Avanço dos infostealers e do phishing impulsionado por inteligência artificial expõe os limites da autenticação baseada em senhas e acelera a adoção de novas tecnologias
A senha, durante décadas considerada a principal barreira de proteção do ecossistema digital, tornou-se um dos ativos mais valiosos para o cibercrime. Só em 2025, quase 2,9 bilhões de credenciais foram comprometidas, segundo levantamento da empresa de inteligência de ameaças KELA, reforçando uma mudança no perfil dos ataques: em vez de explorar vulnerabilidades técnicas, criminosos têm priorizado o roubo de identidades digitais para acessar sistemas, aplicações e contas corporativas.
Para especialistas, o avanço desse tipo de ataque evidencia que a segurança baseada exclusivamente em senhas se tornou insuficiente diante da sofisticação do cibercrime. “O cenário mostra que a senha agora é um ativo negociado em escala industrial. Hoje existe toda uma cadeia econômica dedicada a roubar, comercializar e reutilizar credenciais para diferentes tipos de ataque”, afirma André Toledo, CEO da Sec4U.
O crescimento desse mercado acompanha a profissionalização das organizações criminosas. Estimativas do setor indicam que o cibercrime já movimenta cerca de US$ 10,5 trilhões por ano em todo o mundo, superando mercados ilícitos tradicionais. Em 2026, os ataques ampliaram ainda mais essa escala impulsionados pelo uso de Inteligência Artificial, que permite automatizar campanhas de phishing, personalizar golpes e ampliar significativamente o alcance das operações. Atualmente, iscas de phishing estão presentes em 42% das violações de segurança, enquanto o roubo de identidade por meio de credenciais comprometidas permanece como a principal porta de entrada para invasões.
Segundo Toledo, esse cenário demonstra que o debate agora gira em torno de reduzir a dependência delas. “Durante muitos anos, a estratégia foi exigir senhas maiores, mais complexas e trocas frequentes. Mas o problema nunca foi apenas a qualidade da senha, e sim a própria existência dela como um segredo compartilhado. Sempre que existe uma senha, existe também a possibilidade de ela ser roubada, reutilizada ou capturada por engenharia social”, pondera.
Na avaliação do executivo, essa mudança acelera a adoção de modelos de autenticação passwordless, baseados em identidade digital, dispositivos confiáveis e criptografia, como as passkeys. “As passkeys eliminam justamente o elemento que os criminosos procuram. Não existe uma senha armazenada em servidores nem um código que possa ser digitado em um site falso. A autenticação passa a utilizar chaves criptográficas vinculadas ao dispositivo e protegidas por biometria ou outros mecanismos locais, tornando ataques de phishing e vazamentos de credenciais muito menos efetivos”, afirma.
Além do ganho em segurança, a mudança também tende a reduzir custos operacionais das empresas. Esquecimento de senhas, redefinição de acessos e chamados relacionados à autenticação continuam entre as demandas mais frequentes das áreas de tecnologia, enquanto processos de login complexos estimulam práticas inseguras, como reutilização e compartilhamento de credenciais.
Para o CEO da Sec4U, a tendência é que a senha deixe de ocupar o centro da estratégia de identidade digital. “Nos próximos anos, a pergunta deixará de ser como criar senhas mais fortes e passará a ser como eliminá-las da equação. A identidade será validada cada vez mais por fatores criptográficos, biométricos e contextuais. Isso reduz riscos para as empresas, dificulta a atuação dos criminosos e simplifica a experiência dos usuários. O futuro da segurança começa quando a senha deixa de ser o centro da autenticação.”
Ele explica, ainda, que deixar as senhas para trás exige mais do que adotar uma nova ferramenta; pede uma mudança na forma como as empresas olham para o acesso de funcionários e clientes. “Em um cenário onde ataques automatizados por IA testam a segurança das companhias diariamente, substituir o login tradicional passa a ser uma decisão prática para fechar a principal porta de entrada dos cibercriminosos e evitar incidentes que custam caro”, finaliza Toledo.