Segurança da identidade dos bancos e IA

O que significa o mandato do BCE sobre cibersegurança com IA, de outubro de 2026, para a segurança da identidade dos bancos?

Em 7 de julho de 2026, o Banco Central Europeu determinou que os bancos da área do euro estabelecessem, até 31 de outubro de 2026, um plano para enfrentar ciberameaças baseadas em IA capazes de perturbar os serviços financeiros. O mandato abrange os bancos dos seguintes países europeus: Áustria, Bélgica, Bulgária, Croácia, Chipre, Estónia, Finlândia, França, Alemanha, Grécia, Irlanda, Itália, Letónia, Lituânia, Luxemburgo, Malta, Países Baixos, Portugal, Eslováquia, Eslovénia e Espanha.

É importante salientar que isto não é apenas uma orientação, mas um prazo para tomar medidas contra ciberameaças cada vez mais sofisticadas. A identidade é uma das poucas camadas de controlo sobre as quais um banco pode atuar diretamente, sem esperar pelo roadmap de um fornecedor ou por uma renovação da infraestrutura.

Este novo mandato do BCE sublinha uma tendência mais ampla para uma verificação de identidade mais robusta, à medida que as organizações enfrentam ciberameaças cada vez mais sofisticadas e aceleradas pela IA. De facto, a identidade tornou-se a principal superfície de ataque para os cibercriminosos, com 86% dos ataques de phishing atualmente impulsionados por IA.

O mandato reflete uma evolução que os reguladores já não podem tratar como teórica: a IA reduziu o intervalo entre o momento em que uma vulnerabilidade é descoberta e o momento em que é explorada. As equipas de segurança costumavam ter semanas para corrigir uma falha ou detetar um início de sessão suspeito. No caso dos ataques acelerados pela IA, esta janela mede-se agora em minutos.

Três tendências principais favorecem esta compressão:

1. Os modelos de vanguarda podem encontrar e explorar vulnerabilidades de forma autónoma. Os modelos mais recentes demonstraram que conseguem descobrir vulnerabilidades até então desconhecidas e construir ataques sofisticados com base nas suas descobertas. Além disso, demonstraram capacidade para combinar vulnerabilidades de gravidade moderada ou baixa para realizar ataques bem-sucedidos.
2. Phishing gerado por IA em grande escala. Os atacantes utilizam IA generativa para produzir conteúdos de phishing personalizados e convincentes mais rapidamente e num volume muito superior ao permitido pelas campanhas manuais. Um agente poderá utilizar credenciais roubadas para aceder a sistemas com vulnerabilidades não corrigidas.
3. Do roubo de credenciais à tomada de controlo de contas em minutos, e não em dias. A IA tem a capacidade de construir exploits com base em vulnerabilidades de forma autónoma, o que resulta em tempos de resposta muito curtos para as equipas de segurança. Se um modelo de vanguarda encontrar uma vulnerabilidade desconhecida, o desafio de responder é ainda maior. Com credenciais roubadas, a IA dispõe agora do acesso necessário para executar o ataque com base nas vulnerabilidades recentemente descobertas.

A gestão de acessos é um controlo fundamental para combater a nova realidade em que vivemos. Como já acontece, os mecanismos de autenticação legados que dependem de uma pessoa tomar uma decisão sob pressão (aprovar uma notificação push, ler um código ou confiar numa voz ao telefone) já não são suficientes para proteger o acesso.

Controlos de identidade que a IA tornou indispensáveis

A diretiva do BCE está orientada para resultados e não constitui uma lista de controlo tecnológica prescritiva. Os bancos devem ir além de uma simples declaração de princípios e criar um plano de ação documentado que demonstre que avaliaram a sua exposição às ameaças relacionadas com a IA e que têm medidas concretas de mitigação em curso. Na prática, isto significa abordar a gestão de vulnerabilidades, a deteção automatizada de ameaças e os controlos de identidade e acesso com a mesma urgência com que os atacantes operam atualmente.

A identidade está no centro deste plano por uma razão simples: protege o acesso a sistemas que podem apresentar uma vulnerabilidade explorável. Além disso, é a camada de controlo que os bancos podem reforçar mais rapidamente e aquela que a IA foi mais diretamente concebida para atacar. Duas áreas têm o maior impacto imediato e a longo prazo e exigem um esforço mínimo:

1. Autenticação resistente ao phishing para utilizadores privilegiados. Os códigos, links e aprovações push dependem todos da capacidade de uma pessoa detetar uma fraude. A autenticação baseada em hardware FIDO2/WebAuthn elimina esta dependência: não há qualquer código que possa ser capturado por phishing nem segredo partilhado que a IA possa extrair, porque a credencial está associada a um dispositivo físico em vez de a algo que uma pessoa possa ser enganada a revelar. Uma empresa não pode limitar-se aos utilizadores privilegiados. Em primeiro lugar, a definição de utilizador privilegiado pode ser difícil, uma vez que muitos utilizadores têm acesso a dados e sistemas sensíveis. Em segundo lugar, os ataques seguem frequentemente um padrão que consiste em obter um primeiro acesso com uma conta de privilégios reduzidos e, depois, encontrar falhas para aceder a uma conta com privilégios superiores. Para estarem totalmente protegidos, todos os utilizadores devem utilizar soluções de autenticação resistentes ao phishing.
2. Identificar e proteger os pontos de acesso públicos e o serviço de assistência (help desk). Os atacantes irão concentrar-se nos vetores aos quais têm acesso, começando pelos acessos a partir da Internet. Certifique-se de que todos os endpoints são conhecidos e exigem mecanismos de autenticação resistentes ao phishing. Outro vetor facilmente acessível é o serviço de assistência, onde ferramentas de IA podem ser utilizadas para convencer um agente a transferir o acesso. Se a recuperação de uma conta puder ser aprovada por uma voz ao telefone, também poderá sê-lo por uma voz clonada. A verificação dos utilizadores pelo serviço de assistência deve incluir um passo que uma voz ou uma mensagem gerada por IA não consiga ultrapassar por si só.

A relação com o DORA

Os bancos que já estão a trabalhar na gestão de riscos de TIC e nos requisitos de autenticação forte do DORA reconhecerão muitas sobreposições. O mandato do BCE não é o mesmo que o DORA, mas ambos se sobrepõem significativamente. O DORA rege a gestão global dos riscos de TIC e a resiliência; este mandato exige especificamente um plano para as ciberameaças relacionadas com a IA. A autenticação resistente ao phishing cumpre os requisitos de ambas as diretivas. Implementar uma MFA resistente ao phishing para cumprir o mandato do BCE sobre IA satisfaz simultaneamente as disposições de autenticação do DORA. Um investimento em identidade permite cumprir duas obrigações regulamentares.

Se quiser aceder ao texto original, clique aqui.