26 de dezembro de 2025

“Tendências de segurança para 2026” é um título que, a essa altura, já não impressiona mais ninguém no board. O problema é que a maioria das previsões funciona como catálogo: deepfakes aqui, IA kits de phishing ali, supply chain acolá. Listas que dispensam ação e mantém a falsa ilusão de que conhecer o risco é o mesmo que governá-lo. A realidade de 2026 é radicalmente diferente: não se trata de adotar a “ferramenta da moda”, mas de absorver deslocamentos estruturais profundos em como identidade, fraude e dependências são exploradas, e como a segurança pode, de fato, reduzir a perda e preservar a continuidade.  Para quem opera no Brasil e na América Latina, esse ano marca um ponto de inflexão: o risco migrará de onde as empresas esperam para lugares que muitos ainda não mapearam.​ Três Correntes Reescrevem o Mapa de Risco O cenário de 2026 não é determinado por um único vetor, mas por três correntes que convergem: identidade sintética amplificada por IA, industrialização da fraude digital e cadeia invisível de dependências.  A primeira corrente A primeira dissolve a fronteira entre golpe óbvio e credencial aparentemente válida. Deepfakes de voz e vídeo, agentes-sombra e perfis fabricados chegam a um nível de qualidade em que autenticação tradicional, (baseada em “algo que você sabe” ou “algo que você é”) se torna insuficiente.  A consequência prática é imediata: verificação de identidade passa a ser um julgamento contínuo de contexto (onde, como, sob qual trajetória de risco) e não um ato pontual. Autorização, quem pode fazer o quê, por quanto tempo, sob qual evidência, vira o novo perímetro crítico.​ A segunda corrente A segunda corrente é a industrialização da fraude digital. Campanhas de phishing personalizadas, anúncios maliciosos e golpes “assistidos” por modelos de IA geram iscas efêmeras que escapam de blocklists tradicionais.  Relatórios recentes indicam que campanhas-relâmpago reduzem drasticamente a vida útil de domínios maliciosos e aumentam a taxa de sucesso via personalização baseada em dados vazados. A defesa migra, portanto, de listas negras para telemetria contínua e detecção de comportamento: não “o quê foi bloqueado”, mas “como o ataque se movimentou”.​ A terceira corrente A terceira corrente, talvez a menos visível, é a cadeia invisível da IA e da nuvem. Editores de código com plugins de IA, modelos hospedados por terceiros, bibliotecas compartilhadas e brokers de mensagens criam dependências que frequentemente não entram no inventário de risco. Prompt injections, exposição de tokens em pipelines CI/CD e extensões maliciosas abrem pontos de entrada que o atacante, muitas vezes, encontra antes que a empresa reconheça que aquele ativo existe.​ Em paralelo, o crime próprio muda de postura: abandona o “barulho” de ransomware escancarado e se concentra em stealth: persistência silenciosa, exfiltração baixa e lenta, e extorsão sem necessidade de criptografia de dados.  Enquanto isso, reguladores começam a aproximar risco cibernético de risco financeiro, exigindo métricas e rituais que o CFO consegue acompanhar.​ Cinco deslocamentos que a sua estratégia precisa absorver já no Q1 de 2026 Deslocamento 1: Identidade Sintética Sai do TikTok e Entra no Compliance O barateamento de modelos generativos tornou trivial criar entrevistas com rosto e voz falsos, “provas de vida” manipuladas e até simulações convincentes de atendimento de suporte. Estudos recentes indicam que até 70% das empresas preveem alto impacto de ataques com deepfake em 2026, com impacto direto em KYC (Know Your Customer), onboarding remoto, autorização de operações críticas e contratação.​ A resposta madura não é “mais autenticação multifator” – MFA já não é suficiente quando a identidade em si pode ser fabricada. A solução exige verificação robusta de identidade com validação de liveness, combinada com controle fino de autorização que revisa escopos de acesso, implementa dupla custódia em funções sensíveis e mantém trilha de auditoria contínua.  Para organizações brasileiras que operam com serviços financeiros e compliance rigoroso, isso significa avaliar hoje como o KYC, a abertura de contas e as autorizações de operações críticas resistem a deepfakes, antes que a primeira fraude em escala aconteça.​ Deslocamento 2: Autorização é o Novo Perímetro Golpes que sequestram contas bancárias e cooperativas sem “quebrar” MFA avançam rapidamente. O vetor é tríplice: consentimento a aplicações OAuth com escopos excessivos, roubo de tokens de serviço e abuso de credenciais de automação (bots, agentes de IA, integrações CI/CD).  Um relatório recente da Google identificou que a maioria dos ataques à cadeia de suprimentos digital começa não com violação direta de usuários, mas com exposição de chaves em pipelines e webhooks.​ Segurança eficaz em 2026 desloca o foco de autenticar pessoas para governar o que aplicações e robôs podem fazer, por quanto tempo, sob qual evidência e com que frequência de revisão. Sem essa disciplina, a empresa escala riscos na velocidade do seu próprio DevOps.  Na prática, isso significa revisar regularmente escopos de consentimento em integrações SaaS, limitar a vida útil de tokens, aplicar dupla aprovação para ações sensíveis (como mudanças em contas de serviço), e observar anomalias em credenciais de automação com a mesma vigilância aplicada a contas privilegiadas.​ A Asper já incorpora essa abordagem através da governança de identidade e acesso, operacionalizada pelo Cyber Fusion Center (CFC) para monitorar não apenas usuários, mas também a “identidade” de aplicações, bots e agentes, detectando comportamentos anômalos em tempo real.​ Deslocamento 3: Comportamento Substitui Listas e Assinaturas Blocklists tradicionais e detecção baseadas em assinatura estão perdendo eficácia frente a campanhas relâmpago com IA e domínios descartáveis que vivem minutos antes de serem abandonados.  Em 2026, a defesa bem-sucedida dependerá de detecção baseada em comportamento (sequência de eventos, cadência, desvio de baseline) associada a resposta automatizada que interrompe o ataque antes que a fraude ou o vazamento se materializem.​ Esse movimento não é novo para a Asper: o time de especialistas no Cyber Fusion Center (CFC) já correlaciona telemetria de endpoint, identidade, rede e aplicações SaaS para identificar padrões anômalos. Em vez de manter catálogos exaustivos de IoCs (indicadores de comprometimento), o foco está em hipóteses de ataque (fraude transacional silenciosa, exfiltração baixa e lenta, abuso de credenciais de automação) e playbooks de resposta automatizada que cortam o