Proponha uma correção, faça uma sugestão
Origem da maioria dos ciberataques está no erro humano
Um relatório recente concluiu que, à medida que a Inteligência Artificial (IA) agêntica acelera o risco, a origem da maioria dos ataques está no erro humano e numa fraca gestão de identidades não humanas.
Um novo estudo concluiu que, no último ano, 71% das empresas sofreram pelo menos um ataque relacionado com identidade e reportaram, em média, três incidentes distintos.
A vitimização repetida atingiu um nível assinalável, com 5% das empresas a reportarem mesmo seis ou mais ataques, causados sobretudo por erro humano e por uma fraca gestão de identidades não humanas (em inglês, NHI).
O estudo foi conduzido pela Sophos, líder global em soluções de segurança avançadas para vencer os ciberataques, e intitula-se State of Identity Security 2026.
O inquérito agnóstico quanto a fornecedores foi realizado junto de 5000 líderes de TI e de cibersegurança em 17 países, incluindo Estados Unidos, Reino Unido, Alemanha, França, Austrália, Japão, Índia e Brasil.
Mais detalhes do estudo
Dois terços das vítimas de ransomware (67%) entre os inquiridos deste inquérito confirmaram que o seu incidente de ransomware teve origem num ataque relacionado com identidade, estabelecendo o comprometimento de idenitidade como um dos principais vetores de propagação de ransomware.
As consequências financeiras são elevadas: o custo médio de recuperação atingiu os 1,4 milhões de euros, com uma mediana de 639 mil euros, e 73% das organizações afetadas enfrentaram custos de 213 mil euros ou superiores.
A identidade tornou-se a principal superfície de ataque na cibersegurança moderna, e estes dados mostram que a maioria das organizações está a perder terreno.
Estão a ser concedidos privilégios a agentes de IA mais depressa do que as equipas de segurança os conseguem acompanhar, e as organizações que não se anteciparem a isto vão encontrar uma lacuna cada vez mais dispendiosa de colmatar.
Afirmou Ross McKerchar, Chief Information Security Officer da Sophos, explicando que "o problema das identidades não humanas é particularmente urgente".
Principais conclusões adicionais do State of Identity Security 2026
- O roubo de dados e financeiro domina o impacto das violações
No total, 10% das empresas reportaram um ataque relacionado com identidade que afetou o seu negócio no último ano, tendo como principais consequências o roubo de dados (49%), ransomware (48%) e o roubo financeiro (47%).
- A visibilidade continua a ser uma fraqueza crítica
Apenas 24% das organizações monitorizam continuamente tentativas de início de sessão invulgares e mais de metade verifica este ponto a cada três meses ou com menos frequência.
- As lacunas na deteção persistem
14% das empresas atacadas não conseguiram detetar e travar o seu ataque de identidade mais significativo antes de os danos ocorrerem. As organizações mais pequenas (100–250 colaboradores) apresentaram praticamente o dobro da probabilidade de falhar na deteção face aos seus pares de média dimensão.
- Infraestruturas críticas são as mais expostas
Os setores da energia, petróleo/gás e serviços públicos (80%) e governo federal/central (78%) reportaram as taxas de ataque mais elevadas entre todos os setores analisados.
- As dificuldades de conformidade indicam um risco mais amplo
As organizações que consideraram os requisitos de conformidade "muito desafiantes" registaram uma taxa de ataque de 82.4%, 14 pontos percentuais acima do que aquelas com menores dificuldades de conformidade (68.3%).
Empresas não estão preparadas
O erro humano, ou seja, colaboradores enganados para fornecerem as suas credenciais, foi referido em quase 43% dos incidentes. Por sua vez, a fraca gestão de NHI, incluindo chaves de API armazenadas em código, credenciais estáticas e contas de serviço órfãs, foram referidas em 41% dos incidentes.
Além disso, as organizações com fraca gestão de NHI têm uma probabilidade 22% superior de sofrer um roubo financeiro e pagam, em média, cerca de 128.000 euros adicionais para recuperar do que a média.
A questão da gestão de NHI está a intensificar-se. Os agentes de IA são capazes de criar subagentes de forma autónoma, cada um a gerar novas credenciais com acesso amplo e persistente, e a supervisão humana é inconsistente.
Os frameworks de identidade atuais não foram concebidos para isto, e as empresas já estão a ficar para trás. De facto, apenas uma em cada três faz uma rotação regular ou auditorias a contas de serviço e a identidades não humanas, e apenas 11% o faz de forma contínua.
Recomendações para reduzir riscos associados à identidade
Para reduzir a exposição a ataques relacionados com identidade, as empresas devem implementar uma abordagem em várias camadas, abrangendo identidades humanas e não humanas.
Alguns dos passos essenciais são impor Autenticação Multifator (em inglês, MFA) em todas as contas de utilizador, aplicar os princípios de acesso de menor privilégio e desativar ou remover prontamente identidades inativas.
No caso específico das identidades não humanas, as organizações devem fazer um inventário e classificar todas as NHI, substituir credenciais de longa duração por alternativas de curta duração e implementar plataformas de gestão de segredos para gerir as credenciais de NHI à escala.
À medida que a IA agêntica acelera a proliferação de NHI, a implementação de capacidades de Deteção e Resposta de Ameaças de Identidade (em inglês, ITDR) e a adoção de um modelo de segurança Zero Trust tornam-se camadas de defesa cada vez mais críticas.
Loading ...
Não se trata de uma maioria, mas sim da totalidade. As vulnerabilidades surgem exclusivamente devido a erros humanos, seja por facilitismo ou na construção da solução. Adicionalmente, apenas os humanos as exploram, direta ou indiretamente. Consequentemente, o problema reside e sempre residirá no fator humano.
Não podemos interpretar a coisas dessa forma, porque isso é obvio.
Mas toda a gente sabe perfeitamente que o ser humano não é perfeito, não existe sistemas ou redes que sejam a provas de balas ou 100% seguras de momento e com a aproximação do Inteligência Artificial este tipo de ataques só tende a aumentar ainda mais.
O que é seguro hoje, amanhã ou depois deixará de ser, mesmo que a empresa tenha tomado as devidas precauções, prevenções e mitigações. O que é que previne por exemplo de um web server como Nginx estar vulnerável? O que é que impede de uma CMS de código fechado estar vulnerável e existir falhas de segurança que nem a empresa tem como saber e ser explorada?
Sim, a sua grande maioria é culpa dos humanos, mas esquecem-se que o ser humano não é capaz de controlar terceiros, não é fácil, não é algo que possam prevenir a 100%. Onde é que reside o problema? Será só no ser humano? Ou também residirá em aplicações / software e produtos de terceiros que estão ao abandono ou não corrigem quando existe falhas ou vulnerabilidades, fora o tempo que demoram para o corrigir.
Com IA isto do “ser humano” deixará de ser o problema, o problema será quando a IA começar a descobrir vulnerabilidades que nem o ser humano se deu conta, é ai que reside o problema. Quando for IA vs IA como vai ser? Isto já começa a existir, basta ver os ultimos dias cPanel, Dirty Frag, WHMCS, Nginx, Fragnesia entre outros.
Por exemplo o Firefox, tinha mais de 200 vulnerabilidades, a culpa é do ser humano? Existe maneiras de as explorar, mitigar e atacar. É o jogo do rato e do gato, dificilmente existirá culpados, mas sim falta de regulação da IA.
E isto vai continuar a piorar com as vulnerabilidades que tem aparecido em Linux, cPanel entre outros. É só a polvora, imagine-se os restantes que são menos usados ISPManager, VestaCP, DirectAdmin. Aposto que tem mais vulnerabilidades do que se imagina…
Claro, ciberatacar é errado!
A falha está sempre entre a cadeira e o ecrã.