A análise de ficheiros já não é suficiente: como a NordVPN define “antivírus de última geração”

O problema da definição atual

O setor da cibersegurança sempre definiu as gerações de antivírus pelo modo de detetar ficheiros maliciosos. As primeiras ferramentas comparavam os ficheiros com assinaturas de ataques conhecidas, enquanto as gerações posteriores acrescentaram heurísticas, análise comportamental, execução em ambientes isolados e classificação baseada em aprendizagem automática.

Cada nova geração procurou responder à mesma pergunta: este ficheiro é malicioso? Mas o cenário de ameaças mudou. Hoje, a maioria dos ataques (desde ataques de phishing, burlas e roubo de identidade aos ataques de engenharia social) não utiliza ficheiros maliciosos. No entanto, a definição de “antivírus” não acompanhou essa evolução.

Os vírus já não são a maior ameaça

Hoje, a maioria das ciberameaças não envolve um vírus. Estas são as grandes ameaças que as pessoas enfrentam online:

• As burlas transformaram-se em operações sofisticadas de engenharia social. Lojas falsas de comércio eletrónico utilizam páginas de produtos convincentes, avaliações fabricadas e fluxos de compra funcionais para roubar dados de pagamento. As mensagens fraudulentas por SMS fazem-se passar por serviços de entregas, autoridades fiscais e entidades bancárias. Os esquemas por telefone utilizam a falsificação de identificação de chamadas e vozes geradas por IA para extrair dinheiro e informações pessoais. Nenhum destes ataques precisa de um ficheiro malicioso para ser bem-sucedido.
• O phishing evoluiu muito para além dos e-mails com erros ortográficos que eram comuns há uma década. As páginas atuais de phishing são réplicas perfeitas de sites verdadeiros, muitas vezes alojadas em domínios comprometidos, com certificados SSL válidos. São criadas para roubar credenciais, tokens de sessão, códigos de autenticação multifator e dados pessoais utilizados para a recuperação de contas.
• O roubo de identidade é a maior preocupação de segurança dos utilizadores da NordVPN¹, já que os atacantes podem conseguir acesso não autorizado às suas contas através do preenchimento automático de credenciais, do sequestro de sessões, da troca ou clonagem de cartões SIM e de ataques de engenharia social. Depois de obterem acesso, podem apropriar-se da conta bloqueando o acesso do proprietário original. Além disso, os atacantes também podem usar dados pessoais roubados para abrir novas linhas de crédito ou cometer fraude em nome dos proprietários da conta.
• O malware e os ficheiros maliciosos continuam a ser uma das principais ameaças. As transferências que as pessoas fazem e o que executam nos seus dispositivos ainda precisam de inspeção e controlo. Mas os ficheiros tornaram-se apenas um de muitos vetores maliciosos.

Uma ferramenta de proteção contra ameaças digitais que lide apenas com os ficheiros maliciosos ignora a maioria dos ataques a que as pessoas estão sujeitas. 

Redefinir o conceito de “antivírus”

O termo “antivírus” nasceu numa era em que os ficheiros maliciosos eram a maior ameaça digital. Décadas de marketing das marcas tradicionais de segurança transformaram “antivírus” num termo genérico associado ao software de segurança — da mesma forma que “Kleenex” passou a ser sinónimo de lenços de papel e “Band-Aid” de pensos rápidos. Esta é uma associação que não vai desaparecer.

O setor da segurança empresarial foi o primeiro a reconhecer as limitações do software antivírus tradicional. As principais empresas de cibersegurança introduziram os antivírus de última geração (NGAV) para complementar ou substituir a análise de ficheiros baseada em assinaturas. Os NGAV utilizam uma combinação de deteção comportamental e algoritmos de aprendizagem automática para identificar ameaças, ajudar a detetar processos maliciosos, malware sem ficheiros e comportamentos de exploração que escapam muitas vezes aos antivírus tradicionais.

Para os ambientes empresariais, os NGAV continuam a ser uma importante evolução. No entanto, foram desenvolvidos sobretudo para dispositivos empresariais geridos, equipas de segurança dedicadas e um modelo de ameaças centrado no comprometimento dos dispositivos, dependendo de uma extensa recolha de dados de telemetria comportamental que um produto voltado para a privacidade do consumidor não deveria fazer.

Assim, o termo “antivírus” passou a ter duas definições: o modelo tradicional, criado para os utilizadores comuns numa época em que os ficheiros maliciosos eram a maior ameaça, e o modelo NGAV empresarial, desenvolvido para ambientes empresariais geridos. A definição antiga está desatualizada, e a definição empresarial não foi pensada para os utilizadores individuais. Nenhuma delas se refere às ameaças que eles enfrentam hoje nos seus dispositivos pessoais.

As pessoas continuam a pesquisar por “antivírus” quando aquilo de que precisam é de proteção contra malware, phishing, roubo de identidade, burla e apropriação de contas. A definição precisa de ser atualizada para acompanhar as ameaças que se espera que cubra.

A NordVPN define “antivírus de última geração” como uma ferramenta abrangente de proteção contra ameaças digitais. De acordo com esta definição, um antivírus de última geração oferece proteção em cinco áreas:

• Proteção contra burlas: deteta sites fraudulentos e lojas falsas, alerta os utilizadores para esquemas através de SMS, identifica chamadas suspeitas e protege as sessões bancárias.
• Proteção contra phishing: avalia os URL, as ligações de e-mails e o conteúdo online em tempo real para detetar tentativas de recolha de credenciais antes que cheguem ao utilizador.
• Proteção contra o roubo de identidade e a apropriação de contas: monitoriza tentativas de roubo, deteta padrões de fraude, procura fugas de dados na dark web para identificar informações pessoais expostas e alerta para credenciais comprometidas. Do lado da conta, deteta e envia alertas sobre tentativas de acesso não autorizado através do preenchimento automático de credenciais, do sequestro de sessões, da troca de cartões SIM e da engenharia social, além de identificar credenciais fracas antes que possam ser exploradas por atacantes.
• Bloqueio de localizadores e anúncios: remove localizadores entre sites, scripts de recolha de impressões digitais e anúncios invasivos que comprometem a privacidade, tornam o desempenho mais lento e criam outros pontos de entrada para ataques direcionados de engenharia social.
• Proteção de ficheiros e dispositivos: analisa transferências e põe em quarentena ou remove ficheiros maliciosos antes de serem executados.

A NordVPN não reinventou a categoria dos antivírus, tendo-se limitado a expandi-la para incluir as ameaças que já se espera que um antivírus combata.

Como desenvolvemos o nosso antivírus de última geração

Uma proteção digital eficaz requer um equilíbrio entre três compromissos difíceis de conciliar: não criamos perfis de utilizadores, medimos dados que nos ajudam a melhorar o nosso produto e desenvolvemos um produto que funciona sem precisar de atenção do utilizador.

Otimizar um destes princípios em detrimento dos outros daria origem a um produto invasivo, pouco fidedigno ou demasiado complexo. Um produto caracterizado por todos eles é mais difícil de criar, mas inspira mais confiança.

Não criamos perfis

A NordVPN é uma empresa de privacidade. Os nossos utilizadores confiam em nós porque não monitorizamos as suas atividades. No entanto, este compromisso impõe uma limitação constante: a deteção de ameaças tem de funcionar com menos dados do que seria desejável.

Temos uma regra simples: só saem de um dispositivo os dados necessários para identificar uma ameaça. Quando temos de fazer a análise nos nossos servidores, e não no dispositivo do utilizador, removemos qualquer ligação ao utilizador antes de os dados serem transferidos.

Na prática, isso significa que:

• Sempre que possível, os ficheiros são analisados pelo hash, e não pelo conteúdo.
• Os parâmetros de consulta e os fragmentos de caminho que contenham informações pessoais são removidos dos URL antes de qualquer pesquisa na nuvem, o que significa que não há URL associados a um utilizador específico.
• Os cookies de autenticação são submetidos a um processo de hash e apenas os primeiros oito carateres saem do dispositivo.

O nosso esquema de dados não tem qualquer campo para a identificação direta do utilizador, o que significa que a proteção da privacidade não depende de as pessoas cumprirem as regras – o sistema garante-a automaticamente.

Medimos sem monitorizar

A deteção de ameaças sem métricas não passa de pura especulação. Precisamos de saber se o nosso classificador de phishing está a melhorar, se a deteção de fraudes está a identificar novos padrões e onde é que os nossos modelos estão a deixar escapar ameaças. Para responder a estas perguntas, precisamos de dados de feedback.

No entanto, a recolha indiscriminada de dados de feedback transforma o software de segurança em software de vigilância. Evitamos esse risco ao avaliar os sistemas de deteção, em vez de recolher dados pessoais. Cada camada da nossa infraestrutura gera dados agregados de desempenho:

• Os classificadores de aprendizagem automática indicam a taxa de deteção e de falsos positivos.
• O fuzzy hashing indica a velocidade de classificação.
• Os feeds de inteligência sobre ameaças indicam a atualidade dos dados.

O produto calcula estas métricas com base em amostras da população e os modelos voltam a ser treinados com amostras de ameaças anonimizadas e resumos estatísticos. Não há qualquer histórico de navegação do utilizador que entre no ciclo de feedback, o que significa que podemos dizer se o nosso modelo de phishing está a melhorar, mas não podemos apontar o que um utilizador específico estava a fazer no momento em que uma ameaça foi detetada.

Criámos o nosso produto para ser invisível

A melhor ferramenta de segurança é aquela com que as pessoas não têm de se preocupar, pois não precisa de ser configurada, não envia demasiados alertas e não requer conhecimentos técnicos. Desenvolver um produto que seja invisível para os utilizadores pede que observemos o modo como interagem com ele, daí termos estabelecido os dados mínimos necessários para melhorar a experiência do utilizador, não indo além disso.

Com o consentimento do utilizador, monitorizamos:

• Informações sobre as funcionalidades que estão ativadas e desativadas e a frequência com que são utilizadas.
• Métricas de volume, que indicam quantas ameaças foram bloqueadas durante um determinado período.
• Índices de satisfação do utilizador, recolhidos através de inquéritos diretos.

Nenhum destes dados nos diz o que um utilizador específico estava a fazer, mostrando-nos apenas se o produto está a funcionar suficientemente bem para que os utilizadores possam esquecer-se dele.

Por definição, os dados a este nível não são sensíveis, não podendo ser cruzados para reconstruir comportamentos, inferir intenções ou criar perfis.

A postura da NordVPN em relação à IA: pequenos modelos para tarefas específicas

A NordVPN emprega modelos de aprendizagem automática pequenos e dedicados, cada qual treinado para tarefas de deteção específicas. Em vez de criar um único modelo que tente classificar todas as ameaças, desenvolvemos modelos específicos para categorias distintas de ameaças:

• Um modelo treinado para avaliar se os URL apresentam características de phishing.
• Um modelo que se dedica a identificar padrões em páginas fraudulentas de comércio eletrónico.
• Um modelo que analisa o comportamento dos ficheiros para identificar indicadores de malware.
• Um modelo otimizado para detetar padrões de engenharia social nas mensagens.

Há modelos que são suficientemente leves para serem executados diretamente no dispositivo do utilizador; outros são executados na extensão do navegador. Os modelos que precisam de maior capacidade de processamento são executados em back-end. Quando o processamento é feito localmente, os dados relevantes ficam no dispositivo, não sendo enviados para servidores externos para análise.

Cada modelo pode ser validado e atualizado de forma independente, para que possamos identificar a causa quando a eficácia diminui. E, como são executados separadamente, não precisam da atenção do utilizador nem interrompem a sua experiência.

Esta separação também ajuda a aumentar a precisão das métricas. Quando um modelo de phishing apresenta um baixo desempenho, sabemos exatamente o que é necessário voltar a treinar e com que dados. Quando um modelo de deteção de fraudes gera falsos positivos, podemos corrigi-lo sem afetar a deteção de malware. Como cada modelo tem apenas uma função, podemos identificar exatamente o que falhou e porquê.

Os modelos de aprendizagem automática funcionam bem dentro de um âmbito definido, mas falham quando tratados como uma solução completa. Os nossos modelos trabalham com sistemas baseados em regras, feeds de inteligência de ameaças e análise humana, complementando-se entre si.

Para classificar ameaças em tempo real em milhões de dispositivos e diferentes contextos, os modelos pequenos e dedicados são o método mais eficaz que encontrámos e que não compromete a privacidade do utilizador.

O que vem a seguir

O termo “antivírus” não vai desaparecer. É nele que as pessoas pensam quando procuram e compram proteção digital. O setor pode continuar a limitar a sua definição à análise de ficheiros e tratar o resto do ambiente de ameaças como um problema que não lhe compete resolver ou pode desenvolver produtos que correspondem à evolução do significado da palavra para quem os usa.

Nós escolhemos a segunda opção. Criámos um produto que abrange a proteção contra fraudes, a deteção de phishing, a monitorização de identidade e a segurança dos ficheiros — assente na privacidade, testado com rigor e desenvolvido para que os utilizadores possam utilizá-lo sem terem de se tornar especialistas de segurança.

É isto que acreditamos que a categoria dos antivírus deve proporcionar hoje em dia: uma ferramenta de proteção contra ameaças digitais que inclui o phishing, as burlas, o roubo de identidade e o malware.

Referências

¹ Šlekytė, I. (2025, June 25). NordVPN research reveals: One in three people fall victim to online scams. NordVPN. https://www.nordvpn.com/blog/scam-experience-research/