A maioria das PMEs portuguesas ainda acredita que os ciberataques são um problema exclusivo das grandes empresas. Mas a verdade é que um novo tipo de ransomware com IA acaba de demonstrar que os criminosos estão a automatizar os seus métodos — e as pequenas empresas podem ser as mais vulneráveis. O primeiro ataque de ransomware totalmente gerido por inteligência artificial foi documentado, e conseguiu adaptar-se em tempo real, corrigindo falhas em segundos. E o mais preocupante: não precisou de intervenção humana.
O que é o ransomware com IA e como funciona
O caso foi revelado pela empresa de segurança na cloud Sysdig, que detetou uma campanha batizada de JadePuffer. Trata-se do primeiro ataque de ransomware executado integralmente por um modelo de linguagem de grande escala (LLM, na sigla em inglês), o mesmo tipo de tecnologia que alimenta ferramentas como o ChatGPT. Mas aqui, em vez de responder a perguntas, o sistema foi programado para invadir servidores, encriptar bases de dados e exigir resgates.
O ataque explorou uma vulnerabilidade no Langflow, uma estrutura open-source usada para criar aplicações baseadas em LLM. Essa falha já foi corrigida, mas o que impressionou os investigadores foi a capacidade do agente de IA para se adaptar sozinho. Michael Clark, diretor sénior de investigação de ameaças da Sysdig, explicou que o sistema “se adaptou em tempo real, repetindo passos falhados com parâmetros refinados”. Num dos exemplos, passou de um login falhado para uma solução funcional em apenas 31 segundos.
Imagine um ladrão que, ao encontrar uma porta trancada, não desiste nem precisa de ligar a um cúmplice. Em vez disso, testa dezenas de chaves, aprende com cada tentativa e, em meio minuto, descobre como abrir a fechadura. É esta a diferença fundamental: a IA não segue um guião fixo; ela explora caminhos alternativos de forma autónoma, o que torna o ataque muito mais rápido e difícil de travar.
O que diferencia este ataque dos ransomware tradicionais
Até agora, os ataques de ransomware dependiam de ações manuais ou de scripts pré-programados. Um hacker identificava uma brecha, lançava o malware e, se algo corresse mal, tinha de recomeçar ou ajustar manualmente. Este processo podia levar horas ou dias, dando às equipas de segurança uma janela para detetar e bloquear a ameaça.
Com o JadePuffer, a IA assume o controlo total. Ela não só identifica a vulnerabilidade como também executa toda a cadeia de ataque: exploração, escalada de privilégios, encriptação da base de dados de produção e, por fim, a exigência de resgate. O relatório da Sysdig descreve uma “campanha adaptativa e totalmente automatizada” que resultou num “manual de extorsão de base de dados destrutivo contra o servidor de produção da vítima”.
Esta autonomia muda o jogo. Um ataque que antes exigia um criminoso experiente e tempo pode agora ser replicado em escala, sem custos adicionais significativos. Para as PME, que raramente têm equipas de segurança dedicadas, a velocidade de reação torna-se um fator crítico. Se um ataque se concretiza em minutos, o tempo para detetar e responder é praticamente nulo.
O que isto significa para PMEs portuguesas
As pequenas e médias empresas em Portugal enfrentam um risco acrescido. Muitas ainda operam com infraestruturas de TI básicas, sem monitorização contínua ou planos de resposta a incidentes. Um ataque de ransomware com IA pode paralisar operações em minutos, encriptando faturas, bases de dados de clientes ou sistemas de gestão. O custo médio de um ataque de ransomware para uma PME europeia ronda os 95 mil euros, entre resgate, perda de negócio e recuperação — um valor que pode ser fatal para um negócio de 10 colaboradores.
Além disso, a utilização de ferramentas open-source como o Langflow mostra que os criminosos estão a aproveitar tecnologias acessíveis. Não é preciso um orçamento milionário para lançar um ataque sofisticado. Isto significa que qualquer empresa com presença digital — desde uma loja online a um gabinete de contabilidade — pode ser um alvo. Para muitas PMEs, uma consultoria estratégica pode ajudar a avaliar os riscos e definir prioridades de segurança, antes que seja tarde.
O erro que a maioria comete
O erro mais comum entre as PME é acreditar que um antivírus básico e uma firewall são suficientes. Pensam: “somos pequenos, ninguém nos vai atacar”. Mas os atacantes não discriminam por tamanho — procuram o alvo mais fácil. E com a automação da IA, o custo de atacar centenas de pequenas empresas é quase o mesmo que atacar uma. O resultado é uma falsa sensação de segurança que deixa portas abertas a ataques como o JadePuffer. A cibersegurança não é um produto que se compra uma vez; é um processo contínuo que exige atualização e monitorização.
Riscos e limitações
Este tipo de ataque ainda está numa fase inicial. O JadePuffer foi o primeiro caso documentado, e a vulnerabilidade que explorou já foi corrigida. No entanto, a existência de uma prova de conceito funcional mostra que a barreira de entrada para o cibercrime automatizado baixou. Para as PME, o risco não é imediato para quem mantém sistemas atualizados e segue boas práticas de segurança, como autenticação multifator e backups offline. Mas para empresas que negligenciam estas medidas, o perigo é real e crescente. Ainda não estamos num cenário de ataques de IA em massa, mas a direção é clara: a automação vai tornar o cibercrime mais escalável e difícil de deter.
Veredito Descomplicar®
O aparecimento do ransomware com IA não é motivo para pânico, mas é um alerta sério. Para a maioria das PME portuguesas, o investimento mais urgente não está em ferramentas de IA defensiva, mas em higiene de segurança básica: atualizações regulares, formação dos colaboradores e cópias de segurança isoladas. Se a sua empresa ainda não tem um plano de resposta a incidentes, este é o momento de o criar. A tecnologia dos atacantes está a evoluir — a nossa defesa também tem de evoluir. E isso começa com uma avaliação honesta do risco real, não do risco que gostaríamos de ter.
Fonte: Fast Company Tech. Para aprofundar boas práticas de segurança digital, consulte o nosso guia de cibersegurança para negócios digitais.