As empresas de serviços financeiros tornaram-se cada vez mais dependentes de plataformas digitais para realizar seus negócios e se comunicar com seus clientes. A pesquisa Cyber security_breaches de 2023 revelou que o phishing continua a ser a forma mais comum de ataque cibernético, com 79%, com engenharia social em segundo lugar, com 31%.
O aumento do uso de plataformas digitais criou maiores oportunidades para ciberataques através de e-mails maliciosos e técnicas de phishing. Quando os ataques de phishing causam violações de dados, as vítimas ficam suscetíveis ao roubo de suas informações. A IA tornou mais fácil criar e-mails de phishing convincentes e torná-los mais críveis.
Noções básicas sobre phishing e IA
O phishing é um problema que requer atenção constante por parte das empresas.
As organizações tiveram que adotar sólidas medidas de segurança para enfrentar o problema. Existem três técnicas de phishing usadas para obter acesso a uma organização: phishing, vishing e smishing.
Normalmente, o phishing usa e-mails enganosos para se passar por fontes confiáveis e induzir as vítimas a clicar em links fraudulentos. Smishing é uma variante que usa mensagens de texto para atrair a vítima. O vishing se utiliza de ligações telefônicas para se passar por organizações legítimas e obter informações confidenciais.
A IA tornou essas atividades mais convincentes e difíceis de detectar. A IA pode criar conteúdo exclusivo comparável a imagens ou textos reais, com menos intervenção humana do que nunca. Os principais desenvolvimentos em IA incluem:
- Avançados modelos de linguagem, como ChatGPT, usados para criar e-mails mais convincentes em um contexto de negócios
- Ferramentas deepfake para replicar a voz humana e tornar as abordagens de vishing mais convincentes
- Imagens deepfake apresentam uma identificação realista através de ferramentas como Midjourney - um invasor pode criar uma imagem que confirme suas afirmações sobre sua identidade, tornando mais difícil ao destinatário de um e-mail determinar sua credibilidade
Coletivamente, essas ferramentas tornam mais difícil determinar a veracidade de um e-mail. Os indicadores tradicionais de e-mails contendo phishing estão se tornando cada vez menos relevantes. Por exemplo, a orientação normalmente recomenda às pessoas para que procurem erros ortográficos ou uma terminologia inadequada. Ferramentas avançadas de linguagem como o ChatGPT podem replicar jargão comercial e produzir conteúdo altamente convincente.
Um agente malicioso pode inclusive usar tecnologia deepfake, ou ferramentas como o MidJourney, para criar uma foto do suposto remetente e aumentar a credibilidade. Indivíduos de altas posições poderiam ser mais fáceis de convencer nesses tipos de ataque, como CEOs de alta visibilidade na imprensa e uma variedade de fotos disponíveis online.
Embora possam parecer ameaças futuristas, elas já estão acontecendo. Por exemplo, em 2019, um software deepfake foi utilizado para convencer o CEO de uma empresa de energia do Reino Unido de que ele estava conversando com o CEO de sua matriz alemã. A abordagem foi tão
convincente que o CEO do Reino Unido transferiu £200.000 para uma conta privada, conforme pedido da voz deepfake. É muito importante estar familiarizado com essas tecnologias emergentes e de como elas se combinam com as tentativas de phishing.
FraudGPT
Já existem ferramentas para ajudar os hackers a criar e-mails de phishing convincentes. O FraudGPT cria e-mails e mensagens com a gramática correta, podendo simular um e-mail legítimo. Essa ferramenta coleta informações pessoais da vítima através de informações publicamente disponíveis na Internet.
Isso torna mais fácil aos invasores simularem indivíduos reais e enganarem suas vítimas.
Usando a IA a Seu Favor
A IA também pode combater eficazmente os ataques cibernéticos contra essas ameaças. Um sistema interno poderia criar uma função de aprendizado de máquina para ajudar a detectar certos padrões, os quais poderiam reconhecer sites de phishing. À medida que o sistema aprende, os dados e as métricas podem ajudar a empresa a avaliar e analisar essas tentativas de phishing com mais profundidade para compreendê-las.
A ferramenta poderia detectar atividades suspeitas e identificar intenções maliciosas. O software antiphishing poderia desativar toda a rede de
computadores mediante atividades suspeitas. Você também deve considerar como seus relatórios podem informar métodos anti-phishing e análises de lições aprendidas.
Identificando tentativas de phishing
À medida que os cibercriminosos se tornam mais sofisticados em seus ataques de engenharia social, é necessário manter-se informado. Você deve investir em treinamento de segurança cibernética de cima para baixo para capacitar sua equipe sobre como identificar tentativas de phishing e como as características atuais estão mudando. Detectar um e-mail de phishing está se tornando cada vez mais difícil, portanto, é necessário investir em medidas eficazes e ferramentas de detecção baseadas em IA. Isso exigirá a instalação interna de camadas adicionais de segurança, como Autenticação Multifator (MFA). A MFA reduz a probabilidade de acesso não autorizado e mitiga os riscos de obtenção de dados confidenciais. Tais medidas dificultariam o acesso às contas profissionais, evitando assim tentativas de phishing.
Atender às melhores práticas exigirá uma forte compreensão do phishing e de como ele está avançando. Você deve considerar a implementação de programas de conscientização de segurança e mecanismos de denúncia para que sua equipe possa reconhecer essas tentativas.
A ascensão da IA fez com que as tentativas de phishing acabassem se tornando cada vez mais difíceis de detectar. Isso significa que as tentativas
de combatê-la devem ser igualmente avançadas e eficientes. Ao adquirir um amplo conhecimento sobre phishing, você poderá estabelecer uma compreensão valiosa de como combatê-lo de forma eficaz.
![Solicite nossos serviços]()
