A IA está transformando o arsenal dos cibercriminosos. Ela ajuda a criar iscas mais convincentes, escalar a engenharia social e acelerar o reconhecimento de alvos, tudo isso baixando a régua de entrada para atacantes menos experientes. As empresas estão certas em ficar de olho nisso, principalmente porque o uso malicioso da IA torna as brechas antigas um teste ainda mais urgente da prontidão cibernética de uma organização.
Enquanto isso, os primeiros pontos de falha continuam sendo surpreendentemente familiares e normalmente envolvem os mesmos suspeitos de sempre: um link de phishing em que um funcionário clica, ou uma vulnerabilidade que não foi corrigida a tempo. Diferente do malware realmente potencializado por IA (que ainda é raro de se ver), esses não são os riscos mais chamativos do mundo da cibersegurança, mas continuam entre os mais importantes para empresas que querem melhorar sua prontidão cibernética.
Felizmente, as ameaças que ainda respondem pela maioria dos incidentes também têm soluções testadas e aprovadas que ajudam a manter o seu negócio protegido.
IA e o básico
O "malware potencializado por IA" é citado como a principal preocupação de PMEs ao redor do mundo para o próximo ano, de acordo com o ESET SMB Cyber Readiness Index 2026. Na América do Norte, esse número é ainda maior (33%). Mas, se considerarmos a definição estrita de malware que usa IA de forma automatizada e em tempo real, o assunto ainda é mais coisa de comunidade acadêmica do que do dia a dia de quem trabalha com cibersegurança.
A ESET descobriu o primeiro exemplo de ransomware escrito por IA em 2025. Ainda assim, tudo indica que se tratava apenas de uma prova de conceito (PoC). Já o PromptSpy, descoberto pela ESET no início deste ano, foi o primeiro malware para Android identificado usando IA generativa (GenAI) durante a execução para conseguir persistência no dispositivo.
Além disso, pesquisadores de segurança encontraram pouquíssimos casos parecidos, quando encontraram algum. Vale destacar também que o serviço de MDR da ESET não tem registro de nenhum incidente em que a GenAI tenha tido um papel relevante. Os cibercriminosos até se beneficiam do suporte da IA, mas poucos estão realmente colocando a tecnologia em prática, em tempo real, para automatizar tarefas de verdade.
As verdadeiras ciberameaças ao seu negócio
Uma abordagem mais proveitosa para líderes de PMEs seria prestar mais atenção às causas reais dos incidentes. Para muitas PMEs, o primeiro ponto de falha continua sendo bem mais familiar: uma mensagem de phishing que funciona, uma vulnerabilidade que ficou sem correção, um alerta que ninguém percebe, ou uma senha que nunca deveria ter sido reutilizada. Esses não são os riscos mais chamativos da cibersegurança, mas continuam entre os mais importantes para empresas que querem melhorar sua prontidão cibernética.
Nesse sentido, os dados da ESET são bastante reveladores. Eles apontam as seguintes como as principais ameaças enfrentadas por empresas menores:
- Phishing (26%) : a telemetria da ESET revela que o phishing foi a ameaça mais detectada no segundo semestre de 2025 (30,8%), e os volumes continuam subindo. A engenharia social sempre foi uma tática favorita dos cibercriminosos, com o phishing por SMS (smishing) e até por chamadas de voz (vishing) ganhando cada vez mais espaço. A tecnologia pode ajudar na defesa, mas o treinamento e a conscientização da equipe também são essenciais, e costumam ser mais difíceis de acertar.
- Vulnerabilidades de segurança não corrigidas (23%) : mesmo organizações menores podem rodar uma variedade grande de softwares, nem todos passíveis de correção apenas ativando atualizações automáticas. Entender o que está em uso e quais dados e sistemas críticos podem estar expostos já é o primeiro desafio. O volume e a frequência de descoberta de vulnerabilidades hoje em dia, somados à falta de expertise para testar e aplicar atualizações críticas, também podem ser obstáculos.
- Falta de monitoramento de segurança (22%) : você pode até ter várias ferramentas de segurança, mas tem um lugar único e centralizado para coletar, correlacionar e sinalizar alertas? Um monitoramento eficaz é fundamental para acelerar a detecção e a resposta a ameaças. Mas mesmo empresas que já têm monitoramento implementado podem acabar sobrecarregadas de alertas, o que dificulta separar o joio do trigo entre falsos e verdadeiros positivos.
- Senhas fracas (20%) : um desafio de segurança antigo como o mundo. Apesar do movimento do setor rumo à autenticação multifator (MFA) resistente a phishing e às passkeys, muitas organizações ainda dependem de senhas estáticas para proteger seus ativos mais importantes. E os funcionários costumam reutilizá-las, o que aumenta ainda mais o risco de comprometimento. Criar uma política de senhas robusta é o primeiro passo. Fazer com que ela seja cumprida é o próximo.
Soluções testadas e aprovadas para ameaças de sempre
Isso não quer dizer que as PMEs devam ignorar as ameaças potencializadas por IA. O ponto principal é entender que muitos dos riscos citados acima são agravados pela IA, e não que a tecnologia esteja criando ameaças completamente novas. Por exemplo, os cibercriminosos estão usando IA para:
- Melhorar a qualidade das mensagens de phishing (incluindo o uso de deepfakes) e escalar e gerenciar campanhas
- Reduzir a janela de exploração de vulnerabilidades, encontrando e armando falhas novas rapidamente
- Analisar grandes volumes de dados para descobrir senhas comumente usadas
- Fazer reconhecimento de alvos para mapear caminhos de ataque mais rápido
Isso também pode encurtar o tempo que as empresas têm para reagir. Se os cibercriminosos conseguem identificar sistemas vulneráveis mais rápido, produzir código de exploração com mais facilidade ou automatizar partes do seu processo, a janela entre divulgação, criação da exploração e ataque em si pode ficar ainda mais estreita. Para uma PME que já tem dificuldade com inventário de ativos e priorização de correções, isso faz toda a diferença. A lição aqui é que isso torna ainda mais caro deixar o básico incompleto.
Então, qual é a saída? A boa notícia é que as boas práticas continuam ajudando a melhorar sua postura de cibersegurança. A gestão de vulnerabilidades e correções é um bom ponto de partida. Faça varreduras contínuas em sistemas operacionais e aplicativos em busca de CVEs conhecidas para identificar exposições, e depois aplique as atualizações automaticamente, de acordo com a política e o nível de risco da empresa.
A segurança de identidade está cada vez mais crítica. Os gerenciadores de senhas podem criar e armazenar credenciais fortes e únicas para os funcionários, mas, mesmo assim, a MFA hoje é uma linha de defesa inegociável. Use ferramentas de gerenciamento de contas privilegiadas (PAM) para reduzir a superfície de ataque e proteger contas de alto risco.
Resolva a escassez de profissionais qualificados em cibersegurança e melhore o monitoramento terceirizando a detecção e resposta para um parceiro de confiança. Usar um serviço de Detecção e Resposta Gerenciada (MDR) também pode reduzir a complexidade e os desafios de integração que um quinto (21%) das PMEs aponta como o maior obstáculo para melhorar a postura de segurança.
Destino: prontidão e resiliência
No fim das contas, nenhuma organização é pequena demais para ser alvo de um ataque, então uma postura proativa em cibersegurança é essencial. Prontidão cibernética de verdade significa ser capaz de prevenir, detectar e responder a ameaças, um marco fundamental na jornada rumo à resiliência do negócio.
Você chega lá muito mais rápido tendo clareza sobre as ameaças reais que sua organização enfrenta. Não aquelas que rendem uma boa história, mas as que causam impacto de verdade.
