O cibercrime ganhou escala, velocidade e especialização. A combinação entre inteligência artificial, automação e uma cadeia de serviços criminosos permite criar campanhas mais personalizadas, operar infraestruturas descartáveis e adaptar ataques rapidamente. Nesse cenário, esperar pela identificação de uma ameaça depois que ela chega ao ambiente pode significar agir tarde demais.
Para entender como essa transformação afeta a segurança das empresas e quais sinais podem ser identificados antes da interação com uma ameaça, o IT Section conversou com Sandro Tonholo, Territory Manager da Infoblox.
Na entrevista, ele analisa a profissionalização da economia do cibercrime, o uso de IA pelos atacantes, a expansão de domínios maliciosos e o papel da inteligência preditiva e do DNS na antecipação de ataques.
IT Section: O relatório mostra que o cibercrime está cada vez mais automatizado e profissionalizado. Como essa “economia criminosa” funciona hoje e quais serviços e estruturas estão por trás de um ataque digital?
Sandro Tonholo: O que vemos hoje é uma verdadeira cadeia de serviços do cibercrime. Em vez de um único grupo desenvolver todas as etapas de um ataque, existem atores especializados que fornecem infraestrutura, domínios descartáveis, hospedagem resistente a derrubadas, kits de phishing, ferramentas para distribuição de malware, roubo de credenciais, redes de proxies e até serviços para movimentação e lavagem dos recursos obtidos.
Isso reduz muito a barreira de entrada, porque um criminoso não precisa necessariamente dominar todas as técnicas envolvidas em uma operação sofisticada. Ele pode adquirir ou contratar partes dessa estrutura. O relatório chama atenção justamente para essa industrialização, em que especialização, automação e infraestrutura compartilhada permitem que os ataques sejam executados em uma escala e em uma velocidade muito maiores.
A IA acelera ainda mais esse modelo, mas é importante entender que ela é uma parte de uma engrenagem maior. Por trás de uma campanha existem também serviços de infraestrutura, distribuição, ocultação e monetização que funcionam de maneira cada vez mais integrada.
IT Section: De que forma a inteligência artificial está mudando a atuação dos criminosos? O que passou a ser possível fazer com IA que antes exigia mais tempo, conhecimento técnico ou recursos?
Sandro Tonholo: A principal transformação promovida pela IA é a combinação de velocidade e escala. Atividades que antes exigiam bastante trabalho manual podem ser automatizadas ou aceleradas, desde reconhecimento e produção de conteúdo até a criação de iscas e a adaptação de campanhas.
No phishing e nas fraudes, por exemplo, a IA permite produzir mensagens, páginas e conteúdos mais convincentes e personalizados em muito menos tempo. O relatório mostra inclusive casos de uso de conteúdo gerado por IA e deepfakes em golpes, além da capacidade de adaptar rapidamente a abordagem ao perfil da vítima.
O ponto mais relevante é que a IA democratiza capacidades que antes estavam concentradas em grupos mais sofisticados. Isso não significa que toda ameaça hoje dependa dessa tecnologia, mas que um número maior de criminosos consegue operar com eficiência e escala que antes exigiriam equipes maiores, mais conhecimento e mais recursos.
IT Section: O número de domínios relacionados a golpes cresceu 62% em um ano, enquanto 44% dos domínios ligados a ameaças permaneceram ativos por apenas um dia. O que esses números revelam sobre a velocidade com que os criminosos estão criando e descartando sua infraestrutura?
Sandro Tonholo: Esses números mostram uma mudança importante na lógica dos ataques. Para muitos criminosos, um domínio deixou de ser um ativo que precisa durar semanas ou meses. Ele pode ser criado para uma campanha específica, utilizado por algumas horas ou durante um único dia e depois abandonado.
Isso acontece porque os atacantes sabem que, eventualmente, aquela infraestrutura será identificada. Por isso, a estratégia passa a ser obter resultado antes que isso aconteça. O relatório mostra ainda que 88% dos domínios associados a ameaças foram observados no ambiente de apenas um cliente. Ou seja, muitas dessas infraestruturas são extremamente direcionadas e têm uma vida útil curta.
Para a defesa, isso muda completamente a equação. Se a organização depender apenas de uma ameaça ser observada, analisada e posteriormente incluída em uma lista de bloqueio, muitas vezes essa infraestrutura já terá cumprido sua função quando o processo terminar.
IT Section: Se um domínio malicioso pode permanecer ativo por apenas algumas horas ou um dia, quais são as principais dificuldades para as empresas identificarem e bloquearem essas ameaças antes que elas atinjam as vítimas?
Sandro Tonholo: A principal dificuldade é o tempo. Os modelos tradicionais de segurança trabalham, em grande parte, com a ideia de detectar uma atividade maliciosa, investigá-la e então responder. Quando a infraestrutura do atacante muda em poucas horas, essa janela pode ser curta demais.
Há também um problema de visibilidade, porque uma infraestrutura pode aparecer apenas para um conjunto muito pequeno de usuários ou organizações. Além disso, criminosos utilizam técnicas como cloaking, sistemas de distribuição de tráfego e proxies residenciais para fazer com que suas atividades se confundam com o tráfego legítimo.
Por isso é tão importante observar sinais que surgem antes da interação do usuário com a ameaça. O DNS tem um papel relevante nesse contexto, porque praticamente toda atividade na internet depende dele. A análise de infraestrutura, padrões de registro e relacionamento entre domínios pode permitir identificar sinais de intenção maliciosa antes mesmo de uma campanha ganhar escala.
IT Section: O relatório aponta que sistemas de distribuição de tráfego, ou TDSs, estão presentes em mais de 95% das redes analisadas. Como essa infraestrutura é utilizada pelos criminosos para direcionar cada vítima ao golpe mais adequado?
Sandro Tonholo: Um TDS funciona como uma espécie de roteador do ataque. Quando alguém acessa determinado link, essa infraestrutura pode analisar informações como dispositivo, localização, idioma ou origem do tráfego e, a partir disso, decidir qual conteúdo será apresentado.
Uma pessoa pode ser direcionada para uma página falsa de atualização de software, outra para um golpe de investimento e outra simplesmente para uma página inofensiva. Essa seleção ajuda os criminosos tanto a aumentar a taxa de sucesso quanto a esconder a operação de pesquisadores e ferramentas automatizadas de segurança.
É justamente essa capacidade de segmentação que torna os TDSs tão relevantes. O relatório identificou essa categoria em cerca de 95% dos ambientes analisados, mostrando como uma tecnologia originalmente desenvolvida para direcionamento legítimo de tráfego passou a ser incorporada de forma sistemática à infraestrutura do cibercrime.
IT Section: Com golpes mais personalizados, infraestrutura descartável e uso de IA, quais sinais ainda podem ajudar empresas e usuários a identificar uma tentativa de fraude antes que ela cause prejuízo?
Sandro Tonholo: Hoje, a aparência profissional já não é um bom indicador de legitimidade. Com IA e ferramentas disponíveis no mercado, criminosos conseguem reproduzir marcas, linguagem e experiências digitais com muito mais qualidade.
Para os usuários, continuam importantes sinais como solicitações inesperadas, mudanças repentinas de contexto, mensagens que induzem urgência, pedidos de credenciais ou pagamentos e links recebidos por canais não usuais. Mas não podemos transferir toda a responsabilidade para a pessoa que recebe a mensagem.
Do ponto de vista das empresas, o mais importante é analisar a infraestrutura por trás da comunicação. Um site pode parecer legítimo e ainda assim estar associado a um domínio recém-criado ou conectado a uma infraestrutura utilizada em atividades suspeitas. O relatório mostra, inclusive, que em 71% dos incidentes de phishing analisados não havia nenhuma marca mencionada no próprio domínio; os criminosos dependiam do conteúdo e da aparência da página para convencer a vítima. Isso reforça a necessidade de olhar além do que está visível na tela.
IT Section: Diante dessa evolução do cibercrime, quais mudanças as empresas precisam fazer em suas estratégias de segurança para deixar de apenas reagir aos ataques e conseguir se antecipar a ameaças que surgem e desaparecem rapidamente?
Sandro Tonholo: A principal mudança é sair de uma estratégia predominantemente reativa para uma abordagem preemptiva. Se esperarmos que o usuário clique ou que um malware seja executado para então iniciar a investigação, o atacante já conseguiu avançar uma etapa.
O objetivo deve ser identificar e bloquear a infraestrutura maliciosa antes da interação. O relatório destaca o uso de inteligência preditiva associada ao DNS, porque todo ataque online depende, em algum momento, de infraestrutura de rede. Ao analisar padrões de domínios, registros e relacionamentos entre diferentes componentes dessa infraestrutura, é possível encontrar sinais de atividade maliciosa mais cedo.
Entre junho de 2025 e maio de 2026, por exemplo, a Infoblox identificou aproximadamente 90% dos domínios relacionados a ameaças antes de qualquer interação nas redes dos clientes, com uma antecedência média superior a 68 dias. Esse é justamente o conceito de segurança preemptiva, que foca em utilizar inteligência sobre a infraestrutura adversária para impedir o ataque antes que ele chegue à etapa em que a organização precisa responder a um incidente.
Ao mesmo tempo, essa estratégia precisa ser complementada por uma visão mais ampla da superfície de ataque. Isso inclui conhecer os ativos expostos, acompanhar riscos externos, compreender o uso de aplicações e serviços de IA e manter um inventário confiável dos recursos conectados ao ambiente. Em um cenário no qual o atacante muda rapidamente, visibilidade e antecipação passam a ser tão importantes quanto detecção e resposta.
