Ciber na Prática #02 | Pishing na era da Inteligência Artificial
Durante muito tempo, identificar um e-mail fraudulento parecia relativamente simples. Erros de português, mensagens mal elaboradas, links suspeitos e promessas exageradas eram alguns dos sinais mais comuns.
Mas o cenário mudou. Com o avanço da Inteligência Artificial (IA), criminosos passaram a contar com ferramentas capazes de produzir mensagens mais convincentes, personalizadas e linguisticamente bem elaboradas.
A pergunta que precisamos fazer não é apenas se nossos sistemas estão protegidos, mas se estamos preparados para reconhecer uma tentativa de manipulação digital.
O phishing evoluiu. E os riscos também.
O phishing é uma técnica de engenharia social utilizada para induzir pessoas a revelar informações confidenciais, acessar páginas fraudulentas, realizar pagamentos indevidos ou executar ações que comprometam a segurança. Essas tentativas podem acontecer por e-mail, SMS, aplicativos de mensagens e até chamadas telefônicas. A Inteligência Artificial acrescentou uma nova dimensão a esse cenário.
Ferramentas generativas podem ser utilizadas para:
- Criar mensagens com linguagem profissional e sem erros evidentes.
- Personalizar abordagens com informações disponíveis publicamente.
- Simular estilos de comunicação corporativa.
- Produzir conteúdos fraudulentos em diferentes idiomas.
- Facilitar a criação de campanhas de engenharia social em maior escala.
Isso não significa que todos os ataques utilizem IA, mas demonstra como a tecnologia pode reduzir algumas barreiras para a elaboração de golpes sofisticados.
Imagine a seguinte situação
Um colaborador recebe uma mensagem aparentemente enviada pelo diretor financeiro da empresa. O texto informa que determinado pagamento precisa ser realizado com urgência, por questões contratuais. A mensagem contém o nome correto do diretor, uma assinatura profissional e informações sobre a empresa.
Tudo parece legítimo. Entretanto, o endereço eletrônico apresenta uma pequena alteração em relação ao domínio oficial. O colaborador, pressionado pelo prazo, realiza a transferência sem confirmar a solicitação por outro canal. O problema não começou necessariamente em uma vulnerabilidade tecnológica.
Começou na exploração da confiança, da autoridade e da urgência.
Esse exemplo demonstra por que a segurança da informação depende tanto de controles técnicos quanto de procedimentos e comportamento humano.
O fator humano é uma vulnerabilidade?
É comum ouvir que as pessoas representam o elo mais fraco da segurança. Entretanto, considero essa afirmação incompleta. Os colaboradores também podem representar uma das principais linhas de defesa de uma organização. Para isso, precisam de orientação, processos claros e condições adequadas para identificar e comunicar situações suspeitas.
Uma cultura de segurança eficiente não deve se basear exclusivamente no medo de cometer erros. Deve incentivar a verificação, a comunicação e a prevenção.
Cinco práticas para reduzir os riscos
1. Verifique a identidade do remetente.
Não confie apenas no nome apresentado. Analise o endereço eletrônico e confirme solicitações incomuns por canais oficiais.
2. Desconfie de urgências excessivas.
Mensagens que exigem decisões imediatas, especialmente envolvendo pagamentos ou credenciais, merecem verificação adicional.
3. Utilize autenticação multifator (MFA).
O MFA adiciona uma camada importante de proteção às contas, embora não elimine todas as modalidades de phishing. Sempre que possível, priorize métodos resistentes a phishing, como passkeys e chaves de segurança.
4. Invista em conscientização contínua.
Treinamentos periódicos, simulações autorizadas e orientações objetivas ajudam a desenvolver a capacidade de reconhecer ameaças.
5. Estabeleça procedimentos de validação.
Alterações bancárias, transferências financeiras e solicitações de informações sensíveis devem seguir processos formais de confirmação.
Segurança da informação também é gestão de riscos
A proteção contra phishing não deve ficar restrita às equipes de tecnologia. Departamentos financeiros, recursos humanos, compras, jurídico, compliance e gestão de fornecedores também precisam participar dessa estratégia. Afinal, informações sensíveis e decisões críticas circulam diariamente por diferentes áreas da organização.
Uma política de segurança eficiente deve considerar essa realidade.
Conclusão: a confiança precisa ser acompanhada de verificação
A Inteligência Artificial oferece oportunidades extraordinárias para empresas e profissionais. Entretanto, também pode ser utilizada para ampliar a capacidade de manipulação de agentes mal-intencionados. Nesse contexto, reconhecer um ataque não depende mais apenas de identificar erros gramaticais ou mensagens visualmente suspeitas.
Depende de uma combinação de tecnologia, educação, processos e pensamento crítico.
Na segurança da informação, desconfiar de uma solicitação incomum não é falta de confiança. É responsabilidade.
E deixo uma reflexão:
Se você recebesse hoje uma mensagem aparentemente enviada pelo seu gestor solicitando uma transferência urgente, saberia como verificar se ela é legítima?
Ciber na Prática | Artigo #02
Uma série de reflexões sobre cibersegurança, segurança da informação, gestão de riscos e os desafios da transformação digital.
