Como a IA generativa turbina o phishing

A IA generativa removeu sem alarido os dois maiores estrangulamentos do phishing: escrever textos convincentes e fazê-lo à escala. O que antes exigia um redator humano fluente e horas de pesquisa produz-se agora em segundos, em qualquer língua, ajustado a um alvo específico.

O que mudou de facto

Durante anos, os «indícios» clássicos de um e-mail de phishing eram linguísticos: gramática desajeitada, frases estranhas, saudações genéricas. Os grandes modelos de linguagem apagam os três. Um atacante gera agora uma mensagem impecável em dezenas de línguas, imita o tom de uma empresa e ajusta o registo para um diretor financeiro face a um técnico de help desk.

A mudança importante é o custo por mensagem convincente. Quando construir um isco à medida quase nada custa, os atacantes passam do «atirar a esmo» para um alvo de grande volume e alta qualidade.

Fluxos de trabalho concretos do atacante

• Reconhecimento à escala. Os LLM condensam o historial de LinkedIn de um alvo, os comunicados de imprensa recentes e a atividade no GitHub num pretexto de um parágrafo.
• Personalização de spear phishing. Dado um nome, uma função e um empregador, um modelo redige uma mensagem que refere um projeto interno plausível ou uma reorganização recente.
• Business Email Compromise (BEC). Os modelos replicam o estilo de escrita de um dirigente a partir de umas poucas amostras públicas, produzindo pedidos de transferência que soam autênticos.
• Campanhas multilingues. Um único modelo é localizado em 20 línguas com o idiomatismo correto, anulando «o inglês estava mau» como sinal.
• Seguimento conversacional. Os atacantes ligam um LLM por trás de uma caixa para responder automaticamente, mantendo um fio credível durante dias.

Para além do e-mail: voz e vídeo

A ameaça já não é só texto.

• A clonagem de voz precisa apenas de segundos de áudio de referência (de um webinar, de uma chamada de resultados ou de uma mensagem de voz) para sintetizar uma chamada de vishing convincente.
• O vídeo deepfake já foi usado em reuniões em direto — no caso Arup de 2024, um colaborador transferiu cerca de 25 milhões de dólares depois de uma videochamada povoada inteiramente por «colegas» sintéticos.

Porque a deteção tradicional tropeça

Os filtros herdados apoiam-se em assinaturas, URL conhecidos como maliciosos e impressões digitais de conteúdo repetido. As campanhas geradas por IA minam tudo isso:

• Cada mensagem é única, por isso o hash de conteúdo e a correspondência de modelos falham.
• O texto é gramaticalmente perfeito, por isso a pontuação heurística de «linguagem de spam» cai.
• A infraestrutura é nova e rodada, por isso a reputação de domínio e IP fica para trás.

A deteção tem de apoiar-se cada vez mais em sinais comportamentais e estruturais em vez do conteúdo.

Sinais que ainda funcionam:
- Autenticação: alinhamento de SPF, DKIM, DMARC (p=reject)
- Discrepância entre nome apresentado e envelope/From
- Domínios de envio recém-registados ou parecidos
- Encaminhamento anómalo de reply-to / return-path
- Primeiro contacto + urgência + pedido de pagamento/credenciais

O que os defensores devem fazer já

Reforçar a autenticação. Aplique DMARC em p=reject nos seus próprios domínios e prefira MFA resistente ao phishing (passkeys FIDO2/WebAuthn), de modo que nem uma página de acesso clonada na perfeição possa reproduzir credenciais.

Afastar a formação da ortografia. «Procura a má gramática» é um conselho morto. Ensine o pessoal a verificar os pedidos — confirmação por um canal separado para pagamentos e reposições de credenciais, por mais polida que esteja a mensagem.

Assumir que a voz e o vídeo podem mentir. Estabeleça um processo de palavra-chave ou de número de retorno de chamada para pedidos financeiros e de acesso de alto valor.

Instrumentar a comunicação. Um botão de «comunicar phishing» num clique que alimenta o seu SOC vale mais do que nunca, porque a desconfiança humana é agora um dos poucos sinais que cresce com o ataque.

O objetivo defensivo já não é apanhar a falsificação pelos seus defeitos. É tornar a ação que o atacante quer impossível ou reversível — através de autenticação, verificação por um canal separado e credenciais resistentes ao phishing.

Como ajuda a GottaPhish

A IA permite agora construir iscos impecáveis e personalizados que derrotam os hábitos de «apanha a gralha» que outrora se ensinavam. A GottaPhish e a sua equipa de especialistas ajudam-no a enfrentar precisamente essa ameaça: simulações personalizadas por IA ajustadas à função, à língua e ao contexto de cada destinatário, com painéis que mostram que equipas caem nos iscos mais sofisticados. Os nossos especialistas apoiam a implementação, desenham cenários realistas, ajudam a interpretar os resultados e apoiam a adoção de MFA resistente ao phishing (FIDO2/passkeys), para que um clique já não signifique um comprometimento — medindo a resiliência face à ameaça de hoje, e não ao phishing de há cinco anos.