Cibersegurança para líderes: o golpe testa a sua empresa inteira, não só você

Sobre o que trata este texto

• Por que a cibersegurança para líderes é sobre proteger toda a cadeia de decisão, do estagiário ao CFO
• Quais são os dez maiores riscos de IA em cibersegurança segundo a OWASP, com vocabulário pra você acompanhar essa conversa com o time técnico
• Como funciona a fraude do CEO e sua irmã menos falada, o golpe do fornecedor
• Como o phishing executivo e o vishing miram quem tem acesso a sistemas e pagamentos, e o que o criminoso pesquisa antes de atacar
• Por que o deepfake já pagou US$ 25 milhões em um único golpe corporativo
• Os sinais de alerta que valem para qualquer um desses golpes, e seis perguntas para levar à próxima reunião

Um analista do financeiro recebe uma mensagem no WhatsApp corporativo. É o número de celular do diretor, o mesmo que aparece em outras conversas do grupo de trabalho. O texto pede uma transferência urgente, fora do processo normal, “porque a diretoria está em reunião de aquisição e não posso falar agora, só confio em você para isso”. O analista está longe de qualquer comitê de decisão. Ainda assim, hesita por trinta segundos, confere o pedido por outro canal, e o golpe cai.

Em anos treinando equipes de grandes empresas brasileiras a reconhecer esse tipo de abordagem, vejo o mesmo padrão se repetir: o golpe de cibersegurança para líderes raramente começa mirando a liderança. Ele começa mirando quem tem acesso ao sistema, ao pagamento ou à informação, seja qual for o cargo dessa pessoa no organograma.

Este artigo complementa o e-book gratuito A.C.T., Pensamento Crítico na Prática, que mostra como distinguir dado de narrativa antes de agir sob pressão. O intervalo de lucidez que o e-book ensina a abrir entre o gatilho e a ação é exatamente a pausa que evita a maioria dos golpes de engenharia social corporativa.

---

Os dez maiores riscos de IA em cibersegurança

A OWASP tem um relatório dos dez maiores riscos de cibersegurança envolvendo inteligência artificial, feito por voto de especialistas e por análise de incidentes reais. Quem quiser baixar o relatório completo encontra aqui: OWASP Top 10 for LLM Applications 2026.

Abaixo, seguem os riscos, com uma pequena explicação sobre o que é cada um. O objetivo não é ensinar como evitar cada um deles, isso é trabalho do time técnico. É te dar vocabulário pra entender do que o time de cibersegurança da empresa está falando quando um desses nomes aparecer numa reunião.

1. Prompt Injection (injeção de prompt): alguém manipula o que é dado como entrada pra IA, uma mensagem, um documento, um e-mail, até uma imagem, pra fazer o modelo agir fora do que foi programado. Não precisa invadir sistema nenhum, só convencer a IA a fazer algo que ela não devia.
2. Sensitive Information Disclosure (divulgação de informação sensível): o sistema de IA expõe um dado confidencial, regulado ou proprietário por um canal que ninguém autorizou, seja na resposta que dá, no que memorizou durante o treino ou no padrão de como responde.
3. Excessive Agency (autonomia excessiva): sistemas de IA com permissão pra ler e-mail, agenda ou sistemas internos herdam o mesmo risco de qualquer credencial humana, e quem aprova esse acesso responde por ele.
4. Supply Chain (cadeia de suprimentos): o modelo, o dado de treino ou o componente de terceiro usado pra construir a IA vem comprometido, o mesmo risco que qualquer fornecedor de software tradicional já representa.
5. Data and Model Poisoning (envenenamento de dados e modelo): alguém manipula, de propósito ou por acidente, os dados usados pra treinar ou ajustar o modelo, e ele aprende um padrão errado que só aparece depois, já em produção.
6. Unbounded Consumption (consumo ilimitado): a IA não tem limite claro de quanto processamento aceita fazer, o que abre espaço pra alguém explorar isso e derrubar o serviço, gerar custo financeiro artificial ou copiar o comportamento do modelo.
7. Misinformation (desinformação): a IA produz uma resposta errada, incompleta ou enganosa, com aparência confiável o bastante pra orientar uma decisão humana ou disparar uma ação automática.
8. Hidden Context Exposure (exposição de contexto oculto): informação que devia ficar só nos bastidores do sistema, como instrução interna ou regra de negócio, vaza ou é reconstruída por quem está de fora.
9. Vector and Embedding Weaknesses (fragilidades em vetores e embeddings): fragilidade na camada técnica que a IA usa pra buscar informação parecida, a mesma que sustenta recursos do tipo “responda com base nos meus documentos”, e que pode vazar dado de outro cliente ou reconstruir o texto original.
10. Improper Output Handling (tratamento inadequado de saída): o sistema usa a resposta da IA sem checar direito antes de repassar pra outro sistema, o que abre brecha de segurança em quem recebe essa resposta.

---

Cibersegurança para líderes já é pauta de negócio

Uma violação de dados custou, em média, R$ 7,19 milhões a empresas no Brasil em 2025, segundo o Cost of a Data Breach Report da IBM. O número inclui detecção, resposta, notificação a clientes e negócio perdido no período seguinte ao incidente, além do valor imediato de um golpe financeiro. Na prática, esse valor pesa a mesma conversa de orçamento, seguro e continuidade que já existe para risco cambial ou risco regulatório. Cibersegurança corporativa, ou cibersegurança nas empresas de qualquer porte, já é pauta de comitê de risco, não só de reunião de TI.

Dois territórios costumam se misturar nessa conversa. A infraestrutura técnica (firewall, resposta a incidente, auditoria de sistema) segue sendo terreno de especialista em segurança da informação, e este artigo não substitui esse trabalho. A camada que este texto endereça é outra: a decisão humana que autoriza ou barra o golpe antes de qualquer sistema técnico entrar em ação, a camada que quem lidera pode e deve influenciar diretamente, porque acontece dentro da cultura da equipe, antes de qualquer linha de código.

O golpe testa a empresa inteira até achar quem cede

O erro mais comum na forma como empresas conversam sobre esse risco é tratar o executivo como o alvo principal do golpe, quando os dados apontam outra direção. O 2026 Data Breach Investigations Report da Verizon aponta que 62% das violações de dados analisadas envolvem algum elemento humano, e o relatório documenta ataques bem-sucedidos contra times de TI, fornecedores e times financeiros, além da própria liderança. O criminoso otimiza para a rota de menor resistência, seja qual for o cargo de quem está do outro lado.

Isso significa, na prática, que o estagiário sem treinamento, o fornecedor com acesso a um sistema interno e o executivo protegido por assessoria são três portas diferentes para o mesmo prédio. Se meu artigo sobre segurança digital já mostrou que os cinco gatilhos de engenharia social (autoridade, urgência, confiança, isolamento e oferta irresistível) funcionam em qualquer pessoa, dentro de uma empresa esses mesmos gatilhos simplesmente encontram um prêmio maior do outro lado: em vez de um Pix pessoal, uma transferência de sete dígitos, um acesso a sistema inteiro ou um contrato de fornecedor inteiro.

Quem lidera a equipe não precisa saber configurar um firewall para reduzir essa exposição. Precisa entender que treinar só a diretoria contra phishing e vishing ignora o alvo mais provável do primeiro ataque.

O que o criminoso pesquisa antes de atacar

Nenhum golpe convincente nasce do nada. Antes do primeiro contato, o criminoso levanta informação pública: o LinkedIn da empresa mostra o organograma, quem se reporta a quem e quem acabou de assumir um cargo, o alvo preferencial, porque ainda não tem repertório para estranhar um pedido fora do padrão. O site institucional e a assessoria de imprensa revelam fusão, aquisição e viagem de diretoria, o mesmo tipo de pretexto usado na cena que abre este artigo. O formato do e-mail corporativo, quase sempre visível em qualquer mensagem pública da empresa, poupa o criminoso do trabalho de adivinhar.

Nada disso exige invadir sistema nenhum. É reconhecimento feito com busca e paciência, sobre informação que a própria empresa já publicou, o que muda a pergunta de “como esconder o organograma” para “como treinar a resposta quando um pedido incomum chegar com pretexto bem informado demais para ser mentira”.

Spear phishing e vishing miram quem tem acesso a sistemas e pagamentos

Duas técnicas concentram a maior parte dos golpes corporativos reais, às vezes reunidas sob o rótulo de phishing executivo quando o alvo aparenta ocupar um cargo alto. O spear phishing é o e-mail dirigido, escrito com informação real sobre a empresa e a pessoa, para parecer legítimo o bastante para passar pelo filtro mental de quem recebe. O vishing é a mesma manipulação por telefone, quase sempre explorando o help desk de TI: o criminoso liga se passando por um funcionário que “esqueceu a senha” e precisa de um reset urgente, ou se passando pelo próprio suporte técnico para convencer o funcionário a entregar uma credencial.

Nenhuma das duas técnicas depende de cargo alto. O help desk atende quem liga primeiro, seja o pedido de um estagiário ou de um vice-presidente, e é justamente essa neutralidade que o golpe explora. O fornecedor que recebe um e-mail “do financeiro” pedindo a atualização de uma conta bancária de pagamento é outro alvo comum: o vínculo de confiança já existe, e a mudança de dados bancários parece rotina administrativa, a mesma aparência de rotina que baixa a guarda de quem deveria tratá-la como decisão de risco.

O padrão que aparece com mais frequência em treinamento é simples: quanto mais rotineira a tarefa (redefinir senha, atualizar cadastro, aprovar um pagamento recorrente), mais fácil fica esconder o golpe dentro dela. Rotina baixa a guarda exatamente onde a guarda deveria estar mais alta.

A fraude do CEO: quando o golpe usa a sua própria autoridade contra o seu time

A fraude do CEO é a versão mais direta desse mecanismo, dentro da categoria mais ampla que o FBI chama de Business Email Compromise (BEC): o criminoso se passa pela liderança, por e-mail, mensagem ou chamada de voz, para convencer alguém do financeiro a fazer uma transferência urgente e sigilosa. Só essa categoria já soma US$ 55,5 bilhões em prejuízo global exposto entre outubro de 2013 e dezembro de 2023, segundo o Internet Crime Complaint Center do FBI.

O golpe usa a própria hierarquia da empresa como arma: quem recebe o pedido teme questionar uma ordem que parece vir de cima, e o desenho de autoridade da empresa vira o mecanismo de ataque. Empresas com cultura de “não questione o chefe” são estruturalmente mais vulneráveis, porque o funcionário treinado a obedecer rápido é o mesmo que hesita menos antes de confirmar.

A defesa mais eficaz é cultural: normalizar que qualquer pedido de transferência fora do processo, venha de quem vier, passa por confirmação em um segundo canal, sem que isso seja lido como desconfiança pessoal contra ninguém. Essa decisão pertence a quem lidera a equipe. Nenhum software muda sozinho a cultura de questionar antes de agir sob pressão de autoridade.

O golpe do fornecedor: quando a fraude muda a conta que recebe o pagamento

A fraude de fornecedor (Vendor Email Compromise) é a irmã menos falada da fraude do CEO, e mira a mesma vulnerabilidade por outro ângulo: em vez de se passar por quem manda dentro da empresa, o criminoso se passa por quem já recebe pagamento dela há meses. Um e-mail que parece vir do fornecedor real avisa que a conta bancária mudou, geralmente às vésperas do vencimento de uma fatura já esperada. Como a relação comercial já existe, o pedido nunca soa suspeito, soa administrativo.

O mecanismo funciona melhor exatamente onde há mais confiança acumulada, no fornecedor que a empresa já paga há anos sem passar por novo processo de aprovação. A defesa não muda de uma fraude para a outra: qualquer troca de dados bancários, de qualquer fornecedor, se confirma por telefone num número que a empresa já tinha antes do e-mail chegar, nunca no número que veio junto com o próprio aviso.

IA como arma corporativa: a voz clonada que autorizou US$ 25 milhões

Em fevereiro de 2024, um funcionário da consultoria de engenharia Arup, em Hong Kong, participou de uma videochamada com quem acreditava serem o diretor financeiro e outros colegas da empresa. Todos os outros participantes da chamada, segundo apurou a CNN Business, eram réplicas de IA generativa, construídas a partir de material de voz e vídeo público dos executivos reais. Convencido de que a ordem vinha de dentro da própria empresa, o funcionário autorizou transferências que somaram US$ 25 milhões.

O caso Arup mostra o quanto ficou barato executar esse mecanismo com alta fidelidade. Uma voz e um rosto clonados convincentes hoje exigem menos tempo e menos habilidade técnica do criminoso do que um e-mail bem escrito exigia há cinco anos, e o resultado é a mesma fraude do CEO, só que mais difícil de questionar em tempo real.

A resposta prática continua sendo a confirmação por um segundo canal, porque a qualidade do deepfake só melhora e reconhecê-lo a olho nu deixa de ser critério confiável: uma ordem de transferência incomum, mesmo vinda de uma videochamada que parece perfeita, se confirma por um canal separado antes de ser executada.

Sinais de alerta e cultura de reportar

Sinais que valem para qualquer um desses golpes

Nenhum dos golpes descritos até aqui muda de mecanismo o bastante para exigir uma lista de reconhecimento por técnica. Alguns sinais atravessam todos eles:

• Mudança de canal no meio da conversa: o contato começa por e-mail e migra para WhatsApp ou ligação antes do pedido final, movimento clássico para sair de um canal com registro e filtro de spam.
• Urgência que impede verificação: “responda antes do fim do dia”, “não dá para esperar a aprovação normal”.
• Pedido de sigilo: “não comente isso com mais ninguém agora”, frase que isola quem recebe o pedido antes que possa checar com um colega.
• Desvio do processo padrão: qualquer pedido que pula uma etapa de aprovação já existente, mesmo com justificativa que parece razoável.
• Um detalhe levemente errado: domínio de e-mail com uma letra trocada, número de conta que não bate com o cadastro, um sotaque quase certo demais numa ligação.

Por que punir quem caiu piora o próximo golpe

A reação mais comum depois que alguém cai num golpe corporativo é procurar o responsável, a mesma reação que mais atrasa a próxima detecção: quem cai num golpe e vira alvo de punição ou constrangimento deixa o próximo funcionário na mesma situação mais devagar para avisar, e cada hora de hesitação é uma hora a mais para o criminoso mover o dinheiro. O Cost of a Data Breach Report da IBM mediu que empresas que detectam o próprio incidente internamente economizam, em média, US$ 900 mil frente às que só descobrem quando o criminoso avisa ou cobra.

Cultura de reportar sem punir não significa tratar o golpe como algo sem consequência. Significa separar duas perguntas que a maioria das empresas mistura: quem errou, e quem avisou primeiro. A segunda pergunta importa mais para conter o prejuízo, e só tem resposta rápida quando avisar não custa a carreira de ninguém.

Essa rapidez também depende de uma resposta óbvia para uma pergunta mais simples: avisar quem, exatamente? Toda empresa precisa de um responsável claro, que qualquer pessoa da equipe saiba acionar no minuto em que desconfia de um golpe, sem precisar descobrir isso na hora. Esse responsável costuma reunir financeiro (para agir sobre o pagamento), TI ou segurança da informação (para conter qualquer acesso comprometido) e, quando a empresa tiver, jurídico ou compliance (para documentar e avaliar obrigação de notificação).

O nome e o contato dessa pessoa precisam estar visíveis para todo mundo, não só registrados num organograma que ninguém abre sob pressão: mural, intranet, grupo de WhatsApp da equipe. O golpe não espera ninguém procurar um documento.

Onde a decisão para

Seis frentes conectadas ao mesmo risco merecem um parágrafo cada, sem virar checklist técnico:

• Agente de IA como novo vetor de acesso: já expliquei esse risco lá no começo do texto (Excessive Agency, autonomia excessiva, na lista da OWASP). Tratei desse ponto com mais profundidade em responsabilidade do conselheiro em IA.
• Redes sociais corporativas: perfis falsos que se passam por fornecedores, clientes ou pela própria empresa alimentam golpes de engenharia social fora do e-mail corporativo, um território que continuo mapeando à parte.
• Equipamento físico perdido ou roubado: um notebook ou celular corporativo sem bloqueio adequado abre o mesmo tipo de acesso que um e-mail malicioso, e a proteção básica (bloqueio de tela, criptografia, apagamento remoto) vale, ampliada, para o parque de equipamentos da empresa.
• Fornecedor com acesso técnico ao seu sistema: diferente da fraude de pagamento descrita acima, aqui o risco é o fornecedor herdar credencial ou integração ativa demais, o que reforça por que a soberania sobre a própria infraestrutura, tema que desenvolvo em soberania digital, também é uma questão de segurança.
• Seguro cibernético que pode não cobrir o golpe mais provável: quem contrata a apólice raramente é quem lê a letra miúda dela. Boa parte das seguradoras separa a cobertura de fraude por engenharia social, como a fraude do CEO e o golpe do fornecedor, da cobertura de invasão técnica, com um sublimite bem menor e a exigência de provar que a transferência passou por confirmação num segundo canal antes de pagar o sinistro. Confirmar se a apólice cobre esse cenário específico, e não só a invasão de sistema, é pergunta para quem negocia o seguro (normalmente CFO ou gestão de risco, com apoio jurídico), não para TI.
• LGPD como piso de risco jurídico: a Lei Geral de Proteção de Dados (Lei 13.709/2018, art. 52) prevê multa de até R$ 50 milhões por infração, valor que já qualifica a conformidade de dados como item básico de gestão de risco. Aprofundo o tema de governança e conformidade em governança de IA, risco, auditoria e compliance.

Onde começar amanhã

A ação de menor custo e maior efeito para reduzir esse risco é institucionalizar uma única regra, comunicada por quem lidera a equipe: qualquer pedido de transferência, mudança de dados bancários ou liberação de acesso fora do processo normal, seja qual for o canal e seja qual for a autoridade aparente de quem pede, se confirma por um segundo canal já conhecido antes de ser executado.

Essa regra não pune ninguém por seguir o processo e não exige investimento em ferramenta nova. Funciona mesmo contra um golpe que a equipe nunca viu antes, porque não depende de reconhecer o padrão: basta confirmar antes de agir. Comunicar essa regra em uma reunião de equipe, com um exemplo concreto como o caso Arup, custa uma tarde e já muda o comportamento da próxima tentativa.

Perguntas para levar à próxima reunião

Um checklist técnico de segurança pertence à mesa de quem audita sistema, não a este artigo. As seis perguntas abaixo medem outra coisa, a camada de comportamento e cultura que este texto cobriu, e qualquer liderança consegue responder sem depender do time de TI:

• Sua equipe sabe que pode confirmar um pedido incomum por outro canal sem que isso pareça desconfiança do colega ou do chefe que pediu?
• Alguém já foi cobrado ou constrangido publicamente por cair num golpe, e isso mudou quem relata primeiro da próxima vez?
• Todo mundo na equipe sabe, sem precisar perguntar, o nome e o contato de quem aciona primeiro se desconfiar de um golpe?
• Existe um número de telefone já conhecido, fora do e-mail, para confirmar qualquer mudança de dados bancários de fornecedor?
• Quando foi a última vez que alguém simulou phishing executivo ou vishing dentro da empresa, fora de uma auditoria formal?
• Se a voz de quem assina os pagamentos fosse clonada amanhã numa chamada de vídeo, alguém na equipe saberia que confirmar visualmente não basta mais?

Nenhuma dessas perguntas tem resposta certa de antemão. O valor está em alguém saber respondê-las na hora, sem precisar consultar ninguém. Repetir essa rodada uma vez por trimestre já sustenta a resposta afiada, com uma exceção: qualquer tentativa real de golpe, mesmo sem sucesso, merece refazer as seis perguntas em até 30 dias, porque é o momento em que a equipe está mais disposta a levar o tema a sério.

Simulação de phishing e treinamento de vishing dentro da empresa testam essas respostas na prática, não só na teoria, e uma equipe que já passou por uma simulação reconhece o padrão mais rápido na próxima tentativa real. O custo desses serviços varia demais entre fornecedor, formato e porte de empresa para eu citar um número aqui sem risco de ficar desatualizado ou de nivelar errado para a sua realidade: peça orçamento a mais de um fornecedor antes de decidir. Se preferir estruturar esse treinamento comigo, conheça minhas palestras e treinamentos corporativos em cibersegurança.

Perguntas frequentes

O que é engenharia social corporativa?

É a manipulação psicológica usada para induzir alguém dentro de uma empresa a agir contra o próprio interesse do negócio: abrir um anexo, confirmar uma senha, aprovar uma transferência ou repassar um dado sensível. Explora os mesmos cinco gatilhos que funcionam em qualquer pessoa (autoridade, urgência, confiança, isolamento e oferta irresistível), só que o alvo passa a ser quem tem acesso a um sistema, um pagamento ou uma informação valiosa para a empresa, não a pessoa física.

Por que o golpe mira a empresa inteira e não só os executivos?

Porque o criminoso otimiza para a rota de menor resistência, não para o cargo mais alto. Um estagiário sem treinamento, um fornecedor com acesso a um sistema ou um funcionário do financeiro sob pressão de prazo costumam ser alvos mais fáceis do que um executivo já blindado por assessoria e protocolo. O 2026 Data Breach Investigations Report da Verizon aponta que 62% das violações de dados envolvem algum elemento humano, em qualquer nível hierárquico.

O que é a fraude do CEO e como ela funciona na prática?

É um golpe de Business Email Compromise (BEC) em que o criminoso se passa pela liderança, por e-mail, telefone ou chamada de vídeo, para convencer alguém do time financeiro a fazer uma transferência urgente e sigilosa. O mecanismo usa a própria hierarquia da empresa como arma: quem recebe o pedido teme questionar uma ordem que parece vir de cima. Funciona melhor quando a cultura interna pune quem faz perguntas antes de agir sob pressão de autoridade.

Deepfake de voz e vídeo já é usado para fraudar empresas?

Sim, já é um risco real. Em fevereiro de 2024, um funcionário da consultoria de engenharia Arup, em Hong Kong, autorizou a transferência de US$ 25 milhões após participar de uma videochamada em que todos os outros participantes, incluindo o diretor financeiro, eram réplicas de IA geradas a partir de material de vídeo e voz real dos executivos, segundo apurou a CNN Business. O golpe combinou deepfake com o mesmo mecanismo de autoridade da fraude do CEO clássica.

Qual o principal risco de cibersegurança para empresas hoje?

De forma consistente entre fontes independentes, o risco mais citado é a engenharia social, à frente de falha técnica isolada ou ransomware, porque tem custo baixo para o criminoso, alta taxa de sucesso e é difícil de identificar dentro do sistema depois que já aconteceu. O Cost of a Data Breach Report da IBM estimou o custo médio de uma violação de dados no Brasil em R$ 7,19 milhões em 2025, valor que inclui detecção, resposta, notificação e perda de negócio.

Cibersegurança é responsabilidade só da área de TI?

Não quando o vetor de entrada é comportamental. TI e segurança da informação seguem donas da infraestrutura técnica (firewall, resposta a incidente, auditoria de sistema), mas a decisão de clicar, confirmar ou transferir é tomada por pessoas em qualquer área: financeiro, RH, vendas, atendimento. Reduzir esse risco depende de quem lidera a equipe tanto quanto depende de quem administra o sistema, porque a primeira linha de defesa é o julgamento de quem recebe o contato.

O que é o golpe do fornecedor e como ele difere da fraude do CEO?

É uma fraude de Business Email Compromise em que o criminoso se passa por um fornecedor real da empresa, não pela liderança dela, avisando que os dados bancários mudaram, geralmente perto do vencimento de uma fatura já esperada. Diferente da fraude do CEO, que usa a hierarquia interna como arma, o golpe do fornecedor explora a confiança de uma relação comercial já estabelecida. A defesa é a mesma: qualquer troca de dados bancários se confirma por telefone, num número que a empresa já tinha antes do e-mail chegar.

Cibersegurança pode ser tema de SIPAT?

Pode, e cada vez mais faz sentido incluir. A SIPAT (Semana Interna de Prevenção de Acidentes de Trabalho) nasceu para prevenir acidentes físicos, mas os golpes descritos aqui (fraude do CEO, vishing, deepfake de voz) não miram só o CEO ou o financeiro. Miram qualquer funcionário com acesso a um sistema, uma senha ou uma transferência, inclusive fora do horário de trabalho, pelo WhatsApp pessoal. Tratar segurança digital como parte da SIPAT reconhece isso: o colaborador precisa reconhecer os sinais de manipulação (urgência, autoridade, isolamento) tanto para proteger a empresa quanto a própria vida financeira. É um tema que cabe na pauta de prevenção ao lado de ergonomia e saúde mental, com a vantagem de gerar aplicação prática imediata para quem participa.

---

Edney “InterNey” Souza atua com tecnologia desde 1990 como professor, palestrante e conselheiro em IA, dados e inovação. Participou da criação de sete startups ao longo da carreira. É professor na ESPM, Insper, PUCRS, USP e IBGC. É autor de vários e-books gratuitos sobre tecnologia, marketing, liderança e inovação, disponíveis aqui.