Firewalls, antivírus, autenticação multifator, monitoramento de ameaças e diversas outras camadas de proteção foram desenvolvidos com um objetivo comum: impedir que alguém de fora da organização obtenha acesso indevido a sistemas e informações.
Essa lógica continua válida, mas não explica sozinha uma parcela crescente dos incidentes enfrentados pelas empresas. Nem toda fraude começa do lado de fora. O risco também pode surgir dentro da própria organização, seja por negligência, uso inadequado de acessos, excesso de privilégios ou mudanças de comportamento que passam despercebidas até se transformarem em um incidente.
Segundo o Data Breach Investigations Report (DBIR) 2025, da Verizon, cerca de 60% das violações analisadas envolveram algum elemento humano. O dado reforça a tese de que, mesmo com a evolução dos controles tecnológicos, comportamento e credenciais, as decisões tomadas pelos usuários continuam influenciando diretamente a exposição das organizações.
Quando esses riscos não são identificados e gerenciados adequadamente, os impactos deixam de ser apenas operacionais. Estudos do Ponemon Institute, organização de pesquisa independente, focada exclusivamente em proteção de dados, privacidade e segurança da informação, mostram que o custo médio anual relacionado a riscos internos chegou a US$ 17,4 milhões por organização em 2025, evidenciando como falhas associadas ao fator humano podem gerar consequências financeiras relevantes.
O contraste entre o avanço dos investimentos em tecnologia e a dificuldade de identificar sinais relacionados ao comportamento humano ajuda a explicar por que tantas organizações continuam sendo surpreendidas por fraudes internas.
O insider moderno é mais complexo do que parece
Um dos motivos pelos quais fraudes internas continuam surpreendendo as empresas é a tendência de associar esse tipo de incidente apenas a ações maliciosas. Essa interpretação simplifica um cenário cada vez mais influenciado por identidades digitais e acessos distribuídos.
O problema pode envolver credenciais comprometidas, permissões além do necessário ou decisões que ampliam gradualmente a exposição da organização. O ponto central é que o risco raramente está concentrado em um único evento. Na maior parte das vezes, ele é construído ao longo do tempo e só ganha visibilidade quando o incidente já aconteceu.
Isso ajuda a explicar por que fraudes internas permanecem entre os desafios mais difíceis de identificar.
Diferentemente de muitos ataques externos, elas costumam utilizar identidades legítimas e ocorrer dentro de atividades aparentemente compatíveis com a rotina do usuário. Por isso, limitar a análise à intenção do indivíduo já não é suficiente para compreender o risco.
Comportamento como indicador relevante
Historicamente, a segurança concentrou seus esforços na análise de eventos técnicos. Embora essa abordagem continue sendo fundamental, ela nem sempre oferece visibilidade sobre sinais que antecedem uma fraude ou comprometimento interno.
Identificar um evento é diferente de compreender como determinadas decisões e padrões de comportamento aumentam a exposição da organização ao longo do tempo. Foi essa lacuna que impulsionou a evolução das discussões sobre gestão do risco humano.
A proposta não é substituir os controles tradicionais de segurança, mas acrescentar contexto à análise. Os controles continuam fundamentais para identificar ameaças e responder a incidentes. O que muda é a capacidade de compreender como exposição, contexto e histórico de uso ajudam a compor uma leitura mais precisa do risco associado a cada identidade.
Movimentações atípicas de dados, uso incomum de privilégios e compartilhamento inadequado de informações podem parecer pouco relevantes quando analisados isoladamente. Quando observados em conjunto, ajudam a construir uma visão mais completa sobre os principais pontos de vulnerabilidade.
Gestão do Risco Humano
A gestão de acessos sempre ocupou um papel importante nas estratégias de segurança. O desafio é que permissões, responsabilidades e níveis de acesso mudam constantemente dentro das empresas, enquanto os mecanismos de revisão nem sempre acompanham essa velocidade.
Foi nesse contexto que a gestão do risco humano passou a ganhar relevância. A discussão deixa de estar concentrada apenas nos eventos técnicos e passa a considerar fatores que ajudam a explicar por que determinados usuários apresentam maior probabilidade de exposição do que outros.
Esse movimento vem ampliando o espaço de abordagens associadas ao Human Risk Management (HRM), conceito que propõe uma visão mais ampla sobre a relação existente entre comportamento, contexto e risco. Em vez de analisar apenas eventos isolados, a proposta passa a considerar indicadores capazes de mostrar como a exposição de uma identidade evolui ao longo do tempo.
A análise deixa de considerar apenas quem possui acesso a determinado recurso e passa a incorporar fatores como exposição, contexto e impacto potencial para o negócio. Com isso, a segurança ganha melhores condições para priorizar esforços, direcionar intervenções e apoiar decisões relacionadas à identidade, acesso e governança.
Fraudes internas raramente surgem de forma repentina. Na maior parte das vezes, elas são precedidas por sinais que parecem pouco relevantes quando observados de forma isolada. O desafio está justamente em conectar esses indícios antes que eles se transformem em um problema de maior impacto para o negócio.
À medida em que o elemento humano assume um papel cada vez mais relevante na superfície de ataque das organizações, cresce também a necessidade de tratá-lo como uma variável de risco tão importante quanto tecnologia, processos e controles de segurança.
Natália Santos, gerente de Canais e Marketing da Beephish.
Versão Markdown desta página