Regulamentação

O cibercrime no Reino Unido aumentou quase 88% nos últimos anos, com os casos subindo de 774 mil para mais de 1,4 milhão. Em contraste, o efetivo policial dedicado a crimes cibernéticos cresceu apenas 31% no mesmo período, resultando em uma carga de trabalho significativamente maior para cada policial. Essa disparidade entre o aumento de incidentes e a capacidade de resposta das forças de segurança gera preocupações sobre a eficácia no combate a fraudes e crimes relacionados ao uso de computadores. Além disso, novas legislações estão sendo discutidas no Parlamento, como o Cyber Security and Resilience Bill, que visa fortalecer a resiliência cibernética nacional e introduzir penalidades mais severas para organizações que não cumprirem as novas normas. As propostas incluem a proibição de pagamentos de resgates em casos de ransomware, o que pode complicar ainda mais a situação para as empresas, que podem se ver pressionadas a tomar decisões difíceis em situações críticas. A combinação do aumento do cibercrime com regulamentações mais rigorosas impõe um ônus adicional às organizações, especialmente aquelas com capacidades de segurança interna limitadas.

A Comissão Federal de Comunicações dos Estados Unidos (FCC) atualizou sua ‘Covered List’, incluindo todos os roteadores de consumo fabricados no exterior, o que proíbe a venda de novos modelos no país. Essa lista, criada pela Lei de Redes de Comunicações Seguras e Confiáveis de 2019, contém equipamentos e serviços que representam riscos inaceitáveis à segurança nacional. A decisão foi baseada em uma determinação de segurança nacional que identificou riscos na cadeia de suprimentos, podendo afetar a economia dos EUA e sua infraestrutura crítica. A FCC destacou que roteadores estrangeiros foram utilizados em ataques cibernéticos a infraestruturas vitais, como os perpetrados pelos hackers Volt, Flax e Salt Typhoon. Embora a nova regra não afete imediatamente os consumidores, que continuarão a usar roteadores existentes, a disponibilidade de novos modelos pode ser reduzida e os preços podem aumentar devido ao processo de aprovação regulatória. Exceções foram feitas para alguns roteadores utilizados pelo Departamento de Guerra e pelo Departamento de Segurança Interna, que não representam riscos de segurança. Fabricantes estrangeiros ainda podem buscar aprovação nos EUA, desde que divulguem informações sobre sua estrutura corporativa e cadeia de suprimentos.

O governo do Reino Unido tem investido mais de £2 milhões em tecnologia de VPN para órgãos públicos, como Ofcom, Ofsted e NHS, enquanto discute a possibilidade de proibir o uso de VPNs por crianças. Embora as VPNs sejam reconhecidas como ferramentas legítimas para proteger dados e privacidade, a proposta de regulamentação visa implementar medidas de verificação de idade que poderiam restringir o acesso de jovens a esses serviços. A análise de contratos públicos revela que Ofsted, responsável pela inspeção de escolas, destinou £490.000 para um serviço de VPN gerenciado, enquanto outras entidades, como HM Revenue & Customs, também investiram em soluções de VPN. A situação levanta preocupações sobre a segurança cibernética e a privacidade, especialmente considerando que as mesmas tecnologias utilizadas por órgãos governamentais são acessíveis a consumidores. Especialistas alertam que a regulação excessiva pode prejudicar a reputação do Reino Unido como um ambiente seguro para negócios digitais. A consulta pública em andamento busca entender as implicações de restringir o uso de VPNs, tanto para a privacidade dos usuários quanto para a inovação no setor.

O Procurador-Geral do Texas, Ken Paxton, processou a TP-Link, uma gigante de roteadores e redes, alegando que a empresa enganou consumidores sobre a origem de seus produtos e suas promessas de segurança. Segundo a ação, a TP-Link afirma que seus produtos destinados aos EUA são fabricados no Vietnã, mas a maioria dos componentes é importada da China, o que, segundo Paxton, configura uma designação geográfica enganosa. Além disso, o processo menciona a plataforma HomeShield da TP-Link, que promete proteção total contra ameaças cibernéticas, mas que tem sido associada a várias vulnerabilidades, como as campanhas Volt Typhoon e Salt Typhoon. O Texas busca penalidades civis que podem ultrapassar US$ 1 milhão, além de um julgamento por júri. A TP-Link, por sua vez, defende sua posição, afirmando que a ação é infundada e que suas operações são independentes e seguras nos EUA. Este caso levanta preocupações sobre a segurança de dispositivos de rede amplamente utilizados, especialmente em um cenário onde a privacidade e a proteção de dados são cada vez mais cruciais.

Em 2026, o cenário de cibersegurança se caracteriza por uma instabilidade contínua, onde ameaças impulsionadas por inteligência artificial (IA) se adaptam em tempo real. As organizações precisam não apenas reagir a regulamentações, mas integrá-las como parâmetros permanentes em suas arquiteturas de segurança. A pressão geopolítica também influencia o ambiente cibernético, exigindo que as estratégias de segurança considerem riscos de cadeia de suprimentos e atividades cibernéticas alinhadas a estados.

A abordagem tradicional de prever ataques está se tornando obsoleta; agora, a prioridade é moldar as condições que dificultam o sucesso dos atacantes. Tecnologias como Defesa de Alvo em Movimento Automatizada (AMTD) e Gestão Contínua de Exposição a Ameaças (CTEM) são essenciais para encurtar a janela de oportunidade dos invasores. Além disso, a IA é cada vez mais integrada nas ferramentas de segurança, melhorando a eficiência na detecção e resposta a incidentes.

A Comissão Europeia anunciou que o TikTok enfrenta a possibilidade de uma multa devido a características viciantes em sua plataforma, como rolagem infinita, reprodução automática e notificações personalizadas, que estariam infringindo a Lei de Serviços Digitais (DSA) da UE. As investigações preliminares indicam que a empresa não avaliou adequadamente os riscos que essas funcionalidades podem representar para o bem-estar físico e mental dos usuários, especialmente crianças e adultos vulneráveis. A Comissão destacou que o TikTok incentiva o comportamento compulsivo ao manter os usuários em um ‘modo automático’, reduzindo o autocontrole. Além disso, a plataforma não considerou indicadores importantes de uso compulsivo, como o tempo que menores passam no aplicativo à noite. Se as violações forem confirmadas, o TikTok poderá ser multado em até 6% de sua receita global anual. Para evitar sanções, a Comissão recomenda que a empresa implemente pausas de uso, adapte seu sistema de recomendações e desative características viciantes. A comissária de tecnologia da UE, Henna Virkkunen, enfatizou a responsabilidade das plataformas em proteger seus usuários, especialmente crianças. O TikTok já enfrentou investigações e multas anteriores relacionadas à proteção de dados e privacidade infantil.

Na terça-feira, promotores franceses realizaram uma operação nas instalações da X em Paris, no âmbito de uma investigação criminal sobre a ferramenta de inteligência artificial Grok, amplamente utilizada para gerar imagens sexualmente explícitas. A investigação, iniciada em janeiro de 2025, foi ampliada após denúncias de que a Grok estaria gerando conteúdo ilegal e que a plataforma X estaria sendo utilizada para compartilhar deepfakes sexuais e conteúdo de negação do Holocausto. A operação foi conduzida pela unidade de cibercrime da Gendarmaria Nacional, com apoio de oficiais da Europol. Além disso, Elon Musk e a CEO da X, Linda Yaccarino, foram convocados para entrevistas voluntárias em abril de 2025, junto a outros funcionários da empresa. A investigação abrange sete delitos, incluindo a posse e distribuição de pornografia infantil e fraudes relacionadas à extração de dados. A Comissão Europeia também iniciou uma investigação para verificar se a X cumpriu as obrigações do Digital Services Act antes de implementar a ferramenta Grok. A X já foi multada em 120 milhões de euros por violações de transparência sob a mesma legislação.

A Comissão Europeia anunciou a abertura de um processo formal sob a Lei de Serviços Digitais (DSA) para investigar se a plataforma X avaliou adequadamente os riscos antes de implementar sua ferramenta de inteligência artificial, Grok. A preocupação surge após relatos de que a ferramenta foi utilizada para gerar imagens sexualmente explícitas manipuladas, incluindo conteúdos que podem ser classificados como material de abuso sexual infantil. A comissária de tecnologia da UE, Henna Virkkunen, destacou que os deepfakes sexuais são uma forma inaceitável de degradação. Além disso, as autoridades do Reino Unido também estão investigando a plataforma, após o uso do chatbot Grok para criar imagens de usuários nus e material de abuso sexual infantil. Em resposta às preocupações, a X anunciou que restringiria as capacidades de geração e edição de imagens do Grok apenas para assinantes pagos, uma decisão criticada por autoridades britânicas como desrespeitosa às vítimas de violência sexual. Como uma plataforma online de grande porte, a X deve mitigar riscos sistêmicos conforme definido pela DSA, incluindo a disseminação de conteúdo ilegal. A Comissão Europeia já multou a X em €120 milhões por violações anteriores de obrigações de transparência sob a DSA.

Na última sexta-feira, 23 de janeiro de 2026, o TikTok anunciou a formação de uma joint venture chamada TikTok USDS Joint Venture LLC, permitindo que a popular plataforma de compartilhamento de vídeos continue suas operações nos Estados Unidos. A criação da joint venture está em conformidade com uma ordem executiva assinada pelo ex-presidente Donald Trump em setembro de 2025, que exigia que a empresa chinesa ByteDance, proprietária do TikTok, vendesse a maior parte de sua participação para investidores majoritariamente americanos, mantendo apenas 19,9% do negócio.

A Cloudflare, empresa de infraestrutura digital, foi multada em € 14 milhões (aproximadamente R$ 87 milhões) pela Autoridade de Regulação das Comunicações da Itália (AGCOM) por não colaborar adequadamente com o sistema Piracy Shield, criado para combater a pirataria no país. A AGCOM alegou que a Cloudflare não tomou as medidas necessárias para bloquear domínios e endereços IP associados à pirataria, conforme exigido pela legislação italiana. Desde a implementação do Piracy Shield, mais de 65 mil domínios e 14 mil endereços IP foram bloqueados, mas a eficácia do sistema é questionada por especialistas, que afirmam que o bloqueio não necessariamente resulta em um aumento de audiência nas plataformas legais. A multa foi calculada com base em 1% do faturamento global da Cloudflare no último ano fiscal, embora a legislação permitisse uma penalização de até 2%. Este incidente destaca a crescente pressão sobre provedores de serviços online para que atuem no combate à pirataria e a importância da conformidade com as regulamentações locais.

A Roblox Corporation anunciou a expansão de sua verificação de idade obrigatória para recursos de chat, incluindo voz e texto, em todas as regiões. A partir de agora, todos os usuários que desejam utilizar essas ferramentas sociais devem passar por um processo que envolve a digitalização facial para determinar seu grupo etário. Essa medida visa proteger usuários mais jovens de conteúdos inadequados e comportamentos predatórios, em um contexto de crescente regulamentação da internet. No entanto, especialistas em privacidade expressaram preocupações sobre os riscos associados à coleta de dados biométricos e documentos de identificação, que podem se tornar alvos para cibercriminosos. A Roblox afirma que a privacidade dos usuários é uma prioridade, mas a exigência de compartilhar informações sensíveis pode ser vista como um grande compromisso em termos de privacidade. Os usuários também têm a opção de contestar a estimativa de idade através de métodos alternativos, como verificação de identidade ou controles parentais. A medida levanta questões sobre a segurança dos dados e o potencial impacto de um possível vazamento de informações pessoais, considerando o grande número de usuários da plataforma.

O artigo da TechRadar discute os desafios que a indústria de VPNs enfrentará até 2026, destacando a crescente pressão regulatória e as ameaças tecnológicas. A verificação de idade é um tema central, com governos buscando implementar medidas de segurança infantil que possam tornar as VPNs obsoletas. A colaboração entre a SafeToNet e a HMD exemplifica uma abordagem que bloqueia conteúdo impróprio diretamente no nível do sistema operacional, independentemente do uso de VPNs. Além disso, a possibilidade de proibições ou restrições a VPNs já é debatida em regiões como o Reino Unido e a União Europeia.

A Apple foi multada em €98,6 milhões pela Autoridade Antitruste da Itália (AGCM) por práticas que restringem a concorrência na App Store. A investigação, iniciada em maio de 2023, concluiu que a empresa abusou de sua posição dominante ao impor unilateralmente regras de transparência de rastreamento de aplicativos (ATT) a desenvolvedores de terceiros, sem consulta prévia. Embora a AGCM não questione a intenção da Apple de proteger a privacidade dos usuários, critica os requisitos de consentimento que oneram excessivamente os desenvolvedores. A ATT exige que os desenvolvedores apresentem solicitações de permissão separadas para o rastreamento de dados, enquanto os aplicativos da Apple podem obter essa permissão com um único toque. A autoridade argumenta que essa exigência dupla prejudica os desenvolvedores que dependem de publicidade. A Apple anunciou que irá recorrer da decisão, reafirmando seu compromisso com a proteção da privacidade. Este não é o primeiro caso de conflito da ATT com autoridades de concorrência, já que a empresa também foi multada na França e enfrenta investigações em outros países da Europa, como Polônia e Romênia.

A WatchGuard Technologies divulgou um relatório com previsões para a cibersegurança em 2026, destacando a crescente importância da inteligência artificial e das regulamentações de segurança digital. Segundo os especialistas Marc Laliberte e Corey Nachreiner, os crypto-ransomwares devem diminuir, pois as empresas estão adotando melhores práticas de backup e recuperação, tornando-se menos propensas a pagar resgates. Em contrapartida, os ataques focados em roubo de dados e chantagem por exposição pública devem aumentar. Além disso, a segurança do ecossistema open source pode ser ameaçada por ataques a repositórios como NPM e PyPI, levando à necessidade de defesas automatizadas baseadas em IA. Com a implementação do Cyber Resilience Act na Europa, empresas terão apenas 24 horas para reportar vulnerabilidades, o que pode acelerar a adoção de práticas de segurança. A previsão é que em 2026 ocorra o primeiro ataque totalmente executado por IA, ressaltando a urgência de defesas igualmente automatizadas. Falhas de configuração e ataques a portas de VPN continuarão a ser vulnerabilidades significativas, especialmente para pequenas e médias empresas, que devem adotar medidas de segurança do tipo Zero Trust.

O Departamento de Telecomunicações da Índia (DoT) estabeleceu novas diretrizes para provedores de serviços de comunicação baseados em aplicativos, exigindo que plataformas como WhatsApp, Telegram e Signal utilizem um cartão SIM ativo vinculado ao número de telefone do usuário. Essa medida, parte da emenda às Regras de Cibersegurança das Telecomunicações de 2024, visa combater fraudes cibernéticas, phishing e garantir a segurança das telecomunicações. O DoT destacou que a remoção ou desativação do SIM não deve permitir que contas continuem ativas, o que tem sido explorado por criminosos para realizar fraudes. As novas regras incluem a necessidade de reautenticação periódica a cada seis horas e a vinculação contínua ao SIM, dificultando o controle remoto de contas por fraudadores. Além disso, um novo sistema de Validação de Números Móveis (MNV) será implementado para verificar a autenticidade dos números utilizados em serviços financeiros e digitais. Essas mudanças visam aumentar a segurança e a confiança nas transações digitais, permitindo que as autoridades rastreiem números envolvidos em atividades fraudulentas.

Uma nova proposta de controle de chats, conhecida como Chat Control, foi apresentada ao Conselho da União Europeia, gerando preocupações entre especialistas em privacidade. A proposta revisada, que agora torna a detecção de conteúdo de abuso sexual infantil (CSAM) voluntária, foi recebida com apoio durante uma reunião recente, mas críticos, como o jurista Patrick Breyer, alertam que isso pode ser uma ‘decepção política’. Embora os provedores de serviços de mensagens não sejam obrigados a escanear todas as comunicações, um artigo da proposta sugere que serviços de alto risco podem ser forçados a implementar medidas de mitigação, o que poderia comprometer a natureza voluntária da detecção. Breyer destaca que essa mudança pode levar à quebra de criptografia, uma tecnologia essencial para a segurança das comunicações privadas. Além disso, a proposta pode ampliar o escopo da vigilância, incluindo a análise de textos e metadados de chats privados. A discussão sobre a proposta continua, e a resistência de vários países membros da UE levanta questões sobre a proteção da privacidade dos cidadãos e a segurança das comunicações digitais.

Um estudo do Projeto Brief revelou que o ecossistema da Meta, que inclui Facebook, Instagram e WhatsApp, está veiculando anúncios fraudulentos que afetam principalmente famílias de baixa renda e beneficiários de programas sociais, como o Bolsa Família. A pesquisa analisou 16 mil anúncios ativos e encontrou que 52% deles apresentavam indícios de golpe, com 9% confirmados como fraudulentos. Os golpistas focam em oferecer empréstimos e créditos consignados, utilizando narrativas emocionais para atrair vítimas. A Meta, ao permitir esses anúncios, não apenas tolera a fraude, mas também lucra com os cliques, mesmo que estes levem a golpes. A pesquisa destaca a necessidade urgente de regulamentação, como o Digital Services Act da União Europeia, para responsabilizar as plataformas digitais. No Brasil, a Lei Geral de Proteção de Dados (LGPD) parece insuficiente para conter essas fraudes, que resultaram em prejuízos de mais de R$ 40 bilhões para 56 milhões de brasileiros em 2024. O relatório conclui que a falta de moderação eficaz nas plataformas contribui para a proliferação de fraudes digitais.

As instituições financeiras enfrentam uma nova realidade em cibersegurança, onde a ciber-resiliência se tornou uma exigência regulatória. Regulamentos como o DORA na UE e o CORIE na Austrália exigem que essas organizações realizem exercícios de gerenciamento de crise e simulações de incidentes cibernéticos. A complexidade da conformidade está na colaboração entre equipes técnicas e não técnicas, onde simulações de incidentes cibernéticos precisam ser integradas a exercícios de mesa. A ferramenta OpenAEV tem se destacado ao permitir a combinação de simulações técnicas e de comunicação humana, facilitando a preparação e execução de cenários de crise. Essa abordagem integrada não só melhora a eficiência logística, mas também permite que as equipes desenvolvam uma memória muscular para responder a crises reais. À medida que as regulamentações se tornam mais rigorosas, as instituições devem se adaptar rapidamente, realizando simulações frequentes e relevantes para garantir a conformidade e a resiliência operacional. O acesso a ferramentas como OpenAEV, que oferece uma biblioteca de cenários de ransomware e integrações técnicas, é crucial para fortalecer as defesas cibernéticas e a conformidade.

No último Fórum Latinoamericano de Segurança da ESET, realizado no Uruguai, especialistas discutiram as tendências em cibersegurança até 2026, destacando o uso crescente da inteligência artificial (IA) em crimes virtuais. Pesquisadores como Martina López e Mario Micucci alertaram para o aumento do uso de IA agêntica, que permite a execução de ataques cibernéticos com mínima intervenção humana, especialmente em phishing e spear-phishing. Além disso, a evolução dos ransomwares, incluindo o modelo ransomware-as-a-service (RaaS), foi enfatizada, com a introdução de ransomwares desenvolvidos com IA, como o LunaLock. A regulamentação da IA também foi um ponto central, com a necessidade de legislações que garantam transparência e proteção contra abusos, como deepfakes. O Ato de Inteligência Artificial da União Europeia foi citado como um exemplo positivo, exigindo que empresas informem sobre o uso de IA. O artigo conclui que a cibersegurança enfrentará desafios significativos, com a necessidade de auditorias eficazes e regulamentações que protejam a integridade dos dispositivos tecnológicos.

Em 2025, a conformidade em cibersegurança se torna uma prioridade crítica para as organizações, que buscam alinhar suas operações a padrões regulatórios em constante evolução. Com a crescente aplicação de frameworks como SOC 2, ISO 27001, GDPR e HIPAA, as empresas necessitam de soluções robustas de gestão de conformidade que automatizem controles, simplifiquem auditorias e reduzam o risco de penalidades regulatórias. O artigo apresenta uma análise dos 10 melhores softwares de gestão de conformidade em cibersegurança, destacando suas capacidades principais, usabilidade e eficiência para empresas de médio e grande porte.

Desde a introdução da Lei de Segurança Online (OSA) no Reino Unido, em 2022, houve um aumento significativo no uso de VPNs e na busca por métodos alternativos para acessar conteúdo restrito. A OSA, que visa proteger crianças e adultos online, resultou em um aumento de 56% nas buscas por informações sobre VPNs e um impressionante aumento de 1.800% nos downloads do ProtonVPN. No entanto, a lei também gerou preocupações sobre privacidade, especialmente com a exigência de verificação de idade para sites pornográficos e a possibilidade de escaneamento de mensagens em aplicativos de mensagens antes da criptografia. Essa abordagem levanta questões sobre a segurança dos dados pessoais dos usuários e a eficácia das tecnologias de verificação. Além disso, a OSA pode levar a um aumento na busca por identidades falsas e acesso à dark web, o que representa um risco adicional. Embora a OSA não imponha uma censura total, suas implicações para a privacidade e a segurança online são significativas e podem servir como um alerta para outros países, incluindo o Brasil, sobre os desafios da regulamentação da internet.

Em uma decisão histórica proferida em 3 de setembro de 2025, o Tribunal Distrital dos EUA para o Distrito de Columbia determinou que o Google deve implementar mudanças significativas em suas práticas monopolistas relacionadas à busca e publicidade de busca, sem exigir a venda do navegador Chrome. A corte proibiu o Google de firmar contratos de distribuição exclusiva para seus produtos principais, como Google Search e Chrome, visando aumentar a concorrência no setor. Além disso, o Google foi ordenado a compartilhar dados de busca, incluindo acesso ao seu índice de busca e dados de interação do usuário, com concorrentes, permitindo que eles desenvolvam suas próprias tecnologias de busca. Essa decisão é vista como um passo importante para restaurar a escolha do consumidor e estimular a inovação, já que o Google detém cerca de 90% do mercado de buscas nos EUA. O procurador-geral dos EUA, Pamela Bondi, elogiou a decisão, que foi apoiada por 49 estados e dois territórios, sinalizando um novo capítulo na promoção de mercados competitivos.

Organizações que lidam com dados sensíveis ou informações pessoais identificáveis (PII) devem seguir padrões de conformidade regulatória, especialmente em setores regulados como saúde, finanças e educação. Padrões como PCI DSS, GDPR e HIPAA são cruciais para proteger contra riscos cibernéticos e evitar multas. Para atender a esses requisitos, as empresas devem revisar regularmente as normas aplicáveis, designar um responsável pela conformidade e treinar funcionários. O Wazuh, uma plataforma de segurança de código aberto, oferece suporte na implementação dessas normas, com recursos como monitoramento de eventos de conformidade, visualização de alertas e documentação atualizada. A conformidade não apenas protege as organizações, mas também facilita processos de licenciamento e reduz riscos financeiros. O artigo destaca a importância de plataformas como o Wazuh para garantir que as empresas permaneçam em conformidade com as regulamentações, ajudando a mitigar riscos e a melhorar a postura de segurança.

O Google implementou novas exigências regulatórias para desenvolvedores de aplicativos de criptomoeda que desejam distribuir suas aplicações na Google Play Store. Agora, é necessário que esses desenvolvedores obtenham licenciamento oficial do governo antes de publicar seus aplicativos em várias jurisdições ao redor do mundo. Essa atualização de política reflete a resposta da empresa ao panorama regulatório em rápida evolução em relação a ativos digitais e serviços financeiros.

Os requisitos de licenciamento variam significativamente entre regiões. Nos Estados Unidos, por exemplo, os desenvolvedores devem se registrar como Empresas de Serviços Monetários (MSBs) e obter licenças estaduais, enquanto na União Europeia, é necessário autorização como Prestadores de Serviços de Criptoativos (CASP) sob a regulamentação MiCA. O Japão e a Coreia do Sul têm suas próprias exigências específicas, como registro com a Agência de Serviços Financeiros e relatórios à Unidade de Inteligência Financeira, respectivamente.