A Acronis prevê que malware mutante e ataques sem malware vão dominar o cenário de ciberameaças em 2026, com IA e virtualização no centro da estratégia ofensiva
A corrida entre ofensores e defensores deve se intensificar em 2026, e a combinação de inteligência artificial, virtualização e novas técnicas de evasão deve redefinir o jogo. Em relatório recente, a Acronis reuniu executivos e pesquisadores para desenhar o mapa das ameaças do próximo ano e o recado para os CISOs, inclusive no Brasil, é claro: malware mutante e ataques sem malware vão se tornar prioridade máxima de monitoramento, exigindo uma postura de defesa mais automatizada, orientada a comportamento e com visibilidade de ambientes efêmeros.
Para Gerald Beuchelt, CISO da Acronis, a escalada da automação ofensiva impõe uma resposta simétrica nas equipes de defesa. Como ele resume, “O foco principal da equipe de defesa hoje reside em igualar a escalabilidade dos agentes ofensivos com uma escalabilidade defensiva comparável, automatizando massivamente tarefas simples de segurança do centro de operações de segurança e de segurança de aplicativos”, afirma. E completa: “Este é o foco da cibersegurança moderna hoje e está se tornando rapidamente uma tendência no setor”.
IA acelera ataques e profissionaliza o crimeware
Segundo o Acronis Threat Research Unit, liderado por Santiago Pontiroli, a primeira grande onda de software malicioso apoiado por IA já é capaz de mudar de comportamento em tempo real, observando o ambiente, alternando caminhos de código, trocando técnicas de evasão e variando canais de comando e controle. Essa capacidade torna a detecção estática muito menos eficaz e, pior, baixa a barreira de entrada, permitindo que agentes pouco experientes executem campanhas automatizadas em larga escala.
Ao mesmo tempo, o ecossistema de Crimeware-as-a-Service tende a se expandir com kits de ataque que incluem phishing automatizado, geração de código malicioso, produção de deepfakes e análise de dados por IA generativa. O resultado são ataques de engenharia social hiper-realistas, com voz e vídeo em tempo real praticamente indistinguíveis de interações autênticas. Em uma operação coordenada, cadeias completas de intrusão, do acesso inicial ao movimento lateral, podem ser executadas em menos de 45 minutos, reduzindo drasticamente a janela de resposta das equipes de segurança.
Virtualização, nuvem e borda viram os novos pontos cegos
Com os sistemas operacionais cada vez mais endurecidos, os criminosos deslocam o foco para a virtualização, mirando hypervisors, orquestradores e pilhas de virtualização. Um único comprometimento nessa camada pode expor ambientes inteiros de uma só vez. Em paralelo, campanhas avançadas já se escondem em máquinas virtuais descartáveis, que rodam ferramentas e apagam rastros com facilidade, especialmente em infraestruturas de computação em nuvem.
Na borda, a preocupação passa pelo comprometimento de supply chain em edge devices frequentemente negligenciados e com firmware desatualizado, o que abre espaço para implantes persistentes e difíceis de detectar. A isso se somam as workloads efêmeras, como instâncias temporárias, containers e pipelines de CI/CD, que vivem por minutos e desafiam a observabilidade tradicional. Nesse cenário, os invasores têm optado por intrusões sem malware, explorando credenciais válidas, APIs, consoles de nuvem, tokens de sessão e ferramentas internas para se movimentar sem disparar alertas baseados em assinaturas.
Pontiroli é categórico ao descrever a nova normalidade operacional dos grupos ofensivos: “As intrusões sem malware se tornarão o modelo de ataque dominante, uma vez que os invasores operarão por meio das ferramentas e permissões em que as organizações já confiam”, conclui. Para os CISOs, isso significa reforçar a detecção por comportamento e identidade, além de expandir o monitoramento para além do endpoint tradicional.
Como responder: automação defensiva, identidade e visibilidade
Se malware mutante e ataques sem malware serão a tônica de 2026, as prioridades de defesa precisam refletir essa virada. A Acronis recomenda investir em automação defensiva contínua, a fim de igualar a escala do adversário, além de controles de proteção de identidade, zero trust e least privilege para reduzir o impacto do abuso de credenciais. Também ganha relevância a detecção no nível de virtualização, com telemetria que alcance hypervisors e orquestradores, e a visibilidade de ambientes descartáveis e workloads efêmeras, que exigem coleta e correlação quase em tempo real.
Outro vetor que entra no radar é o prompt injection em navegadores com copilotos de IA. Elementos aparentemente inofensivos de páginas web podem carregar instruções ocultas capazes de induzir a IA corporativa a executar ações não autorizadas, como exfiltração de dados ou mudanças de configuração. Combinado a deepfakes de voz e vídeo em tempo real e campanhas de phishing mais convincentes, o cenário aponta para a necessidade de treinamento contínuo, validação de fontes e políticas claras de uso de IA em todo o ciclo de desenvolvimento e operações.
Para o público executivo e técnico, a mensagem central é pragmática: 2026 exigirá que as empresas liguem os pontos entre comportamento, identidade e infraestrutura, expandindo a cobertura para nuvem, borda e virtualização, ao mesmo tempo em que automatizam o básico para ganhar velocidade. Preparar-se para malware mutante e ataques sem malware é, acima de tudo, construir resiliência, encurtar o tempo de detecção e resposta e reduzir a superfície de ataque onde os adversários já estão operando.