IA amplia superfície de ataques no comércio eletrônico

A inteligência artificial ampliou a superfície de ataque para cibercriminosos. Segundo o novo relatório “State of the Internet (SOTI): Securing the Agentic Storefront: Attacks on Commerce”, da Akamai Technologies, o comércio tornou-se o setor mais visado por bots de IA e ataques cibernéticos, exigindo uma nova abordagem de segurança para equilibrar inovação, experiência do cliente e proteção dos negócios.

O relatório mostrou que o avanço do comércio agêntico amplia os riscos para o setor, com crescimento de ataques a APIs, bots de IA e novas modalidades de fraude digital. Quase metade (48%) de toda a atividade de bots de IA observada pela Akamai teve como destino empresas do setor de comércio, tornando-o o principal alvo dessa categoria de automação.

Além disso, 71% dos bots de IA identificados no setor são crawlers utilizados para treinar modelos de IA, que coletam informações como descrições de produtos, preços e estoques.

A atividade de bots cresceu 48% na América Latina em 2025, impulsionada pela expansão do comércio eletrônico na região. O comércio registrou mais de 200 bilhões de ataques contra aplicações web e APIs entre 2024 e 2025, mantendo-se como a indústria mais atacada globalmente.

Ataques direcionados a APIs cresceram 9% em um ano. Entre empresas do setor, 85% sofreram ao menos um incidente relacionado a APIs, mas apenas 22% sabem quais APIs expõem dados sensíveis. Em 2025, o setor sofreu quase 3 trilhões de ataques DDoS de camada 7, dos quais 84% tiveram como alvo o varejo.

O estudo também mostrou que agentes de IA já conseguem reproduzir comportamentos muito semelhantes aos de usuários humanos, dificultando a identificação de atividades maliciosas. Criminosos também passaram a explorar técnicas como o sequestro de agentes de IA, injeção de prompts maliciosos e criação de identidades sintéticas para automatizar fraudes e explorar vulnerabilidades em APIs.

Para a Akamai, o desafio das empresas deixa de ser simplesmente bloquear bots e passa a ser governar a automação, diferenciando agentes legítimos, que podem gerar valor para o negócio, de bots utilizados para fraudes, raspagem de dados, abuso de credenciais e ataques DDoS.

Para se proteger, as empresas devem mapear continuamente APIs, sistemas críticos e integrações de terceiros, identificando quais expõem dados sensíveis e sustentam a jornada de compra; adotar uma estratégia de governança para bots e agentes de IA, diferenciando automações legítimas de atividades maliciosas; testar previamente a resiliência da infraestrutura, reforçando a proteção contra ataques DDoS e segmentando ambientes críticos para limitar o impacto de incidentes; e integrar cibersegurança e prevenção a fraudes, com planos de resposta preparados para ataques durante períodos de pico de vendas.