A IA está a mudar o panorama das ciberameaças para os bancos

A IA está a alterar tanto a ciberdefesa como a capacidade de ciberataque

A inteligência artificial está a alterar a cibersegurança em duas direções simultaneamente. Os bancos podem utilizar a IA para analisar grandes volumes de atividade de rede, priorizar alertas e detetar padrões suspeitos mais rapidamente. Os atacantes podem utilizar as mesmas capacidades para automatizar o reconhecimento, melhorar a engenharia social e reduzir a experiência necessária para desenvolver determinadas formas de atividade maliciosa. O resultado não é um panorama de ciberameaças completamente novo, mas sim uma aceleração de uma disputa já existente entre atacantes e defensores.

Para os bancos, isto é importante porque são alvos atrativos e operam com infraestruturas tecnológicas altamente interligadas. As instituições financeiras detêm dados valiosos, processam grandes volumes de pagamentos e dependem de combinações complexas de sistemas legados, plataformas na nuvem e prestadores de serviços terceiros. A IA pode ajudar os atacantes a navegar nesse ambiente de forma mais eficiente, enquanto os defensores devem melhorar a velocidade e a qualidade da deteção e da resposta.

A engenharia social está a tornar-se mais convincente

O phishing é um dos exemplos mais claros. A IA generativa pode produzir mensagens gramaticalmente corretas e personalizadas em vários idiomas e imitar o tom de um colega ou fornecedor. Os sinais de alerta tradicionais, como erros ortográficos, estão, portanto, a tornar-se menos úteis. Os colaboradores precisam de adotar hábitos de verificação mais rigorosos, especialmente quando um pedido envolve credenciais, instruções de pagamento ou informações confidenciais.

O áudio e o vídeo sintéticos criam um risco relacionado. Um atacante pode imitar um executivo, cliente ou fornecedor de forma suficientemente convincente para influenciar um colaborador sob pressão de tempo. As instruções de elevado valor devem, portanto, basear-se em controlos independentes do canal de comunicação, tais como procedimentos de retorno de chamada, aprovação dupla ou outra verificação autenticada.

Os ciclos de ataque técnico podem acelerar

A IA também pode ajudar na geração de código, na investigação de vulnerabilidades e na análise de informações públicas. Isto não significa que todos os criminosos adquiram subitamente a capacidade de um ator de ameaças avançado, mas pode reduzir o custo e o tempo necessários para realizar tarefas que anteriormente exigiam conhecimentos mais especializados. Os bancos podem, portanto, enfrentar volumes maiores de ataques tecnicamente competentes.

As equipas de defesa podem utilizar a IA de forma semelhante. As plataformas de segurança podem priorizar alertas, identificar anomalias e resumir informações sobre incidentes. Isto pode reduzir a carga de trabalho dos analistas, mas as decisões de segurança automatizadas ainda exigem governação. Os falsos negativos podem deixar passar ataques reais, enquanto os falsos positivos excessivos podem sobrecarregar as equipas e reduzir a atenção.

Os próprios sistemas de IA criam novas superfícies de ataque

Os sistemas generativos e baseados em agentes introduzem riscos que as aplicações tradicionais não apresentavam da mesma forma. A injeção de instruções, por exemplo, pode tentar manipular um sistema de IA através de instruções maliciosas incorporadas em conteúdo externo. O risco torna-se mais significativo quando uma ferramenta de IA tem permissão para aceder a bases de dados, e-mail ou sistemas operacionais.

As permissões devem, portanto, seguir o princípio do privilégio mínimo. Um assistente que apenas produz texto tem um perfil de risco diferente de um agente que pode enviar mensagens ou executar transações. As ações confidenciais devem manter uma aprovação explícita até que a organização demonstre que o processo e os controlos são fiáveis.

Os prestadores terceiros de IA também criam risco de fornecedor. Os bancos precisam de compreender onde os dados são processados, como os incidentes de segurança são comunicados e o que acontece se o prestador ficar indisponível ou alterar substancialmente o serviço. O DORA fornece um quadro relevante de resiliência operacional para estas dependências.

O treino e a governação devem evoluir

Os programas de sensibilização para a cibersegurança devem agora incluir phishing com IA, meios sintéticos e os riscos criados pelas ferramentas públicas de IA. Os colaboradores devem saber como verificar pedidos invulgares e onde denunciar atividades suspeitas. As equipas de finanças, tesouraria e atendimento ao cliente podem necessitar de exemplos diferentes, porque os métodos de ataque relevantes para as suas funções diferem.

Os programadores também precisam de orientação. Os assistentes de codificação com IA podem melhorar a produtividade, mas o código gerado ainda requer testes, revisão e análise de vulnerabilidades. Um desenvolvimento mais rápido não deve criar software inseguro mais rapidamente.

Os conselhos de administração e os gestores seniores devem questionar se os cenários de ciberameaça refletem estas alterações. A questão principal não é se o banco adquiriu produtos de segurança com IA, mas sim se os modelos de ameaça, as avaliações de fornecedores, o treino dos colaboradores e os exercícios de incidentes foram atualizados para um ambiente em que tanto os defensores como os atacantes utilizam sistemas cada vez mais capazes.

Conclusão

A IA não substitui os fundamentos da cibersegurança. A autenticação multifator, a aplicação de patches, o controlo de acesso, o desenvolvimento seguro de software, a monitorização, os backups e a resposta a incidentes continuam a ser essenciais. O que muda é a velocidade e a sofisticação com que ambos os lados podem operar. Os bancos precisam, portanto, de reforçar a integração entre a governação da IA, o risco cibernético e a resiliência operacional.

A eBSI Banking Academy aborda a cibersegurança como parte da competência profissional bancária, porque os eventos cibernéticos afetam clientes, operações, reputação e obrigações regulamentares. As instituições mais aptas para gerir ameaças com IA serão aquelas que combinam tecnologia robusta com processos disciplinados e pessoas bem informadas.

A autenticação e o desenvolvimento de software merecem uma nova atenção

O crescimento dos meios sintéticos enfraquece os procedimentos de segurança que dependem do reconhecimento de uma voz, rosto ou estilo de escrita familiar. Os bancos devem avaliar se as aprovações de alto risco dependem demasiado destes sinais informais. As instruções de pagamento, as alterações de privilégios e a divulgação de informações confidenciais devem ser verificadas através de canais autenticados que se mantenham fiáveis mesmo quando o áudio ou o vídeo podem ser imitados de forma convincente.

O desenvolvimento seguro de software também precisa de se adaptar. Os assistentes de codificação com IA podem melhorar substancialmente a produtividade, mas o código gerado ainda deve ser revisto, testado e analisado em busca de vulnerabilidades. O facto de o código ser produzido mais rapidamente não reduz a responsabilidade do banco pela sua segurança. As equipas de desenvolvimento devem, portanto, integrar a utilização da IA nos padrões existentes de desenvolvimento seguro, em vez de tratar o código gerado como uma categoria separada.

Estes exemplos reforçam um ponto mais amplo: o risco cibernético da IA não se limita ao departamento de segurança. Afeta os controlos de pagamento, o treino dos colaboradores, a engenharia de software, a gestão de fornecedores e a supervisão do conselho de administração. A instituição precisa de uma resposta coordenada, porque os atacantes também estão cada vez mais aptos a mover-se por estas fronteiras.

A resiliência continua a ser o objetivo final

Os programas de cibersegurança devem assumir que alguns ataques contornarão os controlos preventivos. Os bancos precisam, portanto, de processos de recuperação testados, backups seguros, arranjos de comunicação alternativos e da capacidade de restaurar serviços críticos sem depender de sistemas que possam estar comprometidos. A IA não muda este princípio; aumenta a velocidade com que um incidente pode se desenvolver.

A gestão também deve garantir que as lições dos incidentes relacionados com a IA alimentem a governação do modelo e o treino dos colaboradores. Um evento de injeção de instruções, uma tentativa de fraude de identidade sintética ou o uso indevido de um assistente de codificação podem revelar fraquezas de controlo que vão além da cibersegurança. A revisão multifuncional ajuda a evitar que a mesma fraqueza subjacente reapareça noutro local.