Phishing na era de IA explora a psicologia humana

Há histórias de fraude que parecem tiradas de uma série e, no entanto, acontecem todos os dias: uma notificação de uma portagem de incumprimento, uma mensagem com aparência rotineira que exige atenção imediata, um link no momento errado. Não importa quanto hábito de cautela tenha uma pessoa; a combinação correta de contexto, urgência e distração basta para que mesmo o mais prevenido clique e, no pior dos casos, forneça dados sensíveis. O phishing não explora falhas técnicas, explora a psicologia humana, e fá-lo com cada vez mais inteligência.

O que incomoda ainda mais é que essas armadilhas não são exclusivas de usuários desprevenidos. Tem havido relatos de profissionais de segurança que caíram em simulações internas de phishing, às vezes repetidamente. Um exemplo revelador foi o testemunho de um especialista que relatou ter sucumbido aos testes de sua própria empresa: não foi falta de conhecimento, mas erros humanos em momentos de fadiga ou rotina. A vigilância é uma prática, não um diploma, e isso muda a forma como devemos conceber defesas e formações dentro de organizações.

Por trás da mensagem suspeita há duas dimensões que convém distinguir: a psicológica e a tecnológica. No plano psicológico, os atacantes manipulam instintos básicos: o medo de perder algo, a curiosidade, a urgência por resolver um problema. Estes disparadores reduzem a reflexão e favorecem respostas impulsivas. Além disso, o ataque costuma chegar em uma janela de fragilidade: entre reuniões, durante um deslocamento ou quando alguém está concentrado em outras prioridades. A isso acrescenta-se a exploração de emoções mais profundas — como o desejo de impressionar um chefe ou a pressa por resolver uma incidência — que podem anular as bandeiras vermelhas mais evidentes.

Em tecnologia, o panorama evoluiu até se tornar uma indústria. Pesquisas recentes mostram como o phishing se transformou em um ecossistema comercial: plataformas de phishing-as-a-service (PhaaS), kits prontos para usar, infraestruturas que rotam domínios, hospedagem “a prova de balas” e passarelas que facilitam o envio massivo de SMS ou e-mails. Uma análise detalhada sobre esse mercado pode ser consultada no relatório de Flare, que documenta como estas ferramentas baixam a barreira de entrada e profissionalizam a fraude ( The Phishing Kits Economy in Cybercrime Markets).

A chegada de ferramentas de geração de conteúdo baseadas em inteligência artificial acrescenta outro escalão de perigo: agora as mensagens podem ser construídas com um estilo quase humano, adaptadas à língua e à região da vítima, e mesmo ajustadas em tempo real segundo as respostas que recebe o atacante. Pesquisadores e assinaturas de segurança alertam que essas capacidades permitem criar senhões mais verossímiles e personalizar campanhas em grande escala, reduzindo a necessidade de habilidade técnica por parte do perpetrador.

Se falamos de impacto, não é apenas o roubo imediato de dinheiro. O compromisso de credenciais pode abrir a porta a acessos corporativos, roubo de identidade, pagamentos fraudulentos e movimentos laterais em redes empresariais. O ecossistema criminoso inclui atores especializados: os que desenham os modelos, que fornecem a infraestrutura, que branquea lucros e até quem oferece “soporte” a quem compra o kit. O resultado é uma máquina de fraude rápida, escalável e cada vez mais difícil de bloquear com medidas puramente técnicas.

Diante disso, o que podem fazer indivíduos e organizações sem cair no discurso alarmista? Primeiro, é fundamental aceitar que a perfeição é inatingível: o objetivo razoável é aumentar a fricção suficiente para que a maioria dos enganos não prospere e que, quando surgir dúvida, exista um canal confiável para verificar. As recomendações práticas que propõem instituições de cibersegurança públicas e privadas incluem reforçar a autenticação com múltiplos fatores, centralizar e atualizar políticas de senhas, fomentar o uso de gestores de senhas, habilitar sistemas de detecção e bloqueio de domínios maliciosos, e estabelecer procedimentos claros para confirmar pedidos incomuns. O guia do Centro Nacional de Cibersegurança do Reino Unido oferece uma visão prática sobre como identificar e responder ao phishing ( NCSC - Phishing guidance) e organizações como o APWG Eles publicam tendências que ajudam a entender a escala do problema.

A formação também deve ser reformulada: já não basta ensinar a detectar “erros ortográficos” ou ligações raras. Os programas eficazes introduzem simulações realistas, repetem exercícios com variações e, acima de tudo, criam uma cultura onde admitir uma falha não seja motivo de vergonha, mas sim de aprendizagem. Um artigo honesto sobre falhas em simulações internas mostra como a narrativa do “avergonzar para educar” não funciona; a resposta mais útil é desenhar processos que reduzam a probabilidade de danos quando alguém cai na armadilha ( KnowBe4 - Shame, shame, I got phished).

Finalmente, não podemos subestimar a colaboração: compartilhar informações sobre campanhas em curso, bloquear rapidamente domínios maliciosos e educar clientes e usuários são ações que multiplicam a resistência coletiva. Na Espanha e na América Latina, organismos como INCIBE oferecem recursos e alertas adaptados à realidade local, e é recomendável seguir seus avisos e ferramentas de resposta.

A moral não é nova, mas sim urgente: Se você é humano, você é um objetivo. A mistura de engenharia social sofisticada, ferramentas comerciais e agora IA converte o phishing em uma ameaça persistente. A defesa mais efetiva combina tecnologia, processos e hábitos pessoais: impor fricção onde importa, facilitar a verificação e criar ambientes onde perguntar seja sempre a primeira reação frente ao inesperado.

Se você quer aprofundar, além do relatório de Flare e das reflexões práticas do setor, sugiro que você consulte os relatórios de tendências da APWG e as guias do NCSC para ver exemplos, métricas e recomendações que podem ser aplicadas tanto a usuários como organizações. A segurança é construída com pequenos passos e constantes; cada clique que você pensa duas vezes é uma barreira menos para o atacante.