Uma nova campanha envolvendo a cadeia de suprimentos de software acendeu um alerta na comunidade de desenvolvimento: ao menos 36 pacotes maliciosos foram identificados no repositório do npm, utilizados por hackers para comprometer servidores e instalar mecanismos de persistência em ambientes corporativos. Os pacotes foram projetados para explorar serviços amplamente utilizados, como Redis e PostgreSQL, permitindo que os invasores executassem comandos remotamente e implantassem backdoors diretamente nos sistemas afetados. A técnica evidencia mais um caso de ataque à cadeia de suprimentos, onde a confiança em bibliotecas de terceiros se torna o principal vetor de comprometimento. Uma vez instalados, os pacotes iniciam processos automatizados para identificar credenciais, conexões ativas e configurações sensíveis nos ambientes comprometidos. Em seguida, os hackers utilizam essas informações para estabelecer acesso persistente, muitas vezes criando tarefas automatizadas ou modificando serviços existentes para garantir que o acesso seja mantido mesmo após reinicializações ou tentativas de remoção. Além da persistência, os scripts maliciosos também são capazes de realizar movimentação lateral dentro da infraestrutura, explorando integrações entre aplicações, bancos de dados e serviços internos. Isso amplia significativamente o impacto do ataque, permitindo que os invasores avancem além do ponto inicial de infecção. Outro ponto preocupante é o nível de disfarce adotado pelos pacotes. Muitos deles simulam bibliotecas legítimas ou utilizam nomes semelhantes a projetos populares, dificultando a identificação por desenvolvedores e ferramentas automatizadas. Esse tipo de técnica, conhecido como typosquatting ou impersonação de pacotes, continua sendo amplamente explorado em ataques modernos. Especialistas alertam que ambientes de desenvolvimento e produção estão cada vez mais expostos a esse tipo de ameaça, principalmente devido à dependência crescente de bibliotecas open source. Sem mecanismos robustos de validação e monitoramento, a simples instalação de um pacote pode abrir portas críticas dentro da infraestrutura. O incidente reforça a importância de práticas como verificação de dependências, uso de repositórios confiáveis, monitoramento de comportamento em tempo de execução e aplicação do princípio de menor privilégio em serviços como Redis e PostgreSQL. Mais do que um problema técnico, o caso evidencia um desafio estrutural: a segurança do software moderno depende não apenas do código desenvolvido internamente, mas de todo o ecossistema de componentes que sustentam as aplicações.

A empresa de telemedicina Hims & Hers Health confirmou um incidente de segurança após hackers acessarem indevidamente tickets de suporte armazenados em uma plataforma terceirizada de atendimento ao cliente. O ataque levanta novos alertas sobre riscos associados à cadeia de fornecedores digitais, especialmente em ambientes SaaS amplamente utilizados. De acordo com a notificação enviada às autoridades da Califórnia , a atividade suspeita foi identificada em 5 de fevereiro de 2026, afetando a plataforma de suporte operada pela Zendesk. A investigação apontou que, entre os dias 4 e 7 de fevereiro, invasores conseguiram acessar ou extrair informações contidas em tickets de atendimento sem autorização. Os dados expostos incluem nomes, informações de contato e outros detalhes fornecidos pelos próprios clientes durante interações com o suporte. Embora a empresa tenha afirmado que prontuários médicos e comunicações com médicos não foram comprometidos, o incidente ainda representa um risco significativo, especialmente considerando a natureza sensível dos serviços oferecidos, como tratamentos para saúde mental, disfunção erétil e perda de cabelo. Fontes indicam que o ataque pode estar ligado ao grupo hacker ShinyHunters, conhecido por campanhas de extorsão envolvendo grandes volumes de dados. A operação teria explorado credenciais comprometidas de SSO da Okta para acessar ambientes SaaS e serviços de armazenamento em nuvem, incluindo a instância do Zendesk utilizada pela Hims & Hers. Nesse caso específico, os hackers teriam utilizado o acesso indevido ao SSO para extrair milhões de tickets de suporte, ampliando o impacto potencial do incidente. A técnica reforça uma tendência preocupante: em vez de explorar vulnerabilidades diretas nos sistemas principais, invasores estão cada vez mais mirando integrações e plataformas terceiras, onde controles de segurança podem ser menos rigorosos ou mal configurados. A empresa afirmou que tomou medidas imediatas para conter o incidente, reforçar a segurança da plataforma e iniciar uma investigação detalhada. Como resposta, está oferecendo 12 meses de monitoramento de crédito gratuito para os usuários afetados, além de recomendar atenção redobrada a tentativas de phishing e engenharia social. O caso se soma a outros incidentes recentes envolvendo a mesma plataforma. Empresas como ManoMano e Crunchyroll também sofreram vazamentos de dados após comprometimentos em ambientes Zendesk, indicando um padrão de ataques direcionados a sistemas de atendimento ao cliente — frequentemente negligenciados nas estratégias tradicionais de segurança. O episódio evidencia um ponto crítico para empresas digitais: a segurança não depende apenas da proteção de seus sistemas internos, mas também da robustez de seus parceiros e integrações. Em um cenário cada vez mais interconectado, a superfície de ataque se expande para além do perímetro tradicional, exigindo uma abordagem mais abrangente de gestão de riscos.

Uma operação de grande escala conduzida por hackers está explorando uma vulnerabilidade crítica em aplicações baseadas em Next.js para roubo massivo de credenciais e dados sensíveis. A campanha utiliza a falha CVE-2025-55182 — classificada com pontuação máxima (CVSS 10.0) — como vetor inicial de ataque, permitindo execução remota de código nos sistemas comprometidos. A investigação conduzida pela Cisco Talos  identificou que pelo menos 766 servidores foram invadidos em diferentes regiões e provedores de nuvem. O grupo responsável, rastreado como UAT-10608, tem atuado de forma automatizada, explorando aplicações vulneráveis expostas na internet. Após obter acesso inicial, os hackers implantam um conjunto de scripts automatizados projetados para coletar e exfiltrar uma ampla variedade de informações críticas. Entre os dados roubados estão credenciais de banco de dados, chaves privadas SSH, tokens de acesso a plataformas como GitHub e GitLab, chaves de API do Stripe, além de credenciais temporárias associadas a ambientes em nuvem como AWS, Google Cloud e Microsoft Azure. A operação vai além da coleta básica de dados. Os invasores também capturam variáveis de ambiente, histórico de comandos executados no sistema, configurações de containers Docker e tokens de autenticação de serviços Kubernetes. Esse nível de visibilidade permite não apenas acesso direto aos sistemas comprometidos, mas também a compreensão detalhada da arquitetura e das integrações utilizadas pelas vítimas. No centro da operação está uma plataforma chamada NEXUS Listener — uma interface web protegida por senha que organiza e apresenta todas as informações roubadas. A ferramenta oferece recursos de busca e análise, permitindo que os hackers explorem os dados de forma estruturada, identifiquem padrões e priorizem alvos para ataques futuros. A sofisticação da campanha indica o uso de varreduras automatizadas em larga escala, possivelmente utilizando ferramentas como Shodan e Censys, para identificar aplicações vulneráveis expostas publicamente. Esse tipo de abordagem reforça o caráter indiscriminado do ataque, atingindo qualquer ambiente que não tenha aplicado correções de segurança. Outro ponto de preocupação é a evolução contínua do framework utilizado. A versão atual do NEXUS Listener (V3) sugere um ciclo ativo de desenvolvimento por parte dos hackers, indicando que a operação está em expansão e tende a se tornar ainda mais eficiente e perigosa. Especialistas alertam que o impacto vai além do roubo de credenciais individuais. O conjunto de dados coletados funciona como um verdadeiro “mapa da infraestrutura” das organizações comprometidas, revelando serviços utilizados, configurações internas, integrações com terceiros e arquitetura em nuvem. Essas informações podem ser utilizadas para ataques direcionados, campanhas de engenharia social ou até mesmo comercializadas em mercados clandestinos. Diante desse cenário, recomenda-se que organizações adotem medidas imediatas, como revisão de permissões seguindo o princípio do menor privilégio, rotação de credenciais, implementação de mecanismos de detecção de vazamento de segredos, além da atualização urgente de sistemas vulneráveis.

O WhatsApp, plataforma de mensagens pertencente à Meta, alertou cerca de 200 usuários que foram vítimas de uma campanha de espionagem digital envolvendo uma versão falsa do aplicativo para iOS. Segundo informações divulgadas por veículos italianos , a maioria dos alvos está concentrada na Itália , indicando uma operação direcionada. A ação utilizou técnicas de engenharia social para convencer as vítimas a instalar um aplicativo malicioso que imitava o WhatsApp legítimo. Uma vez instalado, o software comprometido permitia a coleta de dados sensíveis diretamente dos dispositivos afetados, caracterizando um caso clássico de espionagem digital baseada em disfarce de aplicativo confiável. Após identificar o incidente, a empresa tomou medidas imediatas, incluindo o logout forçado dos usuários impactados e a recomendação para remoção do aplicativo falso, além da reinstalação da versão oficial do WhatsApp. A companhia não divulgou detalhes sobre o perfil das vítimas, o que levanta questionamentos sobre possíveis alvos de alto valor, como jornalistas, ativistas ou autoridades. Além da resposta técnica, o WhatsApp também iniciou ações contra a empresa italiana Asigint, subsidiária da SIO, apontada como responsável pelo desenvolvimento da versão falsificada do aplicativo. A SIO é conhecida por fornecer soluções de vigilância para órgãos governamentais, forças policiais e agências de inteligência, voltadas ao monitoramento e coleta de informações. Esse não é um caso isolado. Em dezembro de 2025, foi revelado que a SIO também estava por trás de aplicativos Android maliciosos que se passavam por plataformas populares, utilizando o spyware conhecido como Spyrtacus para extrair dados de dispositivos móveis. Há indícios de que essas ferramentas tenham sido utilizadas por clientes governamentais para operações de vigilância na Itália. O episódio reforça a crescente preocupação com o papel da Itália como um polo de desenvolvimento de tecnologias de vigilância — um verdadeiro “hub de spyware” na Europa. Empresas como Cy4Gate, eSurv, GR Sistemi, Negg, Raxir e RCS Lab também atuam nesse segmento, ampliando o debate sobre os limites entre segurança nacional e privacidade individual. Casos recentes mostram que o uso dessas ferramentas está longe de ser controlado. Em 2025, o WhatsApp já havia notificado usuários sobre ataques envolvendo o spyware Graphite, da Paragon Solutions, além de campanhas sofisticadas que exploraram vulnerabilidades zero-day no iOS. O cenário se conecta a escândalos maiores na Europa , como o caso envolvendo o spyware Predator, desenvolvido pelo consórcio Intellexa Consortium. O episódio, conhecido como “ Predatorgate ”, levou à prisão de executivos e abriu investigações no Parlamento Europeu sobre o uso indevido dessas tecnologias para espionagem de políticos, empresários e jornalistas. Apesar das empresas envolvidas alegarem que suas soluções são utilizadas exclusivamente por governos para combate ao crime e proteção nacional, especialistas e organizações como a Amnesty International  alertam para a falta de transparência e os riscos de abuso, especialmente quando não há mecanismos claros de auditoria e responsabilização. O novo incidente evidencia um problema crescente: a linha entre segurança e vigilância está cada vez mais tênue — e, muitas vezes, invisível para o usuário comum.

Por anos, o debate sobre inteligência artificial (IA) nas empresas girou em torno de chatbots e assistentes capazes de responder perguntas ou gerar textos sob demanda. Hoje, esse ciclo está esgotado. O diferencial competitivo não está mais na conversa com a máquina, mas na capacidade de delegar decisões a sistemas autônomos. A IA agêntica simboliza essa transformação. Suas arquiteturas entendem objetivos de negócio, orquestram sistemas, consultam dados, iteram respostas e entregam resultados com alto grau de autonomia, reduzindo a necessidade de intervenção humana em cada etapa. Segundo o Gartner, pelo menos 30% das empresas globais já devem utilizar agentes autônomos em funções críticas, saindo da fase de testes para operações reais. A McKinsey estima que a IA agêntica pode gerar até 400 bilhões de dólares em valor econômico anual ao transformar processos de TI e operações. O impacto não está mais na fluidez da conversa com um modelo de linguagem, mas na automação inteligente de fluxos completos de trabalho, com menos retrabalho, antecipação de falhas e ganho de escala. Andrew Ng, referência na área, defende que o sucesso da IA depende não apenas da potência do modelo isolado, mas do design de fluxos que permitam raciocínio iterativo. Sistemas agênticos revisam suas próprias respostas, validam dados em múltiplas fontes, corrigem inconsistências antes da entrega e aprendem com o ciclo. Na prática, isso se traduz em decisões mais confiáveis e maior consistência operacional. Autonomia também gera discussões sobre risco. De fato, delegar decisões a algoritmos sem governança pode causar distorções, vieses e falhas operacionais. Casos recentes no mercado global mostram que sistemas sem proteção podem agir fora do esperado. A solução não é frear a evolução, mas estruturar guardrails robustos, trilhas de auditoria, monitoramento contínuo e critérios claros de responsabilidade. Autonomia não significa ausência de controle. Significa controle planejado desde o desenho do fluxo, com limites definidos e integração segura aos dados corporativos. Outro argumento comum é que chatbots ainda resolvem boa parte das demandas, tornando a transição prematura. Essa visão ignora a maturidade de dados e infraestrutura do mercado brasileiro. Empresas que modernizaram seus ambientes percebem que o gargalo não está na interface de conversa, mas na orquestração entre sistemas. Quando um agente integra ERP, CRM, bases logísticas e relatórios financeiros para propor e executar ações, a eficiência deixa de ser incremental e se torna estrutural. O salto de produtividade não vem da resposta rápida, mas da execução coordenada. A discussão central deixou de ser quem possui a IA mais avançada e passou a ser quem construiu agentes autônomos, integrados e governados. A fase dos chatbots cumpriu seu papel pedagógico ao popularizar a tecnologia. Agora, o desafio é transformar modelos em infraestrutura decisória. Empresas que entenderem essa transição não adotarão apenas uma nova ferramenta. Redefinirão a forma como operam. A era dos chatbots ensinou a perguntar melhor. A era dos agentes autônomos começa quando aprendemos a delegar melhor. Via - Daniel S.

A atriz e apresentadora alemã Collien Fernandes, de 44 anos, acusou o ex-marido, o ator Christian Ulmen, de criar deepfakes , que consistem em perfis falsos utilizando sua identidade e de disseminar, ao longo de mais de dez anos, imagens de conteúdo pornográfico atribuídas a ela. De acordo com Collien, o ex-cônjuge teria admitido os fatos em 2024, após o caso ser levado às autoridades policiais. O fato, porém, ganhou repercussão nas redes sociais tempos depois, quando a atriz resolveu torna-lo público. Recentemente, uma manifestação em Berlim tomos as ruas da capital alemã e uma petição de solidariedade à Colleen foi assinada por 250 mulheres famosas. “Trata-se de uma realidade incômoda: a tecnologia evoluiu mais rápido do que a nossa capacidade de protegê-la juridicamente”, afirma Alexander Coelho, sócio do Godke Advogados e especialista em Direito Digital, IA e Cibersegurança . Conforme os relatos da vítima, o próprio marido teria utilizado, por mais de uma década, a imagem e até a voz sintetizada da vítima para produzir conteúdo pornográfico falso, inclusive interagindo com terceiros como se fosse ela. “Não estamos diante de uma simples falsificação digital, mas de uma forma sofisticada de violência. O corpo nunca foi tocado, mas a intimidade foi claramente violada”, acrescenta o especialista. O ponto mais sensível desse caso é que ele desmonta uma percepção equivocada ainda muito comum. O risco não vem apenas de criminosos desconhecidos, escondidos atrás de um computador. “Ele pode estar dentro de casa, o que torna a prevenção muito mais complexa e exige uma mudança de mentalidade. Deepfake não é entretenimento nem experimento tecnológico inocente. É uma ferramenta com potencial real de destruição reputacional, emocional e até financeira”, afirma Coelho. Como combater deepfakes: legislação europeia x brasileira Do ponto de vista jurídico, a reação europeia tem sido mais rápida e estruturada. A Alemanha já discute a criminalização específica da produção de pornografia deepfake, ampliando o foco que antes recaía principalmente sobre a distribuição. “No contexto mais amplo da União Europeia, o AI Act já impõe obrigações de transparência sobre conteúdos sintéticos, sinalizando um caminho regulatório mais claro e preventivo. O Brasil, por sua vez, ainda opera com instrumentos fragmentados. A LGPD oferece base para responsabilização civil pelo uso indevido de imagem e dados pessoais, enquanto o Código Penal permite enquadramentos como difamação ou falsa identidade”, explica o advogado. O problema, de acordo com Coelho, é que falta uma tipificação específica, o que gera insegurança jurídica e, muitas vezes, retarda a resposta estatal. Já na prática, a proteção começa antes do problema aparecer. “Reduzir a exposição excessiva de imagens, especialmente em alta qualidade, é uma medida simples, mas ainda subestimada. Monitorar o uso da própria imagem na internet pode antecipar danos. Quando o conteúdo surge, a velocidade de reação passa a ser determinante. Denunciar rapidamente às plataformas, preservar provas e buscar orientação jurídica adequada fazem toda a diferença entre um dano controlado e uma crise irreversível”, conclui o especialista. Via - Alexander Coelho

A Lei Geral de Proteção de Dados (LGPD) mudou definitivamente o patamar de responsabilidade das organizações brasileiras no tratamento de dados pessoais. Mais do que uma exigência legal, ela reflete a crescente valorização da privacidade como um direito humano fundamental e impõe consequências severas para quem falha em proteger esses dados. No Brasil, a LGPD prevê sanções que vão desde advertências e bloqueio de dados até multas que podem atingir até 2% do faturamento da empresa no ano anterior, limitadas a R$ 50 milhões por infração. Além disso, penalidades como publicização dos incidentes e suspensão temporária das atividades de tratamento de dados podem causar danos reputacionais imediatos e duradouros. Velocidade da resposta faz diferença Em um cenário onde incidentes de segurança crescem a cada ano (o número global de ataques cibernéticos cresceu 44%, conforme aponta o relatório anual The State of Global Cyber Security 2025), a capacidade de reagir rapidamente pode ser a diferença entre uma política de contenção eficaz e uma crise corporativa com impacto milionário. No ambiente atual, onde organizações públicas e privadas enfrentam um aumento exponencial de tentativas de invasão e vazamentos de dados, a perícia digital torna-se um componente essencial de qualquer plano de resposta a incidentes. A perícia digital não é apenas uma investigação forense pós-fato. Trata-se de um conjunto de práticas e ferramentas que permitem identificar o que foi comprometido, como ocorreu a violação e, sobretudo, quando e por quem. Essa investigação rápida e precisa é vital para cumprir prazos de notificação à autoridade nacional e aos titulares de dados pessoais, requisitos que, se descumpridos, podem agravar ainda mais as penalidades da Agência Nacional de Proteção de Dados (ANPD) e gerar litígios adicionais. No meu dia a dia, vejo com frequência organizações que subestimam a complexidade de uma resposta a vazamentos. Uma detecção tardia não apenas amplia o alcance do vazamento, como também dificulta a coleta de evidências fundamentais para a defesa da empresa perante a ANPD e até mesmo para mitigar possíveis ações civis. Em outras palavras: sem perícia digital eficaz, as chances de minimizar o impacto financeiro e legal diminuem drasticamente. Os números reforçam este ponto De acordo com pesquisa da NordVPN, realizada em 2025, o Brasil ocupa o 1º lugar entre 235 países no vazamento de cookies, com mais de 7 bilhões de registros, dos quais 550 milhões ainda estão ativos, o que expõe organizações de todos os setores a riscos elevados, independentemente de tamanho ou segmento. Além das multas e sanções administrativas (segundo a ANPD, até agosto de 2024 foram aplicadas 18 sanções administrativas, sendo apenas duas multas), há ainda um custo duro e imediato que muitas vezes não é contabilizado nos orçamentos de segurança: a perda de confiança de clientes, parceiros e investidores. Na era digital, essa confiança pode valer mais do que qualquer cifra em reais e é justamente o que a LGPD busca resguardar. Portanto, minha visão é clara: incorporar práticas de perícia digital e resposta a incidentes ao DNA da organização é estratégica. Isso não só demonstra compromisso com a proteção de dados, como reduz significativamente as chances de multas pesadas e danos irreversíveis à reputação corporativa. Afinal, quando se trata de segurança da informação, agir rápido é uma obrigação de mercado. Via - Jefferson Macedo

Golpes digitais, cobranças indevidas e falhas de segurança impulsionam judicialização e reforçam dever de proteção ao consumidor  Levantamento inédito realizado pela Jus Brasil aponta que o principal motivo litígios entre consumidores e empresas no Brasil é a fraude financeira. O estudo, que se baseou na análise de mais 91 mil decisões judiciais, proferidas entre 2020 e 2025, mostra a tríade problemas de crédito, registros irregulares de inadimplências e cobranças indevidas como o centro da judicialização consumerista no país.  Segundo o apontamento, mais de 11% (11,07%) dos processos são sobre empréstimos consignados e fraudes financeiras; logo atrás, mais de 10% (10,14%) abordam inscrições irregulares em cadastros de inadimplentes. Cobranças indevidas envolvem quase 5% das decisões judiciais (4,76%). O dado confirma uma tendência já percebida nos tribunais: o crescimento expressivo de conflitos envolvendo falhas de segurança em serviços financeiros, especialmente em operações digitais. “Os dados evidenciam que não se trata de episódios isolados, mas de uma falha estrutural na prestação de serviços, sobretudo no ambiente digital, em que a segurança deveria ser reforçada e não flexibilizada” ,  esclarece Stefano Ribeiro Ferri, especialista em Direito do Consumidor.  O perfil das vítimas também se destaca. Em mais de 50% dos casos de fraudes em consignado, os consumidores eram pessoas em situação de vulnerabilidade, como idosos, aposentados, pensionistas e até pessoas com deficiência ou analfabetos. O levantamento aponta o perfil das vítimas: no setor, mais de 50% dos casos de fraude em consignado envolvem consumidores em situação de vulnerabilidade agravada, como idosos, aposentados, pensionistas, pessoas com deficiência ou analfabetos. “É fundamental reconhecer que esses consumidores possuem proteção reforçada pela legislação, o que impõe às instituições financeiras um dever ainda maior de cautela, transparência e validação das operações realizadas”,  enfatiza o advogado, que destaca a necessidade de políticas eficazes de prevenção e atendimento especializado.  A expansão de golpes — como fraudes em transações bancárias, uso indevido de dados e contratações não autorizadas — demonstra não apenas a sofisticação dos criminosos, mas também a fragilidade dos mecanismos de proteção adotados por instituições financeiras e plataformas digitais. Em meio à onda crescente de fraudes financeiras e problemas na Justiça, a responsabilidade das empresas tem se consolidado como ponto-chave das decisões favoráveis ao consumidor. Especialmente quando há indícios de falha sistêmica ou ausência de mecanismos eficazes de prevenção. Stefano Ribeiro Ferri explica que  “a responsabilidade objetiva das empresas, prevista no Código de Defesa do Consumidor, impõe o dever de indenizar independentemente de culpa” e “a ausência de mecanismos eficazes de segurança configura falha na prestação do serviço, especialmente quando o consumidor não contribuiu para o dano”. O avanço de tecnologias como o Pix e o crescimento das fintechs contribuíram para a inclusão financeira, mas também abriram espaço para novas modalidades de fraude, cada vez mais sofisticadas e difíceis de detectar. ““Não basta oferecer tecnologia avançada; é imprescindível que as empresas invistam continuamente em sistemas antifraude e em educação do consumidor, sob pena de responderem judicialmente pelos prejuízos causados”,  reforça o especialista em direito do Consumidor . Principais causas de ações no Direito do Consumidor Fraudes bancárias e golpes digitais Cobranças indevidas Negativação irregular do nome Contratações não autorizadas Falhas em serviços financeiros O que diz a lei Responsabilidade objetiva do fornecedor (independe de culpa) Inversão do ônus da prova em favor do consumidor Direito à reparação por danos materiais e morais Dever de segurança na prestação do serviço Orientações ao consumidor Nunca compartilhar senhas ou códigos de verificação Desconfiar de contatos que se passam por bancos Monitorar movimentações financeiras com frequência Registrar imediatamente ocorrências junto à instituição Procurar orientação jurídica em caso de prejuízo

O Federal Bureau of Investigation (FBI) emitiu um alerta público recomendando que usuários evitem o uso de aplicativos móveis desenvolvidos por empresas estrangeiras, especialmente aquelas sediadas na China. Segundo o órgão, há riscos significativos relacionados à privacidade e à segurança dos dados, uma vez que esses aplicativos podem estar sujeitos às leis de segurança nacional chinesas, permitindo potencial acesso governamental às informações dos usuários. De acordo com o comunicado divulgado por meio do Internet Crime Complaint Center (IC3), muitos dos aplicativos mais populares nos Estados Unidos são desenvolvidos por empresas estrangeiras e podem coletar dados de forma contínua, mesmo quando utilizados com permissões limitadas. Entre as informações coletadas estão contatos, e-mails, números de telefone, identificadores de usuário e até endereços físicos, muitas vezes armazenados em servidores localizados na China. Outro ponto de preocupação é que alguns aplicativos exigem o compartilhamento de dados como condição para funcionamento, limitando a capacidade de escolha do usuário. Além disso, as políticas de privacidade podem permitir o armazenamento dessas informações por períodos indefinidos, aumentando o risco de uso indevido ou exposição de dados sensíveis. Para mitigar esses riscos, o FBI recomenda que os usuários desativem permissões desnecessárias, mantenham seus dispositivos atualizados e utilizem apenas aplicativos baixados de lojas oficiais. Também é indicado o uso de gerenciadores de senha como Bitwarden e 1Password para aumentar a segurança das credenciais. O alerta surge em um contexto de crescente tensão geopolítica envolvendo tecnologia e segurança nacional, especialmente após mudanças estruturais na operação do TikTok  nos Estados Unidos, que passou a ser controlado por uma joint venture com participação de empresas americanas como Oracle, além de investidores internacionais, após pressões regulatórias sobre sua controladora, a ByteDance.

A recente interrupção temporária de operações via Pix por uma grande instituição financeira brasileira, após um incidente de segurança, reacendeu discussões importantes sobre resiliência digital. Embora episódios como esse não sejam inéditos — e façam parte da realidade de qualquer ambiente altamente exposto — o que começa a chamar atenção não é apenas o ataque em si, mas o que vem depois dele. Em sistemas financeiros modernos, a contenção de um incidente já não encerra o problema. Na verdade, ela marca o início de uma fase ainda mais complexa: explicar com precisão o que aconteceu dentro de um ecossistema altamente automatizado, distribuído e interdependente . Esse é um desafio que vai muito além de uma única instituição. Um problema estrutural, não isolado Bancos, fintechs, adquirentes, plataformas de pagamento e provedores de infraestrutura compartilham hoje uma mesma característica: operam sobre arquiteturas extremamente dinâmicas, baseadas em APIs, microsserviços e decisões automatizadas em tempo real. No contexto do Pix e do Open Finance, esse cenário se intensifica. Transações acontecem em segundos, cruzando múltiplos sistemas, regras de negócio, validações antifraude e integrações externas. Cada operação pode envolver diferentes camadas de processamento, muitas vezes distribuídas entre ambientes internos e terceiros. Quando algo falha — seja por ataque, erro operacional ou comportamento inesperado — a pergunta deixa de ser apenas “o que caiu?” ou “o que foi bloqueado?”. A questão central passa a ser:  é possível reconstruir, com confiança, a história completa daquela decisão? E é nesse ponto que muitas instituições começam a perceber uma limitação estrutural. A dor que aparece depois do incidente O impacto imediato de um incidente costuma ser visível: indisponibilidade, degradação de serviço, contenção preventiva, comunicação com clientes. Mas existe uma camada menos visível — e frequentemente mais crítica — que se manifesta nas horas e dias seguintes. Times técnicos precisam investigar. Áreas de risco e compliance precisam entender o impacto. Jurídico precisa avaliar exposição. Reguladores podem exigir esclarecimentos. Clientes contestam operações. Parceiros questionam responsabilidades. E, no centro de tudo isso, surge uma necessidade fundamental: provar o que aconteceu . Não apenas em termos narrativos, mas técnicos. Qual regra foi aplicada? Que dados influenciaram a decisão? Em que sequência os eventos ocorreram? Houve interferência externa? Os registros podem ser considerados íntegros? Responder a essas perguntas em ambientes altamente distribuídos não é trivial. O limite da visibilidade tradicional Grande parte do mercado financeiro evoluiu significativamente em observabilidade, monitoramento e detecção de ameaças. Ferramentas de SIEM, XDR, antifraude e telemetria avançada são amplamente utilizadas. No entanto, essas soluções foram, em sua essência, desenhadas para detectar, correlacionar e alertar  — não necessariamente para produzir evidência técnica com validade forte para auditoria e reconstrução determinística de eventos. Logs continuam sendo fundamentais, mas enfrentam limitações conhecidas: fragmentação entre múltiplas fontes; dependência de integridade operacional; dificuldade de encadeamento completo entre eventos; mistura entre dados sensíveis e registros técnicos; e pouca garantia de imutabilidade ao longo do tempo. Em ambientes simples, isso pode ser suficiente. Em sistemas financeiros em tempo real, cada vez menos. Segurança, compliance e arquitetura começam a se cruzar A entrada em vigor das novas normativas do Banco Central, como a Resolução BCB 538/2025, intensifica esse cenário. O regulador passa a exigir não apenas controles e políticas, mas evidências técnicas auditáveis e confiáveis . Isso muda a natureza do problema. Não se trata mais apenas de proteger sistemas contra invasões, mas de garantir que cada decisão tomada por esses sistemas possa ser: rastreada; explicada; validada; e, principalmente, comprovada . Ao mesmo tempo, cresce a pressão por privacidade e minimização de dados, criando um dilema arquitetural relevante:  como registrar o suficiente para provar, sem expor mais do que o necessário . Um movimento silencioso de evolução Diante dessas pressões, o mercado começa a explorar novas abordagens que vão além da lógica tradicional baseada exclusivamente em logs e armazenamento persistente. Algumas tendências começam a ganhar espaço: trilhas auditáveis com garantias de integridade , utilizando assinaturas criptográficas e carimbos de tempo confiáveis; registros imutáveis , em estruturas que impedem alteração posterior (append-only ou WORM); isolamento de execução , reduzindo a confiança em camadas intermediárias da infraestrutura; proteção de dados em uso , evitando exposição durante o processamento; e modelos que separam evidência de execução de dados sensíveis , permitindo comprovação sem superexposição. Essas abordagens não substituem os controles existentes — elas adicionam uma nova camada. Uma camada voltada não apenas para segurança, mas para confiança verificável . Mais do que responder rápido, responder com precisão O episódio recente envolvendo uma instituição relevante serve como um lembrete de que o sistema financeiro brasileiro opera hoje em um nível de complexidade onde falhas — sejam elas causadas por ataques ou não — são inevitáveis. O diferencial competitivo e regulatório passa a estar em outro lugar. Não apenas na capacidade de detectar e conter rapidamente, mas na habilidade de: reconstruir eventos com precisão; sustentar decisões tecnicamente; responder a questionamentos com evidência consistente; e reduzir ambiguidades em cenários de disputa. O que começa a mudar Essa transição não acontece de forma abrupta. Ela é gradual, silenciosa e, muitas vezes, impulsionada por incidentes que expõem lacunas invisíveis no dia a dia. Mas a direção parece clara. O sistema financeiro caminha para um modelo em que: confiança não será apenas declarada; logs não serão suficientes por si só; e segurança não será medida apenas pela ausência de incidentes. Ela será medida também pela capacidade de explicar, provar e sustentar tecnicamente cada decisão tomada pelos sistemas . E, em um ambiente onde tudo acontece em tempo real, essa pode ser a diferença entre reagir a um incidente — ou realmente compreendê-lo.

A RSA Conference 2026 terminou, mas deixou uma mensagem que vai ecoar por muito tempo nos conselhos de administração, nos SOCs e nas mesas dos CISOs: a inteligência artificial deixou de ser apenas uma aposta de futuro e passou a ocupar o centro da estratégia de segurança. Ao longo de quatro dias em San Francisco, a conferência reuniu 32 keynotes, mais de 700 palestrantes, 570 sessões e mais de 600 expositores, consolidando o evento como um retrato bastante fiel de para onde a indústria está caminhando. Só que o ponto mais importante da RSA 2026 não foi exatamente a quantidade de anúncios ou o brilho das demonstrações. O que realmente chamou atenção foi o tom. A sensação dominante não foi a de deslumbramento puro com IA, mas a de uma indústria tentando separar, com urgência, o que é inovação prática daquilo que ainda é marketing bem embalado. Esse espírito já estava presente antes mesmo do evento, quando a própria análise sobre a agenda dos CISOs apontava que a conferência seria dominada por discussões sobre agentes de IA, AI-SOC, CTEM, identidade, resiliência cibernética e capacitação de equipes para um novo modelo operacional. No primeiro dia, esse direcionamento ficou evidente logo na abertura. A premiação da Geordie AI como startup mais inovadora de 2026, com uma plataforma voltada à governança de IA e ao entendimento contínuo do comportamento de agentes autônomos, mostrou que o mercado já não está olhando apenas para produtividade, mas para controle, visibilidade e confiança em sistemas autônomos. Ao mesmo tempo, keynotes da Microsoft, Cisco e Google reforçaram três ideias centrais: segurança contínua em segundo plano, revisão de modelos legados de governança e a necessidade de sair de uma postura meramente defensiva para estratégias mais ativas de disrupção contra invasores. Isso ajuda a explicar por que o conceito de AI-SOC  apareceu como uma das narrativas mais fortes do evento. A indústria está claramente tentando avançar do modelo de copilotos para agentes capazes de executar tarefas antes atribuídas a analistas humanos, como triagem, investigação, isolamento de máquinas e até correções operacionais. Mas existe uma diferença importante entre a promessa e a entrega. O recado mais maduro da RSA 2026 foi que esse futuro até pode estar próximo, porém só será viável com integração de ferramentas, dados confiáveis, contexto operacional e forte supervisão humana. Sem isso, o risco não é apenas de ineficiência, mas de automatizar erro em escala. O segundo dia aprofundou essa leitura ao combinar temas técnicos e executivos. O tradicional Painel dos Criptógrafos voltou a reunir grande atenção ao tratar do impacto da IA na segurança, da corrida quântica e das transformações aceleradas no campo da pesquisa. Já a fala de Jacinda Ardern sobre liderança empática trouxe um contraste importante: em um evento tomado por automação, ela recolocou o fator humano no centro das decisões críticas. Na prática, isso serviu como lembrete de que tecnologia nenhuma substitui liderança, coordenação e confiança institucional em momentos de crise. Também ganharam destaque discussões sobre risco cibernético multidimensional, impactos em cadeias globais e os dilemas éticos e estratégicos do chamado “hack back”, mostrando que a segurança digital está cada vez mais conectada a política, diplomacia e estabilidade econômica. Esse ponto é crucial. Durante anos, parte do mercado tratou cibersegurança como uma soma de produtos. A RSA 2026 indicou que esse modelo está ficando insuficiente. O discurso dominante foi o de integração entre risco, operação, negócio e resiliência. Não por acaso, o CTEM  apareceu com força como evolução natural da velha gestão de vulnerabilidades. A proposta deixa de ser apenas encontrar falhas e passa a contextualizar exposição: quais ativos importam, quais têm maior criticidade para o negócio, quais podem ser explorados com base em TTPs conhecidos e quais exigem priorização imediata. O conceito é promissor, mas a crítica feita nos bastidores e nas leituras estratégicas do evento continua válida: CTEM mal implementado pode virar apenas mais uma camada de ferramenta, mais dashboard e mais ruído. No terceiro dia, a RSA ganhou ainda mais densidade intelectual. Pat Opet defendeu a necessidade de repensar adaptação e resiliência diante de ameaças impulsionadas por IA e de cadeias de software e infraestrutura cada vez mais frágeis. Líderes internacionais debateram estratégias nacionais de cibersegurança e reforçaram a importância de coordenação global. Brian Krebs e Lawrence Baldwin detalharam a derrubada do grupo JabberZeus, oferecendo um raro olhar prático sobre o enfrentamento do crime organizado digital. Bruce Schneier, por sua vez, chamou atenção para um tema menos midiático, mas profundamente relevante: integridade. Em vez de olhar apenas para confidencialidade e disponibilidade, a discussão passou a enfatizar a confiabilidade dos sistemas em um mundo hiperconectado, automatizado e cada vez mais dependente de software. Essa mudança de foco faz muito sentido. Se a IA generativa e os agentes autônomos vão ocupar cada vez mais espaço em operações, processos corporativos e até cadeias de decisão, então a questão deixa de ser somente “como impedir ataques” e passa a incluir “como garantir que sistemas, modelos, identidades e fluxos permaneçam íntegros, auditáveis e governáveis”. É aí que entram dois dos temas mais relevantes da RSA 2026: identidade  e resiliência cibernética . A conferência reforçou a visão de que identidade se tornou o novo perímetro de segurança, impulsionando debates sobre governança, autenticação sem senha e detecção de ameaças centradas em identidade. Em paralelo, resiliência apareceu não como slogan, mas como exigência operacional: antecipar, resistir, responder, recuperar e adaptar. O quarto e último dia fechou o evento com um tom mais reflexivo. A sessão sobre retrospectiva do cenário de ameaças destacou os ataques mais relevantes do último ano e reforçou os riscos crescentes associados ao uso de IA por invasores. James Lyne, do SANS Institute, atacou diretamente um problema crônico do setor: os mitos e narrativas simplificadas que distorcem decisões de segurança. Em outra frente, o painel sobre guerra cibernética discutiu o lado humano dos conflitos digitais e a responsabilidade social de reduzir a atração de jovens talentos pelo cibercrime. E, talvez de forma simbólica, o debate “CISOs Unchained III” mostrou que o papel do CISO está mais complexo do que nunca, pressionado simultaneamente por ameaça, regulação, transformação digital, IA e expectativas de negócio. No fim das contas, a RSA 2026 deixou uma leitura bastante clara para o mercado. A indústria de segurança está entrando em uma nova fase, em que o valor não será definido por quem falar mais sobre IA, mas por quem conseguir demonstrar controle, governança, integração e resultado real . O entusiasmo continua, mas agora acompanhado de suspeita saudável. E isso é positivo. Porque, se há algo que a conferência mostrou, é que a próxima geração da cibersegurança não será construída apenas com agentes autônomos, nem apenas com plataformas, nem apenas com grandes modelos. Ela será construída pela combinação entre tecnologia confiável, dados de qualidade, estratégia de negócio, liderança madura e profissionais capazes de operar nesse novo ambiente. Para os CISOs, a agenda pós-RSA 2026 parece inevitável. Será preciso revisar a arquitetura do SOC à luz da automação agentic, amadurecer programas de CTEM com base em criticidade real do negócio, tratar identidade como prioridade estrutural, fortalecer resiliência com planos testados e investir pesado em novas competências. A própria avaliação prévia do evento já apontava isso com precisão: em um futuro habilitado por IA, as organizações precisarão de engenheiros de dados de segurança, especialistas em IA aplicada à segurança e profissionais capazes de orquestrar o trabalho entre humanos e agentes. Se existe uma síntese editorial possível para a RSA 2026, talvez seja esta: a comunidade continua sendo o poder central da cibersegurança, mas agora terá de aprender a trabalhar lado a lado com máquinas que investigam, decidem e agem . O desafio não será apenas técnico. Será de confiança, governança e responsabilidade. E, nesse cenário, a velha máxima continua mais atual do que nunca: segurança não é produto. É processo.

Banco Central age e impulsiona tecnologia de segurança de aplicações O sistema financeiro entrou em uma nova fase no que diz respeito à segurança cibernética. Com regras mais rigorosas impostas pelo Banco Central, a exigência deixa de ser apenas cumprir protocolos básicos e passa a demandar um nível mais alto de maturidade na proteção contra ameaças digitais.   “A obrigação de testar vulnerabilidades já existia. O que muda agora, para bancos e demais instituições financeiras, não é a necessidade de realizar esses testes, mas o nível de rigor exigido”, explica Wagner Elias, CEO da Conviso, empresa especializada em segurança de aplicações.    Segundo o especialista, nesse cenário, práticas como o pentest — simulações controladas de ataques realizadas por especialistas para identificar falhas antes que sejam exploradas por criminosos — deixam de ser apenas uma boa prática técnica e passam a ocupar um papel estratégico dentro da agenda regulatória das instituições. Normas A determinação faz parte de um conjunto de normas estabelecidas nas Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, publicadas pelo Conselho Monetário Nacional e pelo Banco Central do Brasil, que reforçam o papel da autoridade supervisora na validação técnica dos controles de segurança  As normas ampliam obrigações relacionadas à governança, aos controles técnicos e à auditoria em segurança da informação para todas as instituições autorizadas a operar no Sistema Financeiro Nacional, incluindo bancos, fintechs, cooperativas e instituições de pagamento. A supervisão passa a exigir não apenas documentação formal, mas evidências técnicas de que os controles estão efetivamente implementados e funcionando. Segundo o executivo da Conviso, muitas instituições ainda tratavam o pentest como commodity : um contrato anual como projeto fechado, com escopo definido, execução concentrada em um período específico e entrega de relatório técnico com plano de ação. Em muitos casos, o ciclo seguinte só ocorre meses depois, intervalo suficiente para que novas integrações, APIs e atualizações de sistemas alterem a superfície de ataque. “O problema é que o ambiente muda toda semana. O código muda, a infraestrutura muda, os fornecedores mudam. Um teste feito há três meses pode não refletir mais o risco atual”, afirma o CEO da Conviso. Ele observa que a dinâmica dos ataques também evoluiu. “Os criminosos já usam automação e inteligência artificial para escanear ambientes em larga escala. Se o ataque é contínuo, a validação de segurança também precisa ser". Além de aplicações web e mobile banking , o escopo inclui redes internas, APIs públicas, integrações com nuvem e fornecedores terceirizados, todos pontos agora explicitamente enquadrados pelas novas normas do Banco Central. Os testes variam conforme o alvo e o nível de informação fornecido ao especialista. Podem focar aplicações web, redes expostas à internet, ambientes internos ou aplicativos móveis. Também variam conforme o nível de informação concedido ao testador: white box (acesso total), grey box (acesso parcial) ou black box (sem conhecimento prévio). Para se ter uma ideia da importância dessa capa de proteção, 97% das empresas que sofreram incidentes relacionados à IA relataram não ter controles de acesso adequados, mostrando que existem lacunas importantes de governança de segurança. No Brasil, esse efeito é ainda mais sentido, já que o custo médio de uma violação chegou a R$ 7,19 milhões em 2025, com setores como finanças e saúde entre os mais afetados. E ainda, segundo relatório do Cost of a Data Breach Report , da IBM em conjunto com o Ponemon Institute, o custo médio global de uma violação de dados ficou em US$ 4,44 milhões.  Em comparação, o custo médio anual de um programa tradicional de pentest custa em média US$ 216 mil por ano. “Esse custo tende a aumentar, porque o modelo de teste pontual, realizado uma ou duas vezes por ano, já não acompanha a velocidade de ambientes que mudam semanalmente. Código, integrações e infraestrutura evoluem o tempo todo. Por isso, a tendência é que a validação de segurança se torne contínua, automatizada e orientada por inteligência artificial. Ainda assim, do ponto de vista financeiro, é incomparavelmente mais vantajoso investir em prevenção do que arcar com o impacto de uma violação. Sem contar os danos reputacionais, que muitas vezes são ainda mais difíceis de mensurar e reverter”, afirma Wagner Elias. Pentest autônomo com IA Que o pentest se tornou indispensável, isso já está claro. O que muda agora é a velocidade exigida pelo cenário atual. O novo ritmo do mercado de segurança, que precisa de atualizações constantes de código, integrações frequentes e ambientes cada vez mais dinâmicos, está impulsionando a evolução do modelo tradicional para o pentest autônomo com inteligência artificial. “No modelo autônomo com IA, a proposta é executar simulações reais de ataque de forma recorrente, atuando como um especialista em pentest que observa continuamente o ambiente, acompanhando em tempo quase real as alterações no código, nas integrações e na infraestrutura digital. Assim, em vez de um projeto pontual, com início, meio e fim definidos, o teste passa a operar como um processo contínuo de validação ofensiva, alinhado à velocidade com que as aplicações e infraestruturas”, explica Elias. Diferentemente de varreduras automatizadas tradicionais, a abordagem é orientada por ataque. A solução observa o comportamento real da aplicação em funcionamento, identifica URLs válidas, rotas acessíveis e endpoints de APIs expostos, reconhece métodos HTTP disponíveis, parâmetros aceitos e estruturas de payload . A partir desse mapeamento ativo, constrói uma visão concreta da superfície de ataque e conduz a exploração de forma progressiva, adaptando as decisões técnicas às respostas obtidas ao longo do teste. Na etapa exploração, o sistema avalia configurações do servidor, políticas de segurança aplicadas, headers ausentes ou mal configurados, diretórios públicos e controles de autenticação e autorização. Vulnerabilidades como injeções, Cross-Site Scripting (XSS), Path Traversal , manipulação de parâmetros e falhas alinhadas ao OWASP Top 10 são identificadas dentro de um fluxo contínuo de ataque, não como achados isolados, mas como parte de possíveis cadeias de exploração. Esse modelo permite a construção de attack chains (cadeias de ataque) , conectando múltiplas falhas para demonstrar caminhos concretos de comprometimento. Cada vulnerabilidade passa por validação de explorabilidade no próprio ambiente testado, com geração de evidências técnicas reproduzíveis que facilitam a priorização baseada em impacto real. Soluções no mercado nacional para o pentest Segundo o CEO da Conviso, o mercado brasileiro ainda é fortemente dependente de tecnologias de segurança desenvolvidas nos Estados Unidos e na Europa, especialmente quando se trata de soluções avançadas para testes de intrusão e validação ofensiva contínua. Com o objetivo de reduzir essa dependência externa e elevar o nível de maturidade técnica do ecossistema nacional, a Conviso investiu no desenvolvimento de tecnologia própria, criada no Brasil, voltada especificamente para testes de intrusão contínuos.  “O pentest autônomo da empresa foi criado para se integrar ao ciclo de desenvolvimento. Ele executa simulações recorrentes, identifica novas exposições e gera relatórios priorizados, permitindo correções rápidas e baseadas em risco real”, afirma o executivo. Os resultados são consolidados na Conviso Platform, onde cada execução gera um registro estruturado com escopo avaliado, ativos testados, classificação de severidade, encadeamento das falhas e histórico de execuções. “Isso permite comparar ciclos, acompanhar a evolução do risco ao longo do tempo e conectar a exploração ofensiva diretamente ao fluxo de governança e gestão de vulnerabilidades”, destaca. Principais benefícios do pentest autonomo e contínuo devido à nova norma do BC A nova dinâmica do pentest concedeu à Segurança de Aplicações (AppSec) um maior alcance e profundidade das práticas voltadas à proteção de softwares contra falhas e ataques cibernéticos. O modelo passa a integrar o ciclo contínuo de desenvolvimento, incorporando testes recorrentes, monitoramento ativo e validação permanente da superfície de exposição. Entre os principais ganhos está a redução do intervalo entre o surgimento de uma vulnerabilidade e sua identificação. Em vez de aguardar meses por um novo ciclo de testes, a falha pode ser detectada em poucos dias — ou até horas — após ser introduzida no sistema, diminuindo a janela de exploração e aumentando a capacidade de resposta da organização. O formato também amplia a cobertura, já que passa a monitorar de forma constante aplicações, APIs, integrações em nuvem e outros ativos digitais. Assim, os testes seguem critérios padronizados e as falhas são classificadas automaticamente por nível de risco, o que ajuda a direcionar esforços para o que realmente é mais crítico. A possibilidade de reexecução sob demanda também altera a dinâmica operacional. “Após correções ou novos releases , o mesmo escopo pode ser validado novamente sem reinício de planejamento ou mobilização adicional, viabilizando segurança ofensiva recorrente com custo operacional mais controlado”, explica. Além disso, o processo registra evidências detalhadas de cada simulação e correção realizada. Essas trilhas de auditoria facilitam a comprovação técnica perante o regulador e tornam a comunicação mais objetiva entre as equipes de tecnologia e a alta gestão. A execução ocorre dentro de escopo autorizado e parâmetros definidos na plataforma, respeitando limites de governança para evitar impactos indevidos no ambiente produtivo. Fluxos altamente contextuais de lógica de negócio ou análises arquiteturais específicas podem demandar complementação humana, mantendo o papel do especialista dentro de uma estratégia ofensiva madura. Wagner Elias pondera, ainda, que a inteligência artificial não elimina a figura do especialista, mas altera a dinâmica do trabalho. “A IA acelera a detecção e amplia a cobertura. O olhar humano continua indispensável para interpretar risco, priorizar correções e entender o contexto de negócio”, afirma. Esse mercado avança com o aumento dos riscos digitais e da demanda por segurança. De acordo com o relatório Penetration Testing Services Market Forecast 2026–2032 , o segmento tradicional de pentesting deve alcançar cerca de US$ 4,16 bilhões em 2026. Já no modelo baseado em serviço, o chamado Penetration Testing as a Service (PTaaS), as projeções da 360iResearch indicam um mercado estimado em US$ 141,83 milhões em 2025, com expectativa de atingir aproximadamente US$ 165,46 milhões em 2026, mantendo trajetória de crescimento nos anos seguintes. Wagner Elias, CEO da Conviso