Ataques de impersonação turbinados por IA já atingiram 53% das organizações, aponta levantamento
Um levantamento cita que 53% das organizações sofreram ataques de impersonação direcionada no último ano, com um kit de phishing que identifica o sistema operacional da vítima em milissegundos para escolher o golpe mais eficaz — malware para Windows, coleta de credenciais para Apple, login falso monitorado ao vivo para os demais. Uma campanha de comprometimento de e-mail corporativo (BEC) chegou a atingir mais de 67 mil usuários em 42 mil organizações em menos de três horas, usando impersonação de executivos para desviar pagamentos de folha. O texto reporta ainda que o phishing assistido por IA cresceu 1.200% e que 86% dos ataques de phishing atuais já contêm algum elemento gerado por IA.
A newsletter reúne dados recentes sobre a escala dos ataques de impersonação — personificação de executivos, marcas e colegas — contra organizações, mostrando que deixou de ser um risco pontual para se tornar o principal vetor de fraude corporativa monitorado pelos pesquisadores.
O destaque técnico é um kit de phishing adaptativo: ao identificar o sistema operacional de quem clicou no link, o kit direciona usuários de Windows para download de malware, usuários de Apple para uma página de coleta de credenciais, e demais visitantes para uma tela de login falsa da Microsoft com um operador humano observando a sessão em tempo real para reagir a comportamentos inesperados da vítima. Já a campanha de BEC citada usou impersonação de executivos em e-mails para induzir mudanças de dados bancários de folha de pagamento, atingindo dezenas de milhares de contas em poucas horas — uma velocidade de propagação que dificulta qualquer resposta manual.
O papel da IA generativa aparece nos números: crescimento de 1.200% em phishing assistido por IA, conteúdo considerado 4,5 vezes mais convincente que versões anteriores, e presença de elementos gerados por IA em 86% dos ataques de phishing observados. Deepfakes também são citados como acelerador de golpes de reconhecimento, usados para dar credibilidade a perfis falsos antes do contato direto com a vítima.
Como o kit adaptativo já assume que a vítima vai clicar, a defesa eficaz precisa atuar antes e depois do clique: treinamento de conscientização atualizado para golpes com IA, soluções de email security com detecção comportamental (não só de assinatura), coaching em tempo real para o usuário no momento do risco, e monitoramento de múltiplos canais (Teams, redes sociais, e-mail), já que boa parte dos alertas de ameaça hoje se origina fora da caixa de entrada tradicional. Para BEC especificamente, qualquer mudança de dados bancários de pagamento deve exigir confirmação por canal independente antes de ser efetivada.