Ataques via Terceirizados, Escassez de Talentos e o Desafio da Substituição de Importações: Principais Desafios de Segurança Cibernética em 2026
Uma análise dos principais desafios de segurança cibernética para 2026, incluindo ataques à cadeia de suprimentos, escassez de profissionais qualificados e o processo de substituição de importações de infraestrutura crítica. O artigo explora as novas táticas de phishing impulsionadas por IA e a crescente pressão regulatória.
MundiX News·26 de maio de 2026·7 min de leitura·👁 1 views
Ataques via Terceirizados, Escassez de Talentos e o Desafio da Substituição de Importações: Principais Desafios de Segurança Cibernética em 2026
Olá, Habr! Aqui é Kirill Mordanov, gerente de Relações Públicas do Svoy Bank.
Nossa equipe DevRel regularmente traz à tona estudos de caso e insights interessantes de especialistas técnicos da SVOY Tech para extrair os insights mais suculentos. Desta vez, com uma xícara de café, cheguei a Alexey Akhmeev, chefe do departamento de segurança da informação do banco.
O tema da segurança da informação está no auge agora: os ataques estão evoluindo, os reguladores estão apertando os parafusos e os prazos para a substituição de importações de infraestrutura crítica (KII) já estão respirando em nossos pescoços. Fiz a Alexey algumas perguntas sobre como funciona a moderna cadeia de suprimentos (Supply Chain) em fintech, onde conseguir especialistas em escassez e por que o phishing clássico agora é escrito por redes neurais.
Abaixo, um resumo de nossa conversa sem burocracia e "água" desnecessárias.
Novos vetores de ataque: por que os hackers estão indo atrás de seus terceirizados
A primeira coisa com que começamos foram as tendências nos ataques. E aqui tenho uma notícia que dificilmente agradará alguém: proteger apenas seu próprio perímetro em 2026 não será mais suficiente. Alexey destacou a principal tendência - ataques à cadeia de suprimentos.
Por que os invasores deveriam lutar contra a defesa em camadas de uma grande organização financeira se você pode encontrar um pequeno terceirizado com uma infraestrutura de TI menos madura? O esquema é clássico: os hackers invadem uma empresa parceira, se estabelecem em seu contorno confiável e, através dela, entram diretamente no perímetro protegido da principal vítima. Tudo como no cinema, só que na prática.
Como os bancos avaliam os danos potenciais?
Alexey divide os parceiros em duas categorias.
Parceiro secundário. Se um link que suporta um processo interno que não afeta diretamente a lógica de negócios for comprometido, a empresa se livra de um leve susto e da substituição operacional do parceiro por um mais confiável.
Parceiro crítico. Quando um fornecedor que está vinculado a processos de negócios importantes falha, a confiabilidade operacional de toda a fintech está em risco. Obviamente, o preço do erro aqui aumenta muitas vezes.
Paralelamente, o bom e velho social engineering também evoluiu. O phishing improvisado com erros de ortografia e layout selvagem ficou no passado. Agora, os invasores estão usando modelos de linguagem generativos ao máximo. As redes neurais criam e-mails personalizados e estilisticamente verificados para um funcionário específico, informações sobre o qual podem ser obtidas de informações abertas na rede ou de vazamentos de dados. Tornar-se cada vez mais difícil distinguir essa comunicação da correspondência de trabalho real.
Fome de pessoal: escassez de "gerentes" e profissionais qualificados
Claro, eu não poderia deixar de perguntar sobre pessoal - hoje um tópico doloroso para qualquer direção de TI. Uma situação paradoxal se desenvolveu no mercado de segurança da informação: há muitos currículos, mas não há ninguém para trabalhar. Alexey destacou duas das categorias mais escassas:
Profissionais ("técnicos"). Especialistas especializados são necessários, que saibam como configurar e operar ferramentas de proteção especializadas. Nas universidades, isso quase não é ensinado, e as competências são transferidas pelos fabricantes de software ou integradores.
"Na minha opinião, a solução mais otimizada é cultivar competências em jovens especialistas. Em entrevistas, procuramos uma base básica e o desejo de se desenvolver, e então crescemos pontualmente juniores em faixas específicas: proteção antivírus, detecção de anomalias na rede, busca de vulnerabilidades", observa Alexey.
Gerentes competentes. Encontrar um líder forte na área de segurança da informação é uma tarefa com uma estrela. Você precisa não apenas de um gerente, mas de um estrategista, capaz de avaliar a maturidade dos processos e encontrar um equilíbrio entre os requisitos de negócios, que é importante para restringir os custos e reduzir o Time-to-Market, e a segurança da empresa.
Aceleração regulatória: Lei Federal 187, decretos nº 166 e 250 e multas
A demanda por pessoal de segurança da informação é alimentada não apenas pela atividade dos hackers, mas também pelo controle rígido do Estado. O regulador está sistematicamente endurecendo os requisitos:
A Lei Federal 187 "Sobre a Segurança da KII" + Decretos Presidenciais nº 166 e nº 250 estabeleceram um curso para a substituição total de importações e independência tecnológica.
Mudanças na Lei Federal 152 "Sobre Dados Pessoais" obrigaram a fintech a informar imediatamente Roskomnadzor e FSB sobre quaisquer incidentes e vazamentos.
Um item separado são as discussões ativas sobre a introdução de multas rotativas por ocultar fatos de vazamentos de dados pessoais, o padrão profissional de segurança da informação do Banco Central da Federação Russa e o aumento dos requisitos para organizações financeiras não bancárias.
Tudo isso cria uma demanda colossal por pessoal qualificado, que fisicamente não está no mercado na quantidade certa.
A busca por "Substituição de Importações de KII": resultados e novos prazos
No final, analisamos o tópico mais hardcore - a substituição de importações de instalações de infraestrutura crítica de informação. O processo está em pleno andamento, e Alexey o dividiu em duas etapas:
Direção de substituição de importação de KII
Prazo
Veredicto do especialista
Meios de proteção da informação (SZI)
Até 2025
Bem-sucedido.
Infraestrutura de TI (software, DBMS, "hardware")
Até 2030
Uma tarefa mais difícil.
De acordo com Alexey, a migração da infraestrutura é uma dor de cabeça separada para fintech por dois motivos:
A dificuldade de encontrar análogos. Escolher uma substituição adequada para os pesados DBMS estrangeiros e sistemas de virtualização sem uma queda crítica no desempenho é outra busca. Algumas soluções empresariais foram criadas por décadas, e substituí-las perfeitamente em alguns anos não é tão fácil.
Orçamentos. Serão necessários somas colossais tanto para a compra de software e "hardware" quanto para o pagamento de arquitetos e engenheiros que possam montar tudo isso e fazê-lo funcionar.
A implementação dos requisitos da Lei Federal 187 exige uma imersão séria nos detalhes, e essas questões não são resolvidas rapidamente. Aqueles que começaram esse caminho com antecedência agora se sentem mais confiantes, mas ainda há muito trabalho pela frente.
Conseguimos discutir apenas a ponta do iceberg, então passo a palavra para você nos comentários.
Colegas, compartilhem suas experiências:
Como a verificação de segurança de seus terceirizados é construída em suas empresas? Você realiza uma auditoria rigorosa antes de dar acesso à API ou ao contorno?
Em que estágio da migração da infraestrutura de KII você está agora? Com quais "anomalias" inesperadas você já conseguiu lidar com a substituição de importações de DBMS ou sistemas de virtualização?
Ataques via Terceirizados, Escassez de Talentos e o Desafio da Substituição de Importações: Principais Desafios de Segurança Cibernética em 2026
Olá, Habr! Aqui é Kirill Mordanov, gerente de Relações Públicas do Svoy Bank.
Nossa equipe DevRel regularmente traz à tona estudos de caso e insights interessantes de especialistas técnicos da SVOY Tech para extrair os insights mais suculentos. Desta vez, com uma xícara de café, cheguei a Alexey Akhmeev, chefe do departamento de segurança da informação do banco.
O tema da segurança da informação está no auge agora: os ataques estão evoluindo, os reguladores estão apertando os parafusos e os prazos para a substituição de importações de infraestrutura crítica (KII) já estão respirando em nossos pescoços. Fiz a Alexey algumas perguntas sobre como funciona a moderna cadeia de suprimentos (Supply Chain) em fintech, onde conseguir especialistas em escassez e por que o phishing clássico agora é escrito por redes neurais.
Abaixo, um resumo de nossa conversa sem burocracia e "água" desnecessárias.
Novos vetores de ataque: por que os hackers estão indo atrás de seus terceirizados
A primeira coisa com que começamos foram as tendências nos ataques. E aqui tenho uma notícia que dificilmente agradará alguém: proteger apenas seu próprio perímetro em 2026 não será mais suficiente. Alexey destacou a principal tendência - ataques à cadeia de suprimentos.
Por que os invasores deveriam lutar contra a defesa em camadas de uma grande organização financeira se você pode encontrar um pequeno terceirizado com uma infraestrutura de TI menos madura? O esquema é clássico: os hackers invadem uma empresa parceira, se estabelecem em seu contorno confiável e, através dela, entram diretamente no perímetro protegido da principal vítima. Tudo como no cinema, só que na prática.
Como os bancos avaliam os danos potenciais?
Alexey divide os parceiros em duas categorias.
Parceiro secundário. Se um link que suporta um processo interno que não afeta diretamente a lógica de negócios for comprometido, a empresa se livra de um leve susto e da substituição operacional do parceiro por um mais confiável.
Parceiro crítico. Quando um fornecedor que está vinculado a processos de negócios importantes falha, a confiabilidade operacional de toda a fintech está em risco. Obviamente, o preço do erro aqui aumenta muitas vezes.
Paralelamente, o bom e velho social engineering também evoluiu. O phishing improvisado com erros de ortografia e layout selvagem ficou no passado. Agora, os invasores estão usando modelos de linguagem generativos ao máximo. As redes neurais criam e-mails personalizados e estilisticamente verificados para um funcionário específico, informações sobre o qual podem ser obtidas de informações abertas na rede ou de vazamentos de dados. Tornar-se cada vez mais difícil distinguir essa comunicação da correspondência de trabalho real.
Fome de pessoal: escassez de "gerentes" e profissionais qualificados
Claro, eu não poderia deixar de perguntar sobre pessoal - hoje um tópico doloroso para qualquer direção de TI. Uma situação paradoxal se desenvolveu no mercado de segurança da informação: há muitos currículos, mas não há ninguém para trabalhar. Alexey destacou duas das categorias mais escassas:
Profissionais ("técnicos"). Especialistas especializados são necessários, que saibam como configurar e operar ferramentas de proteção especializadas. Nas universidades, isso quase não é ensinado, e as competências são transferidas pelos fabricantes de software ou integradores.
"Na minha opinião, a solução mais otimizada é cultivar competências em jovens especialistas. Em entrevistas, procuramos uma base básica e o desejo de se desenvolver, e então crescemos pontualmente juniores em faixas específicas: proteção antivírus, detecção de anomalias na rede, busca de vulnerabilidades", observa Alexey.
Gerentes competentes. Encontrar um líder forte na área de segurança da informação é uma tarefa com uma estrela. Você precisa não apenas de um gerente, mas de um estrategista, capaz de avaliar a maturidade dos processos e encontrar um equilíbrio entre os requisitos de negócios, que é importante para restringir os custos e reduzir o Time-to-Market, e a segurança da empresa.
Aceleração regulatória: Lei Federal 187, decretos nº 166 e 250 e multas
A demanda por pessoal de segurança da informação é alimentada não apenas pela atividade dos hackers, mas também pelo controle rígido do Estado. O regulador está sistematicamente endurecendo os requisitos:
A Lei Federal 187 "Sobre a Segurança da KII" + Decretos Presidenciais nº 166 e nº 250 estabeleceram um curso para a substituição total de importações e independência tecnológica.
Mudanças na Lei Federal 152 "Sobre Dados Pessoais" obrigaram a fintech a informar imediatamente Roskomnadzor e FSB sobre quaisquer incidentes e vazamentos.
Um item separado são as discussões ativas sobre a introdução de multas rotativas por ocultar fatos de vazamentos de dados pessoais, o padrão profissional de segurança da informação do Banco Central da Federação Russa e o aumento dos requisitos para organizações financeiras não bancárias.
Tudo isso cria uma demanda colossal por pessoal qualificado, que fisicamente não está no mercado na quantidade certa.
A busca por "Substituição de Importações de KII": resultados e novos prazos
No final, analisamos o tópico mais hardcore - a substituição de importações de instalações de infraestrutura crítica de informação. O processo está em pleno andamento, e Alexey o dividiu em duas etapas:
Direção de substituição de importação de KII
Prazo
Veredicto do especialista
Meios de proteção da informação (SZI)
Até 2025
Bem-sucedido.
Infraestrutura de TI (software, DBMS, "hardware")
Até 2030
Uma tarefa mais difícil.
De acordo com Alexey, a migração da infraestrutura é uma dor de cabeça separada para fintech por dois motivos:
A dificuldade de encontrar análogos. Escolher uma substituição adequada para os pesados DBMS estrangeiros e sistemas de virtualização sem uma queda crítica no desempenho é outra busca. Algumas soluções empresariais foram criadas por décadas, e substituí-las perfeitamente em alguns anos não é tão fácil.
Orçamentos. Serão necessários somas colossais tanto para a compra de software e "hardware" quanto para o pagamento de arquitetos e engenheiros que possam montar tudo isso e fazê-lo funcionar.
A implementação dos requisitos da Lei Federal 187 exige uma imersão séria nos detalhes, e essas questões não são resolvidas rapidamente. Aqueles que começaram esse caminho com antecedência agora se sentem mais confiantes, mas ainda há muito trabalho pela frente.
Conseguimos discutir apenas a ponta do iceberg, então passo a palavra para você nos comentários.
Colegas, compartilhem suas experiências:
Como a verificação de segurança de seus terceirizados é construída em suas empresas? Você realiza uma auditoria rigorosa antes de dar acesso à API ou ao contorno?
Em que estágio da migração da infraestrutura de KII você está agora? Com quais "anomalias" inesperadas você já conseguiu lidar com a substituição de importações de DBMS ou sistemas de virtualização?
