O trabalho remoto está abrindo a porta para centenas de invasões digitais
Uma onda de ataques cibernéticos realizados por funcionários fraudulentos, em vez de hackers externos, está forçando as seguradoras a lidar com uma categoria de sinistros que não se encaixa claramente nem em uma apólice de cyber nem de crime.
Pesquisadores de segurança cunharam o termo “insider sintético” para essa tendência, em reportagem do Financial Times desta semana: atacantes que usam imagens, vídeos e voz deepfake gerados por IA para se passar por funcionários confiáveis ou candidatos a emprego e, em seguida, explorar essa confiança de dentro da própria rede da empresa. O exemplo mais claro continua sendo o esquema fraudulento de trabalhadores de TI da Coreia do Norte, no qual operadores usaram identidades americanas roubadas para conseguir empregos técnicos remotos em mais de 100 empresas dos EUA, gerando mais de US$ 5 milhões para o regime sancionado antes de uma repressão do Departamento de Justiça no ano passado. Reportagem anterior do FT constatou que a tática desde então também se espalhou pela Europa, com “fazendas de laptops” baseadas no Reino Unido permitindo que operadores no exterior aparentem acessar sistemas de dentro do país.
Para gestores de risco, a questão mais urgente não é se isso está acontecendo — claramente está — mas onde as perdas resultantes realmente se encaixam no programa de seguros.
O ponto cego da cobertura
Fraudes habilitadas por deepfake têm exposto repetidamente o que corretores descrevem como um problema de “empurra-empurra” entre coberturas cyber e de crime. Como colocou um corretor entrevistado pela Insurance Business UK, a cobertura de engenharia social dentro de uma apólice cyber costuma ter sublimite — limitada a uma fração do limite total — porque as seguradoras ainda tratam a perda como essencialmente uma exposição de crime com uma “camada” cyber.
Essa ambiguidade se aplica tanto a um funcionário falso quanto a uma instrução fraudulenta de transferência bancária. Se uma contratação fraudulenta for detectada antes de qualquer acesso ao sistema, pode não acionar uma apólice cyber. Se o mesmo operador obtiver acesso à rede e exfiltrar dados ou instalar malware — como ocorreu no incidente amplamente divulgado de 2024 do fornecedor de cibersegurança KnowBe4 — o perfil de perda se aproxima de uma resposta convencional a violação, mas questões sobre quem autorizou a contratação e sob qual padrão de verificação ainda podem complicar um sinistro de práticas trabalhistas ou de crime em paralelo.
Seguradoras nos EUA vêm ajustando a redação das apólices em resposta. Algumas agora definem especificamente suas extensões de engenharia social para abranger falsificação com auxílio de IA, segundo fontes citadas na cobertura da Insurance Business sobre fraudes impulsionadas por IA e seguro cyber — embora muitas dessas mesmas apólices incluam requisitos de autenticação ou retorno de chamada que podem ser difíceis de cumprir consistentemente na prática, criando uma nova fonte de atrito em sinistros. Separadamente, a Insurance Business reportou que seguradoras de cyber, em geral, vêm reforçando — e não reduzindo — a cobertura relacionada à IA, mesmo enquanto seguradoras de outras linhas se tornam mais cautelosas com a exposição à IA de forma geral.
Os números que os subscritores estão observando
Dados independentes sugerem que perdas causadas por insiders representam uma parcela persistente, embora secundária, do quadro geral de violações. O Data Breach Investigations Report 2026 da Verizon, que analisou mais de 22.000 violações confirmadas, constatou que atores internos estiveram envolvidos em 12% delas — abaixo dos 18% do ano anterior, mas ainda uma fatia relevante dado o tamanho do conjunto de dados. Mais marcante para os subscritores é a constatação de “shadow AI” da Verizon: 45% dos funcionários agora usam regularmente ferramentas de IA em dispositivos corporativos, acima dos apenas 15% um ano antes, e 67% desse uso ocorre por meio de contas não corporativas que contornam quaisquer controles existentes na empresa. O uso de shadow AI é agora a terceira categoria mais comum de eventos de perda de dados por insiders não maliciosos monitorados pela Verizon, um aumento de quatro vezes em relação ao ano anterior.
O Relatório de Risco de Insiders 2025 da Fortinet aponta na mesma direção: 62% dos incidentes de insiders decorreram de erro humano ou contas comprometidas, e quase três quartos dos líderes de segurança entrevistados admitiram não ter visibilidade total sobre como os funcionários interagem com dados sensíveis em endpoints, ferramentas SaaS e plataformas de IA generativa. Pesquisa separada atribuída ao Ponemon Institute aponta o custo médio de um incidente de insider na América do Norte em aproximadamente US$ 22,2 milhões em 2025 — um número que eu recomendaria verificar com o próprio relatório do Ponemon antes da publicação, já que chegou a mim por meio de um resumo secundário e não da fonte primária — mas, mesmo direcionalmente, trata-se de um valor que os subscritores estão considerando ao definir limites e franquias para contas com grandes forças de trabalho remotas ou de contratados.
Em conjunto, os dados sugerem que infiltrações deliberadas patrocinadas por Estados, como o esquema norte-coreano, representam uma exposição de alta severidade, porém de frequência relativamente baixa, enquanto a negligência cotidiana e o uso de shadow AI representam o risco base de maior frequência — ainda assim custoso — do qual a maioria dos sinistros relacionados a insiders realmente se origina.
O que isso significa para subscrição e gestão de riscos
Algumas implicações práticas emergem para os mercados de cyber e crime nos EUA:
A classificação importa na contratação, não apenas no sinistro. Corretores que colocam cobertura para clientes com contratações remotas significativas devem confirmar explicitamente se a falsificação com uso de IA — na contratação ou na autorização de pagamentos — está coberta pela extensão de engenharia social da apólice cyber, pela cobertura de instruções fraudulentas da apólice de crime, ou por ambas, e em qual sublimite.
Falhas de verificação podem se tornar disputas de cobertura. Quando as apólices impõem condições de autenticação fora de banda ou retorno de chamada, seguradoras e segurados devem esperar disputas sobre se o processo de contratação ou verificação de pagamentos de uma empresa atendeu ao padrão da apólice — especialmente à medida que ferramentas de IA tornam a falsificação mais difícil de ser detectada por um funcionário não treinado.
Shadow AI é uma exposição crescente e subprecificada. Com o uso corporativo regular de IA quadruplicando em um ano, segundo os dados da Verizon, e a maior parte ocorrendo fora de contas autorizadas, os subscritores podem precisar atualizar as perguntas sobre tratamento de dados e governança de IA nas propostas para acompanhar como a exposição realmente está evoluindo, em vez de focar apenas nos casos mais chamativos envolvendo Estados-nação.
Controles baseados em acesso continuam sendo a mitigação mais barata. Seja o insider um agente estatal ou um funcionário bem-intencionado que usa mal uma ferramenta de IA, limitar o acesso permanente a sistemas sensíveis reduz tanto a frequência quanto a severidade das perdas resultantes — um ponto reforçado por recomendações de diversos especialistas após a reportagem do FT.
À medida que ferramentas de deepfake se tornam mais baratas e fáceis de usar, a distinção entre “ameaça interna” e “atacante externo” tende a continuar se tornando mais difusa — e coberturas construídas com base nessa distinção mais antiga precisarão evoluir para acompanhar.
