Da teoria à prática: o que o terceiro exercício de simulação de crimes cibernéticos com inteligência artificial revelou

A inteligência artificial deixou de ser uma tendência futura no cibercrime. Ela já está moldando a forma como ataques acontecem, como a confiança é explorada e como líderes precisam tomar decisões críticas sob pressão, com informações incompletas e prazos cada vez mais curtos.

Recentemente, a Fortinet, em parceria com o Center for Long-Term Cybersecurity (CLTC) da UC Berkeley e outros parceiros globais, conduziu mais uma rodada de exercícios estratégicos de mesa (TTXs) focados em cibercrimes potencializados por IA. O terceiro exercício da série, chamado Operation Black Ice, trouxe um cenário ainda mais desafiador: a convergência entre impersonação com IA, comprometimento de terceiros e ransomware com extorsão baseada em dados.

Mais do que testar técnicas de ataque, o exercício revelou onde as organizações realmente falham: na governança, na tomada de decisão e na coordenação sob incerteza.

O que mudou do primeiro para o terceiro exercício?

Nos dois primeiros TTXs, o foco esteve em:

• Como a IA generativa reduz custo e barreiras técnicas para golpes, phishing e fraudes.
• Como a IA aumenta a ambiguidade na resposta a incidentes, dificultando atribuição e análise inicial.
• Como os ataques se tornam mais rápidos, comprimindo o tempo disponível para decisões humanas.

O Operation Black Ice foi além. Ele simulou o impacto real dessa aceleração, colocando executivos sob pressão simultânea de ataque, exposição pública e exigências regulatórias.

Quando a impersonação vira vetor estratégico

No cenário apresentado, um terceiro confiável foi comprometido por meio de impersonação com uso de IA. A partir desse ponto, o ataque evoluiu para:

• Criptografia por ransomware
• Exfiltração confirmada de dados
• Interrupção operacional
• Desconexão de parceiros
• Pressão regulatória

O insight mais relevante não foi técnico. Deepfakes e impersonações bem-sucedidas não dependem de perfeição, mas de plausibilidade sob pressão.

Se o pedido parece urgente, parte de uma autoridade reconhecida e se encaixa no fluxo normal de trabalho, ele tende a passar.

Isso reforça um ponto crítico: Verificação de identidade não pode depender de um único canal.

São necessárias:

• Validações em múltiplos canais
• Limites claros de escalonamento
• Fricção intencional em decisões de alto impacto
• Políticas bem definidas para terceiros

Dois relógios correndo ao mesmo tempo

O exercício impôs um prazo de 72 horas para pagamento do resgate. Ao mesmo tempo, prazos regulatórios de notificação também estavam correndo.

O resultado? Decisões externas precisavam ser tomadas enquanto a equipe técnica ainda investigava o escopo do incidente. Jurídico, TI, comunicação e liderança executiva foram obrigados a agir em paralelo, sem visibilidade total.

A principal lição: Sem um modelo pré-definido de coordenação, a organização improvisa governança no meio da crise. E improvisar sob pressão raramente produz boas decisões.

A decisão de pagar resgate nunca é binária

No discurso teórico, a decisão parece simples: pagar ou não pagar.

Na prática, envolve:

• Credibilidade do atacante
• Capacidade de recuperação interna
• Exposição legal
• Comunicação pública
• Seguro cibernético
• Relação com reguladores
• Impacto reputacional

Cada decisão restringe as alternativas seguintes.

Com IA acelerando prazos e aumentando a plausibilidade das ameaças, a complexidade se multiplica.

Conclusão clara do exercício: Resposta eficaz depende de preparação prévia, não de improvisação.

O fator mais desestabilizador: terceiros

A dependência de fornecedores se mostrou um dos maiores pontos de ambiguidade. Durante o incidente, os participantes precisaram tomar decisões críticas com base em informações incompletas de um parceiro comprometido.

A assimetria ficou evidente, as empresas exigem clareza dos terceiros justamente quando eles menos conseguem fornecer.

Isso reforça a necessidade de:

• Cláusulas claras de notificação de incidente
• Protocolos de resposta compartilhados
• Testes conjuntos de crise
• Avaliação contínua de risco de terceiros

O que isso significa para sua empresa?

Os maiores danos em incidentes modernos raramente são puramente técnicos. Eles são falhas de governança, confiança e tomada de decisão sob incerteza. A IA não cria um tipo totalmente novo de ataque. Ela acelera e amplifica vulnerabilidades organizacionais já existentes.

Preparação estratégica, alinhamento executivo e simulações realistas não são diferenciais. São pré requisitos.

Fonte

Na Brasiline, atuamos nesse ponto crítico: ajudando organizações a estruturar governança de resposta, fortalecer ecossistemas de parceiros e operar com visibilidade contínua por meio do nosso SOC 360 e serviços gerenciados de segurança.

Porque, no cenário atual, a pergunta não é se a pressão virá. É se sua organização estará pronta quando ela chegar. Acesse e saiba mais sobre nosso SOC 360!

Conheça a Brasiline

Nosso propósito é assegurar um padrão de excelência em nossos projetos, transformando sua TI em uma alavanca estratégica para seus negócios e suas equipes. Dessa forma, sua empresa pode concentrar todos os esforços no que é fundamental: o seu core business. 

Conte com a expertise de nossos especialistas para garantir um suporte técnico ágil e uma operação verdadeiramente eficiente. 

Conheça nossos cases de sucesso
Entre em contato conosco
Siga-nos no Instagram