financeiro e reputacional. Estabelecer um programa sólido de governança de identidades, passa a ser um ativo estratégico de alto valor para o negócio", afirma André Facciolli, presidente da Netbr by SEK.
Engenharia social e velocidade recorde
Os dados não mostram só o início do ataque, mas também o meio. Segundo outro relatório global, 33% dos casos em 2025 usaram engenharia social, como phishing, para enganar mesmo com verificações de duas etapas. Mais 21% usaram força bruta para quebrar senhas. É muito difícil hoje distinguir uma ação legítima de uma feita por IA treinada para imitar pessoas.
"A inteligência artificial industrializou a capacidade de gerar confiança falsa em escala. O desafio deixou de ser apenas conscientizar usuários e passou a exigir processos capazes de reduzir a dependência do julgamento humano diante de solicitações aparentemente legítimas", reforça Facciolli. Isso significa que só avisar as pessoas já não basta; é preciso que os sistemas decidam sozinhos se algo é seguro.
A velocidade dos ataques também está assustando os especialistas. Em 2025, o tempo médio para o ladão se mover dentro da empresa após entrar pela primeira vez caiu 65%. Agora, leva apenas 29 minutos. Antes, demorava muito mais tempo, o que dava janela para a segurança perceber a intrusão.
Perfis de risco e o fim dos muros virtuais
Durante testes de invasão simulados na América Latina em 2025, os atacadadores da SEK conseguiram ficar 42 dias dentro de sistemas críticos sem ser notados. Isso é um alerta, pois o padrão global de permanência é de 14 dias, e mais da metade das empresas só descobre o golpe por causa de um aviso de fora.
"A combinação de identidades e inteligência artificial vem criando forças de trabalho não humanas em uma escala sem precedentes. Segundo o Palo Alto Networks 2026 Identity Security Landscape Report, já são 109 identidades de máquina para cada identidade humana, sendo 79 delas agentes de IA. Somando-se à velocidade cada vez maior dos ataques, o diferencial passa a ser a capacidadede governar identidades e acessos e responder rapidamente às ameaças", afirma João Stohler, Country Manager Brasil da SEK.
Para a empresa, a solução passa pela automação defensiva. Usar IA para defender a IA ajuda a fechar o intervalo entre achar o problema, investigar e parar o dano. Isso torna a empresa mais resistente e protege a marca dela frente aos clientes e investidores.
O relatório também avisa para olhar para fora. Fornecedores, nuvem, apps e terceiros ampliam o alvo para os criminosos. É preciso tratar o risco de forma sistêmica, olhando para tudo ao redor da empresa e não só para os servidores dela mesma.
Por fim, o tema chegou à mesa de conselhos de administração. Agora, não é só uma questão de cumprir leis, mas de saber se a empresa resiste a ataques complexos. Decidir quem pode fazer o quê é hoje uma questão estratégica de negócio.
As recomendações finais incluem usar senhas que os robôs não conseguem imitar, reduzir poderes excessivos em contas fixas, olhar constantemente para todas as contas, humanos e robôs, automatizar a resposta a erros e controlar bem os terceirizados e as IAs.
Para chegar a esses números, a SEK usou dados de 2025 de seus centros de defesa, testes de invasão e análises internacionais. Foi um estudo profundo sobre o cenário digital do futuro próximo.
