As lições de 2025: risco humano e a batalha contra o phishing no Brasil

2025 evidenciou uma verdade difícil de ignorar no cenário de Cibersegurança brasileiro: tecnologia sozinha não é suficiente para conter ataques cada vez mais sofisticados de engenharia social. O avanço acelerado do uso de Inteligência Artificial (IA) por agentes maliciosos mostrou que o verdadeiro campo de batalha está no comportamento humano. Não basta treinar pessoas, é preciso preparar a mente delas para reconhecer riscos e tomar decisões conscientes sob pressão.

Ao longo do ano, vimos ataques de phishing com mensagens altamente personalizadas, deepfakes de voz e vídeo e textos praticamente indistinguíveis de comunicações legítimas. Sinais clássicos de alerta, como erros gramaticais ou mensagens mal estruturadas, passaram a ser insuficientes para diferenciar o falso do real. Esse cenário expôs uma fragilidade crítica: a capacidade humana de questionar, validar e reagir tornou-se tão estratégica quanto qualquer ferramenta de Segurança.

Os Dados confirmam essa percepção. Um estudo da EY, uma das maiores empresas de auditoria e consultoria do mundo, sobre prevenção à lavagem de dinheiro e práticas ilícitas revelou que fraudes baseadas em engenharia social seguem como a principal preocupação das instituições financeiras brasileiras. Segundo a pesquisa, 30% das organizações apontam esse tipo de golpe como a modalidade de fraude mais recorrente, à frente de contas laranjas (21%), fraudes em aplicativos e cadastros digitais (19%), fraude de crédito (16%) e roubo de identidade ou tomada de conta (14%). Mesmo com investimentos robustos em tecnologia, o elo humano continua sendo explorado de forma intensa.

Diante desse contexto, ganhou força em 2025 o conceito de jornada focada na gestão do risco humano. Diferente de treinamentos pontuais ou campanhas isoladas, essa abordagem propõe um ciclo contínuo de teste, aprendizado, reforço e preparo. Simulações realistas, avaliações frequentes e evolução progressiva da maturidade comportamental tornaram-se centrais. O objetivo deixou de ser “evitar o erro” a qualquer custo e passou a ser a construção de resiliência cognitiva, ou seja, a capacidade de reconhecer padrões de ataque e reagir de forma segura.

Outro aprendizado importante foi perceber que a maturidade das organizações em conscientização não evoluiu de forma homogênea no País. Empresas de porte semelhante, em diferentes regiões, apresentam níveis muito distintos de estrutura, acesso a conteúdo e capacidade de engajamento dos funcionários. Isso deixou claro que não existe um modelo único de conscientização.

Iniciativas gamificadas, por exemplo, funcionam bem em alguns contextos e falham em outros; vídeos com histórias reais engajam certos públicos, enquanto abordagens mais formais ou lúdicas são mais eficazes em ambientes diferentes. Em 2025, o mercado começou a entender que adaptar a forma ao contexto e ao risco real da organização é essencial.

Essa urgência se intensificou com o uso crescente da IA Generativa por cibercriminosos. Segundo o relatório X-Force Threat Intelligence Index 2025, da IBM, invasores passaram a utilizar essas ferramentas como assistentes para gerar código malicioso, construir sites e escrever e-mails de phishing com linguagem tecnicamente perfeita, em diversos idiomas. Se antes erros de escrita eram um alerta clássico, a IA passou a ocultar esses sinais, tornando os ataques mais rápidos, escaláveis e difíceis de identificar.

Para líderes e executivos, a principal lição de 2025 é clara: cultura de Segurança não se constrói apenas com ferramentas. Quando o board assume o papel de patrocinador, Segurança deixa de ser um tema “de TI” e passa a fazer parte da identidade organizacional. Foi assim que as empresas mais maduras conseguiram engajar áreas, reduzir resistência e transformar educação em hábito, não em obrigação. Em 2026, a diferença não estará no arsenal tecnológico, mas na capacidade das lideranças de inspirar e alinhar comportamentos.

Por Natalia Santos, gerente de Canal e Marketing na BeePhish.