O comportamento humano tornou-se a superfície de ataque que mais se altera na cibersegurança

Durante anos, a cibersegurança centrou-se, em grande medida, no reforço da tecnologia. As organizações investiram numa melhor proteção dos endpoints, em controlos de identidade mais robustos, em sistemas avançados de deteção de ameaças e em operações de segurança potenciadas por IA. Estes investimentos continuam a ser essenciais, mas já não são suficientes.

O próximo grande desafio da cibersegurança não passa apenas por acompanhar o ritmo dos atacantes. Passa também por acompanhar a forma como as pessoas trabalham.

O trabalho híbrido, as aplicações na cloud, a IA de consumo e a expectativa de produtividade imediata alteraram profundamente o comportamento dos colaboradores. Todos os dias, os utilizadores tomam centenas de decisões relacionadas com a segurança, muitas vezes sem envolver as equipas de TI, e essas decisões estão a transformar o risco das organizações mais rapidamente do que as políticas de segurança tradicionais conseguem acompanhar.

O nosso mais recente Relatório de Ciber-higiene 2026 reflete esta mudança.

Os resultados revelam que os colaboradores não estão, deliberadamente, a contornar a segurança. Estão a otimizar o seu trabalho em função da rapidez, da conveniência e da produtividade. Infelizmente, os atacantes estão a fazer exatamente o mesmo.

A produtividade está a redefinir o risco cibernético

Uma estatística destaca-se acima de todas as outras: 64% dos colaboradores admitem utilizar ferramentas de IA não autorizadas para fins profissionais.

Analisado isoladamente, este dado parece ser apenas mais um problema relacionado com a Shadow AI. Na realidade, revela algo muito mais abrangente.

Os colaboradores adotam cada vez mais novas tecnologias antes de as organizações estabelecerem mecanismos de governação para as mesmas. A IA é simplesmente o exemplo mais recente de uma tendência comportamental mais ampla, na qual os utilizadores dão prioridade à realização das suas tarefas em vez de aguardarem por ferramentas aprovadas ou por processos formais.

O mesmo padrão surge ao longo do relatório:

• 76% reutilizam palavras-passe em várias contas. 
• 70% ligam-se a redes Wi-Fi públicas para trabalhar. 
• Metade acede a recursos empresariais sem proteção VPN. 
• Mais de metade utiliza dispositivos profissionais para atividades pessoais. 

Estes não são apenas maus hábitos isolados. Em conjunto, ilustram uma força de trabalho cujas decisões diárias estão a expandir progressivamente a superfície de ataque da organização.

O perímetro humano está a tornar-se o novo perímetro de segurança

A cibersegurança passou anos a adaptar-se ao desaparecimento do perímetro de rede tradicional.

Agora, outro perímetro está a desaparecer.

A distinção entre tecnologia pessoal e profissional está a tornar-se cada vez mais ténue. Ao longo do dia, os colaboradores transitam facilmente entre aplicações empresariais, dispositivos pessoais, assistentes de IA, serviços cloud e redes domésticas.

À medida que o trabalho se torna mais distribuído, a segurança já não pode depender do controlo sobre os locais a partir dos quais os utilizadores se ligam. Em vez disso, deve centrar-se na compreensão do seu comportamento. Esta mudança representa uma alteração significativa na estratégia de cibersegurança.

As organizações vão precisar, cada vez mais, de visibilidade não apenas sobre dispositivos e aplicações, mas também sobre padrões comportamentais que possam indicar riscos emergentes antes de ocorrerem incidentes.

A sensibilização para a segurança já não é suficiente

Durante anos, as organizações responderam ao risco humano sobretudo através de formação e sensibilização. A formação continua a ser importante, mas o relatório sugere que, por si só, já não consegue responder aos desafios atuais.

Muitos dos comportamentos identificados não resultam de falta de conhecimento. Resultam de fricção. Os colaboradores reutilizam palavras-passe porque têm de gerir demasiadas credenciais. Adotam ferramentas públicas de IA porque estas os ajudam a concluir tarefas de forma mais eficiente. Contornam os controlos de segurança quando estes tornam o seu trabalho mais lento.

É por isso que o futuro da cibersegurança não pode depender apenas de pedir aos utilizadores que tomem melhores decisões.

A segurança deve, cada vez mais, tornar a opção segura na opção mais fácil.

Isto significa implementar gestores de palavras-passe e autenticação multifator (MFA), gerir a utilização de IA através de ferramentas empresariais aprovadas, aplicar princípios de Zero Trust ao acesso remoto e alargar a proteção para além do perímetro tradicional do escritório.

Das métricas técnicas às métricas de risco humano

Uma das maiores mudanças que as organizações vão fazer nos próximos anos estará relacionada com a forma como medem a cibersegurança.

Historicamente, os painéis de segurança têm-se centrado em vulnerabilidades, deteções de malware e conformidade com a aplicação de patches. Estes indicadores continuam a ser importantes, mas contam apenas parte da história.

A próxima geração de programas de segurança irá medir cada vez mais o comportamento humano em conjunto com os controlos técnicos.

Métricas como a adoção de gestores de palavras-passe, a cobertura de MFA, a resiliência perante ataques de phishing, a utilização de Shadow AI, a visibilidade sobre o software e os hábitos de segurança dos colaboradores tornar-se-ão indicadores antecipados da resiliência organizacional, em vez de serem apenas métricas secundárias de sensibilização.

Compreender o comportamento humano tornar-se-á tão importante como identificar vulnerabilidades técnicas.

O futuro

A indústria da cibersegurança fala frequentemente sobre a forma como a IA está a transformar o panorama de ameaças. E, de facto, está.

Mas a IA está também a acelerar algo menos evidente: o ritmo a que o comportamento dos colaboradores evolui. Surgem novas aplicações de um dia para o outro. Os fluxos de trabalho mudam continuamente. As expectativas de produtividade aumentam. Os utilizadores adotam novas tecnologias muito antes de a governação conseguir acompanhar esse ritmo.

As organizações que continuarem a encarar o comportamento humano como uma questão de sensibilização terão dificuldade em acompanhar esta evolução.

As que o encararem como um componente da cibersegurança que deve ser continuamente monitorizado, medido e gerido estarão muito mais bem posicionadas para reduzir o risco. Porque a maior lacuna de segurança na maioria das organizações já não é a ausência de um controlo de segurança. É a distância crescente entre a forma como as pessoas realmente trabalham e a forma como os sistemas de segurança continuam a assumir que trabalham.

Saiba mais no comunicado de imprensa.