Falhas básicas de segurança ainda persistem nas PME

A Inteligência Artificial (IA) está a transformar as ferramentas utilizadas pelos cibercriminosos, permitindo criar campanhas de phishing mais convincentes, automatizar tarefas de reconhecimento e reduzir a barreira de entrada para atacantes menos experientes. No entanto, segundo a Eset, a preparação das pequenas e médias empresas (PME) para enfrentar ciberameaças continua a depender sobretudo da correção de falhas de segurança já conhecidas.

De acordo com o “Eset SMB Cyber Readiness Index 2026”, o malware alimentado por IA é apontado como a principal preocupação das PME para os próximos 12 meses. Ainda assim, a fabricante refere que os casos de malware verdadeiramente baseado em IA continuam a ser raros. Como exemplo, recorda a descoberta, em 2025, de um protótipo de ransomware escrito com recurso a IA e, mais recentemente, do PromptSpy, o primeiro malware para Android conhecido a utilizar IA generativa no seu fluxo de execução para garantir persistência.

Apesar destes casos, a Eset afirma que não encontrou evidências, através do seu serviço Managed Detection and Response (MDR), de incidentes em que a IA generativa tenha desempenhado um papel significativo. Segundo a empresa, os atacantes recorrem à IA sobretudo como ferramenta de apoio, e não para automatizar ataques em tempo real.

Em vez de se concentrarem exclusivamente nas ameaças emergentes, as PME devem continuar a dar prioridade às principais causas dos incidentes de segurança. Os dados da Eset apontam o phishing como a principal ameaça, referido por 26% das empresas e responsável por 30,8% das deteções registadas no segundo semestre de 2025. Seguem-se as vulnerabilidades de segurança por corrigir (23%), a falta de monitorização de segurança (22%) e a utilização de palavras-passe fracas ou reutilizadas (20%).

Segundo a empresa, a IA está sobretudo a aumentar a eficácia destes vetores de ataque. Os cibercriminosos utilizam a tecnologia para produzir mensagens de phishing mais credíveis, incluindo recurso a deepfakes, acelerar a exploração de vulnerabilidades recém-divulgadas, analisar grandes volumes de dados para identificar palavras-passe comuns e realizar ações de reconhecimento de forma mais rápida.

Para reduzir o risco, a Eset recomenda que as PME reforcem processos de gestão de vulnerabilidades e aplicação de correções de segurança, mantenham um inventário atualizado dos ativos tecnológicos e implementem políticas robustas de gestão de identidades. A utilização de gestores de palavras-passe, autenticação multifator (MFA) e ferramentas de Privileged Access Management (PAM) são apontadas como medidas essenciais para reduzir a superfície de ataque.

A empresa defende ainda que organizações com recursos limitados podem beneficiar da adoção de serviços Managed Detection and Response (MDR), permitindo melhorar a monitorização contínua, acelerar a deteção de ameaças e colmatar a escassez de competências especializadas em Cibersegurança.

Para a Eset, a verdadeira preparação para enfrentar ciberameaças passa por prevenir, detetar e responder eficazmente aos ataques. Embora a IA esteja a alterar o panorama das ameaças, a maioria dos incidentes continua a resultar de falhas básicas de segurança que permanecem por resolver.