Durante muitos anos, os investimentos em Segurança da Informação estiveram concentrados na aquisição de soluções tecnológicas capazes de impedir invasões e reduzir vulnerabilidades. Firewalls de última geração, plataformas de detecção e resposta a incidentes (EDR/XDR), autenticação multifator, criptografia, monitoramento contínuo e inteligência de ameaças passaram a fazer parte do conjunto básico de controles adotados pelas organizações.
Essas tecnologias continuam sendo indispensáveis. Entretanto, a dinâmica das ameaças mudou de forma significativa. Em vez de buscar exclusivamente falhas em sistemas ou aplicações, os criminosos passaram a direcionar seus esforços para um alvo muito mais previsível: o comportamento humano.
Hoje, convencer um colaborador a aprovar uma transferência financeira, informar credenciais de acesso ou conectar uma carteira digital a um contrato malicioso costuma ser mais simples, mais rápido e, muitas vezes, mais lucrativo do que explorar vulnerabilidades técnicas em ambientes corporativos altamente protegidos.
Essa transformação alterou profundamente a forma como empresas precisam enxergar a gestão dos riscos cibernéticos. A proteção deixou de ser um desafio exclusivamente tecnológico para se tornar também uma questão de cultura organizacional, capacitação contínua e tomada de decisão.
Ao mesmo tempo, a popularização dos criptoativos, a consolidação do Pix como principal meio de pagamento instantâneo e a evolução acelerada da Inteligência Artificial criaram um ambiente em que golpes digitais se espalham com velocidade inédita, atingindo tanto consumidores quanto organizações de todos os portes.
Nesse contexto, investir apenas em infraestrutura tecnológica já não garante níveis adequados de proteção. A verdadeira vantagem competitiva está na capacidade de desenvolver pessoas preparadas para reconhecer sinais de fraude antes que um incidente aconteça.
O fator humano tornou-se o principal vetor de ataque
Os ataques cibernéticos evoluíram. Se antes predominavam códigos maliciosos, exploração de vulnerabilidades e invasões diretas, atualmente grande parte das fraudes começa muito antes de qualquer comprometimento técnico.
O primeiro passo costuma ser psicológico.
Criminosos exploram emoções como urgência, medo, curiosidade e confiança para influenciar decisões aparentemente legítimas. A vítima acredita estar realizando uma operação autorizada quando, na realidade, está executando voluntariamente todas as etapas da fraude.
Essa mudança fez da engenharia social uma das principais armas utilizadas pelo crime organizado.
Mensagens cuidadosamente elaboradas, perfis falsos em redes sociais, falsas oportunidades de investimento, contatos que simulam bancos, corretoras ou empresas conhecidas e solicitações urgentes de pagamentos tornaram-se parte do cotidiano das equipes de segurança.
O diferencial dessas campanhas está justamente na sua aparência de legitimidade. Muitas vezes não existe invasão de sistemas nem quebra de mecanismos de segurança. O próprio usuário realiza a ação que beneficia o criminoso.
Por essa razão, programas modernos de Segurança da Informação precisam ir além da implementação de controles técnicos. A conscientização dos colaboradores deve ser tratada como um processo contínuo de gestão de riscos, incorporando treinamentos frequentes, simulações práticas e incentivo ao reporte imediato de situações suspeitas.
Organizações que desenvolvem essa cultura conseguem identificar tentativas de fraude ainda nas fases iniciais, reduzindo significativamente o impacto financeiro e operacional dos incidentes.
Inteligência Artificial elevou o nível das fraudes
A rápida evolução da Inteligência Artificial generativa representa uma das maiores mudanças recentes no cenário da segurança digital. Ferramentas capazes de produzir textos altamente persuasivos, reproduzir vozes com elevado grau de fidelidade, criar imagens realistas e gerar vídeos sintéticos democratizaram recursos que, até poucos anos atrás, exigiam conhecimentos técnicos avançados.
Na prática, isso significa que criminosos conseguem produzir golpes muito mais convincentes com custos reduzidos e em larga escala.
Já existem registros de fraudes envolvendo clonagem de voz de executivos, deepfakes utilizados para autorizar pagamentos, atendimentos automatizados simulando instituições financeiras, perfis corporativos praticamente idênticos aos oficiais e campanhas altamente personalizadas construídas a partir de informações disponíveis publicamente.
Esse novo cenário reduz significativamente os sinais tradicionais utilizados para identificar fraudes. Erros de ortografia, mensagens mal escritas e comunicações de baixa qualidade deixaram de ser características comuns dos golpes modernos. Consequentemente, mesmo profissionais experientes podem ser induzidos ao erro.
Por esse motivo, organizações vêm adotando mecanismos adicionais de validação, como confirmação por canais independentes, palavras de segurança previamente acordadas entre equipes e procedimentos formais para solicitações financeiras extraordinárias.
Criar uma etapa adicional de verificação antes da execução de pagamentos, alteração de dados bancários ou compartilhamento de informações sensíveis tornou-se uma prática recomendada de governança, especialmente diante da crescente sofisticação dos ataques apoiados por Inteligência Artificial.
Criptoativos ampliaram oportunidades — e também riscos
A tecnologia blockchain trouxe avanços importantes para o mercado financeiro ao oferecer transparência, descentralização e novos modelos de negócios. Entretanto, o mesmo ambiente também passou a ser explorado por organizações criminosas interessadas em dificultar o rastreamento de recursos obtidos por meio de fraudes.
Após uma transferência ilícita, valores podem ser rapidamente convertidos em diferentes criptoativos, movimentados entre múltiplas carteiras digitais e distribuídos por diversas redes blockchain em poucos minutos.
Embora essa dinâmica torne as investigações mais complexas, ela não significa anonimato absoluto. As blockchains públicas mantêm registros permanentes das transações realizadas, permitindo análises técnicas capazes de reconstruir parte da movimentação financeira quando existem informações suficientes e quando o incidente é tratado rapidamente.
Essa realidade reforça a necessidade de processos estruturados de resposta a incidentes envolvendo ativos digitais. Segurança da Informação, prevenção à fraude, jurídico, compliance e áreas de negócio precisam atuar de forma integrada para acelerar a coleta de evidências, preservar registros relevantes e apoiar eventuais medidas administrativas, judiciais ou investigações conduzidas por autoridades competentes.
Os golpes mais comuns envolvendo criptoativos
O crescimento do mercado de ativos digitais foi acompanhado por uma evolução igualmente acelerada das fraudes. Se antes os ataques dependiam principalmente de conhecimentos técnicos avançados, atualmente grande parte dos golpes explora erros de julgamento, excesso de confiança e falta de conhecimento dos usuários.
Entre os esquemas mais frequentes estão as falsas plataformas de investimento, que simulam exchanges legítimas e prometem rentabilidades incompatíveis com a realidade do mercado. Também permanecem comuns os esquemas de pirâmide financeira, normalmente apresentados como oportunidades exclusivas ou estratégias de arbitragem automatizada.
Outro ataque que ganhou espaço é o chamado wallet drainer. Nesse modelo, a vítima é convencida a conectar sua carteira digital a um site aparentemente confiável. Ao aprovar uma permissão sem analisar seu conteúdo, concede ao contrato inteligente autorização para movimentar seus ativos, que são transferidos automaticamente para endereços controlados pelos criminosos.
Também merece atenção o chamado address poisoning. Nesse golpe, os fraudadores enviam pequenas transações utilizando endereços muito semelhantes aos normalmente utilizados pela vítima. Posteriormente, quando o usuário consulta o histórico para copiar um endereço, pode selecionar equivocadamente o endereço malicioso e enviar os recursos ao destinatário errado.
Apesar das diferenças operacionais entre esses golpes, existe um elemento comum: todos procuram induzir decisões rápidas, reduzindo o tempo disponível para análise crítica.
Por essa razão, qualquer operação envolvendo ativos digitais deve seguir procedimentos mínimos de verificação. Confirmar a legitimidade da plataforma utilizada, validar cuidadosamente os endereços de destino, realizar testes com valores reduzidos antes de movimentações expressivas e utilizar listas de endereços previamente confiáveis são práticas simples que diminuem significativamente a probabilidade de perdas.
Da mesma forma, credenciais, frases de recuperação (seed phrases) e chaves privadas jamais devem ser compartilhadas, independentemente do argumento apresentado pelo solicitante.
A velocidade da resposta pode reduzir impactos
Existe uma percepção equivocada de que, após uma fraude envolvendo criptoativos, não há mais providências capazes de produzir resultados concretos.
Embora a recuperação integral dos valores nem sempre seja possível, a rapidez com que o incidente é tratado influencia diretamente a eficácia das investigações e das medidas de contenção.
Os primeiros minutos após a identificação do golpe costumam ser decisivos. Quanto antes a organização registrar o ocorrido, preservar evidências, comunicar as áreas responsáveis e acionar seus protocolos internos, maiores serão as possibilidades de apoiar investigações técnicas, identificar movimentações suspeitas e adotar medidas jurídicas ou administrativas cabíveis.
Esse processo exige preparação prévia. Planos de resposta a incidentes devem estabelecer responsabilidades claras, fluxos de comunicação, critérios para escalonamento e procedimentos específicos para eventos envolvendo ativos digitais.
Empresas que estruturam previamente esses processos conseguem responder de forma coordenada, evitando improvisações justamente no momento em que decisões rápidas são mais necessárias.
Evidências digitais são fundamentais para a investigação
Em muitos incidentes, o maior prejuízo não decorre apenas da fraude em si, mas da perda de informações que poderiam auxiliar na investigação. É comum que vítimas excluam mensagens, apaguem conversas ou descartem registros acreditando que isso reduzirá a exposição do problema. Na prática, essa atitude elimina elementos importantes para compreender a dinâmica do ataque.
Comprovantes de transferência, e-mails, registros de conversas, capturas de tela, URLs utilizadas, endereços de carteiras digitais, identificadores de transações (transaction hash), horários das operações e qualquer outro vestígio relacionado ao incidente devem ser preservados desde os primeiros momentos.
Essas informações permitem reconstruir a sequência dos acontecimentos, identificar padrões de atuação dos criminosos e fornecer subsídios para análises forenses, comunicações às autoridades competentes e eventuais processos judiciais.
Por esse motivo, políticas de resposta a incidentes precisam contemplar procedimentos claros para coleta e preservação de evidências, garantindo que colaboradores saibam exatamente quais informações registrar antes de qualquer ação corretiva.
Educação digital deve ser um processo permanente
Durante muitos anos, programas de conscientização foram tratados como atividades obrigatórias de compliance, normalmente limitadas a um treinamento anual. Essa abordagem já não acompanha a velocidade com que novas ameaças surgem.
Campanhas fraudulentas são adaptadas diariamente para explorar acontecimentos recentes, mudanças regulatórias, eventos esportivos, crises econômicas ou qualquer situação capaz de despertar interesse imediato das vítimas.
Além disso, ferramentas baseadas em Inteligência Artificial permitem personalizar ataques em escala, tornando-os muito mais convincentes. Nesse cenário, educação digital precisa ser encarada como um programa contínuo de desenvolvimento organizacional.
Campanhas periódicas, simulações de phishing, exercícios de engenharia social, comunicação objetiva, compartilhamento de casos reais e incentivo ao reporte espontâneo de situações suspeitas fortalecem a capacidade coletiva de identificar ameaças antes que produzam impactos relevantes.
Quando colaboradores compreendem seu papel na proteção da organização, deixam de ser vistos apenas como potenciais vítimas e passam a atuar como uma importante camada adicional de defesa.
Tecnologia, processos e pessoas devem evoluir juntos
Organizações maduras em Segurança da Informação compreendem que nenhuma tecnologia, isoladamente, é suficiente para eliminar riscos.
A efetividade dos controles depende da integração entre soluções técnicas, processos bem definidos, governança consistente e uma cultura organizacional orientada para prevenção.
Investimentos em infraestrutura precisam ser acompanhados por políticas atualizadas, responsabilidades formalmente atribuídas, indicadores de desempenho, revisão periódica dos controles e programas permanentes de capacitação.
Essa visão integrada fortalece a capacidade da empresa de identificar riscos precocemente, responder de forma coordenada aos incidentes e incorporar os aprendizados obtidos em situações reais.
Mais do que impedir ataques, o objetivo passa a ser desenvolver uma organização preparada para operar de maneira segura mesmo diante de um ambiente de ameaças em constante transformação.
Conclusão
A evolução dos criptoativos, da Inteligência Artificial e dos meios digitais de pagamento transformou definitivamente o cenário das fraudes financeiras. Os ataques tornaram-se mais rápidos, personalizados e sofisticados, reduzindo a eficácia de abordagens baseadas exclusivamente em controles tecnológicos.
Nesse contexto, construir resiliência operacional exige uma estratégia mais ampla, capaz de integrar tecnologia, governança, resposta a incidentes, preservação de evidências e, principalmente, desenvolvimento contínuo das pessoas.
Empresas que investem apenas em ferramentas tendem a permanecer reativas. Em contrapartida, organizações que fortalecem sua cultura de segurança conseguem reconhecer sinais de fraude com antecedência, responder com maior velocidade e reduzir significativamente impactos financeiros, regulatórios e reputacionais.
Em um cenário onde a inovação cria oportunidades na mesma velocidade em que amplia os riscos, a educação digital deixa de ser uma iniciativa complementar e passa a representar um dos principais ativos estratégicos para qualquer organização que pretenda atuar de forma segura e sustentável.
A maturidade em Segurança da Informação não será medida apenas pela quantidade de soluções implementadas, mas pela capacidade de transformar conhecimento em decisões seguras, fortalecendo a confiança de clientes, parceiros, investidores e órgãos reguladores.
Na CLA Brasil, contamos com um time multidisciplinar de especialistas em Segurança da Informação, Resiliência Operacional, Gestão de Riscos e Auditoria Independente, preparado para apoiar sua organização na adequação às normativas do Banco Central relacionadas a criptoativos (Resolução BCB nº 519, BCB nº 520, BCB nº 521) , abrangendo desde a estruturação de controles e governança até a implementação de processos aderentes às exigências regulatórias aplicáveis aos prestadores de serviços de ativos virtuais (VASPs). Atuamos de forma integrada desde o diagnóstico de maturidade regulatória até a preparação para processos de supervisão e comprovação de conformidade junto ao BCB, garantindo alinhamento com as melhores práticas de mercado e com os requisitos de segurança, prevenção à fraude e proteção de clientes.
Por Paulo Baldin – Sócio de Segurança da Informação (CISO)
