Encontramos essa tensão central em Oh, Behave! The Annual Cybersecurity Attitudes and Behaviors Report 2026–2027, da National Cybersecurity Alliance (NCA) e da CybSafe. O sexto relatório anual entrevistou 5.000 adultos nos Estados Unidos, Reino Unido, Índia, Brasil e Singapura entre 28 de abril e 19 de maio de 2026.

Em muitos aspetos, os resultados são encorajadores! A maioria dos inquiridos (83%) afirmou que a segurança digital é uma prioridade máxima, e 70% acreditam que manter-se seguro online é algo alcançável.

No entanto, essas atitudes nem sempre se refletem nos hábitos das pessoas. Metade dos inquiridos já foi vítima de uma burla. Pessoas que sabem como criar palavras-passe fortes continuam a usar palavras previsíveis! Mais de metade não utiliza regularmente a autenticação multifator (MFA). E, à medida que a IA se torna parte da vida quotidiana, as pessoas estão a partilhar informações sensíveis.

Por outras palavras, o problema da cibersegurança não é simplesmente o facto de as pessoas não saberem o suficiente. É que saber nem sempre é suficiente.

A discrepância entre o saber e o fazer continua bem viva 

Quando se trata de palavras-passe, 73% dos inquiridos afirmam saber como criar uma palavra-passe forte. No entanto, 46% ainda utilizam palavras do dicionário, enquanto 38% utilizam dados pessoais nas suas palavras-passe. Quando se trata de gerir essas palavras-passe, a conveniência ainda reina suprema. É mais do dobro provável que as pessoas anotem as palavras-passe num caderno de papel (28%) ou confiem na memória (23%) do que utilizem um gestor de palavras-passe (11%). 

Com a MFA, a história é semelhante. A maioria dos inquiridos (53%) não utiliza a MFA regularmente. Desses, 21% sabem como utilizar a MFA e simplesmente optam por não o fazer! 

A conclusão é que muitas pessoas conhecem as melhores práticas! Mas a lacuna reside entre saber o que fazer e fazer consistentemente a escolha segura. 

Isto é importante porque significa que os esforços de sensibilização têm limites. Dizer às pessoas que a MFA é importante não torna necessariamente a MFA a escolha mais fácil. Explicar a segurança das palavras-passe não supera automaticamente a conveniência de reutilizar uma palavra-passe familiar. 

Como a IA está a mudar a equação

O surgimento de IA de consumo e de grandes modelos de linguagem (LLMs) está a tornar a discrepância entre o saber e o fazer mais complexa. Quatro em cada cinco pessoas inquiridas utilizam agora ferramentas de IA, e 44% utilizam-nas tanto na sua vida profissional como pessoal. A IA já não é algo que as pessoas encontram ocasionalmente ou exclusivamente no trabalho. Para muitos, faz parte da rotina diária.

No entanto, a orientação e a formação não acompanharam o ritmo da adoção. Cinquenta e seis por cento dos utilizadores de IA não receberam qualquer formação de segurança ou privacidade relacionada com as ferramentas que utilizam.

Quase um terço (32%) dos colaboradores que utilizam IA no trabalho afirmam ter partilhado informações confidenciais da empresa com uma ferramenta de IA sem o conhecimento da sua entidade patronal. As informações partilhadas com mais frequência incluem documentos internos, dados de clientes e dados financeiros.

Também descobrimos que as pessoas estão a tratar cada vez mais as ferramentas de IA como confidentes – 18% dos inquiridos afirmam ter contado a um chatbot de IA um segredo que nunca contaram a outra pessoa. Outros 40% partilharam informações de saúde, enquanto 32% partilharam sentimentos pessoais.

Mas as pessoas também se preocupam com os riscos — mais de 2 em cada 3 afirmam recear burlas geradas por IA. Esta contradição é importante: as pessoas reconhecem que a IA cria riscos, ao mesmo tempo que confiam informações altamente sensíveis a ferramentas de IA.

A solução não passa simplesmente por dizer às pessoas para deixarem de utilizar a IA, mas sim por orientá-las sobre o que é apropriado partilhar, o que não é e como utilizar estas ferramentas em segurança.

O cibercrime já não é uma hipótese para muitos de nós 

Para metade dos inquiridos, as consequências de um comportamento de cibersegurança inadequado não são teóricas; afirmaram já ter sido vítimas de uma burla. 

O phishing foi o tipo de incidente mais comum, representando 16% dos incidentes comunicados. Ofertas de emprego falsas, roubo de identidade e burlas em marketplaces online também tiveram um destaque proeminente.  

Ainda assim, a preocupação com o cibercrime nem sempre se traduz num sentimento de vulnerabilidade pessoal. Nos EUA, 66% dos adultos estão preocupados em tornar-se vítimas de cibercrime, mas apenas 37% acreditam que isso lhes vai acontecer. 

Isto parece ser outra versão da discrepância entre o saber e o fazer. É mais fácil correr um risco quando as consequências parecem abstratas, mesmo sabendo que são reais. 

Cada vez mais, muitos destes riscos envolvem burlas assistidas por IA. Mais de 1 em cada 3 inquiridos afirma ter recebido uma chamada telefónica ou videochamada com deepfake. Desses, 40% dizem ter perdido dinheiro ou dados em resultado disso. 

A sensibilização deve evoluir com as ameaças. Já não se pede às pessoas apenas para reconhecerem e-mails suspeitos; agora, precisam também de questionar se uma voz ou um vídeo familiar é autêntico. 

A formação é uma boa defesa… quando as pessoas têm acesso a ela

Descobrimos que a formação em cibersegurança parece fazer a diferença. Uma vasta maioria (88%) dos inquiridos que receberam formação em cibersegurança afirmou tê-la considerado útil. Entre os que receberam formação, 54% tornaram-se melhores a detetar phishing, 49% configuraram a MFA e 46% adotaram um gestor de palavras-passe.

No entanto, o acesso continua a ser um desafio, especialmente porque muitos programas de formação em segurança estão associados aos locais de trabalho. Menos de metade das pessoas empregadas a nível global (47%) recebem formação obrigatória em cibersegurança. Nos EUA, 55% dos adultos empregados relatam que o seu local de trabalho não exige essa formação.

Mesmo quando a formação está disponível, as pessoas nem sempre participam. Como seria de esperar, o motivo mais comum para não participar na formação é a falta de tempo (21%), seguido pela convicção de que já sabem o suficiente (19%). Isso sugere que as equipas de segurança têm de superar dois grandes obstáculos: tornar a formação eficaz e eficiente, e fazer com que as pessoas a queiram realizar.

Formações anuais longas e genéricas terão dificuldade em competir pela atenção. Abordagens mais curtas, mais relevantes e interativas podem ter mais probabilidades de ir ao encontro das pessoas onde elas estão.

Os empregadores desempenham um papel fundamental neste ecossistema. Políticas claras são primordiais. Formações práticas que expliquem não apenas o que os colaboradores não devem fazer, mas também o que podem fazer em segurança, são essenciais. Como podemos todos facilitar comportamentos seguros?

Transformar a sensibilização em hábitos fáceis

As conclusões do relatório Oh, Behave! não pintam um cenário de pessoas que não se importam com a cibersegurança. Pelo contrário. O desafio consiste em transformar essa sensibilização em hábitos.

Acreditamos que isto significa desenhar a segurança em torno do comportamento humano real, em vez de esperar que as pessoas se comportem como nos manuais de instruções. Pense em como podemos conceber produtos e plataformas seguros por definição. Como podemos reduzir a dependência da MFA e de gestores de palavras-passe? E como podemos oferecer uma formação eficaz que as pessoas tenham tempo para realizar e interesse em aprender?

Mais importante ainda, acreditamos que este relatório nos mostra que as pessoas não são o elo mais fraco da cibersegurança, porque são elas que, em última análise, têm de fazer a segurança funcionar!

Leia o relatório Oh, Behave! de 2026 e, se quiser mais recursos de segurança, subscreva a nossa newsletter gratuita por e-mail!