A inteligência artificial já entra nos ataques às PMEA inteligência artificial já entra nos ataques às PME

Entre as empresas portuguesas que sofreram ciberataques nos últimos 12 meses, 92% registaram pelo menos um incidente ligado a novas vulnerabilidades de inteligência artificial. No ano anterior essa fatia era 48%. O número não diz que 92% de todas as PME foram atacadas. Diz que, quando o ataque existiu, a IA apareceu quase sempre no relato.

O que o relatório mediu

Os dados são do Relatório de Ciberpreparação da Hiscox 2026, feito com a Wakefield Research. Em Portugal ouviram 250 profissionais de empresas com menos de 250 trabalhadores, dentro de um estudo com cerca de 6.800 pessoas em dez mercados. A média de incidentes associados a estas vulnerabilidades passou de 1,60 para 3,48 por empresa, um aumento de cerca de 118%. Em 24% dos casos, uma ferramenta ou um programa de IA esteve entre as portas de entrada de um ataque que resultou.

A imprensa que leu o relatório aponta preocupações concretas: falhas em ferramentas de terceiros, envenenamento de dados, programas maliciosos, phishing, modelos comprometidos, e a tentação de deixar a máquina decidir com menos gente a ver. 42% das empresas afectadas adiaram projectos de IA, ou de outra tecnologia, depois de um ataque. Várias disseram que vão reforçar formação, auditorias e o controlo do que a ferramenta pode fazer.

O que limitar antes de ligar mais uma

A ferramenta que escreve, resume ou responde não precisa da caixa de correio inteira, da conta do banco nem do utilizador administrador do WordPress. Se o vendedor pede esses três para "poupar tempo", o tempo que se poupa é o do atacante.

• Uma extensão que publica sozinha no site é um editor sem revisão. Artigos, preços e respostas a clientes passam por uma pessoa antes de ficarem públicos.
• Pagamentos e mudanças de IBAN nunca ficam do lado do assistente. A regra do telefonema está no artigo sobre facturas falsas.
• Antes de aceitar um serviço novo, pergunte que dados guarda, durante quanto tempo, e se os usa para treinar modelos. Se não houver resposta clara, não se liga à operação.
• Se uma ferramenta foi a porta de um incidente, desliga-se primeiro. O relatório interno vem depois, com a chave já trocada.

Isto não é um argumento para desligar a IA. É um argumento para lhe dar o mesmo tratamento que se dá a um estagiário com acesso ao correio: trabalho útil, alcance curto, e um responsável que lê o que sai. O resto da higiene do site está nos cinco hábitos de cibersegurança para uma PME.

Fonte: Marketeer, 17 de Setembro de 2026, sobre o Relatório de Ciberpreparação da Hiscox 2026.