22 segundos é a nova velocidade do ataque cibernético, segundo relatório

A Redbelt Security realizou a 5ª edição do EXPAND, que reuniu cerca de 130 CISOs e líderes de segurança para debater os temas que estão no centro da operação de proteção cibernética nas empresas.

Eduardo Lopes, CEO da Redbelt Security, abriu o evento com o que está na agenda de qualquer CISO agora: IA nas operações, governança de identidade em escala e a necessidade de respostas que acompanhem a velocidade do cenário. "O CISO hoje carrega decisões que impactam a empresa inteira, muitas vezes sem ter com quem trocar experiências. Idealizamos o EXPAND para ser esse espaço: um lugar onde líderes de segurança encontram pares que enfrentam os mesmos dilemas e saem com repertório real para o que vem pela frente", explica.

22 segundos: a nova velocidade do ataque

David Stone, diretor do Office of the CISO do Google Group, referência global em inteligência de ameaças e em resposta a incidentes, trouxe insights e números do M-Trends 2026, relatório com mais de 500 mil horas de investigações, que ajudam a dimensionar o estágio atual das ameaças: o tempo médio entre o acesso inicial e a execução do ataque caiu para 22 segundos. Atualmente, o vetor de entrada mais comum é o exploit (exploração de falhas sistêmicas), presente em 32% dos casos, que superou o phishing (e-mail ou mensagens suspeitas) suspeito. O ransomware evoluiu e virou problema de resiliência, já que os atacantes focam também no backup e bloqueiam a capacidade de recuperação.

Segundo o especialista, uma das campanhas foi em torno das redes de telecomunicação na América Latina e em outros lugares, onde os criminosos estão acessando os sistemas de telecomunicação para conseguir rastrear e monitorar. "Rastreamos a exclusão de diferentes torres de telefone para contornar a autenticação multifator em aparelhos corporativos. As campanhas e os eventos que observamos seguem em expansão em diferentes áreas".

Segundo Stone, houve um aumento significativo dos ataques direcionados a ambientes SaaS, com o objetivo de garantir múltiplos pontos de acesso e visibilidade dentro das redes. "Uma das frentes que mais investigamos envolve APIs, especialmente plataformas como o GitHub e outras que concentram propriedade intelectual e repositórios de código-fonte, tornando-se altamente valiosas para os atacantes. Também observamos uma exploração massiva de dispositivos de rede, o que representa um grande desafio para a resposta a incidentes. Afinal, como conduzir uma resposta eficaz em um firewall ou em um switch de rede, quando esses próprios equipamentos passam a ser usados como canais de comando e controle dentro do ambiente?"

O especialista destaca que essa é uma tendência agressiva e crescente. "Existem equipes dedicadas à descoberta de vulnerabilidades zero-day nesses dispositivos, justamente porque se trata de uma camada difícil de proteger. E eles sabem disso. Ao comprometer esses ativos, conseguem estabelecer persistência por longos períodos dentro das redes, dificultando ainda mais a detecção e a contenção dos ataques", explica.

Governança de identidade como decisão de negócio

Identidade ainda é tema de infraestrutura em muitas organizações. Mas o risco que ela representa é financeiro, operacional, reputacional. Durante o painel mediado por Nycholas Szucko, Co-Founder e CRO da Verta com os executivos, Mariana Werson, CISO na RD Saúde, Pedro Lohmann, CISO na L'Oréal Brazil e Paulo Principe, CISO no Banco Rendimento, eles discutiram o que está no centro da agenda de qualquer CISO atualmente: a identidade como um grande vetor de ataque e escalonamento, a proliferação de credenciais que ninguém contratou (como contas de serviço, APIs e agentes de IA), os riscos associados ao acesso de terceiros e o desafio de governar ambientes marcados por falhas de gestão do passado. Também debateram o que precisa mudar para que o tema saia do âmbito da infraestrutura e ocupe a mesa de decisão

Segundo Mariana Werson, o risco de identidade sempre existiu, mas ganhou outra dimensão entre 2020 e 2023, impulsionado pelo contexto da pandemia. Nesse período, houve uma aceleração muito forte da migração para a nuvem e da adoção de soluções SaaS, o que ampliou rapidamente a superfície de exposição das empresas.

"Com isso, surgiu o conceito de "novo perímetro", em que a segurança deixou de estar restrita ao ambiente corporativo tradicional e passou a incluir, por exemplo, a casa do colaborador. Esse movimento não só transformou a dinâmica de acesso e gestão de identidades, como também aconteceu em um ritmo muito acelerado, dificultando a adaptação das estratégias de cibersegurança. Como consequência, o cenário se tornou mais complexo para os times de defesa e, ao mesmo tempo, mais favorável para os atacantes, já que passou a ser mais simples comprometer identidades válidas do que explorar vulnerabilidades técnicas. Nesse contexto, a identidade passou a se consolidar como um dos principais vetores de ataque. A partir disso, surge a necessidade de entender melhor o escopo das identidades dentro das organizações", relata.

Já Paulo Principe acredita que ampliou significativamente o desafio de gestão de identidades, especialmente no contexto de serviços e integrações via APIs, que passaram a ter um papel central nas operações. A adoção de duplicações e integrações com parceiros externos, somada a movimentos de mercado incentivados por instituições como o Banco Central, aumentou a preocupação com a governança de identidades. Diante disso, a organização vem promovendo melhorias nos processos de gestão de identidade e controle de acessos, buscando maior padronização e segurança.

"Há um forte investimento em campanhas de conscientização e educação para fortalecer a cultura de segurança baseada em princípios de zero trust, partindo da premissa de que nenhum acesso deve ser automaticamente confiável. Além disso, a empresa intensificou testes em diferentes plataformas, implementou o uso de identidades controladas e restringiu o acesso a ambientes produtivos por meio de cofres de credenciais com rotação automática. Apesar desses avanços, reconhecemos que não existe uma solução única, é necessário um conjunto de iniciativas coordenadas para mitigar os riscos", explica Paulo Principe.

Pedro Lohmann destacou um desafio adicional: a convergência entre ambientes de TI e OT. Se antes as redes de OT eram isoladas e havia uma sensação de segurança, a evolução para Indústria 4.0 e 5.0 trouxe maior conectividade e, consequentemente, mais riscos. "Um ponto crítico são os acessos de terceiros, como prestadores de serviço e fabricantes, que precisam intervir rapidamente em situações de manutenção, especialmente em paradas não programadas. Esse cenário pressiona por agilidade, muitas vezes em conflito com as melhores práticas de segurança. Casos em que fornecedores tentam acessar remotamente por meios não controlados, como conexões próprias, por exemplo, 3G, são um risco real. O desafio passa a ser equilibrar continuidade operacional e segurança, implementando controles rígidos de acesso remoto, monitoramento e governança, sem comprometer a produtividade da planta."

"Para lidar com cenários que exigem acessos emergenciais, como manutenções ou intervenções técnicas, a abordagem que faz mais sentido é a adoção de credenciais temporárias, apoiadas por processos bem definidos. Nesse contexto, conceitos como just-in-time access e just-enough access ganham relevância, pois criar acessos sob demanda, com privilégios estritamente necessários e duração limitada ao tempo da atividade, evitando permissões amplas ou permanentes que aumentem a superfície de risco", completa o CISO na L'Oréal Brazil.

Cibersegurança automotiva: protegendo carros conectados

Julio Padilha, CISO da Volkswagen e Audi na América do Sul, mostrou no EXPAND 2026 o que significa proteger um veículo moderno: sensores, ECUs, gateways, telemetria, conexão via 4G/5G, Wi-Fi e Bluetooth, integração com aplicativos e sistemas em nuvem. A cadeia de fornecedores é conectada, as atualizações são remotas e a superfície de ataque não para de crescer. Segurança automotiva virou segurança de sistemas críticos.

O tema ganhou relevância global desde 2015, quando pesquisadores demonstraram que era possível assumir remotamente o controle de um carro, incluindo direção e transmissão, o que levou ao recall de 1,4 milhão de veículos. De lá para cá, os carros ficaram ainda mais conectados. Cada veículo envolve uma rede de fornecedores escrevendo seu próprio código, o que resulta em milhões de linhas de programação por automóvel. Com recursos de direção autônoma já operando em algumas cidades e a crescente integração entre veículos, aplicativos e sistemas de coleta de dados, a superfície de ataque se expandiu.

"O caso demonstra como, mesmo sem acessar diretamente os sistemas críticos do veículo, explorar fragilidades no infotainment (sistema central de comunicação, navegação e entretenimento dos veículos) já permite comprometer funcionalidades e evidencia a importância de tratar segurança automotiva de forma integrada, considerando toda a superfície de ataque, disse o CISO.

Os automóveis utilizam a comunicação V2X (Vehicle-to-Everything), tecnologia de conectividade sem fio que permite ao veículo interagir em tempo real com o ambiente ao redor. Ela utiliza redes celulares (como 4G e 5G) e Wi-Fi dedicado para evitar acidentes, melhorar o tráfego e viabilizar a condução.

"O carro passa a se comunicar diretamente com a infraestrutura ao seu redor, ao mesmo tempo em que a infraestrutura também envia informações para o veículo. Na prática, isso significa que, ao se aproximar de um semáforo vermelho, por exemplo, o sistema consegue antecipar essa condição e ajustar a velocidade do carro de forma gradual, evitando a parada completa. Essa lógica é importante porque veículos em estado de inércia consomem mais energia para retomar o movimento; ao manter o deslocamento contínuo, ainda que mais lento, há ganho significativo de eficiência energética. Para isso, o veículo calcula o tempo necessário até a abertura do sinal e ajusta sua condução para atravessar o cruzamento sem precisar parar. Esse tipo de otimização já é possível graças ao envio de dados da infraestrutura urbana para o veículo, consolidando um modelo de comunicação bidirecional que melhora a fluidez do trânsito, reduz consumo de energia e aumenta a eficiência do sistema como um todo", explica Julio Padilha.

Estudo de caso BMG: como o banco reduziu falsos positivos de 97,7% para 7,9% com IA

Humberto Guimarães, CISO do BMG, apresentou o estudo de caso mais concreto do dia. Em um ano, o banco saiu do nível 1 para o nível 3 a pirâmide de maturidade de cibersegurança, que envolve detecção, resposta e convergência com fraudes, segundo métricas internas. Os números ilustram a transformação: o volume de alarmes caiu 70%, de 14.213 para 4.169, em grande parte pela eliminação de falsos positivos que antes consumiam tempo e atenção do time. A taxa de falsos positivos foi de 97,7% para 7,9%. O ruído em eventos de fraude despencou de 1.395 para 2 ocorrências por mês.

Parte desse resultado veio da adoção da IARis 3.0, solução de inteligência artificial da Redbelt Security. Dos 4.169 alarmes, a ferramenta fechou automaticamente 1.075 em menos de 3 minutos, sem qualquer interação humana. Antes, esse número era zero. As otimizações seguem em andamento.

Além da tecnologia, Guimarães destacou a importância da cultura organizacional. "É fundamental que todos trabalhem em parceria, deixando para trás a ideia de que a segurança é apenas um mecanismo de apontamento de falhas. Quando um problema é identificado, a pergunta não deve ser 'quem errou', mas sim 'como vamos resolver isso juntos'. O próprio presidente reuniu as lideranças e estabeleceu uma diretriz: todos são gestores de risco. A partir daí, criou-se um incentivo forte para que os riscos sejam registrados, discutidos e tratados de forma estruturada", explica.

BLACKOUT: simulando o impacto de um ataque à infraestrutura crítica

O EXPAND também contou com a dinâmica BLACKOUT, uma experiência imersiva em que os participantes assumiram diferentes papéis executivos, como CEO e CISO, para enfrentar um ataque cibernético que paralisou uma infraestrutura crítica.

Desenvolvida pela Redbelt Security, a simulação colocou os participantes diante de decisões complexas em um cenário realista, com impactos operacionais, regulatórios e reputacionais. Com desafios em tempo real e desdobramentos gerados por IA, a simulação evidenciou as consequências das escolhas feitas sob pressão e a importância de respostas rápidas e bem coordenadas.

O exercício prático, reforçou o valor da agilidade, da colaboração e da tomada de decisão estratégica em situações de crise, convidando os participantes a refletirem sobre suas decisões e os aprendizados gerados ao longo da jornada.