No último fim de semana, um webinar organizado pela Zero Trust Systems e pela CyberArk trouxe à tona um alerta importante: a segurança tradicional de e‑mail está ficando obsoleta frente às novas táticas de phishing, BEC (Business Email Compromise) e takeover de contas. O evento, que reuniu mais de 1.200 participantes de diversas indústrias, mostrou como a evolução dos ataques tem explorado identidades confiáveis e fluxos de trabalho legítimos, tornando a detecção com filtros baseados em regras e assinaturas cada vez mais frágil.

Em um cenário onde a maioria das organizações ainda confia em soluções de e‑mail baseadas em bloqueio de anexos e verificação de domínios, o webinar destacou que os invasores têm se adaptado usando técnicas de “spoofing” de remetentes e de engenharia social refinada. Um exemplo citado foi o uso de e‑mails que imitam templates corporativos, enviando links legítimos que levam a sites de phishing e, em alguns casos, a credenciais roubadas. A apresentação contou com dados de 2023 que revelam um aumento de 45 % nos incidentes de BEC, com prejuízos médios de R$ 1,2 milhão por empresa afetada.

Para ilustrar a complexidade dos ataques, os palestrantes mostraram um estudo de caso em que um executivo de compras recebeu um e‑mail de um fornecedor legítimo solicitando a transferência de fundos. O e‑mail parecia autenticado, mas a URL escondia um site de phishing que capturou as credenciais do destinatário. A mensagem foi enviada por meio de uma conta comprometida que já tinha permissão de acesso a sistemas internos, ilustrando a falha de confiar apenas na origem do remetente.

No Brasil, o cenário é igualmente preocupante. A maioria das empresas ainda utiliza soluções de e‑mail baseadas em listas negras e filtros de conteúdo que não conseguem identificar o contexto de uso. Um relatório recente do Instituto Brasileiro de Defesa do Consumidor (IDEC) apontou que 68 % das empresas brasileiras não possuem políticas de resposta a incidentes de phishing e que 52 % não fazem auditorias regulares de acessos a e‑mail corporativo. Isso aumenta o risco de ataques que exploram a confiança entre usuários internos e externos.

Além disso, o uso de IA comportamental surge como uma alternativa promissora. A tecnologia analisa padrões de uso, como horário de login, localização geográfica, dispositivos e padrões de leitura de e‑mail. Quando divergências são detectadas – por exemplo, um login de um usuário que normalmente acessa a conta apenas durante a semana, mas agora faz login de um país estrangeiro – o sistema pode bloquear automaticamente a sessão ou exigir autenticação de múltiplos fatores.

Para o público brasileiro, a adoção dessa abordagem pode significar a diferença entre responder a um ataque em tempo real ou sofrer perdas significativas. A Lei Geral de Proteção de Dados (LGPD) exige que as empresas garantam a segurança dos dados pessoais, e incidentes de BEC podem resultar em multas de até 2 % do faturamento anual, além de danos à reputação. Portanto, investir em IA comportamental não é apenas uma questão de tecnologia, mas de conformidade regulatória.

Do ponto de vista técnico, a IA comportamental funciona em três camadas. Primeiro, coleta dados de eventos de e‑mail e autenticação em tempo real. Segundo, utiliza modelos de aprendizado de máquina para criar perfis de usuário, aprendendo padrões de comportamento normal. Terceiro, aplica regras de anomalia que, quando ativadas, geram alertas ou automações de bloqueio. Esses sistemas também podem integrar com soluções de SIEM (Security Information and Event Management) para correlacionar eventos de diferentes fontes, aumentando a visibilidade e a capacidade de resposta.

Para quem deseja proteger sua organização, a ação concreta é simples: comece a mapear o comportamento de login e acesso a e‑mail nos últimos 90 dias. Utilize ferramentas de monitoramento que ofereçam análise de comportamento, como a própria CyberArk ou soluções de fornecedores como a Microsoft Defender for Office 365. Em seguida, configure políticas de MFA (Multi‑Factor Authentication) para todas as contas de e‑mail corporativo, especialmente para usuários que lidam com dados sensíveis ou transações financeiras.

Nos próximos dias, podemos esperar que mais empresas brasileiras adotem soluções de IA comportamental, impulsionadas por uma combinação de casos de sucesso e exigências regulatórias. Hospedagem de e‑mail em nuvem, que já é a prática padrão, traz benefícios de escalabilidade, mas também exige camadas adicionais de segurança, já que a maioria dos provedores não oferece proteção avançada contra BEC. Além disso, a comunidade de segurança no Brasil deve se preparar para campanhas de treinamento de conscientização, pois a maioria dos ataques ainda depende de engenharia social.

Em suma, o webinar ressaltou que a segurança de e‑mail tradicional está em crise. A combinação de ataques que exploram identidades confiáveis e de soluções de IA comportamental oferece uma resposta robusta, capaz de detectar e mitigar ameaças antes que causem danos. Para as empresas brasileiras, a adoção dessas tecnologias não é apenas uma boa prática – é uma necessidade para cumprir a LGPD e proteger ativos críticos. O futuro da segurança de e‑mail passa por máquinas que entendem o que é “normal” e atuam quando o padrão muda. O Brasil, com sua crescente digitalização, deve acelerar essa transição para evitar que milhares de empresas caiam em armadilhas cada vez mais sofisticadas.

Fonte: BleepingComputer