Ao que tudo indica, os golpes impulsionados por IA estão em ascensão no mundo corporativo, assumindo formas como chamadas de voz deepfake, videochamadas e, claro, e-mails.
Pelo menos 60% das 200 empresas pesquisadas recentemente pela Experian relataram perdas por fraude um pouco ou significativamente maiores em comparação aos anos anteriores, e 77% estão respondendo com orçamentos maiores para o gerenciamento de fraudes.
Em média 53% dos entrevistados identificaram ataques de phishing gerados por IA como sua principal preocupação, seguido por fraudes primários assistidas por inteligência artificial (51%), falsificação de documentos (45%), ataques automatizados de bots (40%) e golpes com deepfake (37%).
Embora não haja um número fixo de golpes com IA, o CISO e diretor administrativo da EXOS, Cody Tyler aponta que existem algumas categorias principais que evoluem de forma contínua e rápida à medida que a tecnologia avança.
“A maioria dos golpes impulsionados por IA se enquadra em categorias principais como golpes de falsificação de identidade, phishing e engenharia social, golpes financeiros e de investimento e comprometimento de e-mail comercial. A IA não criou categorias de golpes totalmente novas, apenas potencializou as já existentes”, afirma.
Além disso, Tyler acrescenta que o fio condutor dos golpes de IA estão no que você tem acesso ou na facilidade com que pode ser convencido. Especialmente funcionários com acesso a dinheiro ou sistemas sensíveis e organizações com recursos limitados de cibersegurança podem se tornar alvos mais vulneráveis.
Por exemplo, no que é conhecido como fraude do CEO, o vice-presidente de operações de IA da Agiloft, Noe Ramos relata que golpistas clonam vozes de executivos da empresa para instruir um funcionário a transferir fundos imediatamente.
“Funciona porque a voz é real, a autoridade parece legítima e a urgência elimina o ceticismo. Várias empresas perderam centenas de milhões por causa de uma única ligação telefônica”, pontua Ramos.
De acordo com Stanislav Kazanov , chefe de GRC, cibersegurança e sustentabilidade da Innowise, os golpes com IA normalmente se dividem em duas categorias: tentativas de phishing hiperpersonalizadas e falsificação biométrica.
“A forma mais popular de phishing é o comprometimento de e-mail comercial habilitado por IA, ou simplesmente BEC. Anos atrás, os e-mails de phishing eram fáceis de identificar. Erros gramaticais ou frases genéricas estranhas os denunciavam. Agora, não se pode confiar nesses indícios. Os atacantes costumam alimentar um modelo de IA com o perfil do LinkedIn da vítima e outras informações publicamente disponíveis para redigir e-mails altamente sensíveis ao contexto, que imitam os vicíos e o estilo de escrita”, declara Kazanov.
Para combater a fraude com IA, empresas estão respondendo com a mesma tecnologia para fortalecer suas defesas, indicam os autores do relatório da pesquisa. Dos entrevistados na pesquisa da Experian, 80% relataram usar aprendizado de máquina ou IA generativa em ambientes de gerenciamento de fraudes para ajudar a identificar atividades suspeitas, melhorar a verificação de identidade e aprimorar as capacidades de detecção de fraudes.
A clonagem de voz é uma área de especial preocupação. Esses golpes são construídos com base em um “trecho de três segundos de uma mensagem de correio de voz, sendo suficiente para os golpistas replicarem a voz de um CEO e autorizarem uma transferência bancária”, disse Victor Smushkevich , fundador da CallSetter AI.
A boa notícia é que a defesa contra golpes de clonagem de voz “é brutalmente simples”, acrescentou Smushkevich. “Toda solicitação financeira por telefone exige um retorno de chamada para um número verificado, sem exceções. As vozes geradas por IA ainda tropeçam em perguntas de acompanhamento não roteirizadas, então perguntar algo que somente a pessoa real saberia quebraria a ilusão rapidamente.”
A má notícia é que os golpistas continuam aprimorando a entrega de suas mensagens, e a IA está cada vez mais colaborando com isso. “Podemos falar o dia todo sobre as variações de golpes com IA, e será inútil: quando terminarmos, os golpistas já terão inventado algo novo”, disse Kazanov.
A vice-presidente de investigações da ZeroFox, Olga Polishchuk, afirma que os sinais típicos que as pessoas são orientadas a procurar, como problemas de sincronização labial, mãos borradas e pele com aspecto artificial, estão sendo corrigidos em tempo real.
Infelizmente, os golpes gerados por IA estão evoluindo tão rápido quanto a própria IA. “As pessoas começaram a perceber táticas de golpes mais tradicionais, como e-mails de phishing, mensagens de texto suspeitas e ligações automáticas. Os golpistas perceberam que estamos atentos a isso e mudaram de estratégia”, disse Scott Edwards , diretor de gestão de riscos de fraude da BOK Financial. Em seu lugar, os deepfakes estão em ascensão.
Ainda é possível, neste momento, detectar padrões de fala não naturais ou inconsistências visuais que podem ser facilmente identificadas. Polishchuk destaca que embora a IA possa imitar uma voz, em geral ela soará mais artificial e robótica, ou terá uma inconsistência entre o que a pessoa diz e como ela diz.
Segundo Danny Jenkins , ex-hacker ético e especialista em resposta a ataques de ransomware, e atual CEO da ThreatLocker, os sinais reveladores de IA falsa ou deepfakes incluem “latência de áudio, cadência não natural, falhas visuais ou sincronização labial ligeiramente desalinhada. “Entretanto, o sinal mais importante, é o comportamento. Se a pessoa que entrar em contato, seja um colaborador ou um ente querido, com certa urgência, pressão emocional e pedidos de dinheiro ou informações confidenciais, ligue diretamente para verificar se a comunicação foi real.”
Polishchuk ainda ressalta que os executivos de alto escalão não são os que mais sofrem com os golpes, mas sim os colaboradores treinados para executar as solicitações da alta administração sem fazer muitas perguntas.
“Se uma fraude for detectada, a melhor conduta é tomar medidas para limitar os danos”, disse Tyler. “Recomendamos aos nossos clientes que, em primeiro lugar, protejam todas as contas e sistemas, relatem o incidente, avaliem o impacto geral e notifiquem as partes afetadas. Seguindo esses passos, os danos financeiros, operacionais e reputacionais podem ser reduzidos.”
O especialista em propriedade intelectual, John Maly, relata que existem diversas ferramentas, aplicativos e serviços para ajudar a proteger as organizações contra golpes de IA, mas que ainda não existe uma solução única e abrangente que preencha todas as lacunas, nem mesmo para um único tipo de conteúdo. “Todas essas ferramentas ainda estão em fase inicial. Enquanto isso, as IAs de deepfake continuam encontrando maneiras de tornar suas falsificações menos detectáveis.”
A melhor defesa para proteger um negócio contra golpes de IA é o seu próprio cérebro. Estamos entrando em uma nova era, muito menos segura, e precisaremos reprogramar nosso comportamento para sermos mais céticos e cautelosos com qualquer interação remota com outras pessoas. Saber em quem confiar já não basta, agora você precisa se perguntar se pode confiar na pessoa ou organização com quem está falando.
Reportagem publicada originalmente em Forbes.com
