Os cibercriminosos veem você como um alvo fácil. Prove que estão errados.

Ninguém gosta de ter que gerenciar dezenas ou até centenas de senhas que mudam constantemente. Por isso, não surpreende que o diretor de operações (COO) de uma empresa de private equity, frustrado com essa situação, tenha simplesmente se recusado a fazer isso. Em vez disso, ele usava uma única senha para a maioria de suas contas, tanto pessoais quanto profissionais.

O que aconteceu em seguida também não deveria surpreender: em um ataque cibernético sem qualquer relação com seu trabalho, cibercriminosos obtiveram sua senha. Depois, usaram essa senha para acessar seu e-mail pessoal, seu e-mail profissional e, por fim, toda a empresa.

O resultado: um ataque de ransomware. Os sistemas da empresa foram paralisados, e os funcionários ficaram impossibilitados de trabalhar durante semanas, sem contar os custos financeiros e os danos à reputação. Aceitar um pequeno inconveniente pessoal desde o início poderia ter evitado a violação de segurança e seus efeitos subsequentes.

Prevenir ataques cibernéticos vai muito além de implementar a tecnologia de segurança adequada. Sua empresa — incluindo as pessoas que fazem parte dela e seus processos — também pode estar vulnerável. Muitas vezes, os cibercriminosos procuram pontos de entrada em seus dispositivos, onde podem permanecer silenciosamente, coletar informações e entender como você opera antes de lançar um ataque de maior escala.

Muitas famílias com patrimônios significativos, empresas e escritórios familiares estão, em grande parte, despreparados.

Um cenário sofisticado de criminalidade

Ataques cibernéticos, bots automatizados, deepfakes de IA, vulnerabilidades em softwares da cadeia de suprimentos, ransomware — o cenário atual do cibercrime é muito mais sofisticado do que há apenas alguns anos. Isso vale para empresas de todos os portes, não apenas para as grandes organizações cujas violações de segurança cibernética aparecem nas notícias.

Na verdade, 75% dos ataques cibernéticos têm como alvo pequenas e médias empresas¹. Isso ocorre, em parte, porque elas não contam com as defesas robustas das organizações maiores e, em parte, porque muitos empresários acreditam, equivocadamente, que estar na nuvem garante segurança. Quando um cibercriminoso consegue acessar uma organização, ele tenta se movimentar lateralmente por seus sistemas para extrair dados valiosos e, de modo geral, causar danos.

Em busca de um alvo fácil

Indivíduos e famílias de alto patrimônio, escritórios de investimentos, escritórios familiares e empresas privadas são alvos particularmente atraentes para os cibercriminosos devido à percepção de sua riqueza, aos recursos significativos e à ampla presença digital. Em nosso Relatório Global de Family Offices de 2024, 24% dos Family offices entrevistados afirmaram ter sido vítimas de ataques cibernéticos. Entre os family offices com mais de USD 1 bilhão em ativos, 40% disseram ter sofrido uma violação de segurança.

No entanto, nossa pesquisa mostra que os family offices estão, em grande parte, despreparados. Apenas 39% exigem que seus funcionários recebam treinamento em segurança cibernética, e somente 34% contrataram um provedor de serviços de defesa cibernética². Quase um quarto — 23% — não conta com nenhuma proteção cibernética.

Assim como outros criminosos, os cibercriminosos procuram o elo mais fraco. Muitas vezes, esse elo são as pessoas. Hackers utilizam engenharia social em todas as suas formas — phishing por e-mail e mensagens de texto, manipulação de códigos QR e manipulação de voz — para obter informações que, de outra forma, estariam protegidas. Mantenha uma postura cética diante de qualquer solicitação de dinheiro ou de informações sobre sua organização e verifique qualquer pedido por meio de outra fonte.

Certifique-se de que a IA trabalhe a seu favor — e não contra você

Embora a inteligência artificial (IA) possa proporcionar ganhos de produtividade e eficiência, ela também pode apresentar riscos à segurança.

As plataformas e ferramentas de IA podem reter tudo o que você insere nelas. Por isso, é fundamental implementar medidas de proteção para resguardar os dados empresariais e pessoais. Se você utiliza uma ferramenta pública de IA para ler e analisar currículos e não possui uma licença empresarial, todos os dados processados — nomes, endereços e outras possíveis informações confidenciais da empresa — são incorporados a uma plataforma de modelo de linguagem de grande escala (LLM) que você não controla.

Para usar a IA com segurança:

• Use um endereço de e-mail separado, dedicado exclusivamente à ferramenta de IA. Se estiver usando uma ferramenta pública, não utilize o mesmo endereço de e-mail que usa para se comunicar com seu banco ou para outras informações confidenciais.
• Certifique-se de que todas as solicitações sejam verificadas por meio de dois canais de comunicação, como vídeo, chamadas e/ou mensagens de texto. Se a IA for usada para criar um deepfake convincente, ele poderá induzir alguém a fornecer informações confidenciais ou autorizar uma transação.
• É especialmente importante analisar os processos e protocolos de pagamento para entender se seriam capazes de resistir a um ataque de engenharia social impulsionado por IA. Seja proativo e mantenha-se atento à medida que as ferramentas de IA evoluem rapidamente e são introduzidas no ambiente de trabalho. Até mesmo funcionários em início de carreira devem ter autonomia para questionar uma solicitação envolvendo informações confidenciais e validá-la por meio de outro canal de comunicação.

Avaliação e aprimoramento da preparação para ameaças cibernéticas

Não existe uma maneira infalível de proteger sua empresa contra cibercriminosos. No entanto, há medidas que todo empresário, indivíduo de alto patrimônio e family office pode adotar para reduzir os riscos e limitar os danos caso ocorra uma violação de segurança.

• Conte com profissionais:

Se você não é especialista em cibersegurança, não tente navegar sozinho pelo complexo cenário de ameaças cibernéticas. Recorra a especialistas e profissionais de confiança para avaliar e estabelecer controles de cibersegurança que abranjam as pessoas, os processos e a tecnologia de sua organização. Mesmo que já tenha contratado profissionais anteriormente, a manutenção contínua é importante para garantir que suas defesas permaneçam robustas e atualizadas.

• Faça uma avaliação de cibersegurança:

Considere começar com uma avaliação abrangente de cibersegurança realizada por uma empresa de boa reputação. Essa avaliação destacará vulnerabilidades específicas, permitindo que você priorize as mais importantes e as aborde de forma eficaz.

Uma avaliação completa identifica possíveis pontos fracos por meio de testes de rede, verificações de acesso físico e avaliações de engenharia social.

• Treine funcionários e familiares:

Oriente seus funcionários sobre possíveis vulnerabilidades, como phishing — por e-mail, mensagens de texto, códigos QR e chamadas telefônicas —, solicitações fraudulentas de pagamento e outros métodos utilizados pelos cibercriminosos para obter acesso a informações ou dinheiro. Uma cultura de vigilância reduzirá o risco de comprometimento.

Os familiares também precisam receber orientação. Se um membro da família tem idade suficiente para ter uma conta em uma rede social, também tem idade suficiente para aprender a usá-la com segurança. Os adolescentes devem ser orientados a não compartilhar informações que revelem detalhes demais sobre as atividades e a localização da família. É ótimo que a família tenha feito uma viagem incrível, mas conte ao mundo sobre ela somente depois de voltar para casa.

• Autenticação multifator (MFA):

A autenticação multifator pode representar um pequeno inconveniente, mas é muito menos problemática do que um ataque de ransomware ou extorsão. Ela também é uma das camadas de defesa mais robustas disponíveis tanto para indivíduos quanto para empresas. Utilize-a sempre que possível, tanto no âmbito pessoal quanto profissional, especialmente para proteger dados críticos e acessos remotos. E há uma vantagem adicional: o uso da MFA pode até reduzir o valor do seu seguro contra riscos cibernéticos.

• Controle o acesso:

Adote em toda a organização uma política de acesso baseada no princípio da “necessidade de saber”, para que somente as pessoas, os aplicativos e as ferramentas que realmente precisam de determinadas informações tenham acesso a elas.

As políticas de acesso não têm a ver com confiar — ou desconfiar — dos funcionários. Seu objetivo é limitar os danos caso alguém invada seus sistemas usando as credenciais de um funcionário — em essência, fazendo-se passar por ele.

Diante da rápida evolução das ameaças cibernéticas e de sua crescente gravidade, é muito melhor investir uma quantia moderada em avaliação e prevenção do que pagar um preço exorbitante — em dinheiro, reputação e transtornos — por um ataque de ransomware ou extorsão que poderia ter sido evitado.

Podemos ajudar

Proteger seus ativos e suas informações é nossa prioridade. O J.P. Morgan está comprometido em oferecer serviços seguros e resilientes a nossos clientes e parceiros em um cenário de ameaças em constante evolução. Para obter mais informações e recursos que ajudem a proteger melhor você, sua família e sua empresa, entre em contato com sua equipe do J.P. Morgan.