- Botnets orientadas por IA aumentam a escala do risco. Cibercriminosos estão realizando campanhas altamente sofisticadas, auxiliadas por inteligência artificial e com múltiplos vetores de ataque, que combinam botnets de IoT derivados do Mirai, falsificação de navegadores e ataques a APIs para contornar as regras de segurança do perímetro.
- APIs ocultas criam pontos de entrada não monitorados. O rápido desenvolvimento da experiência do cliente gerou enormes riscos relacionados a APIs não regulamentadas. Embora quase 78% das empresas comerciais afirmem ter um inventário completo, apenas 22,3% sabem quais APIs expõem efetivamente informações pessoais confidenciais e dados de contas.
- O hacktivismo geopolítico ameaça a disponibilidade dos serviços. Um grupo de hacktivistas pró-Iraque e alinhado com o Irã tem realizado ataques complexos e multifacetados, incluindo DDoS e falsificação de identidade em navegadores, que visam especificamente as APIs de comércio eletrônico.
- Variações de ataque regionais exigem segurança localizada. O número de bots está crescendo em todo o mundo, com destaque para um aumento de 63% na região da Ásia-Pacífico (APAC), seguido por 48% na América Latina (LATAM), 16% na Europa, Oriente Médio e África (EMEA) e 7% na América do Norte.
- Escala de ataques volumétricos atinge altos recordes. O setor comercial registrou o maior volume de tráfego global de bots de inteligência artificial entre julho e dezembro de 2025, representando 47,9% de todas as atividades de bots de IA monitoradas em todos os setores.
- O setor bancário continua sendo o principal alvo de violações da web e de APIs. O comércio é o principal alvo de ataques cibernéticos a endpoints de API, representando 49% de todos os ataques desse tipo, já que os criminosos buscam acessar contas financeiras de consumidores expostas.
- A integração com IA expande a superfície de ataque explorável. O varejo norte-americano liderou todos os setores globais, com 33 bilhões de bots de IA (quase 16% do total mundial), seguido pelo varejo da região EMEA, com 26 bilhões (12,4%). Isso ocorre enquanto os invasores exploram vulnerabilidades em agentes de inteligência artificial conversacional.
- Ameaças persistentes de DDoS exigem defesa adaptativa. As plataformas de varejo são as mais afetadas pelos ataques na camada de aplicação, absorvendo 84% de toda a atividade DDoS na camada 7 do comércio, já que os cibercriminosos exploram os períodos de compras sazonais com alto tráfego para realizar seus ataques.
Principais conclusões
Perguntas frequentes (FAQ)
Perguntas frequentes (FAQ)
Os ataques a APIs na web aumentaram 9% entre o quarto trimestre de 2024 e o quarto trimestre de 2025, superando os ataques a aplicativos. Os cibercriminosos preferem as APIs como principais pontos de entrada iniciais, pois elas oferecem acesso direto a dados valiosos, como informações pessoais sensíveis de clientes e dados de contas financeiras. O setor de comércio registrou o maior número de ataques cibernéticos contra endpoints de API em comparação com qualquer outro setor, representando 49% de todos os ataques cibernéticos direcionados ao comércio entre janeiro de 2024 e dezembro de 2025.
Embora os crawlers de treinamento representem mais de 70% do tráfego de bots de IA no setor de comércio, o bloqueio generalizado não é uma estratégia viável, pois pode resultar no bloqueio de clientes legítimos ou na perda de visibilidade crucial da marca nos resultados de busca gerados por IA.
As organizações comerciais estão adotando uma postura mais conservadora. Nosso estudo revelou que mais de 90% dos bots de IA classificados pela Akamai são categorizados como "monitorados" para que possam ser avaliados com base em seu comportamento.
De acordo com o estudo da Akamai sobre o impacto da segurança de APIs em 2026, 85% das empresas do setor comercial enfrentaram pelo menos um incidente de segurança relacionado a APIs em um período de 12 meses. Esses incidentes são causados principalmente por configurações incorretas de APIs, pela falta de ferramentas de segurança específicas para APIs além dos WAFs tradicionais, por ataques emergentes contra APIs relacionadas à inteligência artificial e por APIs ocultas resultantes de uma má gestão de inventário.
Não. O comércio enfrenta um grave problema de falta de visibilidade. Embora quase 78% das organizações afirmem possuir um inventário completo de APIs, apenas 22,3% sabem realmente quais dessas APIs expõem dados sensíveis, criando enormes oportunidades para agentes de ameaças.