Natália Küster Gabardo¹

Resumo A rápida expansão da Inteligência Artificial (IA) em 2026 transformou a tecnologia de uma ferramenta de automação em uma parceira ativa nos processos decisórios humanos. Paralelamente, essa evolução ampliou a superfície de ataque digital, intensificando dilemas éticos e riscos de cibersegurança. Este artigo analisa o impacto dos vazamentos de dados no Brasil, a fragilidade gerada pela “Shadow IA”, os perigos das redes abertas e o novo papel estratégico do Chief Information Security Officer (CISO) diante de regulamentações rigorosas. A metodologia baseia-se em análise documental e estudos de caso contemporâneos. Conclui-se que a resiliência organizacional depende da integração indissociável entre tecnologia robusta, ética aplicada e governança estratégica.

Palavras-chave: Cibersegurança; Ética na IA; Shadow IA; LGPD; Resiliência Corporativa.

1.  Introdução

No cenário tecnológico de 2026, a Inteligência Artificial (IA) permeia serviços, governança pública e interações sociais, deixando de ser uma promessa futurista para se integrar à tomada de decisão humana (MALTEMPI, 2026). Contudo, a eficácia técnica não pode ser dissociada da responsabilidade ética, uma vez que a expansão dessas capacidades intensificou preocupações sobre transparência e proteção de direitos fundamentais (BARAVALLE et al., 2025).

O Brasil registrou em 2025 um impacto financeiro médio de R$ 7,19 milhões por vazamento de dados, uma alta de 6,5% que pressiona as organizações a encararem a segurança não como custo, mas como pilar de continuidade de negócios (SINDPD, 2026). Este artigo sustenta que a resiliência corporativa — a

capacidade de antecipar, absorver e se recuperar de incidentes — só se concretiza quando tecnologia, ética e governança operam como um sistema integrado, não como silos isolados.

2.  Dilemas Éticos e a “Caixa Preta” da IA

O uso de IA em processos críticos, como concessão de crédito ou seleção de pessoal, levanta o desafio central da explicabilidade. Sistemas que operam como “caixas pretas” — cujas decisões não podem ser compreendidas nem pelos próprios engenheiros que os construíram — geram insegurança jurídica e social quando as conclusões automatizadas carecem de justificativas compreensíveis para os afetados (MALTEMPI, 2026). Sem explicabilidade, não há como contestar uma decisão algorítmica, o que fere diretamente princípios do devido processo legal e da transparência administrativa.

Um dos reflexos mais perigosos dessa opacidade são os vieses algorítmicos. Sistemas treinados em dados históricos que refletem desigualdades estruturais — de raça, gênero ou classe — tendem a reproduzir e até amplificar essas discriminações em escala massiva (MALTEMPI, 2026). Uma IA de recrutamento treinada com currículos majoritariamente masculinos, por exemplo, pode “aprender” que homens são candidatos preferíveis, perpetuando a exclusão. O problema não está no algoritmo em si, mas nos dados que o alimentam — e na ausência de curadoria ética sobre esses dados.

A esse cenário soma-se o paradoxo da autoria: quando uma máquina participa ativamente da criação intelectual — redigindo textos, compondo música ou gerando imagens — os conceitos tradicionais de autoria e responsabilidade são desafiados (MALTEMPI, 2026). Quem responde por um conteúdo danoso gerado por IA? O desenvolvedor? O usuário? A própria máquina? A indefinição jurídica nesse campo cria zonas de impunidade que a regulamentação ainda não alcançou.

Por fim, a desinformação potencializada por IA representa uma ameaça direta à estabilidade democrática. O avanço dos deepfakes — vídeos e áudios sintéticos praticamente indistinguíveis da realidade — exige regulamentações urgentes sobre rotulagem obrigatória de conteúdo sintético e criminalização de seu uso malicioso (MALTEMPI, 2026). Sem essas barreiras, a confiança pública em registros audiovisuais, antes considerados provas robustas, se erosiona por completo.

3.  Shadow IA: A Fragilidade da Governança Invisível

Se os dilemas éticos representam o desafio visível da IA, a Shadow IA opera nas sombras — e é precisamente aí que reside seu perigo. Caracterizada pelo uso de ferramentas de inteligência artificial por funcionários sem autorização formal da TI, a Shadow IA cresce na mesma proporção que a popularização de ferramentas como ChatGPT, Copilot e assistentes de código (SINDPD, 2026).

O problema é alarmante em escala. Conforme Peck (2026), o Relatório da IBM aponta que 97% das empresas atingidas por violações em IA não possuíam mecanismos de controle de privilégios. Isso significa que, na prática, qualquer funcionário pode alimentar um modelo de IA com dados corporativos sensíveis — planilhas de clientes, códigos-fonte, estratégias de negócio — sem que a organização sequer tome conhecimento. Esses incidentes ocorrem frequentemente via aplicativos, APIs ou plugins de terceiros que se conectam diretamente aos sistemas internos, criando canais de vazamento invisíveis aos controles tradicionais de segurança (PECK, 2026).

A gravidade da Shadow IA não está apenas no risco de vazamento, mas na impossibilidade de gerenciar o que não se enxerga. Sem mapeamento de dados e trilhas de auditoria que capturem o uso não autorizado de IA, a gestão de riscos corporativos opera cega (SINDPD, 2026). Construir resiliência contra a Shadow IA exige, portanto, três camadas de defesa: visibilidade (descobrir onde e como a IA está sendo usada), controle (estabelecer políticas de uso aceitável e privilégios mínimos) e educação (conscientizar os funcionários sobre os riscos antes que a proibição simples se mostre ineficaz).

4.  Ameaças Contemporâneas e o Fator Humano

Por mais sofisticadas que sejam as defesas tecnológicas, o comportamento do usuário permanece como o elo mais frágil — e mais explorado — da cadeia de segurança (PECK, 2026). De nada adianta investir em firewalls de última geração se um colaborador, distraído ou desinformado, entrega suas credenciais a um golpista. A resiliência organizacional, portanto, começa pelo fator humano.

4.1  Phishing e Engenharia Social

O phishing é uma técnica de má-fé que explora a confiança ou o medo do usuário para obter dados sensíveis (CERT.br, 2012). O que era um e-mail mal escrito com promessas de prêmios evoluiu para campanhas altamente personalizadas, alimentadas por IA, que replicam com precisão a linguagem e o estilo de comunicação de colegas e fornecedores. Em 2026, novas variantes utilizam códigos de dispositivos habilitados por IA para explorar fluxos de autenticação como o OAuth, sequestrando sessões legítimas sem que o usuário perceba (MINUTO DA SEGURANÇA, 2026).

4.2  Redes Wi-Fi Abertas

Se o phishing explora a confiança, as redes Wi-Fi abertas exploram a conveniência. Conexões públicas em aeroportos, cafeterias e hotéis são vulneráveis a ataques de interceptação (sniffing) e redes falsas (evil twin), nas quais o atacante cria um ponto de acesso idêntico ao legítimo e captura todos os dados transmitidos sem criptografia (NIC.br, 2026). Oneda et al. (2025) alertam que esses pontos de acesso facilitam a distribuição de malware e o roubo de credenciais em escala.

A recomendação técnica central é o uso de VPN (Rede Virtual Privada) para criptografar todo o tráfego entre o dispositivo e o destino, tornando inútil a interceptação. Aliada a isso, a adoção obrigatória de MFA (Autenticação de Múltiplos Fatores) garante que mesmo credenciais roubadas não sejam suficientes para acessar sistemas críticos (G1, 2026). Essas duas medidas, embora simples, formam uma barreira robusta contra a maioria dos ataques que exploram o fator humano.

5.  Impacto Econômico e Cenário Regulatório

A conjugação de ameaças éticas, Shadow IA e vulnerabilidade humana produz um impacto financeiro crescente. O setor de Saúde no Brasil lidera os prejuízos por vazamentos, com custos superiores a R$ 11 milhões por ocorrência (GABARDO, 2026).

Estudo de caso: Instituto ISAC. Um dos episódios mais emblemáticos de 2026 foi o ataque de ransomware ao Instituto ISAC, que comprometeu dados sensíveis de 500 mil pacientes, incluindo informações médicas, CPFs e prontuários. O caso ganhou contornos ainda mais graves com a investigação da ANPD, que apurou falhas não apenas na proteção dos dados, mas também na comunicação aos titulares — obrigação prevista no art. 48 da LGPD (CONVERGÊNCIA DIGITAL, 2026). As lições do caso ISAC são claras: a resiliência não se mede apenas pela capacidade de evitar o ataque, mas pela preparação para responder quando ele ocorre — e isso inclui planos de comunicação de incidentes, notificação ágil aos afetados e evidências técnicas de que as medidas de segurança eram adequadas antes da violação.

No âmbito regulatório, a Resolução CMN nº 5.274 estabeleceu um novo patamar de rigor para o setor financeiro, exigindo mecanismos expressos de detecção de intrusão e monitoramento da deep e dark web (PECK, 2026). A conformidade agora exige evidências técnicas robustas — resultados de testes de intrusão, varreduras de vulnerabilidades periódicas e trilhas de auditoria contínuas (PECK, 2026). O que antes era “recomendável” tornou-se mandatório, e as organizações que não se adequarem enfrentarão não apenas multas regulatórias, mas exclusão de cadeias de suprimento que passam a exigir comprovação de maturidade cibernética como critério de contratação.

6.  Liderança e Estratégias de Resiliência

Diante desse cenário, o papel do CISO evoluiu de técnico para estrategista central na mitigação de riscos digitais (NEUBER, 2025). Não basta mais configurar firewalls e gerenciar patches — o CISO de 2026 precisa traduzir riscos técnicos em linguagem de negócio, defender orçamentos de segurança perante conselhos administrativos e integrar a cibersegurança à estratégia corporativa.

CISOs proativos que utilizam frameworks consolidados como NIST CSF, CIS Controls ou ISO/IEC 27001 conseguem reduzir em 25% as perdas financeiras e em 30% o tempo de resposta a incidentes (NEUBER, 2025). Esses números não são acidentais: frameworks maduros fornecem processos testados para detecção, resposta e recuperação, eliminando o improviso que custa caro durante uma crise.

Lições do caso CrowdStrike (2024). Embora não tenha sido um ataque cibernético, a falha massiva que paralisou 8,5 milhões de PCs Windows em 2024 oferece uma lição valiosa sobre resiliência: a dependência excessiva de um único fornecedor de segurança é, em si mesma, um risco estratégico (IBSEC, 2024). O incidente — causado por uma atualização defeituosa sem controle de qualidade adequado — demonstrou que mesmo empresas tecnicamente robustas podem falhar, e que planos de redundância e validação de atualizações em ambiente controlado são tão críticos quanto as defesas contra ameaças externas.

A construção da imunidade digital passa por uma mudança de mentalidade: em vez de negociar resgates, as empresas devem priorizar o disaster recovery e tratar o ransomware como um risco estratégico vital, com planos testados periodicamente (MINUTO DA SEGURANÇA, 2026). A pergunta que todo conselho administrativo deveria fazer não é “estamos protegidos?”, mas “se formos atacados hoje, quanto tempo levaremos para voltar a operar?”.

7.  Conclusão

A análise do cenário de 2026 revela que cibersegurança e ética na IA não são mais temas periféricos ou responsabilidade exclusiva dos departamentos de TI — são imperativos de sobrevivência organizacional. A transparência e a explicabilidade das decisões automatizadas tornaram-se critérios de aceitação social superiores ao desempenho isolado dos sistemas. Uma IA que aprova crédito com 99% de acerto, mas é incapaz de explicar por que negou um empréstimo a um cliente qualificado, é um passivo jurídico e reputacional, não um ativo tecnológico.

Para as empresas brasileiras, a maturidade cibernética exige uma mudança cultural profunda: a segurança precisa sair do departamento de TI e ocupar a sala do conselho. Isso significa orçamento adequado, liderança qualificada (CISOs com assento estratégico), evidências técnicas auditáveis e, acima de tudo, educação contínua do fator humano — porque o elo mais fraco também pode ser o mais fortalecido quando bem treinado.

A resiliência corporativa em 2026 não se define pela ausência de incidentes — nenhuma organização está imune — mas pela capacidade de responder, aprender e se adaptar após cada violação. As empresas que entenderem isso não apenas sobreviverão aos próximos ataques; sairão delas mais fortes.

Referências Bibliográficas

BARAVALLE, Adriana et al. Ethical Dilemmas for Cybersecurity and the Impact of

Artificial Intelligence. Anais do Simpósio Brasileiro de Cibersegurança (SBSeg), 2025.

CERT.br. Cartilha de Segurança para Internet. Versão 4.0. São Paulo: CGI.br, 2012.

CONVERGÊNCIA DIGITAL. Ataque cibernético vaza dados de 500 mil pacientes e ANPD investiga infrações graves à LGPD, 2026.

GABARDO, Natália Küster. Resiliência e Proteção de Dados no Cenário Digital. Segurança da Informação, 2026.

IBSEC. Desvendando o problema recente com a atualização do software CrowdStrike, 2024.

MALTEMPI, Clark. Inteligência Artificial e Ética: Desafios e Perspectivas para 2026, 2026.

MINUTO DA SEGURANÇA. Por que pagar o resgate se tornou um risco jurídico, 2026.

NEUBER, Diego. Liderança de CISOs sob pressão: tomada de decisão estratégica em ambientes modernos de cibersegurança. Revista Tópicos, 2025.

NIC.br. Fascículo Redes. Cartilha de Segurança para Internet. São Paulo: CGI.br, 2026.

ONEDA, A. R. et al. Os perigos de redes Wi-Fi abertas. Seminário de Iniciação Científica (SIEPE), Editora Unoesc, 2025.

PECK, Patricia. Novas regras para a segurança digital em 2026. Febraban Tech, 2026.

ROHR, Altieres. Usar VPN em Wi-Fi público no celular deixa a conexão mais segura?. G1 – Globo, 2026.

SINDPD. Brasil registra custo recorde por vazamentos de dados em 2025, 2026.

SOCIEDADE BRASILEIRA DE COMPUTAÇÃO. Código de Ética e Conduta

Profissional da SBC. Resolução nº 02, 2024.

Engenharia de Software, Universidade do Contestado, Curitibanos, Santa Catarina, Brasil, natalia.gabardo@aluno.unc.br

Um disparo indevido no sistema Defesa Civil Alerta expôs a superfície de ataque de uma infraestrutura crítica baseada em redes móveis 4G e 5G, Cell Broadcast e integrações entre governo e operadoras. Este artigo analisa o incidente sob a ótica de arquitetura provável desse sistema, segurança cibernética e telecomunicações.

Na madrugada de sábado, um disparo indevido do sistema Defesa Civil Alerta provocou o envio de mensagens de emergência para diversas regiões do Brasil, sem que houvesse um evento emergencial real correspondente. Segundo nota oficial, a plataforma foi retirada do ar após a identificação de um acesso não autorizado e a Polícia Federal foi acionada para investigação. Embora o episódio tenha sido inicialmente tratado como “possível invasão cibernética”, a análise técnica exige uma leitura mais ampla: trata-se de um sistema altamente distribuído, dependente de múltiplas camadas de infraestrutura, desde aplicações governamentais até redes móveis 4G e 5G operadas por “telecoms”.

O Defesa Civil Alerta é baseado no conceito de Cell Broadcast Service (CBS), padronizado em redes móveis LTE e 5G. Diferente de SMS tradicional, que é ponto a ponto, o Cell Broadcast funciona como um broadcast geográfico, pois a mensagem é injetada na rede da operadora e distribuída para todos os dispositivos conectados a células específicas da antena. Isso reduz latência e garante entrega mesmo em cenários de congestionamento.

Do ponto de vista de arquitetura, o fluxo típico envolve:

• Interface de autorização e gestão de alertas (IDAP ou equivalente institucional)
• Sistema central de decisão da Defesa Civil
• Gateways de integração com operadoras móveis
• Infraestrutura de rede 4G/5G (eNodeB/gNodeB)
• Camada de broadcast para dispositivos finais

Essa cadeia cria uma superfície de ataque ampla e distribuída, onde a segurança não depende de um único ponto, mas da coerência entre autenticação, autorização e integração entre sistemas heterogêneos. Podemos observar que, segundo documentação oficial de concepção de sistemas de alerta, esses sistemas são estruturados em quatro pilares: monitoramento de risco, análise, decisão e comunicação de alerta. O incidente em questão afeta diretamente o último pilar, que é a comunicação, mas pode ter origem em qualquer ponto anterior, incluindo a camada a integração com operadoras.

A nota oficial indica que o sistema foi “acionado remotamente por alguém não autorizado”, o que sugere uma quebra de controle de acesso lógico. Em arquiteturas modernas, isso pode ocorrer por diferentes vetores:

• Credenciais comprometidas em sistemas administrativos
• Token de API exposto ou mal protegido
• Falha em autenticação entre sistemas federados
• Exploração de vulnerabilidade em interface web ou middleware
• Má configuração em gateways de integração com operadoras

Um ponto crítico aqui é que sistemas como o IDAP e plataformas de alerta não operam isoladamente: eles são integrados a múltiplos serviços e dependem de autenticação forte entre domínios administrativos diferentes. Qualquer falha nesse encadeamento pode permitir a emissão indevida de alertas válidos do ponto de vista técnico da rede, mas inválidos do ponto de vista de governança.

Outro aspecto relevante é o papel das redes 4G e 5G. O Cell Broadcast é implementado diretamente na camada de controle da rede móvel, o que significa que, uma vez autorizado o envio, a distribuição é extremamente eficiente e praticamente imune a congestionamentos. No entanto, essa eficiência também implica um risco: a mensagem não passa por validações individuais em cada dispositivo. Ou seja, o controle precisa ser rigorosamente feito na origem. Em termos de segurança, isso caracteriza um modelo de alto impacto e baixa granularidade de controle no endpoint, o que reforça a necessidade de proteção forte na camada de backend.

A presença de um alerta classificado como “Alerta Extremo” com conteúdo fora do padrão esperado, incluindo termos não técnicos como “misantropia”, indica possível comprometimento não apenas do canal de envio, mas também da integridade do payload da mensagem. Isso sugere que o atacante teve capacidade de manipular o conteúdo estruturado do alerta, e não apenas acioná-lo.

Nesse contexto, a análise forense digital torna-se essencial. A perícia normalmente se concentra em:

• Logs de autenticação (quem acessou o sistema e quando)
• Trilha de auditoria de ações administrativas
• Integridade de APIs e tokens de sessão
• Eventual movimentação lateral dentro de redes governamentais
• Correlação com acessos externos via VPNs ou redes administrativas

A retirada imediata do sistema do ar indica uma ação de contenção, típica de resposta a incidentes de alta severidade. Em sistemas críticos, essa decisão é tomada para preservar evidências, impedir novos disparos e reduzir impacto operacional enquanto a integridade do ambiente é verificada.

Do ponto de vista de projeto de sistemas críticos, o incidente evidencia um ponto estrutural a ser destacada, que sistemas de alerta precisam ser desenhados sob o princípio de fail-safe control, onde qualquer comportamento fora do padrão esperado deve resultar em bloqueio automático de emissão, e não em execução.

Além disso, há uma dimensão de confiança pública. Sistemas de alerta via celular funcionam como mecanismos de alta credibilidade. Uma vez acionados incorretamente, há um risco de degradação de confiança. Este fenômeno, conhecido como alert fatigue, representa a situação onde usuários passam a ignorar notificações devido a falsos positivos.

O episódio também evidencia a complexidade da integração entre governo e operadoras de telecomunicações. Redes 4G e 5G operam com múltiplos nós distribuídos e virtualização de funções de rede (NFV), o que amplia a superfície de ataque quando há integração com sistemas externos. Embora o Cell Broadcast seja robusto do ponto de vista de entrega, ele depende criticamente da integridade da camada de sinalização e dos gateways de controle.

Em síntese, o incidente no Defesa Civil Alerta não deve ser interpretado apenas como um evento isolado de invasão, mas como um caso clássico de falha potencial em um sistema complexo com impacto nacional, onde segurança não depende apenas de software, mas da interação entre redes móveis, governança institucional e controles de acesso rigorosos.

A resposta das autoridades, que realizaram a remoção do sistema do ar e acionamento da Polícia Federal, segue o protocolo esperado em incidentes dessa natureza. O desafio agora é estrutural: reforçar autenticação, segmentação de rede, auditoria contínua e mecanismos de validação dupla antes da emissão de qualquer alerta crítico.

No final, o caso reforça uma verdade central da cibersegurança moderna, quanto mais crítico o sistema, menor pode ser a tolerância a falhas de autorização, porque o impacto não é digital, é diretamente na sociedade.

A expansão internacional do grupo de cibercriminosos conhecido como Scattered Spider acendeu um sinal de alerta entre empresas latino-americanas. Especialistas em segurança apontam que, embora não haja registros confirmados de ataques desse grupo no Brasil ou vizinhos até o momento, seu alcance global e métodos sofisticados representam um risco iminente para organizações na região.

Com táticas de engenharia social elaboradas e capacidade de driblar defesas tradicionais, o Scattered Spider tem mirado grandes empresas em diversos países. “A questão não é mais ‘se’ seremos atacados, mas de ‘quando’ e ‘como’, afirma Felipe Guimarães, Chief Information Security Officer da Solo Iron. “As táticas empregadas pelo grupo exploram fragilidades universais, presentes em empresas em todo o mundo – o que inclui as empresas latino-americanas”, pondera o especialista.

Um dos maiores riscos é que os setores visados pelo Scattered Spider no exterior também são pilares econômicos na América Latina. O grupo historicamente focou suas ações em empresas de telecomunicações, terceirização de processos de negócios (BPO) e grandes empresas de tecnologia – indústrias que possuem ampla presença na região. Nos últimos tempos, foi observado um aumento de interesse do grupo pelo setor financeiro global, o que inclui bancos e instituições presentes no Brasil e países vizinhos.

“Isso significa que companhias latino-americanas, seja diretamente ou através de filiais e parceiras, podem entrar na mira à medida que o Scattered Spider amplia seu raio de atuação. Mesmo empresas que não operam internacionalmente devem se precaver, pois os criminosos podem enxergar organizações locais como pontes de entrada para fornecedores ou clientes globais, ou simplesmente como alvos lucrativos por si sós, caso identifiquem falhas de segurança exploráveis”, pontua Guimarães.

Na mira das agências de inteligência

Relatórios do FBI e da Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA descrevem o Scattered Spider como “especialista em engenharia social”, empregando diversas técnicas para roubar credenciais e burlar autenticações.

Entre os métodos documentados estão phishing por e-mail e SMS (smishing), ataques de vishing (ligações telefônicas fraudulentas) em que os criminosos se passam por equipe de TI da própria empresa, e até esquemas elaborados de SIM swap – quando convencem operadoras de telefonia a transferir o número de celular de uma vítima para um chip sob controle deles. Essas táticas permitem interceptar códigos de autenticação multifator (MFA) enviados via SMS ou aplicativos, dando aos invasores as chaves para acessar sistemas internos.

Alguns incidentes recentes no cenário latino-americano já envolveram vetores parecidos, como uso de ferramentas legítimas em ataques e exploração de credenciais vazadas, o que reforça a necessidade de vigilância. Em 2024, por exemplo, houve casos de gangues de ransomware operando na região que abusaram de softwares legítimos e brechas em procedimentos internos de empresas, aplicando práticas muito similares ao do Scattered Spider.

Estratégias de mitigação

Diante da crescente ameaça representada por grupos como o Scattered Spider, Guimarães recomenda a adoção de estratégias com foco especial em fortalecer métodos avançados de autenticação multifator (MFA), preferencialmente resistentes a phishing, como chaves físicas de segurança ou soluções baseadas em certificados digitais. Técnicas como MFA com validação numérica e a restrição do uso de SMS para autenticação são essenciais para reduzir o risco de engenharia social e ataques por fadiga de notificações, muito usados pelo grupo.

Além disso, a adoção de uma abordagem mais robusta em relação à gestão de identidades e acessos (IAM) é uma estratégia muito importante na contenção desse tipo de ameaça. “As identidades digitais estão se tornando uma nova superfície de ataque; por isso, é fundamental que as empresas implementem políticas rígidas de gestão de identidades, controle granular de acessos e monitoramento contínuo das atividades dos usuários”, destaca.

“Também é muito importante o controle rigoroso sobre ferramentas de acesso remoto e a implantação de monitoramento avançado. É recomendável que as organizações restrinjam o uso dessas ferramentas por meio de listas autorizadas e adotem sistemas robustos como EDR e DLP para identificar rapidamente atividades suspeitas”, finaliza o especialista.