A Frontier AI está testando a resiliência operacional no setor bancário europeu.

Os principais bancos diretamente supervisionados pelo Banco Central Europeu estão agora sob pressão. Até 5 ou 6 31 de2026 outubro, eles devem apresentar planos de ação mostrando como irão responder ao aumento das ameaças cibernéticas habilitadas por IA. Os planos devem abordar uma gestão mais rápida de vulnerabilidades e correções, um monitoramento e detecção mais robustos, riscos de terceiros e resiliência operacional. Os bancos precisam demonstrar que conseguem se adaptar a um ciclo de ameaças mais acelerado sem interromper os serviços críticos que protegem.

A carta do BCE de 7 de julho explica a urgência. Desde que a DORA entrou em vigor em janeiro de 2025, IA de ponta intensificou um risco já conhecido. Atualmente, vulnerabilidades de software podem ser encontradas e exploradas em uma velocidade sem precedentes, deixando os bancos com menos tempo para identificar, testar e implementar uma correção com segurança.

“Graças à IA de ponta, os agentes agora conseguem encontrar vulnerabilidades e identificar problemas de segurança muito rapidamente”, disse Aishwarya Ramani, gerente sênior de marketing de soluções da Illumio. “Mas eles também podem explorar essas vulnerabilidades na velocidade de uma máquina.”

Essa velocidade cria um equilíbrio difícil. Os bancos precisam corrigir as vulnerabilidades, mas uma mudança apressada em um sistema bancário central, plataforma de pagamento, ambiente de nuvem ou conexão crítica com terceiros pode interromper os serviços que eles estão tentando proteger. Eles precisam reduzir a exposição rapidamente sem causar uma interrupção no fornecimento de energia.

A janela de vulnerabilidade está diminuindo.

A gestão tradicional de vulnerabilidades seguia uma sequência clara: uma falha era descoberta. As equipes de segurança avaliaram a vulnerabilidade, testaram uma correção e implantaram a atualização. Esse processo nunca garantiu a segurança, mas muitas vezes dava aos defensores tempo para agir. A IA de vanguarda pode comprimir — e potencialmente eliminar — essa janela.

O CERT-EU alertou que "ferramentas baseadas em IA estão agora descobrindo e explorando vulnerabilidades de software em um ritmo que rompe fundamentalmente com o ciclo tradicional de atualizações". O estudo também citou evidências de que a exploração pode começar antes que uma correção esteja disponível.

Isso coloca as equipes de segurança bancária e de TI sob duas pressões concorrentes. Eles precisam avaliar mais vulnerabilidades e responder a ataques mais rapidamente. Ao mesmo tempo, eles precisam testar correções de segurança, manter os sistemas estáveis e garantir o funcionamento de serviços financeiros essenciais.

Os órgãos reguladores consideram esta uma mudança duradoura. Em junho, as agências de cibersegurança dos Cinco Olhos alertaram que o cronograma para grandes mudanças nas capacidades cibernéticas habilitadas por IA "não é de anos, mas de meses". O Conselho Europeu de Risco Sistémico alertou de forma semelhante que a inteligência artificial de ponta pode aumentar a velocidade, a escala e a sofisticação dos ciberataques contra o sistema financeiro da UE.

Em conjunto, esses alertas transformam a gestão de vulnerabilidades em uma questão de resiliência operacional. Os bancos ainda precisam corrigir as vulnerabilidades rapidamente, mas não podem depender apenas delas. Quando uma correção não está disponível ou não pode ser implementada imediatamente, é preciso reduzir a exposição, proteger os serviços críticos e limitar o alcance de um invasor.

“Quando algo não pode ser corrigido imediatamente, você ainda pode reduzir o seu alcance”, disse Ramani. “Se algo estiver comprometido, você o contém em vez de vê-lo se espalhar.”

DORA é a estrutura para comprovar a resiliência.

A DORA aplica-se a entidades financeiras da UE desde janeiro de 2025. Seus cinco pilares abrangem a gestão de riscos em tecnologias de informação e comunicação (TIC), a notificação de incidentes, os testes de resiliência, a gestão de riscos de terceiros e o compartilhamento de informações.

Mas a DORA não pressupõe prevenção perfeita. Isso exige que as empresas identifiquem os sistemas e fornecedores que dão suporte a serviços críticos. As empresas também devem comprovar que esses serviços podem resistir a interrupções.

O prazo de 31 de outubro estabelecido pelo BCE torna esse teste ainda mais urgente. Os bancos devem demonstrar como seus programas DORA se adaptarão a um ciclo de ameaças que deixa menos tempo para correções. Eles devem priorizar os sistemas mais vulneráveis, mantendo a estabilidade das operações bancárias essenciais, dos pagamentos e dos serviços ao cliente.

As dependências ampliam o raio da explosão.

A superfície de ataque de um banco se estende além do seu próprio centro de dados. Isso inclui ambientes em nuvem, componentes de software, serviços gerenciados, conexões de pagamento e fornecedores terceirizados. Uma vulnerabilidade em qualquer um deles pode abrir caminho para serviços críticos.

“Você não tem ideia da extensão dessa dependência de terceiros”, disse Ramani. “Mapear essas interdependências, creio eu, é o maior desafio.”

O recente incidente cibernético na Jack Henry torna o problema tangível. A empresa de tecnologia financeira dos EUA atende a mais de 7.200 bancos e cooperativas de crédito. Em agosto, a empresa divulgou que um ataque de vishing havia atingido uma parte limitada de seu ambiente interno, fora do ambiente de produção, e afetado as informações de identificação pessoal de menos de 10 clientes.

Jack Henry afirmou que nenhum sistema voltado para o cliente, plataforma principal ou serviço de processamento diário foi acessado ou interrompido. Seus controles detectaram a atividade, isolaram os sistemas afetados e contiveram o incidente sem interrupção.

O evento não causou grandes transtornos financeiros. Mas isso demonstra por que os bancos precisam entender suas conexões com os principais fornecedores de tecnologia — e por que precisam conter os sistemas afetados caso um ataque tenha como alvo um desses fornecedores.

Como Ramani afirma, “Uma avaliação dirá se um fornecedor era seguro em março, mas não diz nada sobre o que acontece quando o próprio ambiente desse fornecedor é comprometido em setembro e sua conexão com ele ainda está ativa.”

Como os bancos podem ganhar tempo

Quando os bancos não conseguem aplicar as correções de uma só vez, precisam de medidas de controlo que reduzam a exposição enquanto testam e implementam a solução. Ramani descreveu três etapas: “Avaliar, priorizar e detectar”.

Os bancos podem implementar essas medidas da seguinte forma:

• Mapeamento das conexões atuais entre aplicativos, cargas de trabalho, ambientes de nuvem e terceiros.

• Priorizar ativos voltados para a internet, serviços críticos e os caminhos que criam a maior exposição.

• Limitar a comunicação desnecessária leste-oeste para que um sistema comprometido não consiga alcançar tudo ao seu redor.

• Utilizando segmentação ou microsegmentação para proteger ativos críticos e reduzir o raio de explosão.

• Isolar cargas de trabalho comprometidas ou conexões de terceiros de risco antes que a movimentação lateral se espalhe.

• Testando planos de resposta contra exploração em alta velocidade, ransomware, interrupções na nuvem e falhas na cadeia de suprimentos.

A segmentação não substitui a aplicação de patches. Pode ser uma solução alternativa quando uma correção não está disponível, precisa de mais testes ou apresenta um risco operacional muito elevado para ser implementada. O BCE menciona especificamente a segmentação e, quando viável, a microsegmentação como parte da defesa em profundidade.

A resiliência deve acompanhar a ameaça.

Até 31 de outubro, os bancos precisam fazer mais do que reconhecer a ameaça emergente da IA. Eles precisam demonstrar como irão lidar com isso.

“Planos de ação robustos não partem do pressuposto de que os bancos podem corrigir todas as vulnerabilidades antes que os atacantes as explorem”, disse Ramani. “Eles demonstrarão que os bancos sabem quais sistemas são críticos, entendem como esses sistemas se interconectam e podem limitar a movimentação lateral quando um invasor consegue obter acesso.”

Quando as ameaças se movem na velocidade das máquinas, a resiliência exige mais do que apenas maior agilidade. Os bancos devem garantir que uma
vulnerabilidade não cause
interrupção operacional mais ampla.Quer saber mais? Explore as estratégias de contenção de violações de dados para o setor de serviços financeiros.

‍