Ataques de DDoS e serviços financeiros: mais difíceis de conter

A duração média dos ataques globais de DDoS das camadas 3 e 4 contra o setor financeiro cresceu 738% desde 2024. Esse salto, por sua vez, está diretamente ligado a infraestruturas alimentadas por IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI →.

Os serviços financeiros se tornaram o alvo número um dos cibercriminosos. De fato, eles agora superam qualquer outro setor quando o assunto é negação de serviço distribuída (DDoS) na web e em APIs, ou seja, nas camadas 3 e 4. Essa conclusão vem da Akamai (NASDAQ: AKAM), que detalhou o cenário em seu relatório State of the Internet (SOTI), intitulado AI-Empowered Botnets and API Visibility Gaps: Attack Trends in Financial Services.

Além disso, as descobertas apontam para uma mudança perigosa. Afinal, hacktivistas pró-Irã e bots impulsionados por IA passaram a usar táticas de DDoS para derrubar serviços bancários online, sistemas de pagamento e aplicações críticas. Como resultado, o risco deixou de ser pontual e virou rotina.

Por que a duração dos ataques saltou 738% desde 2024

Aqui está o dado que deveria tirar o sono de qualquer time de infraestrutura.

Portanto, vale uma reflexão para nós que trabalhamos com código. A transformação digital trouxe avanços reais, como serviços bancários online e pagamentos em tempo real. Contudo, ela também abriu portas. Em outras palavras, cada nova superfície de exposição que criamos vira um vetor em potencial para quem ataca.

Ataques: As APIs viraram o elo mais frágil da cadeia

Se você desenvolve ou mantém APIs em fintechs ou bancos, preste atenção nesta parte. Os números mostram que esse é justamente o ponto de maior pressão hoje.

Veja os destaques do relatório:

• Entre os líderes de serviços financeiros ouvidos no Estudo sobre o impacto da segurança de APIs de 2026, 96% relataram pelo menos um incidente de segurança de APIs nos últimos 12 meses. Esse, aliás, foi o índice mais alto entre todos os setores.
• Em 2025, 60% do total de ataques na web e 83% das incursões contra endpoints de APIs miraram serviços bancários.
• Quase 80% das instituições financeiras sofreram ataques de ransomware nos últimos dois anos. Ainda assim, menos da metade adotou tecnologias avançadas de segurança.
• A atividade avançada de bots subiu 147% no fim de 2025. Inclusive, em um estudo de caso, espantosos 96% de todo o tráfego de um site eram bots de scraping mal-intencionados.

Em resumo, a IA não diminui os riscos tradicionais de segurança. Pelo contrário, ela os amplifica.

O mapa do ataque muda conforme a região

Outro ponto importante: a tática preferida do atacante varia bastante de acordo com onde você está. Por isso, vale conhecer o padrão de cada região antes de definir prioridades de defesa.

• Na EMEA, o DDoS das camadas 3 e 4 domina, com 62% dos casos.
• Na APAC, o DDoS da camada 7 lidera, representando 52%.
• Na América do Norte, por outro lado, os ataques na web são os mais comuns, com 44%.

Consequentemente, uma estratégia única dificilmente protege uma operação global. Cada região exige um foco diferente.

O que dizem os especialistas da Akamai

Para Steve Winterfeld, CISO consultivo da Akamai, a ameaça virou constante. Segundo ele, cibercriminosos e hacktivistas seguem alimentando os ataques de DDoS, e os serviços financeiros estão bem no centro do alvo.

Ele reforça ainda um ponto que ecoa o que vimos acima. As APIs são cada vez mais visadas justamente porque a IA não reduz os riscos clássicos, e sim os multiplica. Felizmente, há saída. As organizações financeiras podem adotar as estratégias e boas práticas detalhadas no relatório para reduzir a exposição.

O que mais o relatório traz para o time técnico

O documento vai além dos números de ataque. Por exemplo, ele reúne tendências baseadas em dados sobre atividade criminosa e a participação do CISO da FS-ISAC. Além disso, traz um destaque de segurança sobre recursos MITRE.

Há também um recorte voltado para nuvem. Nele, o relatório explica as diferenças entre arquiteturas de IA e apresenta estratégias práticas de mitigação contra ataques de DNS e DDoS. Dessa forma, quem está na ponta técnica encontra orientação aplicável ao dia a dia.

Conclusão: blindar o financeiro virou prioridade de engenharia

Já em seu 12º ano, os relatórios SOTI Security da Akamai seguem como referência. Eles extraem insights de ataques reais observados na infraestrutura de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → da empresa, que processa uma fatia expressiva do tráfego global da web.

No fim das contas, a mensagem para nós, desenvolvedores, é direta. Ataques de DDoS e abuso de APIs não são mais um problema só do time de segurança. São, antes de tudo, uma questão de arquitetura, de design de API e de escolhas técnicas feitas lá no começo do projeto. Portanto, quanto mais cedo a defesa entrar no fluxo de desenvolvimento, menor o estrago depois.

Acompanhe nosso perfil no Instagram!