Existe uma transformação relevante acontecendo na superfície de ataque das organizações, porque, durante décadas, a evolução da segurança cibernética esteve fortemente associada à capacidade de identificar e controlar vulnerabilidades tecnológicas.
Investimos em arquiteturas mais resilientes, proteção de endpoints, gestão de identidades, autenticação multifator, monitoramento contínuo, inteligência de ameaças, Zero Trust e capacidades cada vez mais sofisticadas de detecção e resposta, e essa evolução foi necessária e continuará sendo determinante.
Ainda assim, à medida que aumentamos o custo técnico necessário para comprometer determinados ambientes, criamos também um incentivo econômico para que o adversário procure caminhos menos complexos, e um desses caminhos passa diretamente pela confiança humana.
Costumo evitar a afirmação de que o usuário é o elo mais fraco, porque essa definição reduz um problema sistêmico de risco a uma suposta deficiência individual. Seres humanos fazem parte da arquitetura operacional das organizações e possuem credenciais, privilégios, conhecimento, relacionamentos, capacidade de aprovação e poder decisório, e por isso o comportamento humano compõe a superfície de ataque e precisa ser tratado com o mesmo rigor utilizado para qualquer outro componente relevante do Cyber Risk.
O que os números realmente estão dizendo
O Verizon Data Breach Investigations Report 2026 aponta que o elemento humano esteve presente em 62% das violações analisadas, e esse número não deveria servir apenas para justificar mais treinamentos. Ele deveria provocar uma discussão muito mais profunda dentro das organizações, já que, se o comportamento humano participa de parcela tão relevante dos incidentes, vale questionar por que continuamos medindo nossa capacidade de proteção predominantemente pela quantidade de pessoas que concluíram um treinamento anual.
Essa é uma das contradições que mais me chama atenção na maneira como tradicionalmente tratamos Security Awareness.
Uma organização pode atingir 100% de conclusão dos treinamentos obrigatórios e, mesmo assim, permanecer altamente suscetível à engenharia social, porque o colaborador assiste ao conteúdo, responde corretamente às perguntas e recebe um certificado, mas nada disso demonstra, isoladamente, que ele tomará a decisão correta diante de uma solicitação convincente, contextualizada e urgente.
Conhecimento é importante, mas conhecimento não é necessariamente comportamento, e compliance, por si só, não significa resiliência.
Como a Inteligência Artificial mudou a economia do ataque
Historicamente, a engenharia social possuía uma limitação operacional importante, já que personalização exige trabalho e, para construir uma abordagem altamente convincente, o atacante precisava pesquisar a vítima, compreender seu contexto, identificar relacionamentos, adaptar linguagem e desenvolver uma narrativa coerente.
A IA generativa altera essa equação econômica ao permitir que parte relevante desse processo seja automatizada e realizada em escala.
Quando combinamos informações públicas, dados provenientes de vazamentos, OSINT, modelos generativos, automação, clonagem de voz, deepfakes e canais de mensageria, surge uma capacidade de engenharia social muito mais sofisticada do que o phishing tradicional que aprendemos a reconhecer, e o ataque contemporâneo pode utilizar o nome verdadeiro de um executivo, reproduzir padrões de comunicação, conhecer fornecedores, projetos e relacionamentos internos e chegar por um canal no qual a vítima está acostumada a tomar decisões rapidamente. O conteúdo pode ser artificial, mas o contexto utilizado para construir a fraude costuma ser quase inteiramente verdadeiro.
Isso é particularmente relevante em ambientes nos quais WhatsApp, dispositivos móveis e comunicação instantânea fazem parte da rotina operacional, já que o adversário não precisa convencer alguém a executar um arquivo malicioso. Em muitos cenários, basta induzir uma decisão aparentemente legítima, como alterar os dados bancários de um fornecedor, compartilhar uma informação confidencial, informar um código de autenticação, aprovar uma transação, instalar uma aplicação ou abrir uma exceção em um processo interno, e assim a engenharia social deixa de ser apenas um problema de phishing e passa a representar algo mais amplo, a manipulação adversária do processo decisório humano.
Essa mudança econômica é o ponto de partida, mas não explica sozinha o que uma organização deveria fazer a respeito.
Se o custo do ataque caiu, o custo de não medir a exposição humana subiu na mesma proporção, e é aí que entra a segunda parte dessa discussão:
Da conscientização à mensuração de risco
Acredito que precisamos evoluir de Security Awareness para Human Risk Management, aplicando ao fator humano uma lógica semelhante àquela utilizada para administrar outros riscos cibernéticos, identificando exposição, compreendendo ameaças, observando comportamento, aplicando controles, testando sua efetividade, mensurando evolução e determinando o risco residual.
Dessa forma, a pergunta deixa de ser quantos colaboradores foram treinados e passa a ser quanto conseguimos reduzir a probabilidade de uma decisão humana resultar em comprometimento.
Essa transição só se sustenta se existir um mecanismo capaz de transformar comportamento em dado. Na prática, isso significa registrar três camadas de informação ao longo do tempo.
A primeira é a exposição, ou seja, quais colaboradores, áreas e canais concentram maior volume de tentativas de engenharia social.
A segunda é a resposta, que mostra quem clicou, quem reportou, quem ignorou e em quanto tempo cada uma dessas reações aconteceu.
E a terceira é a recorrência, que indica se o mesmo padrão de erro se repete depois de uma intervenção ou se o comportamento efetivamente muda.
Sem essas três camadas registradas de forma contínua, qualquer programa de conscientização produz apenas percepção, não risco mensurável.
Uma simulação deveria explicar por que a narrativa funcionou
Foi a partir dessa reflexão que tive a oportunidade de participar da concepção do Programa Anual de Conscientização desenvolvido pela Ivy Group S/A em conjunto com o Código Fonte TV, iniciativa recentemente apresentada em matéria publicada pelo Terra. Ao lado de Paula Yara, Gabriel Fróes e Vanessa Weber, partimos de uma premissa fundamental, já que não fazia sentido construir apenas mais um treinamento anual de segurança.
Se o risco é contínuo, dinâmico e mensurável, a resposta também precisa possuir essas características.
O programa foi concebido como uma jornada de doze meses, composta por treze módulos, avaliações, conteúdos relacionados às ameaças atuais, campanhas práticas de phishing e mecanismos de reciclagem e acompanhamento, mas seu aspecto mais importante não está na quantidade de módulos, e sim na lógica utilizada para transformar cada interação em informação sobre risco.
Uma simulação não deveria existir apenas para descobrir quem clicou, porque ela deveria ajudar a compreender por que determinada narrativa funcionou, quais grupos apresentaram maior suscetibilidade, quais mecanismos psicológicos foram explorados e quais controles adicionais poderiam impedir que uma decisão equivocada evoluísse para um incidente.
É nesse ponto que a mensuração deixa de ser uma métrica isolada e passa a funcionar como um indicador vivo de risco, atualizado a cada campanha, a cada simulação e a cada reincidência registrada. Uma estratégia madura acompanha suscetibilidade, reincidência, capacidade de reporte, velocidade de reporte e diferenças entre áreas ao longo do tempo, e é essa comparação contínua entre antes e depois das intervenções que permite responder à pergunta realmente relevante, que é se a organização está se tornando progressivamente mais difícil de enganar.
O que acontece depois que a campanha termina?
Essa reflexão ganha ainda mais importância com a aproximação do Cybersecurity Awareness Month, celebrado internacionalmente em outubro, um período de enorme importância para ampliar a discussão sobre segurança, promover educação e mobilizar organizações.
Ainda assim, a verdadeira medida de sucesso de uma campanha realizada em outubro talvez não esteja em outubro, e sim em novembro, quando é possível observar se o comportamento realmente mudou, se as pessoas continuam reportando situações suspeitas, se o tempo entre identificação e reporte diminuiu, se a reincidência foi reduzida e se os processos internos foram aperfeiçoados a partir das vulnerabilidades comportamentais observadas.
A última camada de defesa continua sendo uma decisão humana
Depois de anos trabalhando com Cybersecurity e Risk, acredito cada vez mais que o comportamento humano não pode continuar sendo tratado como uma variável externa à arquitetura de segurança, já que pessoas fazem parte dessa arquitetura e podem ampliar risco quando não possuem contexto, processos e controles adequados, mas também podem representar uma das capacidades mais eficientes de detecção precoce quando são corretamente preparadas.
Talvez a evolução mais importante não seja simplesmente ensinar mais Cybersecurity às pessoas, e sim incorporar definitivamente o risco humano à estratégia de Cybersecurity, porque haverá situações em que EDR, XDR, SIEM, MFA, Zero Trust e Inteligência Artificial estarão funcionando exatamente como deveriam e, ainda assim, o adversário tentará convencer alguém e nesse momento a última camada de defesa não será uma tecnologia, e sim uma decisão.
Entenda como essa jornada transforma comportamento em risco mensurável na prática, acesse treino-corp.ivy.com.br e conheça o programa completo.
