Engenharia social turbinada por IA já responde por 85% das perdas em sinistros cibernéticos, aponta seguradora
Um relatório da seguradora cibernética Resilience mostra que perdas ligadas a phishing, engenharia social e fraude de transferência saltaram de 17,7% dos sinistros pagos no primeiro semestre de 2024 para 85,3% no mesmo período de 2026 — o maior salto registrado em cinco anos de comparações da empresa. O CISO da Resilience recomenda ampliar simulações de ataque para voz, SMS e ferramentas de colaboração, não só e-mail.
O dado central do relatório é a inversão de prioridade nas causas de sinistro: engenharia social e fraude de transferência, que respondiam por uma fatia pequena das perdas em 2024, hoje dominam o volume de sinistros pagos, enquanto o ransomware — historicamente o vilão nº 1 — segue caro por incidente (73% do valor total perdido) mas cada vez mais raro em número de casos (apenas 5,8% dos sinistros).
Essa inversão tem uma explicação direta: ferramentas de IA generativa — clonagem de voz, chatbots convincentes, geração de conteúdo personalizado em massa — reduzem drasticamente o custo de produzir um ataque de engenharia social convincente e aumentam sua taxa de sucesso, enquanto exploração de vulnerabilidades técnicas exige mais especialização e encontra ambientes cada vez mais blindados por patch e EDR. Em outras palavras, o elo mais barato de atacar deixou de ser o software e passou a ser o julgamento humano.
A recomendação prática do relatório é abandonar simulações de phishing restritas a e-mail e passar a testar vishing, smishing e ataques via ferramentas de colaboração corporativa (Slack, Teams), já que é exatamente por esses canais que a fraude de transferência (BEC) mais evoluiu. Outra medida de baixo custo e alto impacto é exigir verificação fora de banda — uma ligação de confirmação para um número já cadastrado, nunca um número fornecido na própria solicitação — para qualquer pedido de mudança de dados bancários ou pagamento incomum.
Para o mercado de seguros e para times antifraude, o recado é que investimento em controle técnico (patch, EDR, firewall) sozinho não acompanha mais o perfil real de perda: o retorno mais alto agora está em controles de processo e verificação humana nas etapas financeiras, exatamente onde a IA está concentrando o ataque.