IA quebra criptografia? O risco real que ninguém te conta

Você já parou para pensar se aquela senha que você usa há anos, ou aquele aplicativo de banco que promete segurança de nível militar, realmente estão protegidos? Um novo estudo acaba de acender um alerta vermelho no mundo da segurança digital. Pesquisadores criaram um benchmark chamado CryptanalysisBench para medir a capacidade de modelos de linguagem (LLMs) em realizar criptoanálise – a arte de quebrar sistemas criptográficos. E os resultados são perturbadores. Cinco modelos de fronteira, incluindo Claude Opus 4.8, GPT-5.5 e Mythos 5, não apenas resolveram a maioria dos desafios de Nível 1 (algoritmos com quebras conhecidas), como também geraram ataques inéditos contra esquemas considerados seguros. Isso mesmo: a IA está encontrando vulnerabilidades que nenhum humano havia descoberto antes. O que isso significa para a proteção dos seus dados?

O artigo original, Measuring LLMs’ Ability to Perform Cryptanalysis, detalha o funcionamento do CryptanalysisBench: 191 tarefas distribuídas em seis famílias de primitivos criptográficos, muitas oriundas de competições do NIST. O mais assustador? No Nível 2 – esquemas sem quebra prática conhecida – os modelos conseguiram ataques bem-sucedidos em versões de força total e em variantes reduzidas. E no Nível 3, o conjunto de desafios com algoritmos de produção na fronteira da criptoanálise, a IA também mostrou sua força. Estamos falando de algoritmos que protegem transações bancárias, comunicações empresariais e até segredos de Estado.

O que as big techs não estão contando sobre a criptoanálise por IA

Quando uma empresa de tecnologia anuncia um novo modelo de IA, o discurso oficial geralmente gira em torno de “inovação responsável” e “compromisso com a segurança”. Mas o que o artigo do Schneier on Security revela é que essas mesmas IAs estão sendo usadas para desmontar justamente os pilares da segurança digital. A Anthropic, por exemplo, utilizou seu modelo para testar o Mythos Preview e encontrou novas vulnerabilidades nos algoritmos Hawk e AES com rodadas reduzidas. Cada um desses ataques custou cerca de US$ 100.000 – um valor irrisório para o potencial de dano.

A narrativa oficial dirá que isso é “pesquisa para fortalecer a criptografia”. Mas a realidade é mais sombria: essas ferramentas estão disponíveis e podem ser replicadas. O benchmark é público. Os modelos são acessíveis via API. O conhecimento está sendo disseminado. E enquanto as empresas celebram seus avanços, a pergunta que fica é: quem está auditando o uso dessas capacidades? Quem garante que um funcionário mal-intencionado ou um Estado não está usando a mesma tecnologia para quebrar sigilos?

A falácia do “criptografia inquebrável” e o impacto nos seus dados vazados

Durante anos, fomos doutrinados a acreditar que a criptografia moderna era virtualmente inviolável, desde que implementada corretamente. O AES-256, por exemplo, era considerado seguro contra ataques de força bruta até o fim dos tempos. Mas o que o CryptanalysisBench demonstra é que a IA pode encontrar atalhos matemáticos que os humanos não viram. Um dos exemplos citados no artigo é um ataque de recuperação de chave que explora uma falha de design no SpoC AEAD, um algoritmo de criptografia autenticada. Outro é um erro na prova de segurança CCA do KINDI. Ambos eram desconhecidos até então.

Isso tem implicações diretas para quem já teve dados vazados. Imagine que seus documentos, fotos ou mensagens foram expostos em um vazamento passado, mas estavam criptografados. A empresa responsável pode ter dito: “Fiquem tranquilos, os dados estavam protegidos por criptografia de ponta”. Mas e se essa criptografia for quebrada amanhã por uma IA? Seus dados, que antes eram ilegíveis, podem se tornar um livro aberto para criminosos. É por isso que monitorar vazamentos é tão crítico: você precisa saber o que já circula sobre você, mesmo que hoje pareça inofensivo.

Golpe do falso suporte técnico: quando a confiança na tecnologia é a arma

Enquanto discutimos ameaças sofisticadas de criptoanálise, há um perigo muito mais mundano e igualmente devastador que se aproveita justamente da nossa dependência da tecnologia: o golpe do falso suporte técnico. Nele, criminosos se passam por funcionários de grandes empresas de software, bancos ou operadoras de telefonia, alegando que seu computador foi infectado, sua conta foi hackeada ou seu roteador está com problemas. O objetivo é fazer você entregar acesso remoto, senhas ou até mesmo pagar por um serviço inexistente.

Veja a conexão com o tema central: se a criptografia que protege suas comunicações pode ser minada por IA, a confiança que você deposita em um “técnico” que liga oferecendo ajuda se torna ainda mais perigosa. O golpista pode usar informações de vazamentos anteriores (como seu nome, CPF ou operadora) para parecer legítimo. E se ele conseguir acesso ao seu dispositivo, de nada adianta a criptografia mais avançada do mundo.

Como o golpe funciona e por que a engenharia social vence a criptografia

O roteiro é quase sempre o mesmo: você recebe uma ligação ou pop-up alarmante dizendo que seu equipamento está comprometido. O falso suporte pede que você instale um software de acesso remoto, como AnyDesk ou TeamViewer. A partir daí, o criminoso vasculha seus arquivos, rouba credenciais salvas no navegador, instala keyloggers e, muitas vezes, exibe uma tela falsa de “reparo” enquanto realiza transferências bancárias. A criptografia não protege contra isso porque o invasor está agindo dentro da sua sessão autenticada.

Aqui vão algumas orientações práticas para não cair nesse golpe:

• Desconfie de contatos não solicitados: Nenhuma empresa séria liga para você oferecendo suporte técnico proativo. Se receber uma ligação assim, desligue imediatamente.
• Nunca instale software por indicação de terceiros por telefone: Se alguém pedir para você baixar um programa de acesso remoto, é golpe.
• Verifique canais oficiais: Se achar que pode ser legítimo, desligue e ligue para o número oficial da empresa (que você mesmo deve buscar no site oficial, não no que o golpista fornecer).
• Use autenticação de dois fatores (2FA): Mesmo que consigam sua senha, o segundo fator pode barrar o acesso. Prefira aplicativos autenticadores a SMS.
• Mantenha backups atualizados: Se for vítima de ransomware ou sequestro de dados, ter cópias offline é sua salvação.

A responsabilidade das empresas e o que você pode fazer agora

É revoltante ver empresas tratando vazamentos como meros incidentes de relações públicas, enquanto nós, usuários, arcamos com as consequências. Quando um algoritmo é quebrado, quem vai nos avisar? Quem vai arcar com o prejuízo de identidades roubadas? A verdade é que a responsabilização ainda é quase nula, e o ônus da proteção recai sobre o indivíduo. Por isso, além de se precaver contra golpes, você precisa assumir o controle da sua própria segurança digital.

O primeiro passo é saber o que já vazou sobre você. Visite a Kzarka em https://kzarka.com e faça uma verificação gratuita. Nossa plataforma monitora vazamentos de dados e roubo de identidade digital, alertando você sempre que suas informações aparecerem em locais indevidos. Não espere a próxima notícia de que uma IA quebrou o algoritmo que protege suas fotos íntimas ou seus extratos bancários. O risco é real, e ele já está batendo à porta.

Perguntas Frequentes

O que é criptoanálise?

Criptoanálise é o estudo de técnicas para quebrar sistemas criptográficos, ou seja, encontrar maneiras de decifrar informações protegidas sem ter a chave. É o oposto da criptografia, que busca criar sistemas seguros.

A IA realmente pode quebrar qualquer criptografia?

Não exatamente. Os resultados do CryptanalysisBench mostram que IAs avançadas são capazes de encontrar vulnerabilidades em algoritmos específicos, mas isso não significa que toda criptografia está comprometida. Ainda assim, é um avanço preocupante que exige atenção redobrada.

Como o golpe do falso suporte técnico se relaciona com vazamentos de dados?

Golpistas frequentemente usam dados vazados (nome, CPF, telefone, operadora) para personalizar a abordagem e ganhar credibilidade. Assim, um vazamento antigo pode ser a chave para um golpe bem-sucedido hoje.

O que devo fazer se meus dados vazarem?

Primeiro, troque as senhas dos serviços afetados. Ative a autenticação de dois fatores. Monitore suas contas bancárias e de crédito. E utilize uma plataforma como a Kzarka para ser alertado sobre futuros vazamentos.

Empresas são obrigadas a me avisar sobre vazamentos?

No Brasil, a LGPD (Lei Geral de Proteção de Dados) exige que as empresas notifiquem a ANPD e os titulares em caso de incidentes de segurança que possam causar risco ou dano. Porém, muitas vezes a notificação é genérica e tardia.

Como a Kzarka pode me ajudar a proteger minha identidade digital?

A Kzarka monitora continuamente a internet e a dark web em busca de seus dados pessoais, como e-mail, CPF e números de telefone. Se encontrarmos suas informações em um vazamento, você recebe um alerta imediato com orientações sobre como agir.