Shadow AI e hábitos inseguros elevam a superfície de ataque das PMEs
O uso silencioso de ferramentas de inteligência artificial fora do controle das empresas e a persistência de práticas básicas de segurança negligenciadas estão abrindo uma brecha perigosa na ciberproteção de pequenas e médias empresas (PMEs). Um estudo recente da WatchGuard Technologies mostra que o comportamento dos funcionários se tornou um vetor de risco tão relevante quanto vulnerabilidades técnicas ou falhas de configuração.
De acordo com o “Relatório de Higiene em Cibersegurança 2026”, 64% dos profissionais admitem recorrer a soluções de IA não autorizadas para executar tarefas do dia a dia. Esse uso paralelo, conhecido como Shadow AI, cresce à margem das políticas de TI e, na maioria dos casos, sem qualquer tipo de monitoramento ou governança. O resultado é um ambiente em que dados sensíveis podem ser processados, armazenados ou compartilhados por sistemas que a própria empresa desconhece.
Ao mesmo tempo, velhos hábitos continuam comprometendo a segurança. O levantamento aponta que 76% dos funcionários reutilizam a mesma senha em vários serviços, o que aumenta exponencialmente o impacto de um eventual vazamento de credenciais. Outros 70% utilizam redes Wi‑Fi públicas para atividades profissionais, muitas vezes sem qualquer proteção adicional, abrindo caminho para interceptação de tráfego e ataques man-in-the-middle. Além disso, metade dos entrevistados acessa recursos corporativos sem o uso de VPN, tornando mais fácil o rastreamento e o sequestro de sessões.
O estudo também revela que 55% dos colaboradores utilizam dispositivos corporativos para atividades pessoais. Esse comportamento mistura universos que deveriam permanecer separados: o ecossistema controlado de TI da empresa e o ambiente particular do usuário, normalmente repleto de aplicativos pouco confiáveis, downloads aleatórios e navegação em sites de risco. Essa combinação aumenta a probabilidade de infecção por malware, golpes de phishing e instalação de extensões maliciosas em navegadores utilizados para acessar sistemas críticos da organização.
Segundo Marc Laliberte, diretor de Operações de Segurança da WatchGuard, o problema não está apenas na falta de investimento em tecnologia. Muitas empresas, especialmente PMEs, até adquirem soluções de proteção, mas permanecem “cegas” em relação à forma como as pessoas realmente trabalham. Em outras palavras, controles tradicionais foram desenhados para proteger redes, servidores e endpoints, mas nem sempre acompanham a dinâmica real do usuário, que mistura ferramentas pessoais, apps em nuvem, IA generativa e dispositivos diversos para cumprir metas de produtividade.
Essa falta de visibilidade transparece nos números do relatório. Menos de 30% dos entrevistados acreditam que suas organizações mantêm um inventário realmente preciso de todos os softwares em uso. Quase 40% admitem que operam sem enxergar, de forma completa, quais aplicativos e serviços estão sendo utilizados pelos funcionários no dia a dia. Nesse cenário, identificar Shadow AI, Shadow IT e outros riscos ligados a ferramentas “paralelas” torna‑se um desafio complexo.
Laliberte ressalta que o cenário de ameaças evoluiu e que, hoje, o gerenciamento do comportamento humano é tão importante quanto o endurecimento da infraestrutura. Para provedores de serviços gerenciados (MSPs), isso abre uma nova frente de atuação: não basta entregar firewall, antivírus ou monitoramento de rede; é preciso ajudar as PMEs a compreenderem e controlarem a forma como seus colaboradores consomem tecnologia, interagem com dados e driblam – intencionalmente ou não – as políticas da organização.
Nesse contexto, governança deixa de ser um tema “de grandes corporações” e passa a ser essencial também no universo das pequenas e médias empresas. Definir regras claras para o uso de IA, alinhar expectativas de privacidade, estabelecer limites para uso de dispositivos corporativos e pessoais, e criar mecanismos de auditoria contínua tornam‑se peças centrais da estratégia de cibersegurança. Não se trata de restringir tudo, mas de encontrar um equilíbrio entre inovação e proteção.
A WatchGuard sugere um conjunto de seis medidas práticas para PMEs e MSPs que desejam reduzir o impacto dos riscos humanos. A primeira é a adoção de gerenciadores de senhas combinados com autenticação multifator (MFA), de modo a mitigar o problema da reutilização de credenciais e tornar mais difícil o acesso indevido mesmo após um vazamento. Em seguida, é fundamental mapear e identificar o uso de tecnologias não autorizadas (Shadow IT e Shadow AI), integrando, sempre que possível, as ferramentas realmente úteis ao ambiente corporativo sob supervisão adequada.
Outra recomendação é estabelecer políticas objetivas para o uso aceitável de IA, deixando explícito quais tipos de dados podem ou não ser inseridos nessas plataformas, quais ferramentas são aprovadas, como devem ser configuradas e quais registros de uso serão coletados. A ampliação da proteção com VPN e abordagens de Zero Trust vem na sequência, reforçando a ideia de que nenhum acesso deve ser automaticamente confiável, mesmo quando parte de dentro da própria rede.
Treinamentos contínuos de segurança também são apontados como pilar essencial: não basta realizar campanhas pontuais. É necessário cultivar uma cultura de atenção a riscos digitais, com simulações de phishing, reciclagem de boas práticas e comunicação clara sobre novos tipos de golpe. Por fim, o relatório recomenda acompanhar métricas de risco humano em paralelo a indicadores técnicos, permitindo que a empresa perceba, por exemplo, se as taxas de cliques em e‑mails maliciosos diminuem, se o uso de senhas fracas cai ou se o acesso não autorizado a aplicações diminui ao longo do tempo.
Para as PMEs, que geralmente contam com equipes de TI reduzidas e orçamentos limitados, o desafio está em priorizar as ações com melhor custo‑benefício. Em muitos casos, pequenas mudanças de hábito podem gerar impactos significativos. Exigir MFA em todos os acessos críticos, reforçar a proibição de uso de Wi‑Fi público sem VPN e separar rigidamente o uso de dispositivos pessoais e corporativos são exemplos de medidas que exigem mais disciplina do que investimento financeiro pesado.
Outra frente importante é a formalização de inventário de software e serviços em nuvem. Mesmo sem ferramentas complexas, as empresas podem iniciar um processo de mapeamento: levantar quais aplicativos são necessários às atividades de cada área, registrar quem tem acesso a quê, e descontinuar o que for redundante ou desconhecido. Esse movimento reduz a superfície de ataque, elimina riscos desnecessários e aumenta a transparência sobre o uso de IA e de outras tecnologias no ambiente de trabalho.
Os MSPs, por sua vez, podem se diferenciar ao oferecer não apenas suporte técnico, mas consultoria em políticas e comportamento seguro. Isso inclui apoiar a criação de programas de conscientização, definir processos de aprovação de novas ferramentas, acompanhar indicadores de risco humano e traduzir os resultados em relatórios acessíveis para a gestão. Em vez de atuar apenas como “socorristas” em incidentes, esses provedores passam a ocupar um papel estratégico, ajudando as PMEs a construírem resiliência a longo prazo.
O fenômeno de Shadow AI em particular tende a crescer à medida que surgem novas soluções baseadas em modelos generativos e automação inteligente. Funcionários recorrem a essas ferramentas para acelerar tarefas como redação de e‑mails, análise de documentos, geração de código, criação de apresentações e suporte ao atendimento ao cliente. Sem orientação adequada, podem acabar fornecendo a essas plataformas informações sigilosas de clientes, dados financeiros, estratégias de negócios ou detalhes de infraestrutura de TI, que podem ser retidos, processados ou até utilizados para treinar modelos futuros.
Por isso, tratar a IA como aliada – e não como inimiga – é parte da resposta. Em vez de simplesmente proibir tudo, muitas PMEs se beneficiam ao selecionar um conjunto oficial de ferramentas de inteligência artificial, configuradas com controles de privacidade mais rígidos, integração a sistemas internos e registro de uso. Quando o colaborador tem à disposição soluções aprovadas, a tendência é reduzir o impulso de buscar alternativas desconhecidas, diminuindo o espaço para Shadow AI.
Em última instância, a mensagem do relatório é clara: tecnologia de segurança por si só não basta. A combinação de ferramentas adequadas, governança mínima, processos bem definidos e usuários conscientes é o que realmente reduz o risco. Ignorar o fator humano significa aceitar que comportamentos cotidianos – como repetir senhas, usar Wi‑Fi aberto ou colar dados sensíveis em um chatbot qualquer – continuem sendo a porta de entrada favorita dos atacantes. Para as PMEs que desejam crescer de forma sustentável, enxergar e gerir esses riscos “invisíveis” deixou de ser opção e tornou‑se requisito básico de sobrevivência digital.