Perigo Mora ao Lado: O Fator Humano na Segurança Cibernética e a Nova Era das Fraudes Digitais

Por Bruno Macena – Chief Information Security 
Officer (CISO) | Global Advisory Board Member 
for Incident Handling at EC-Council

A era digital trouxe benefícios inegáveis, mas também expôs indivíduos e organizações a riscos cibernéticos crescentes. Embora firewalls avançados, autenticação multifator e criptografia robusta sejam implementados para mitigar ataques, o fator humano permanece a principal vulnerabilidade (Ponemon Institute, 2018). 

As fraudes digitais e os ataques cibernéticos modernos não dependem apenas de técnicas sofisticadas de hacking, mas também da manipulação psicológica por meio de engenharia social, deepfakes e inteligência artificial (IA). O que torna essa ameaça ainda mais perigosa é que qualquer pessoa pode ser um alvo, independentemente da função ou cargo. 

A Fragilidade Humana como Superfície de Ataque 

De acordo com o Ponemon Institute (2018), 64% das ameaças internas são causadas por negligência de funcionários ou contratados. Isso significa que a maioria dos incidentes não resulta de ações maliciosas deliberadas, mas sim de erros humanos, descuidos e exploração emocional por cibercriminosos. 

O CERT Insider Threat Center identifica três perfis principais dentro das organizações: 

• Grupo de Alto Risco (10% a 20%) – Indivíduos propensos a fraudes devido a motivações financeiras, emocionais ou circunstanciais. 

• Grupo de Baixo Risco (60% a 80%) – Profissionais com ética sólida, mas vulneráveis à manipulação por engenharia social, phishing e roubo de identidade. 

• Grupo Intermediário (10% a 20%) – Funcionários que podem ser influenciados por pressões externas, ambientes tóxicos ou falhas na cultura organizacional. 

Mesmo indivíduos com baixo risco de comportamento fraudulento podem, inadvertidamente, comprometer informações críticas. O uso de deepfakes, IA generativa e técnicas avançadas de phishing tornam essa exploração ainda mais eficiente e difícil de detectar. 

Conheça a pós-graduação em Cyber-Physical Security da CECyber.

O Triângulo da Fraude e a Manipulação Digital 

A Teoria do Triângulo da Fraude, de Donald Cressey (1973), explica que fraudes ocorrem quando três elementos se encontram: 

1. Oportunidade – O acesso a sistemas críticos, aliados à digitalização e trabalho remoto, amplia a superfície de ataque. 
2. Pressão – Metas agressivas, dificuldades financeiras ou conflitos no ambiente de trabalho podem tornar colaboradores mais vulneráveis. 
3. Racionalização – Justificativas psicológicas, como “isso não prejudica ninguém” ou “outros fazem isso”, incentivam más decisões. 

No contexto digital, esses três elementos são amplificados por ataques altamente personalizados: 

• Criminosos podem criar vozes e vídeos falsos de executivos para solicitar transferências financeiras urgentes. 

• Identidades falsas ultra-realistas são usadas para burlar processos de verificação de identidade. 

• Bots fraudulentos enganam funcionários de suporte para obter acesso a contas sigilosas. 

O diferencial hoje é que a racionalização pode ser induzida por IA, tornando a fraude ainda mais convincente e letal. 

O Custo da Negligência e o Impacto Global 

As perdas financeiras associadas a ataques cibernéticos e fraudes internas são astronômicas. O Ponemon Institute (2018) destaca que: 

• O custo médio global de uma violação de dados supera US$4,45 milhões. 

• O tempo médio para conter um incidente interno é de 73 dias, enquanto apenas 16% dos casos são resolvidos em menos de 30 dias. 

• Organizações de grande porte (>75.000 funcionários) chegam a gastar US$ 2,08 milhões por ano apenas com ameaças internas. 

• Setores como serviços financeiros, energia e manufatura estão entre os mais impactados, com custos anuais variando entre US$ 8,86 e US$ 12,05 milhões. 

Casos reais demonstram o impacto devastador da engenharia social: 

• O ataque de ransomware à Colonial Pipeline (EUA) paralisou o abastecimento de combustível no país. 

• O vazamento de dados da Uber ocorreu após criminosos explorarem credenciais internas obtidas via engenharia social. 

A lição é clara: ter tecnologia de ponta não basta se a vulnerabilidade humana não for mitigada. 

Como Mitigar o Fator Humano no Risco Cibernético? 

A boa notícia é que há estratégias eficazes para reduzir riscos humanos e fraudes digitais. Algumas das mais importantes incluem: 

1. Treinamento Contínuo e Simulações 

• • • Simulações de phishing e engenharia social para testar a conscientização dos funcionários. 

• • • Capacitação sobre deepfakes e IA maliciosa para evitar manipulação digital. 

• • • Programas de resposta a incidentes internos, conforme recomendações do CERT Insider Threat Center. 

2. Controle Rígido de Identidade e Acesso 

• • • Autenticação multifator (MFA) e biometria para evitar acessos indevidos (CIS Controls v8). 
    • Monitoramento contínuo de comportamento com UEBA (User and Entity Behavior Analytics) para detectar padrões suspeitos. 
    • Modelo Zero Trust: nunca confiar, sempre verificar. 

3. Data Loss Prevention (DLP) e Proteção de Dados 

• • • Ferramentas de DLP para monitorar e restringir a movimentação de dados sensíveis. 

• • • Bloqueio de armazenamento em massa, como USBs e uploads para nuvens não autorizadas (CIS Control 13). 

• • • Criptografia de ponta a ponta para dados críticos, reduzindo riscos de exfiltração acidental ou intencional. 

4. Monitoramento Contínuo e Inteligência Artificial na Segurança 

• • • Detecção de deepfakes em tempo real, utilizando ferramentas de IA especializadas. 

• • • Uso de inteligência artificial para análise de ameaças e identificação de atividades suspeitas. 

• • • Automação de respostas a incidentes para minimizar impactos de acessos indevidos. 

Para quem quiser se aprofundar no tema, a CECyber oferece a pós-graduação em Cyber-Physical Security.

Conclusão: O Maior Risco Continua Sendo Humano 

A segurança cibernética não é apenas um problema técnico – é uma questão comportamental e estratégica. 

Mesmo com firewalls avançados e IA defensiva, o elo mais fraco continua sendo o ser humano. Pequenos descuidos, como clicar em um link suspeito ou confiar em uma identidade falsa, podem levar a perdas financeiras e reputacionais irreversíveis. 

Se a tecnologia avança, as estratégias de segurança precisam acompanhar. Empresas que investem em cultura organizacional forte, conscientização e monitoramento proativo estarão um passo à frente na guerra contra fraudes e ataques cibernéticos. 

📢 E você, já viu um deepfake convincente ou sofreu uma tentativa de engenharia social? 

Referências 

1. Ponemon Institute. (2018). The True Cost Of Insider Threats Revealed. Disponível em: https://www.ponemon.org 
2. Cressey, D. R. (1973). Other People’s Money: A Study in the Social Psychology of Embezzlement. 
3. Center for Internet Security (CIS). (2021). CIS Controls v8. Disponível em: https://www.cisecurity.org 
4. CERT Insider Threat Center – Carnegie Mellon University. Disponível em: https://www.cert.org