A duração média dos ataques globais de DDoS das camadas 3 e 4 contra o setor financeiro cresceu 738% desde 2024. Esse salto, por sua vez, está diretamente ligado a infraestruturas alimentadas por IA.

Os serviços financeiros se tornaram o alvo número um dos cibercriminosos. De fato, eles agora superam qualquer outro setor quando o assunto é negação de serviço distribuída (DDoS) na web e em APIs, ou seja, nas camadas 3 e 4. Essa conclusão vem da Akamai (NASDAQ: AKAM), que detalhou o cenário em seu relatório State of the Internet (SOTI), intitulado AI-Empowered Botnets and API Visibility Gaps: Attack Trends in Financial Services.

Além disso, as descobertas apontam para uma mudança perigosa. Afinal, hacktivistas pró-Irã e bots impulsionados por IA passaram a usar táticas de DDoS para derrubar serviços bancários online, sistemas de pagamento e aplicações críticas. Como resultado, o risco deixou de ser pontual e virou rotina.

Por que a duração dos ataques saltou 738% desde 2024

Aqui está o dado que deveria tirar o sono de qualquer time de infraestrutura.

Portanto, vale uma reflexão para nós que trabalhamos com código. A transformação digital trouxe avanços reais, como serviços bancários online e pagamentos em tempo real. Contudo, ela também abriu portas. Em outras palavras, cada nova superfície de exposição que criamos vira um vetor em potencial para quem ataca.

Ataques: As APIs viraram o elo mais frágil da cadeia

Se você desenvolve ou mantém APIs em fintechs ou bancos, preste atenção nesta parte. Os números mostram que esse é justamente o ponto de maior pressão hoje.

Veja os destaques do relatório:

• Entre os líderes de serviços financeiros ouvidos no Estudo sobre o impacto da segurança de APIs de 2026, 96% relataram pelo menos um incidente de segurança de APIs nos últimos 12 meses. Esse, aliás, foi o índice mais alto entre todos os setores.
• Em 2025, 60% do total de ataques na web e 83% das incursões contra endpoints de APIs miraram serviços bancários.
• Quase 80% das instituições financeiras sofreram ataques de ransomware nos últimos dois anos. Ainda assim, menos da metade adotou tecnologias avançadas de segurança.
• A atividade avançada de bots subiu 147% no fim de 2025. Inclusive, em um estudo de caso, espantosos 96% de todo o tráfego de um site eram bots de scraping mal-intencionados.

Em resumo, a IA não diminui os riscos tradicionais de segurança. Pelo contrário, ela os amplifica.

O mapa do ataque muda conforme a região

Outro ponto importante: a tática preferida do atacante varia bastante de acordo com onde você está. Por isso, vale conhecer o padrão de cada região antes de definir prioridades de defesa.

• Na EMEA, o DDoS das camadas 3 e 4 domina, com 62% dos casos.
• Na APAC, o DDoS da camada 7 lidera, representando 52%.
• Na América do Norte, por outro lado, os ataques na web são os mais comuns, com 44%.

Consequentemente, uma estratégia única dificilmente protege uma operação global. Cada região exige um foco diferente.

O que dizem os especialistas da Akamai

Para Steve Winterfeld, CISO consultivo da Akamai, a ameaça virou constante. Segundo ele, cibercriminosos e hacktivistas seguem alimentando os ataques de DDoS, e os serviços financeiros estão bem no centro do alvo.

Ele reforça ainda um ponto que ecoa o que vimos acima. As APIs são cada vez mais visadas justamente porque a IA não reduz os riscos clássicos, e sim os multiplica. Felizmente, há saída. As organizações financeiras podem adotar as estratégias e boas práticas detalhadas no relatório para reduzir a exposição.

O que mais o relatório traz para o time técnico

O documento vai além dos números de ataque. Por exemplo, ele reúne tendências baseadas em dados sobre atividade criminosa e a participação do CISO da FS-ISAC. Além disso, traz um destaque de segurança sobre recursos MITRE.

Há também um recorte voltado para nuvem. Nele, o relatório explica as diferenças entre arquiteturas de IA e apresenta estratégias práticas de mitigação contra ataques de DNS e DDoS. Dessa forma, quem está na ponta técnica encontra orientação aplicável ao dia a dia.

Conclusão: blindar o financeiro virou prioridade de engenharia

Já em seu 12º ano, os relatórios SOTI Security da Akamai seguem como referência. Eles extraem insights de ataques reais observados na infraestrutura de cibersegurança da empresa, que processa uma fatia expressiva do tráfego global da web.

No fim das contas, a mensagem para nós, desenvolvedores, é direta. Ataques de DDoS e abuso de APIs não são mais um problema só do time de segurança. São, antes de tudo, uma questão de arquitetura, de design de API e de escolhas técnicas feitas lá no começo do projeto. Portanto, quanto mais cedo a defesa entrar no fluxo de desenvolvimento, menor o estrago depois.

Acompanhe nosso perfil no Instagram!