Dados apresentados pela Fortinet mostram crescimento das atividades de reconhecimento no Brasil e ajudam a entender como IA e automação estão mudando a preparação dos ataques cibernéticos
A Inteligência Artificial está mudando uma etapa do cibercrime que normalmente acontece antes de a vítima perceber que está sendo atacada: a escolha do alvo.
Em vez de simplesmente disparar milhões de tentativas e esperar que alguma delas funcione, criminosos podem usar automação e recursos de IA para acelerar o reconhecimento de redes, identificar sistemas expostos, procurar vulnerabilidades e selecionar os ambientes que apresentam melhores condições para uma invasão.
Essa mudança aparece nos dados apresentados pela Fortinet durante o Fortinet Cybersecurity Summit Brasil 2026. Segundo a empresa, foram registradas 249,3 bilhões de tentativas de ataques e atividades maliciosas contra o Brasil no primeiro semestre de 2026.
Mais significativo do que o volume total é o crescimento das ações realizadas antes da invasão propriamente dita. Foram identificadas 9 bilhões de varreduras ativas no período, número 44% superior ao registrado durante todo o ano de 2025, segundo os dados divulgados pela companhia.
É justamente aí que a IA pode mudar a dinâmica dos ataques.
Antes de atacar, é preciso descobrir onde atacar
Reconhecimento é uma das primeiras etapas de uma operação cibernética.
O MITRE ATT&CK define essa fase como o conjunto de técnicas utilizadas pelo adversário para reunir informações que possam ser empregadas no planejamento de operações futuras. Isso pode envolver busca por endereços IP, domínios, tecnologias utilizadas pela empresa, sistemas expostos à internet, funcionários, endereços de e-mail e vulnerabilidades que possam ser exploradas.
Uma varredura ativa, portanto, não significa necessariamente que uma empresa já tenha sido invadida.
Significa que alguém está batendo às portas digitais para descobrir quais delas podem estar abertas. O problema é que a IA permite fazer essa avaliação de maneira mais rápida e, potencialmente, muito mais seletiva.
O relatório global da Fortinet publicado em 2026 aponta que IA e automação estão acelerando etapas como reconhecimento, preparação e execução dos ataques. Em surtos considerados críticos, o intervalo entre a descoberta ou divulgação de uma vulnerabilidade e sua exploração pode chegar a apenas 24 a 48 horas, segundo a telemetria analisada pelo FortiGuard Labs.
Isso reduz drasticamente o tempo disponível para que as organizações descubram uma vulnerabilidade, avaliem o risco e façam a correção.
Menos tentativas não significa menos perigo
Outro dado ajuda a entender essa transformação.
Globalmente, a Fortinet identificou uma redução de 22% nas tentativas de força bruta, técnica baseada em testar repetidamente combinações de credenciais. Ao mesmo tempo, a companhia registrou crescimento de 25,49% nas tentativas de exploração.
A interpretação apresentada pelo FortiGuard Labs é que os criminosos estão conseguindo realizar menos tentativas contra alvos mais bem selecionados, aumentando potencialmente a eficiência de cada tentativa.
É uma mudança relevante.
A IA não torna um ataque infalível e tampouco existe, a partir desses dados, fundamento para falar em um “ataque perfeito”. O que ela pode fazer é diminuir parte do trabalho manual necessário para pesquisar uma empresa, analisar informações e encontrar possíveis caminhos de entrada.
Ferramentas ofensivas observadas pela Fortinet na dark web já são anunciadas com recursos de IA para geração automatizada de caminhos de ataque, reconhecimento de alvos e análise inteligente de formulários. Segundo o relatório, isso também reduz a necessidade de conhecimentos especializados para algumas atividades e aumenta a velocidade dos fluxos criminosos.
Em outras palavras, a Inteligência Artificial pode ajudar o criminoso a responder três perguntas antes de agir: quem atacar, por onde entrar e onde existe maior possibilidade de retorno.
O Brasil no radar das varreduras
Os números apresentados pela Fortinet para o Brasil reforçam esse movimento.
Além das 9 bilhões de varreduras ativas no primeiro semestre, a companhia contabilizou:
- 406,8 milhões de atividades relacionadas à distribuição de malware
- 42 milhões de atividades relacionadas a botnets
- 100 milhões de registros envolvendo trojans
- 976 mil tentativas de drive-by download
- 6.932 incidentes de ransomware
- 238 bilhões de tentativas relacionadas a negação de serviço
Segundo os dados divulgados pela empresa, o volume de atividades associadas à distribuição de malware nos primeiros seis meses de 2026 já foi superior ao dobro das 187,5 milhões registradas durante todo o ano de 2025.
Os trojans também chamam atenção. Eles passaram de 32 milhões de registros em 2025 para 100 milhões somente no primeiro semestre deste ano, de acordo com a Fortinet.
Diferentemente de uma ação cujo objetivo é provocar um impacto imediato, determinados trojans podem ser utilizados para manter acesso ao ambiente comprometido e permitir novas etapas da invasão.
Isso torna outra questão especialmente importante: identidade e credenciais.
No relatório global da Fortinet, a maioria dos incidentes confirmados em ambientes de nuvem analisados ao longo de 2025 teve origem em credenciais roubadas, expostas ou utilizadas indevidamente, e não diretamente na exploração da infraestrutura.
A IA aumenta o valor dos dados roubados
Outra transformação observada pela companhia está relacionada ao tipo de informação procurada pelos criminosos.
Não se trata mais apenas de obter uma combinação de login e senha.
O FortiGuard Labs identificou crescimento na circulação de conjuntos mais completos de informações obtidas por malware do tipo infostealer. Esses registros podem reunir credenciais com dados armazenados no navegador e outros elementos contextuais que facilitam a reprodução da sessão ou a preparação de novas etapas do ataque.
Para sistemas automatizados e agentes de IA, quanto mais contexto estiver disponível, maior pode ser a capacidade de analisar o alvo e determinar qual informação utilizar.
É mais uma razão para as empresas deixarem de tratar proteção de identidade, autenticação, endpoints e infraestrutura como problemas independentes.
E como as empresas podem se defender?
O material apresentado pela Fortinet defende que as organizações acelerem suas capacidades de detecção e resposta e utilizem automação e IA também na defesa.
A recomendação faz sentido dentro do diagnóstico apresentado pela companhia, mas não depende necessariamente da adoção de uma plataforma ou fornecedor específico.
Se o atacante está aumentando sua capacidade de reconhecimento, uma das respostas mais importantes é a própria empresa conhecer melhor do que ele a sua superfície exposta.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, CISA, recomenda a descoberta e validação contínuas dos ativos voltados para a internet e o uso de varreduras automatizadas para localizar equipamentos e serviços expostos ou desatualizados.
Na prática, algumas medidas ganham ainda mais importância nesse cenário:
Conhecer o que está exposto à internet
Servidores esquecidos, aplicações antigas, equipamentos que chegaram ao fim do suporte, ambientes de teste e serviços que não deveriam estar publicamente acessíveis podem ampliar a superfície disponível para reconhecimento.
Corrigir primeiro as vulnerabilidades que realmente estão sendo exploradas
A própria CISA recomenda inventariar e localizar equipamentos externos desatualizados como parte da redução da superfície de ataque.
Não basta acumular milhares de alertas. O gerenciamento de vulnerabilidades precisa considerar risco e evidências de exploração. A CISA mantém o catálogo Known Exploited Vulnerabilities, criado justamente para ajudar organizações a priorizar vulnerabilidades que já estão sendo utilizadas por atacantes. (CISA)
Proteger melhor as identidades
Se credenciais roubadas continuam sendo uma importante porta de entrada, senha sozinha é uma defesa insuficiente para contas críticas. A CISA recomenda, sempre que possível, métodos de autenticação multifator resistentes a phishing.
Monitorar comportamentos anormais, e não apenas malware
A defesa precisa observar acessos incomuns, mudanças de privilégio, tentativas de autenticação fora do padrão e comportamentos que indiquem que uma identidade legítima pode estar sendo utilizada por outra pessoa. Orientações da CISA incluem a validação de contas, desativação de acessos inativos e monitoramento de logins internos e externos.
Diminuir o intervalo entre descoberta e resposta
Se uma vulnerabilidade pode começar a ser explorada poucas horas depois de se tornar conhecida, processos que dependem de vários dias de análise e aprovação podem não acompanhar a velocidade atual do ataque. O dado da Fortinet sobre exploração em janelas de 24 a 48 horas ajuda a dimensionar esse problema.
Cryptomining: quando a invasão vira fonte permanente de receita
Os dados brasileiros também mostram outra forma de monetização.
Segundo a Fortinet, foram registradas 69 mil tentativas relacionadas a cryptominer no Brasil no primeiro semestre de 2026, número que já ultrapassa o total observado durante todo o ano anterior.
Nesse modelo, o objetivo pode não ser paralisar sistemas ou exigir diretamente um resgate. O criminoso procura explorar recursos computacionais de terceiros para realizar mineração de criptomoedas.
Alexandre Bonatti, vice-presidente de Engenharia da Fortinet Brasil, observa que esse movimento revela uma lógica de exploração econômica dos ambientes comprometidos: a infraestrutura da vítima passa a ser tratada pelo criminoso como um recurso capaz de gerar retorno ao longo do tempo.
Além da utilização indevida da capacidade computacional, esse tipo de comprometimento pode gerar consumo adicional de infraestrutura e indicar que o atacante conseguiu permanecer em um ambiente que deveria estar sob controle da organização.
A corrida agora acontece antes da invasão
Os dados apresentados pela Fortinet ajudam a deslocar o debate sobre Inteligência Artificial e cibercrime.
O risco não está apenas na possibilidade de a IA produzir códigos maliciosos mais rapidamente. Uma de suas capacidades mais relevantes está em processar informação, automatizar reconhecimento e ajudar a selecionar oportunidades de ataque em uma escala difícil de alcançar apenas com trabalho humano.
Frederico Tostes, country manager da Fortinet Brasil, afirma que grupos cibercriminosos começam a operar de maneira semelhante a empresas semiautônomas, utilizando diferentes ferramentas, serviços e fornecedores especializados ao longo da cadeia criminosa.
Nesse cenário, esperar pela tentativa de invasão para começar a agir é chegar tarde.
Se o atacante utiliza automação para descobrir primeiro quais são as portas abertas, a defesa começa por uma tarefa menos sofisticada, mas fundamental: saber exatamente quais portas existem, quem pode atravessá-las e quanto tempo a organização leva para fechá-las quando surge uma vulnerabilidade.
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
Somos voz influente no ecossistema brasileiro de segurança da informação e identificação digital, e nosso propósito é contribuir ativamente para a educação e o debate sobre esses temas.
Fale com a gente: +55 11 9 9286 7046 ou contato@cryptoid.com.br
