No atual cenário de ameaças, a divisão entre cibercrime e guerra cibernética está desaparecendo. Grupos motivados financeiramente e agentes patrocinados por estados confiam nas mesmas táticas, técnicas e procedimentos (TTPs): exploram vulnerabilidades zero-day e one-day, abusam de plataformas Ransomware-as-a-Service (RaaS), escondem-se atrás de proxies e utilizam métodos Living off the Land (LotL) em ambientes legítimos de TI.
Eles frequentemente atacam as mesmas empresas. Organizações sem relevância geopolítica direta podem ser pegas no fogo cruzado, simplesmente por fazerem parte de uma cadeia de suprimentos nacional mais ampla.
Por isso, os defensores devem se concentrar primeiramente em mitigar as TTPs, fechar vetores de ataque e interromper a cadeia de eliminação (kill chain), pois é isso que pode de fato impedir os ataques. No entanto, entender quem atacou e por quê oferece margem de manobra. Quando a atribuição aponta para um estado-nação ou uma rede criminosa coordenada, os defensores podem recorrer a agências nacionais, centros de compartilhamento e análise de informações (ISACs) e parcerias globais para uma colaboração e suporte mais rápidos.
A ordem de operação é clara: interromper as capacidades primeiro e, em seguida, usar a atribuição como um meio de alavancagem.
🌊 O Efeito Cascata dos Ataques à Cadeia de Suprimentos de Terceiros
Os atacantes exploram cada vez mais integrações confiáveis para violar muitas organizações simultaneamente. Mesmo empresas bem protegidas podem se tornar alvos simplesmente por estarem conectadas a ecossistemas valiosos. Incidentes recentes demonstram os riscos de ecossistemas digitais interconectados:
- Comprometimento OAuth: Ataques têm abusado da confiança legítima OAuth entre plataformas para realizar movimentação lateral em ambientes conectados. Ao encadear tokens OAuth e permissões de API, os atacantes podem obter acesso amplo em centenas de empresas, transformando efetivamente uma funcionalidade de integração em um caminho de infiltração em grande escala.
- Vulnerabilidade em softwares de transferência de arquivos (ex: MOVEit 2023): Falhas em componentes únicos de software permitiram que agentes criminosos e estatais comprometessem dados de milhares de organizações por meio de um único componente vulnerável, resultando em grandes violações de dados.
Esses incidentes provam que os atacantes não precisam mais violar os alvos diretamente; em vez disso, eles seguem a cadeia de confiança. Isso significa que os defensores devem priorizar a mitigação de TTPs compartilhadas, como roubo de credenciais, mau uso de tokens e abuso de integração, antes que a atribuição entre em jogo.
♟️ Dentro da Zona Cinzenta Estratégica do Conflito Cibernético
Incidentes recentes mostram a facilidade com que as táticas criminosas e os objetivos estatais podem convergir.
- Campanhas de Espionagem (Supply Chain): Campanhas de espionagem estatais (ex: SolarWinds 2021) demonstraram como os atacantes exploram a confiança na cadeia de suprimentos de software para inserir códigos maliciosos em plataformas amplamente utilizadas, fornecendo acesso secreto de longo prazo a redes governamentais e corporativas.
- Ransomware em Infraestrutura Crítica: Um ataque de ransomware a um oleoduto nacional (2021) começou como uma tentativa de extorsão, mas desencadeou medidas de emergência nacional ao paralisar a distribuição de combustível. A situação escalou para um nível geopolítico.
- Motivos Borrados: O uso de plataformas RaaS (ex: Qilin 2025) por um ator estatal para publicar dados exfiltrados de um alvo geopolítico demonstra como a infraestrutura cibercriminosa orientada para o lucro pode se envolver em conflitos geopolíticos de maneiras que seus operadores podem não antecipar.
Embora todos esses ataques tenham apresentado motivos diferentes, eles usaram métodos semelhantes, incluindo a exploração de sistemas confiáveis, abuso de credenciais e movimentação lateral sob acesso legítimo.
Essa sobreposição de táticas não é coincidência. A convergência de táticas criminosas e patrocinadas por estados cria uma zona cinzenta estratégica que exige que os defensores detectem e mitiguem rapidamente as TTPs compartilhadas, ao mesmo tempo que usam a inteligência de atribuição para fortalecer a coordenação entre fronteiras e indústrias.
🤖 IA em Ataques Cibernéticos: Barreira Mais Baixa, Riscos Maiores
A Inteligência Artificial está acelerando ainda mais a convergência entre a guerra cibernética e o cibercrime, especialmente à medida que as capacidades agênticas se tornam mais comuns.
- Espionagem Habilitada por IA (2025): Campanhas de espionagem têm sido relatadas utilizando a automação de Modelos de Linguagem Grande (LLMs) para conduzir reconhecimento, desenvolver exploits e coletar credenciais. Em casos extremos, 80% a 90% das tarefas foram concluídas de forma autônoma.
- Aceleração da Defesa e do Ataque: A tecnologia de IA reduz a barreira de entrada para atores menores executarem operações complexas e comprime o tempo de permanência (dwell time), diminuindo as janelas de reação de dias para horas. Por outro lado, a IA também arma os defensores com automação para detectar, conter e investigar ameaças mais rapidamente.
Em resumo, a IA é o novo equalizador, e aqueles que automatizam mais rapidamente ganham a vantagem.
🛡️ Defendendo-se Contra a Convergência
Com o desaparecimento das linhas divisórias e a aceleração da tecnologia, os defensores precisam de um novo plano de ação. Cibercrime e guerra cibernética não são mais categorias separadas; eles compartilham infraestrutura, ferramentas e objetivos.
- Fusão de Táticas: A inteligência de ameaças aponta que atores estatais estão coordenando cada vez mais ataques cibernéticos com operações físicas (cinéticas), borrando a linha entre guerra digital e física. Intrusões cibernéticas têm sido observadas precedendo ou coincidindo com ataques físicos à infraestrutura crítica, ampliando o impacto e complicando os esforços de resposta.
A verdadeira resiliência depende de três prioridades:
- Foco em TTPs e Capacidades: Mapear e mitigar como os ataques se desenrolam — desde o acesso inicial até a exfiltração — antes que a atribuição seja conhecida.
- Interrupção da Kill Chain: Velocidade e automação na detecção, isolamento e controle de privilégios podem transformar crises em eventos contornáveis.
- Uso da Atribuição para Fortalecer a Colaboração: Entender quem atacou e por que é mais importante quando isso alimenta a cooperação público-privada (através de ISACs, CERTs nacionais e programas conjuntos de inteligência) que escala a proteção em todas as indústrias.
Quando os motivos se confundem e as tecnologias aceleram, a clareza, a velocidade e a parceria definem uma defesa forte. Mitigar as TTPs é o escudo imediato, mas a colaboração e o compartilhamento de informações são os multiplicadores de força duradouros. Em um mundo onde o cibercrime e a guerra cibernética convergem, a clareza é defesa e a unidade é poder.
