Sessenta e dois por cento das violações envolvem um fator humano, segundo o Relatório de Investigações de Violação de Dados de 2026 da Verizon. Esse número não mudou muito ao longo dos anos. O que mudou foi o que "fator humano" realmente significa.
A maioria das organizações já submeteu seus funcionários a treinamentos de conscientização de segurança e simulações de phishing. As taxas de cliques melhoraram. As taxas de conclusão são altas. Mesmo assim, os ataques continuam acontecendo.
Por quê? Porque os ataques reais de hoje não se parecem em nada com o que o treinamento aborda.
Este blog aborda cinco incidentes de risco humano ocorridos em 2026, o que realmente aconteceu e o ponto de decisão específico em cada um deles onde uma simulação bem estruturada teria exposto a falha antes que um invasor o fizesse. O texto termina explicando como o Frame mantém a força de trabalho preparada para todos os cinco cenários, nos mesmos canais que os ataques realmente utilizam.
1. Falsa Central de Atendimento de TI via Microsoft Teams
A armadilha começa com algo quase entediante: um e-mail de phishing contendo um PDF malicioso. Em seguida, uma chamada de voz não solicitada no Microsoft Teams é feita a partir de uma conta externa, passando-se por um administrador de sistemas de TI. O interlocutor é calmo, paciente e domina o jargão de suporte interno o suficiente para parecer legítimo.
O invasor orienta a vítima a instalar uma ferramenta real de acesso remoto, apresentando-a como uma correção de rotina. Assim que o acesso é concedido, um instalador malicioso baixa silenciosamente um runtime Node.js e descriptografa um payload, iniciando o EtherRAT, um trojan de acesso remoto documentado pelo BleepingComputer que funciona em Windows, Linux e macOS. Sua infraestrutura de comando é incomumente resiliente: ela consulta contratos inteligentes da Ethereum em vários provedores RPC públicos para localizar servidores de controle ativos, usando o consenso da maioria entre as respostas para sobreviver a tentativas de derrubada.
O ponto de decisão não foi técnico. Foi o momento em que um funcionário tratou uma chamada não solicitada, que parecia interna, como legítima, porque ela chegou por meio de uma plataforma confiável e com um cargo que soava confiável.
2. Clonagem de voz por IA e falsificação de executivos
Em janeiro de 2026, um empresário no cantão suíço de Schwyz perdeu vários milhões de francos suíços após uma série de telefonemas nos quais uma voz clonada por IA se passou por um parceiro de negócios de confiança. O caso reflete um padrão mais amplo que os pesquisadores de segurança estão monitorando: a suposição de que voz e vídeo podem ser aceitos como prova de identidade não é mais válida.
O mecanismo é simples de descrever, mas difícil de combater: hoje, é possível clonar uma voz com apenas três segundos de áudio (McAfee), e executivos geram essa quantidade de material sempre que falam em uma conferência de resultados, um webinar ou um podcast. O ataque não precisa invadir uma rede; ele só precisa que o alvo confie no que está ouvindo pelo tempo suficiente para autorizar uma transferência.
O ponto de falha quase nunca é o acesso inicial. É o momento da autorização, o instante em que um humano, tranquilizado por uma voz familiar, aprova algo que está totalmente dentro de sua alçada. Nenhum alerta de malware é disparado, porque nada malicioso tocou a rede.
3. Phishing via QR Code (Quishing)
Os incidentes de Quishing aumentaram aproximadamente 146% apenas no primeiro trimestre de 2026, de acordo com dados de inteligência de ameaças citados pelo Yahoo Finance. A versão corporativa desse ataque é diferente dos golpes com adesivos em parquímetros que ganham as manchetes: atacantes enviaram convites falsos para conferências a empresas de consultoria estratégica, cada um contendo um código QR que levava a uma página de login falsa do Google. O comprometimento resultante incluiu o roubo de tokens de sessão e o desvio de MFA, sem que nenhum alerta de falha de MFA fosse gerado.
O phishing via QR code funciona porque oculta seu destino até o momento da leitura e herda a confiança do local onde está inserido, seja uma caixa de entrada, um cartaz ou um convite impresso. Gateways de segurança de e-mail criados para analisar texto e verificar links não têm visibilidade do que está codificado dentro de uma imagem. O próprio celular do usuário, e não um dispositivo corporativo gerenciado, torna-se o ponto de comprometimento.
4. O Candidato a Emprego Deepfake
Pesquisadores da Unit 42 demonstraram que leva pouco mais de uma hora, sem experiência prévia com deepfake e usando hardware de consumo barato, para criar uma identidade sintética convincente em tempo real para uma entrevista por vídeo. Operações de trabalhadores de TI norte-coreanos adotaram a técnica em larga escala para conseguir empregos remotos em empresas ocidentais. A própria KnowBe4 revelou ter contratado um desses agentes de ameaça, descobrindo o erro apenas depois que a pessoa instalou malware em sua estação de trabalho corporativa.
A infraestrutura do esquema ainda está sendo processada em 2026: em fevereiro, um cidadão ucraniano foi condenado a cinco anos de prisão por administrar um serviço de aluguel de identidade que pagava a anfitriões nos EUA para operarem "fazendas de laptops", permitindo que trabalhadores de TI norte-coreanos se passassem por funcionários locais.
O ponto de decisão aqui reside no RH e no recrutamento, não na TI. Um gestor de contratação que nunca foi treinado para esperar um rosto sintético numa entrevista via Zoom não tem motivos para procurar os sinais de alerta: sincronização labial falha, pausas não naturais antes de perguntas improvisadas, iluminação que não acompanha perfeitamente o movimento da cabeça. Quase nenhum programa de consciencialização de segurança treina recrutadores. Esta ameaça explora diretamente esse ponto cego.
5. Compromisso de E-mail de Fornecedor e Fraude de Faturas
Em abril de 2026, o FBI e o Gabinete do Procurador dos EUA recuperaram 4,8 milhões de dólares que tinham sido desviados das Escolas Públicas de Dickinson, na Dakota do Norte, através de um esquema de compromisso de e-mail empresarial. A recuperação é a parte rara. A maioria das organizações não consegue reaver o seu dinheiro.
O ataque não precisa de invadir a empresa-alvo. Só precisa de acesso à caixa de correio de um fornecedor. A partir de uma conversa legítima e em curso sobre encomendas reais, o atacante insere uma mensagem: dados bancários atualizados para um pagamento pendente. Como a conversa, o tom e o formato da fatura são genuínos, esta passa por quase todas as verificações criadas para detetar um remetente suspeito.
As equipas de contas a pagar são treinadas para desconfiar de remetentes desconhecidos. Raramente são treinadas para desconfiar de um remetente familiar, a meio de uma conversa.
Porque é que a Formação Tradicional Falha nestes Cinco Pontos
Cada um destes ataques derrota o mesmo pressuposto: que a verificação através de um canal, voz, vídeo, plataforma ou conversa familiar é prova suficiente. As bibliotecas de formação estáticas, baseadas num ciclo de atualização trimestral, não conseguem adaptar-se com rapidez suficiente para acompanhar o ritmo, especialmente quando os atacantes evoluem o pretexto no momento em que uma defesa se torna do conhecimento comum.
O Frame fecha essa lacuna de forma diferente. Em vez de uma biblioteca de conteúdos, o Content Studio gera formação e simulações a partir das ameaças reais que a sua organização enfrenta, criadas em torno dos seus fornecedores reais, dos nomes dos seus executivos e dos seus fluxos de trabalho, e não de uma empresa fictícia. A simulação estende-se ao e-mail, voz, QR codes e vídeo e áudio deepfake, para que os colaboradores sejam testados nos mesmos canais que os atacantes estão realmente a utilizar. A Pontuação de Risco Humano recolhe sinais verificados, como a postura de MFA e inícios de sessão de risco, para lhe mostrar onde reside a exposição real, e não apenas quem clicou em “concluído” num módulo.
A ameaça que atingiu uma empresa parceira esta manhã pode ser a formação que a sua equipa realiza esta tarde.
É assim que se acompanha as ameaças humanas em 2026.
Agende uma demonstração para criar uma formação em direto durante a chamada.
