Phishings criados com IA avançam no uso do fator humano como porta de entrada

Estudos indicam que, além de malwares e vulnerabilidades de sistemas, o novo campo de batalha está nos gatilhos mentais explorados pelos cibercrimi...

Por: Radar Nacional Fonte: Agência Dino

19/05/2025 às 17h55

Phishings criados com IA avançam no uso do fator humano como porta de entrada — Freepik - Studio DC

Um estudo publicado por pesquisadores independentes no repositório científico arXiv revelou que e-mails de phishing criados com inteligência artificial (IA) têm taxa de cliques de até 54%, mais que o quádruplo da média registrada por campanhas de spam tradicionais, que gira em torno de 12%. Os dados foram validados em testes com humanos e reforçam um alerta crescente: o maior vetor de ciberataques hoje não é técnico, mas psicológico e comportamental.

“Não estamos mais lidando apenas com malwares ou vulnerabilidades de sistemas. O novo campo de batalha está na mente das pessoas — e os cibercriminosos sabem exatamente como explorá-la”, explica Henrique Schneider, diretor da Netfive e especialista no tema.

Conforme as pesquisas citadas, o uso de gatilhos mentais, combinado com os recursos avançados da IA Generativa, está criando uma nova geração de ataques extremamente convincentes. “Esqueça os erros de ortografia ou e-mails genéricos. Hoje, hackers conseguem elaborar mensagens personalizadas, que simulam com perfeição a linguagem e o comportamento de líderes empresariais, colegas de trabalho ou instituições confiáveis", destaca Henrique.

Ainda conforme o diretor, mensagens que invocam urgência, medo ou autoridade podem ter um poder de persuasão imenso. E quando isso é reforçado com tecnologias de IA que imitam a voz ou a imagem de alguém conhecido, o senso crítico fica prejudicado, podendo até mesmo ser neutralizado.

Neste contexto, o executivo explica que os cibercriminosos vêm utilizando IA para criar e-mails com vocabulário personalizado e tom natural, simular chats e ligações com respostas em tempo real, desenvolver áudios e vídeos falsos (deepfakes) de líderes e celebridades, clonar identidades para manipular vítimas com alto grau de credibilidade, entre outras possibilidades.

O resultado, segundo estudos como "Evaluating Large Language Models' Capability to Launch Fully Automated Spear Phishing Campaigns: Validated on Human Subjects", é uma nova era de ataques baseados em manipulação emocional, que dispensam habilidades técnicas por parte da vítima e miram o comportamento humano.

Para Henrique Schneider, a proteção contra esse tipo de ameaça exige mais do que tecnologia: requer educação, integração e vigilância contínua.

“Não adianta apenas instalar firewalls ou antivírus. O usuário precisa entender como funciona a manipulação emocional, treinar seu olhar crítico e ser lembrado, todos os dias, de que a segurança começa com ele”, reforça o diretor da Netfive.

Dentro disso, as medidas recomendadas incluem soluções que possam identificar e bloquear mensagens manipuladoras com base em IA, spear phishing e tentativas de fraude digital, treinamentos contínuos dos usuários com simulações realistas de ataques voltados para a identificação de gatilhos mentais, monitoramento de comportamento com alertas em tempo real e resposta rápida em caso de cliques indevidos e o alinhamento entre áreas como Segurança da Informação, RH, Comunicação Interna e Liderança, no sentido de gerar uma cultura coletiva de segurança.

“O futuro da segurança digital passa pela inteligência emocional. Investir em ferramentas é essencial, mas treinar pessoas para resistirem à manipulação psicológica — agora impulsionada por IA — fará diferença”, destaca o diretor. “Segurança não é apenas uma questão de TI. É uma decisão estratégica, que começa no comportamento de cada colaborador. Fortalecer o fator humano com inteligência, estratégia e ação é, hoje, a melhor forma de mitigar riscos cibernéticos”, conclui.

* O conteúdo de cada comentário é de responsabilidade de quem realizá-lo. Nos reservamos ao direito de reprovar ou eliminar comentários em desacordo com o propósito do site ou que contenham palavras ofensivas.