A IA já não é opcional: o mercado negro de acessos ameaça as empresas

As ferramentas de inteligência artificial deixaram de ser uma experiência para se tornar uma peça cotidiana da produtividade: desde escrever e-mails e gerar código até resumir pesquisas e automatizar processos empresariais. Plataformas como ChatGPT, Claude, Microsoft Copilot ou Perplexity já fazem parte do dia a dia de pessoas e organizações, e em muitos casos até se integraram em fluxos operacionais críticos. Quando uma tecnologia torna-se indispensável, o seu valor cresce — e não apenas para aqueles que a usam de forma legítima.

Uma análise recente da empresa de inteligência de ameaças Flare evidencia que, por trás do conforto dessas plataformas, apareceu um mercado clandestino: contas premium, chaves de API e acessos a serviços de pagamento anunciam e revendem em fóruns e grupos fechados, especialmente em canais do Telegram e mercados russófonos. Os investigadores da Flare recolheram numerosos anúncios e discussões que mostram como o acesso a serviços avançados da IA é embalado e ofertado como um produto mais dentro do ecossistema criminoso digital. Você pode consultar a página de Flare para mais contexto sobre seu trabalho: Flare, e aqueles que o desejem podem explorar as descobertas através das opções de prova que a empresa oferece: teste gratuito de Flare.

Os anúncios não são anecdóticos nem isolados. Em muitos casos, são vendidas assinaturas de nível superior de serviços como ChatGPT Plus ou Pro, Anthropic Claude Pro, Perplexity Pro e pacotes que incluem Microsoft Copilot com contas do Office 365. Também aparecem ofertas que prometem “acesso sem limites” ou “API completa”, reclamações que buscam atrair compradores que desejam evadir as restrições oficiais. Além disso, estes acessos são frequentemente comercializados juntamente com outros ativos digitais como contas de e-mail antigas, servidores virtuais ou acessos RDP, o que facilita sua utilização em operações fraudulentas mais complexas.

Como conseguem os criminosos estas contas? Flare não documenta diretamente cada técnica, mas os padrões nas vendas apontam para várias vias: chaves e segredos expostos em repositórios públicos ou contêineres, credenciais comprometidas reutilizadas para tomar o controle de contas, criação maciça de perfis com números virtuais para saltar verificações, abuso de códigos promocionais ou períodos de teste e até a revenda de chaves de API obtidas por meios diversos. Pesquisas anteriores alertaram sobre a fuga de credenciais e segredos em contêineres públicos, e as boas práticas de segurança em plataformas de desenvolvimento mostram como uma chave exposta pode dar acesso a serviços sensíveis; ver documentação sobre segurança de APIs e gestão de segredos pode ajudar a entender o problema, por exemplo, nas guias de segurança da OpenAI: OpenAI - Segurança.

O atrativo para comprar acesso no mercado negro é, em essência, econômico e prático. Uma assinatura premium de IA pode custar dezenas de dólares por mês e, quando são necessárias múltiplas contas para automatizar fraudes, fazer testes ou fugir de controles, comprar acessos já provisionados é mais fácil e barato do que registrar e verificar um por um. Em regiões afectadas por sanções ou limitações de pagamento, como a Rússia, o Irão ou a Coreia do Norte, estas ofertas também servem como atalho para ultrapassar barreiras de acesso, oferecendo contas prontas para usar. Em suma, a revenda de acessos reduz fricções e amplia o público potencial de quem pode abusar da tecnologia.

Uma vez nas mãos de intervenientes mal-intencionados, as capacidades destas plataformas multiplicam o impacto das suas operações. Ferramentas gerativas facilitam a redação massiva de e-mails de phishing muito credíveis, scripts para fraudes, conteúdo personalizado para engenharia social e até materiais multimídia sintéticos que permitem suplantações mais sofisticadas. A Europol já adverte na sua avaliação de ameaças sobre o uso crescente de IA para automatizar e aperfeiçoar fraudes e campanhas de phishing: EU SOCTA 2025. Da mesma forma, relatórios técnicos como os de Palo Alto Networks descrevem como as cadeias de ataque incorporam conteúdos gerados por IA para obter maior precisão na manipulação de vítimas: Unit 42 - Relatório. Mesmo desenvolvimentos acadêmicos e publicações de empresas de IA, como os comunicados de Anthropic sobre detecção e mitigação de usos indevidos, mostram que o setor está consciente do problema: Anthropic - Relatório de abuso.

Este fluxo comercial não só alimenta fraudes; também facilita operações técnicas. Com acesso a modelos de linguagem e ferramentas de geração de código, atores com pouca experiência podem automatizar tarefas complexas, criar infraestrutura de ataque ou gerar exploits e scripts de forma mais rápida. Além disso, a possibilidade de adquirir acesso fragmentado ou “compartidário” – onde uma conta é usada por múltiplos compradores – complica a rastreabilidade e aumenta a resiliência das campanhas fraudulentas contra bloqueios pontuais.

Diante deste cenário, as organizações não estão indefesas. Existem medidas concretas e práticas que reduzem significativamente o risco de as suas contas de IA serem comprometidas ou aparecerem em mercados ilícitos. Entre elas, forçar a autenticação multifator em todas as contas usadas para projetos empresariais, optar por planos e ambientes empresariais que oferecem controles administrativos e registros de atividade, e gerenciar de forma estrita as chaves e segredos que conectam aplicativos com APIs. Também é essencial monitorar padrões de acesso e comportamentos incomuns nos serviços, rotar credenciais periodicamente e restringir o uso de contas compartilhadas ou adquiridas fora dos canais oficiais. Para guias práticas e recomendações de segurança sobre gerenciamento de chaves e acessos, as páginas de suporte de fornecedores e os manuais de boas práticas da indústria são recursos úteis: Microsoft - MFA e autenticação.

Não menos importante é o componente humano: informar e formar funcionários sobre os perigos de usar contas de origem duvidosa, de compartilhar credenciais ou de recorrer a atalhos que prometam “acesso premium” por vias não oficiais. A adoção de políticas de governança do uso de IA ajuda a esclarecer quais ferramentas estão autorizadas, quais dados podem ser processados em ambientes públicos e quais devem permanecer em ambientes controlados pela organização. Além disso, a integração da vigilância de mercados subterrâneos nos programas de ciber-inteligência corporativa permite detectar fugas de contas, chaves ou dados antes de serem explorados em massa; Flare oferece serviços de monitorização nessa linha, com exemplos de achados em sua plataforma: exemplo identificado por Flare.

A evolução do problema também coloca desafios regulatórios e técnicos aos prestadores de serviços de IA. Os desenvolvedores destas plataformas estão ampliando seus esforços para detectar e mitigar abusos, melhorar os controles de acesso e oferecer capacidades empresariais que protejam melhor as organizações. Mesmo assim, A segurança eficaz requer coordenação entre fornecedores, equipamentos de segurança e utilizadores finais, e uma mistura de controlos técnicos, políticas claras e vigilância ativa do ecossistema digital.

No fundo, o surgimento de um mercado para contas de IA é um lembrete de uma regra clássica de segurança: qualquer serviço valioso alimentará incentivos para a sua exploração. A diferença agora é a magnitude e a velocidade com que os modelos de IA multiplicam a capacidade operacional de atores maliciosos. Se as empresas e as instituições priorizam a protecção dos seus acessos, educam o seu pessoal e adotam controlos adequados, poderão minimizar muito desse risco e aproveitar as vantagens da IA sem converter as suas contas em outra mercadoria do mercado ilícito.