Criminosos descobriram que enganar um funcionário dá menos trabalho e mais lucro do que invadir um servidor protegido. O resultado: empresas de todos os portes perdem milhões sem perceber a brecha até ser tarde demais.
Não é tecnologia falha. É gente.
O novo cálculo do crime: risco zero, retorno alto
Roubar smartphone na rua exige confronto físico, testemunhas, fuga. Um e-mail bem escrito, enviado no horário certo, abre as portas do cofre corporativo sem que ninguém saia da cadeira. Pesquisadores de segurança estimam que ataques de engenharia social respondem por mais de 80% das invasões bem-sucedidas em ambiente corporativo.
O custo médio de um vazamento causado por erro humano supera R$ 5 milhões no Brasil, considerando multas, investigação forense, paralisação e dano à reputação.
Por que treinamentos tradicionais não funcionam
Palestras anuais e simulações de phishing genéricas criam falsa sensação de controle. O criminoso estuda a rotina da vítima: sabe o nome do gestor, o fornecedor de TI, o formato da nota fiscal. O golpe chega no momento exato — sexta-feira à tarde, véspera de feriado, quando a atenção cai.
Três vetores concentram a maior parte das fraudes:
- Business Email Compromise (BEC): falsificação de pedido de pagamento urgente vindo da “diretoria”
- Smishing e vishing: mensagens de voz ou SMS que simulam suporte técnico ou banco
- Credenciais reutilizadas: vazamentos em sites públicos viram chave-mestra para sistemas internos
O efeito cascata nos fornecedores
Pequenas e médias empresas, muitas vezes sem equipe de segurança dedicada, viram porta de entrada para atacar grandes corporações. Um escritório de contabilidade comprometido expõe dados fiscais de dezenas de clientes. Uma agência de marketing infectada distribui ransomware via arquivo de briefing.
Mas o efeito mais relevante aparece em outro setor.
LGPD e a conta que chega depois
A Autoridade Nacional de Proteção de Dados (ANPD) já aplicou multas que passam de R$ 50 milhões em casos onde a falha humana foi determinante. A legislação não exige perfeição — exige demonstração de diligência. Políticas no papel, sem execução contínua, não protegem na hora da fiscalização.
Empresas que implementam autenticação multifator obrigatória, gestão de acesso por menor privilégio e monitoramento de comportamento anômalo reduzem em até 99% a taxa de sucesso de credenciais roubadas.
O que observar daqui para frente
O próximo salto dos golpistas já começou: uso de inteligência artificial para clonar voz de executivos em chamadas de vídeo e gerar e-mails indistinguíveis dos legítimos. A defesa deixa de ser “identificar o erro” e passa a ser “tornar o erro irrelevante”.
Três movimentos práticos para esta semana:
- Exigir MFA em todos os acessos remotos e administrativos — sem exceção
- Segmentar rede: financeiro não fala com marketing, TI não acessa RH sem justificativa
- Simular ataques direcionados (spear phishing) com contexto real da empresa, não templates genéricos
O criminoso não precisa ser um hacker. Ele só precisa que alguém clique. Cabe à liderança garantir que esse clique não derrube a operação.
