Daniel Tieppo (*)
O mercado de cibersegurança tem recebido investimentos recordes em ferramentas, plataformas e infraestruturas de proteção: firewalls de nova geração, sistemas de detecção com inteligência artificial, criptografia de ponta a ponta. Mesmo assim, a realidade mostra que a maioria dos ataques bem-sucedidos começa com um ser humano cometendo um erro simples.
Segundo o Relatório de Investigações de Violação de Dados 2024 da Verizon (DBIR 2024), o elemento humano esteve presente em 68% de todas as violações analisadas no período, seja por engenharia social, uso indevido de credenciais ou simplesmente por erros operacionais. Não é uma novidade, mas é uma estatística que o mercado ainda não conseguiu reverter, apesar de bilhões investidos em tecnologia. O problema, portanto, não é técnico, é cultural.
O vetor de ataque mais utilizado no mundo continua sendo o phishing, aquele golpe baseado em e-mails ou mensagens fraudulentas que imitam comunicações legítimas. De acordo com um relatório da DeepStrike, empresa especializada em cibersegurança, o Brasil foi o sétimo país que mais sofreu ataques cibernéticos em 2025. Isso acontece, em parte, pela alta penetração de aplicativos de mensagem e pela baixa cultura de verificação de fontes digitais.
A sofisticação dos ataques cresceu na mesma proporção. O uso de inteligência artificial generativa por agentes maliciosos permite criar e-mails de phishing sem erros gramaticais, personalizados com dados reais da vítima e com um grau de realismo que até profissionais experientes têm dificuldade em identificar.
O paradoxo do treinamento que não treina
A resposta padrão do mercado corporativo ao problema humano tem sido o treinamento de conscientização em segurança: apresentações em PowerPoint, vídeos obrigatórios e e-mails mensais com dicas. O problema é que esse formato, na prática, raramente funciona.
Informação não é o mesmo que comportamento. Saber que não se deve clicar em links suspeitos e resistir ao impulso de fazê-lo quando a mensagem parece urgente e legítima são coisas completamente diferentes. A neurociência do comportamento já demonstrou que, sob pressão e sobrecarga cognitiva, o ser humano tende a agir por hábito e não por conhecimento racional. Treinamentos que não simulam situações reais de pressão e que não testam o colaborador em contextos autênticos têm impacto limitado na mudança de comportamento efetivo.
O que funciona é a combinação de simulações frequentes de phishing com feedbacks imediatos e personalizados. Um estudo da Stanford University em parceria com a Tessian apontou que colaboradores submetidos a simulações contínuas e treinamentos adaptativos reduziram em até 72% sua taxa de cliques em e-mails maliciosos ao longo de 12 meses. A diferença está em transformar o treinamento em experiência prática, e não em conteúdo passivo.
Senha 123456 ainda existe e está na sua empresa
Outro sintoma crônico da fragilidade cultural é a gestão de senhas. O relatório NordPass Most Common Passwords 2023 revelou que ‘123456’ ainda é a senha mais utilizada no mundo, presente em mais de 4,5 milhões de contas vazadas analisadas. No ambiente corporativo, o compartilhamento de credenciais entre colegas, o reuso de senhas pessoais em sistemas empresariais e a resistência à adoção de autenticação multifator (MFA) são práticas que persistem mesmo em empresas com políticas formais de segurança.
Além disso, um dos maiores obstáculos à construção de uma cultura de segurança robusta é a crença de que cibersegurança é assunto do departamento de TI. Essa delegação de responsabilidade cria uma falsa sensação de proteção e, ao mesmo tempo, desobriga os demais colaboradores de qualquer vigilância ativa. Na prática, o atacante não distingue entre o analista de tecnologia e o assistente administrativo. Ambos têm acesso a sistemas, recebem e-mails e podem ser a porta de entrada.
Da conscientização à cultura: o que muda na prática
Construir uma cultura de segurança é uma transformação contínua que demanda consistência, liderança e mensuração. Algumas práticas têm se mostrado mais eficazes do que os tradicionais programas de conscientização, como simulações de phishing regulares e personalizadas por perfil de risco; programas de reporte de incidentes que recompensem a transparência em vez de punir erros; integração de comportamentos seguros nos processos de onboarding; métricas de cultura de segurança acompanhada pela diretoria com a mesma seriedade de indicadores financeiros.
O conceito de ‘segurança pelo design humano’ começa a ganhar espaço entre os líderes mais avançados do setor. A ideia é reduzir ao máximo a dependência do comportamento humano ideal em situações de risco. Isso significa usar controles técnicos que tornem difícil cometer certos erros, como filtros automáticos de e-mails suspeitos, bloqueio de sites maliciosos e alertas contextuais que aparecem exatamente no momento em que o risco se apresenta, não em uma apresentação de treinamento seis meses antes.
O elo mais fraco da segurança continua sendo humano. Mas elo fraco não é sinônimo de impossível de fortalecer. Com investimento em cultura, aprendizagem contínua, liderança pelo exemplo e tecnologia que apoia o comportamento em vez de apenas monitorá-lo, é possível transformar o maior vetor de vulnerabilidade em uma linha de defesa genuinamente eficaz. Essa, talvez, seja a virada estratégica mais importante que o mercado de segurança ainda precisa fazer.
(*) Especialista em cibersegurança e Diretor Executivo da Hexa Security.
