SambaTalks T09E15 com Danilo Casabona, Chief Information Security Officer da Kroll

8 de out.

6 min de leitura

A mesma ferramenta que escreve seiscentas linhas de código em dois minutos também escreve o e-mail perfeito para enganar você. A inteligência artificial que deixou times de desenvolvimento mais produtivos derrubou, ao mesmo tempo, a barreira de entrada para quem quer atacar. Antes, invadir um sistema exigia conhecimento profundo de programação e anos de especialização. Hoje, boa parte disso cabe em um prompt bem escrito.

Esse é o paradoxo que define a cibersegurança neste momento, e quase ninguém o encara de frente. As empresas correm para adotar IA e colher ganhos de produtividade, mas a mesma onda que as acelera arma quem está do outro lado. E o problema raramente é o ataque em si: é a descoberta, tarde demais, de que a organização nunca se preparou para reagir.

No novo episódio do SambaTalks, Gustavo Caetano e Pedro Filizzola recebem Danilo Casabona, Chief Information Security Officer da Kroll, líder global em gestão de risco e investigação corporativa. A conversa percorre como a IA mudou o jogo dos dois lados, por que a maioria das empresas detecta e investiga mal os incidentes, como funcionam os golpes de engenharia social turbinados por IA e qual é a virada de postura que separa o bom profissional de segurança do que apenas diz não a tudo.

Danilo é engenheiro de formação e construiu a carreira dentro da parte mais técnica da cibersegurança, anos vividos dentro de data centers. Mas faz questão de não se afastar do código mesmo depois de chegar à liderança, porque acredita que o conhecimento técnico é o que dá confiança para defender uma posição e descer ao nível de detalhe que o tema exige. Passou por indústria e setor financeiro, empreendeu por um tempo com desenvolvimento de aplicativos, e há quase sete anos está na Kroll, onde conduz consultorias de cibersegurança, estratégia em nuvem e ciber-resiliência.

A IA democratizou o ataque, não só a defesa

O primeiro ponto que Danilo desenvolve é o que torna este momento diferente de tudo que veio antes. A IA baixou a barreira de entrada para os dois lados ao mesmo tempo.

Do lado de quem constrói, o ganho é enorme: um modelo entrega em minutos o que um grupo de desenvolvedores levaria semanas para escrever, e ainda produz os testes e segue boas práticas de desenvolvimento seguro quando instruído para isso. Uma empresa pequena, que não teria orçamento para um especialista em segurança, hoje consegue um nível de verificação que antes era inacessível.

Antigamente, para explorar uma vulnerabilidade, você precisava de conhecimento super aprofundado em programação. Hoje, você faz um prompt e vai construindo a partir dele.

O problema é que a mesma facilidade vale para o outro lado. Ferramentas capazes de analisar um sistema e encontrar falhas que ninguém conhecia podem ser usadas tanto para corrigir quanto para explorar essas falhas. A tecnologia não escolhe lado; quem escolhe é quem a opera. É por isso que Danilo insiste que o debate sobre adoção de IA nas empresas não pode acontecer separado do debate sobre segurança, porque a velocidade que empolga é a mesma que expõe.

Monitorar não é o mesmo que estar protegido

Talvez o diagnóstico mais incômodo do episódio seja sobre uma falsa sensação de segurança muito comum. Danilo organiza o trabalho em dois pilares: o proativo, que é fazer todo o possível para o incidente não acontecer, e o reativo, que é saber se recuperar quando acontece. E é no segundo que quase todo mundo tropeça.

O que ele observa, de forma recorrente, é que as empresas têm baixa capacidade de detecção e, quando detectam, baixa capacidade de investigação. Muitas até monitoram, mas o monitoramento não é eficiente. Quando o incidente chega e é preciso entender o que aconteceu, falta a informação necessária: um log que não estava habilitado, um tempo de retenção curto demais, um registro que ninguém guardou.

Até monitora, mas na hora de responder não tem a informação necessária para investigar. E aí você perde a capacidade de resposta.

A diferença entre detectar e investigar é a diferença entre ouvir o alarme e saber quem entrou. De nada adianta o sistema avisar que algo aconteceu se, na hora de reconstruir por onde o ataque entrou e o que levou, não há nada registrado. A capacidade de reagir não se constrói durante o incidente; ela se constrói antes, no trabalho invisível que só mostra valor no dia em que tudo depende dele.

O golpe agora é sob medida

Quando o assunto vira o tipo de ataque mais comum hoje, Danilo desfaz o estereótipo do hacker que quebra criptografia. A porta de entrada mais frequente continua sendo a mais humana: a engenharia social. E a IA a tornou muito mais perigosa.

Antes, o golpe se denunciava sozinho pelo português truncado de tradução automática. Agora, o atacante usa IA para varrer as redes sociais da vítima, descobrir seus hobbies e sua rotina, e escrever uma mensagem impecável e personalizada. Se você postou que foi a um torneio de tênis, o e-mail chega falando de tênis. É o que tecnicamente se chama de spear phishing, um ataque direcionado, montado sob medida para uma pessoa específica dentro da empresa.

Hoje o atacante faz uma busca nas suas redes, escreve um e-mail em português perfeito e manda algo direcionado ao que você gosta. Não é mais aquele spam genérico.

A camada seguinte são os deepfakes e a clonagem de voz, que já são tecnicamente possíveis e acessíveis, ainda que não tenham escalado comercialmente. Diante disso, Danilo oferece uma regra de ouro simples e defensiva, que vale para qualquer pessoa: desconfie de todo pedido urgente de dinheiro e confirme por um canal que você conhece. Se alguém pede uma transferência com uma história triste e um senso de urgência, a reação certa não é obedecer ao impulso, é ligar de volta para um número confiável ou procurar a pessoa. O senso de urgência é justamente a isca.

Segurança que não trava o negócio

O fechamento traz a reflexão mais estratégica da conversa, e a que mais interessa a quem lidera. Danilo descreve a própria evolução: começou como o profissional de segurança “por ideologia”, o guardião que exige quinze caracteres de senha e autenticação para tudo, e migrou para uma postura que ele chama de construtivista.

No fim do dia, é uma empresa, que precisa ter lucro, pagar as pessoas, gerar valor. Não existe bala de prata, existe bom senso.

A mudança está em entender o negócio antes de aplicar a regra. A decisão sobre qual risco correr não é do profissional de segurança; é do negócio. O papel de quem cuida de cibersegurança é traduzir o risco, mostrar probabilidade e impacto com clareza, e levar isso a um grupo que decide de forma madura.

Danilo conta que já viu uma área de segurança, numa empresa listada em bolsa, que simplesmente não deixava conectar nada, e lembra que, no mundo atual, nenhuma empresa opera isolada: há sistemas de terceiros, integrações com bancos, parceiros. Blindar a ponto de ilhar não é proteger, é inviabilizar.

A síntese que ele deixa para quem trabalha com segurança é uma inversão de atitude. Em vez de ser o “não” automático, a pergunta certa é: como eu viabilizo isso com segurança? O profissional que se diferencia é o que entende a demanda e encontra o caminho de menor risco para realizá-la, não o que a bloqueia.

O que fica do episódio

A conversa com Danilo mostra que cibersegurança deixou de ser um assunto só do time técnico para virar pauta de qualquer executivo que adota tecnologia. A mesma IA que acelera a empresa arma o ataque, e proteger-se deixou de ser opcional em negócios de todos os tamanhos.

O episódio deixa três coisas para quem lidera. Para quem adota IA, a consciência de que velocidade e exposição vêm juntas, e que o debate sobre inovação não se separa do de segurança. Para quem cuida de risco, a régua de que monitorar não basta, e que a capacidade de investigar e responder se constrói antes do incidente, não durante. E para todos, a lição de que o papel da segurança não é travar o negócio, mas viabilizá-lo com o menor risco possível, porque, num mundo em que nenhuma empresa opera sozinha, blindar até o isolamento é o mesmo que parar.

🎧 Quer mais insights como esses? Confira todos os episódios do SambaTalks no Spotify e descubra como líderes de grandes empresas estão aplicando inovação e IA nos negócios.

🚀 E se fosse no seu negócio? Na Samba, ajudamos empresas a aplicar IA de forma prática. Fale com nossos consultores.