O Fundo Monetário Internacional (FMI) costuma falar de juros, dívida pública e inflação. Mas na edição de outubro de 2026 do “Global Financial Stability Report (GFSR)” aponta três riscos capazes de apertar bruscamente as condições financeiras e provocar turbulência nos mercados, dois deles tecnológicos: uma correção ligada à Inteligência Artificial, uma alta abrupta nos juros dos títulos públicos e as ameaças cibernéticas. Na avaliação de tendência, o risco cibernético aparece como “pior” do que na edição anterior: as ameaças cibernéticas, escrevem os técnicos do fundo, “constituem um risco sistêmico crescente à medida que os serviços financeiros se tornam mais digitais e interconectados”.
A preocupação do FMI é com o efeito dominó. O relatório aponta que um grande ataque que afete pagamentos, negociações ou o acesso a depósitos poderia causar perdas imediatas e abalar a confiança. Se a interrupção atingir um ponto crítico, como um grande banco, um provedor de nuvem ou um fornecedor de software, ela pode virar um choque de confiança mais amplo ou prejudicar a oferta de crédito. Para o FMI, o impacto de um ataque bem-sucedido a instituições ou infraestruturas críticas “pode ser severo”.
“O que o FMI aponta é que a cibersegurança deixa de ser uma preocupação exclusiva das equipes de tecnologia e passa a ser uma questão estratégica para a estabilidade econômica. Hoje, um ataque cibernético não precisa atingir diretamente um banco para comprometer o sistema financeiro. Basta afetar um fornecedor tecnológico, uma infraestrutura compartilhada ou um serviço essencial para provocar interrupções em cadeia”, diz Milton Lima, pesquisador-líder em Cyber Threat Intelligence do CISSA — Centro de Competência Embrapii em Segurança Cibernética, operado pelo CESAR .
Para os bancos, diz Lima, isso significa ampliar a visão de risco para além da própria infraestrutura. Para os reguladores, significa avaliar a capacidade de resposta e recuperação do sistema financeiro na totalidade. E, para os conselhos de administração, significa tratar a resiliência cibernética como parte da continuidade do negócio. “No CISSA, trabalhamos justamente nessa direção: transformar dados, inteligência e pesquisa científica em capacidades concretas de antecipação, detecção e resposta”, completa.
“A grande mudança é compreender que não basta proteger uma organização individualmente. Precisamos desenvolver capacidade coletiva de enfrentar ameaças que ultrapassam os limites de uma única instituição”, explica Lima. O pesquisador dá como exemplo o projeto Dark Visions, desenvolvido em cooperação com a Secretaria de Defesa Social de Pernambuco. A proposta é integrar diferentes fontes de informação e capacidades de investigação para identificar padrões de ataques e fraudes que, quando analisados isoladamente, poderiam passar despercebidos.
As três forças identificadas pelo FMI
- Digitalização acelerada: ampliou a superfície de ataque, com dependência crescente de nuvem, terceiros e pagamentos em tempo real.
- Concentração em poucos fornecedores: a dependência de poucos provedores críticos e de cadeias de terceiros opacas criou pontos comuns de falha.
- Ameaças mais sofisticadas: atores estatais, grupos de ransomware e pessoas de dentro das organizações têm acesso a ferramentas mais poderosas, como modelos de IA de fronteira com fortes capacidades em simulações de ataques a redes.
Mas o dado mais perturbador trata do tempo de reação, que encolheu. Em mais de 70% dos casos de 2026, os fornecedores de software tiveram prazo quase zero para corrigir vulnerabilidades antes do início da exploração, um salto de 20 pontos percentuais em apenas um ano. Isso representa mais que o dobro da porcentagem registrada em 2021, quando os fornecedores geralmente tinham cerca de 300 dias para corrigir as vulnerabilidades. Os modelos de IA de ponta podem acelerar tanto os ataques quanto as defesas, aumentando a importância da resiliência cibernética, da notificação de incidentes, do preparo para crises e da supervisão de fornecedores terceirizados críticos.
O FMI soma a isso a falta de profissionais, com base em estudo do Global Cybersecurity Forum, que cobre 48 países e aponta escassez de talentos em regiões como a Ásia. Segundo o relatório, a IA pode ajudar a suprir essa escassez com monitoramento, detecção de ameaças e resposta automatizada. Mas ela também aumenta a urgência de reforçar o básico, porque acelera a descoberta e a exploração de falhas e comprime o ciclo de ataque e defesa à “velocidade de máquina”.
E, quando se trata de vulnerabilidade, o relatório chama atenção para os países emergentes. Eles enfrentam exposições semelhantes às ameaças cibernéticas, mas muitas vezes com menos recursos de defesa, capacidade de supervisão mais limitada e menor acesso a ferramentas de ponta. Para o FMI, é aí que a necessidade de reforçar a resiliência é mais premente.
“O desafio não é apenas formar mais profissionais, mas desenvolver especialistas capazes de enfrentar ameaças cada vez mais sofisticadas”, argumenta Milton Lima. “No CISSA, integramos pesquisa científica, inovação e formação de mestres, doutores e profissionais especializados. Projetos como Cyber MOHO e Dark Visions aproximam a formação acadêmica de problemas reais, preparando profissionais não apenas para operar tecnologias, mas também para desenvolver novas soluções de defesa cibernética.”
Um alerta que vem crescendo
A preocupação do FMI com a segurança cibernética não vem de agora. No GFSR de abril de 2024, em um capítulo dedicado à cibesegurança, o Fundo Monetário alertava que os ataques cibernéticos mais que dobraram desde a pandemia e que quase um quinto deles atingia empresas financeiras, com os bancos como os mais expostos. As perdas extremas em incidentes cibernéticos haviam mais que quadruplicado desde 2017, para US$ 2,5 bilhões. Uma pesquisa mostrava ainda que somente cerca de metade dos países pesquisados tinha uma estratégia nacional de cibersegurança voltada ao setor financeiro ou regulação específica sobre o tema.
De lá para cá, o risco cibernético no setor financeiro passou por uma evolução conceitual e estratégica profunda. A visão do FMI progrediu de um diagnóstico focado no aumento da frequência e perdas de ataques operacionais para uma abordagem em que a IA de Fronteira atua como catalisadora de riscos sistêmicos macrofinanceiros de primeira ordem.
2026: a IA de fronteira muda a equação
Uma nova análise, publicada em maio de 2026, marcou uma mudança decisiva, colocando os modelos de IA de fronteira no centro da equação de risco cibernético 21.
- Assimetria Ataque vs. Defesa à “Velocidade de Máquina”: o FMI alertou que os ataques passaram a operar em velocidade automatizada. A capacidade da IA de varrer e explorar vulnerabilidades ultrapassa o tempo humano de reação e aplicação de correções (patching).
- Capacidades sem precedentes de modelos de fronteira: destacou demonstrações reais em que modelos avançados (como o Claude Mythos Preview da Anthropic), conseguiram identificar e explorar falhas em todos os principais sistemas operacionais e navegadores, inclusive quando operados por não-especialistas.
- Erosão de salvaguardas temporárias: as barreiras que antes continham os ataques (softwares proprietários e acesso restrito) começaram a se deteriorar rapidamente com a disseminação dos modelos.
- Mudança para “Resiliência em Primeiro Lugar” (Resilience-First): o FMI concluiu que defesas serão inevitavelmente rompidas. O foco das políticas públicas migrou da prevenção pura para a contenção do contágio, testes de estresse cibernético e garantia de funcionamento contínuo das funções financeiras essenciais.
Em junho, a nota técnica IMF Note 2026/005 reforçou que a ameaça não está em novos tipos de ataque, mas no “raio de explosão” (blast radius) e na velocidade de propagação por tecnologias e provedores compartilhados. Como as empresas tendem a investir menos do que o necessário em proteção, a nota defende uma resposta que envolva governo e setor privado.
“Eu não acredito que a prevenção esteja deixando de ser importante. O que está acontecendo é que ela, sozinha, já não é suficiente”, diz Lima. “A inteligência artificial está reduzindo drasticamente o tempo entre a identificação de uma vulnerabilidade e sua exploração. Isso exige uma mudança de paradigma: precisamos combinar prevenção com detecção antecipada, contenção rápida e continuidade operacional”, completa.
Milton Lima dá como exemplo o projeto Cyber MOHO, do CISSA, que investiga como identificar ameaças internas por meio da análise do comportamento humano, da mineração de processos e da inteligência artificial. “A proposta é ir além dos alertas tradicionais. Não queremos apenas identificar uma atividade diferente, mas compreender se determinado comportamento representa efetivamente uma ameaça, considerando o contexto, os processos organizacionais e as possíveis táticas de ataque.”
Framework de resiliência operacional
Para enfrentar a crescente ameaça dos riscos cibernéticos, o Fundo Monetário Internacional recomenda, no documento de outubro, a adoção de um framework de resiliência operacional capaz de abranger todo o sistema e que seja focado na continuidade dos serviços críticos, com recomendações ajustadas à maturidade de cada economia.
- Economias avançadas: reforçar a supervisão de terceiros e os testes de resiliência, mapeando serviços críticos e dependências.
- Emergentes e em desenvolvimento: priorizar a higiene cibernética básica, o reporte de incidentes, a coordenação de crises e a capacidade de supervisão.
- Países de baixa renda: concentrar os recursos escassos em controles essenciais e na proteção da infraestrutura crítica.
Isso inclui a gestão de risco de fornecedores (Third-Party Risk), com supervisão rigorosa sobre a cadeia de suprimentos digital, minimizando riscos decorrentes da dependência concentrada, e integração dos registros e infraestrutura, exigindo reconciliação e proteção contínua dos registros e das infraestruturas de liquidação para prevenir disputas de propriedade ou paralisias no processamento de pagamentos. É preciso considerar ainda testes de resiliência operacional e aprimoramento na notificação de incidentes para fortalecer os mecanismos de notificação rápida às autoridades e mitigação precoce de riscos de contágio.
Em todos os casos, as organizações devem desenvolver competências especializadas em segurança cibernética, fortalecer a experiência dentro dos órgãos reguladores e supervisores para acompanhar a automação dos ataques e exigir supervisão humana direta e governança sobre sistemas e modelos de IA implementados tanto para defesa quanto para operações financeiras. Afinal, em um sistema financeiro digital, interconectado e dependente de poucos fornecedores, os ataques não são mais problema de TI. Podem ser o estopim de uma crise financeira, e é por isso que entraram no radar de quem cuida da estabilidade da economia global.