IA amplia assimetria na segurança digital e exige novas estratégias de defesa, avalia CERT.br

No 14º Fórum Brasileiro de CSIRTs, especialistas debateram os impactos da inteligência artificial, o combate ao ransomware, a proteção de dados e os desafios da resposta a incidentes

O uso de inteligência artificial para automatizar ataques cibernéticos e explorar vulnerabilidades em larga escala está ampliando uma assimetria histórica existente na segurança da informação. Enquanto um atacante precisa encontrar apenas uma única brecha para comprometer um sistema, as organizações têm de proteger todas as possíveis vulnerabilidades. Essa é a avaliação da gerente-geral do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), Cristine Hoepers, apresentada durante o 14º Fórum Brasileiro de CSIRTs, que aconteceu nos dias 28 e 29 de julho, em São Paulo (SP).

O encontro, promovido pelo CERT.br – área do Núcleo de Informação e Coordenação do Ponto BR (NIC.br) –, colocou em pauta desafios da resposta a incidentes de cibersegurança e da proteção de infraestruturas digitais. Realizado desde 2012, o Fórum consolidou-se como um importante espaço de troca de experiências e de networking para a comunidade brasileira de CSIRTs. O evento vem crescendo a cada ano e, em sua 14ª edição, reuniu público de 860 participantes.

Cristine explicou que o avanço da IA amplia a vantagem dos atacantes ao acelerar a descoberta e o encadeamento de vulnerabilidades. Para a especialista, esse cenário exige uma mudança na forma como as organizações lidam com a gestão de CVEs (Common Vulnerabilities and Exposures), priorizando as falhas de acordo com seu impacto operacional e sua possibilidade real de exploração. "O maior desafio hoje não é descobrir se existe um CVE. O desafio é responder: esse CVE realmente afeta o meu ambiente?", afirmou.

Com base em dados do Verizon Data Breach Investigations Report (DBIR) 2026, Cristine mostrou que a exploração de vulnerabilidades já superou o abuso de credenciais como principal vetor de acesso inicial em incidentes de segurança que levam a vazamentos de dados. Segundo ela, o crescimento acelerado do número de CVEs torna insuficiente uma estratégia baseada apenas em classificações de criticidade ou em scanners automatizados. O foco, enfatizou, deve estar na priorização das falhas que representam risco concreto para as organizações. Sua apresentação destacou o framework SSVC (Stakeholder-Specific Vulnerability Categorization) como uma ferramenta essencial para priorizar vulnerabilidades com impacto em atividades de missão crítica.

Estudos de caso e análises técnicas

Durante os dois dias de programação, foram apresentados palestras e estudos de caso focados em desafios técnicos atuais enfrentados pelas equipes de CSIRTs. Ivo de Carvalho Peixinho, perito criminal federal da Polícia Federal, demonstrou como integrar ferramentas gratuitas de engenharia reversa a modelos de IA generativa (LLMs), por meio do Model Context Protocol (MCP). A arquitetura automatiza a triagem de malwares e a geração de relatórios técnicos, mantendo a validação humana no centro do processo. "A ideia é automatizar boa parte da análise de malware para que o analista possa se dedicar às etapas que realmente exigem conhecimento especializado”, disse.

Matheus Moura, da Apura Cybersecurity Intelligence, mostrou que o impacto de um vazamento de dados persiste mesmo após a contenção do incidente, uma vez que as informações continuam sendo reutilizadas em painéis ilícitos. Ele afirmou que o maior risco está na correlação entre diferentes bases para criar perfis completos das vítimas e potencializar fraudes, engenharia social e extorsões. Como resposta, defendeu o monitoramento contínuo dos dados vazados e da sua reutilização após o incidente.

Edney Fernandes, do Banco da Amazônia, destacou que o desafio regulatório das instituições financeiras deixou de ser apenas implantar controles e passou a incluir a capacidade de detectar, investigar, responder e produzir evidências sobre incidentes cibernéticos. Nesse contexto, apresentou a telemetria de fluxo de rede baseada em NetFlow/IPFIX como ferramenta estratégica para apoiar investigações e atender o que determinam as resoluções do Conselho Monetário Nacional (CMN) nº 5.274/2025 e do Banco Central do Brasil (BCB) nº 538/2025. “O NetFlow, por si só, não representa muita coisa. Importa conseguirmos detectar, investigar e evidenciar as informações coletadas com fluxo de rede associadas ao contexto”, enfatizou.

Tiago Neves Furtado, Vinícius Azevedo e Guilherme Ochsendorf de Freitas, do Opice Blum, analisaram como as fraudes de maior impacto no sistema financeiro exploram falhas de governança, identidade e processos, utilizando desde credenciais expostas até APIs como o Pix. Os especialistas destacaram que o fator humano continua sendo o elo mais vulnerável e defenderam maior integração entre equipes técnicas, jurídicas e DPOs, além da documentação das investigações para fortalecer a resposta a incidentes e atender às exigências regulatórias.

Andrews Moraes, do Hospital Israelita Albert Einstein, apresentou uma metodologia que integra CSIRT, investigação forense (DFIR, do inglês Digital Forensics and Incident Response) e proteção de dados para apurar incidentes envolvendo informações sensíveis de forma alinhada à Lei Geral de Proteção de Dados (LGPD). Segundo o palestrante, a maturidade da resposta depende da atuação conjunta entre equipes técnicas, jurídicas, DPOs e áreas de negócio. “O trabalho deve ser todo interdisciplinar, do início ao fim. Quando cada área atua de forma independente, a gente não consegue chegar a um resultado mais conciso.”

Já André Torres, do Tribunal de Contas da União (TCU), abordou os desafios da proteção de contas privilegiadas e apresentou estratégias baseadas em ferramentas de código aberto para reduzir o risco de comprometimento dessas credenciais. Entre as recomendações, destacou o gerenciamento centralizado de segredos, a rotação automática de senhas, a autenticação multifator e o uso de contas administrativas dedicadas. "Quem administra um domínio deve ter uma conta específica para tarefas administrativas e outra para o uso cotidiano. Credenciais privilegiadas jamais devem ser utilizadas nas atividades do dia a dia", alertou.

O coordenador de fiscalização de cibersegurança e bloqueios da Anatel, Jamilson Ramos Evangelista, mostrou como TV Boxes não homologadas têm sido exploradas por grupos criminosos para disseminar o malware BadBox 2.0 e formar botnets utilizadas em ataques distribuídos (DDoS), fraudes e outras ações maliciosas. O palestrante ressaltou que esses dispositivos representam riscos que vão além da pirataria e apresentou a estratégia da Anatel, baseada em fiscalização, monitoramento contínuo, bloqueio de domínios, cooperação com operadoras e compartilhamento de inteligência.

Zoziel Freire, da Telefônica Brasil (Vivo), falou sobre a evolução do ransomware de um malware para um ecossistema criminoso altamente sofisticado, o que tem alimentado uma disputa permanente entre atacantes e equipes de defesa. De acordo com o especialista, essa evolução exige que as organizações reforcem continuamente suas estratégias e tecnologias de proteção. Para ele, a inteligência artificial tende a atuar como copiloto dos centros de operações de segurança (SOCs), auxiliando na priorização de alertas, na correlação de eventos e na resposta a incidentes, sem substituir a análise humana.

Acesse o site do evento e confira as apresentações dos palestrantes: https://forum.cert.br/.

Cooperação técnica e o 7º Workshop MISP
A programação associada ao Fórum encerrou-se no dia 30 de julho com a realização do 7º Workshop MISP (MISP Threat Sharing Platform). Dedicado ao compartilhamento de Indicadores de Comprometimento (IoCs) e dados de inteligência sobre ameaças virtuais, o treinamento prático foi conduzido por Luciano Righetti, integrante da equipe de desenvolvimento do MISP/CIRCL, e contou com relatos de uso prático desenvolvidos pelo Serviço Federal de Processamento de Dados (Serpro) e pela Vision Cybersecurity.

Veja fotos do evento:
14º Fórum Brasileiro de CSIRTs: https://flic.kr/s/aHBqjD1yk2
7º Workshop MISP: https://flic.kr/s/aHBqjD1wZY

Sobre o CERT.br
O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil é um Grupo de Resposta a Incidentes de Segurança (CSIRT) de responsabilidade nacional de último recurso, mantido pelo NIC.br. Sua missão é aumentar os níveis de segurança e de capacidade de tratamento de incidentes das redes conectadas à Internet no País. Para atingir esse objetivo, além de atividades de tratamento a incidentes, o Centro também investe na conscientização sobre os problemas de segurança, no auxílio ao estabelecimento de novos CSIRTs no Brasil e no aumento da consciência situacional sobre ameaças na Internet, sempre respaldados por uma forte integração estabelecida com as comunidades nacional e internacional de CSIRTs. Mais informações em https://cert.br/.

Sobre o NIC.br
O Núcleo de Informação e Coordenação do Ponto BR - NIC.br (https://nic.br/) é uma entidade civil de direito privado e sem fins de lucro, encarregada da operação do domínio .br, bem como da distribuição de números IP e do registro de Sistemas Autônomos no País. O NIC.br implementa as decisões e projetos do Comitê Gestor da Internet no Brasil - CGI.br desde 2005, e todos os recursos arrecadados provêm de suas atividades que são de natureza eminentemente privada. Conduz ações e projetos que trazem benefícios à infraestrutura da Internet no Brasil. Do NIC.br fazem parte: Registro.br (https://registro.br), CERT.br (https://cert.br/), Ceptro.br (https://ceptro.br/), Cetic.br (https://cetic.br/), IX.br (https://ix.br/) e Ceweb.br (https://ceweb.br/), além de projetos como Internetsegura.br (https://internetsegura.br) e Portal de Boas Práticas para Internet no Brasil (https://bcp.nic.br/). Abriga ainda o escritório do W3C Chapter São Paulo (https://w3c.br/).