Pesquisa mostra que funcionários confiam demais em sua capacidade de identificar golpes — e ainda buscam erros de português
Uma pesquisa da Trustmi, divulgada pela KnowBe4, encontrou uma desconexão entre a confiança dos funcionários e sua real capacidade de identificar fraudes por engenharia social: 78% acreditam que reconheceriam uma solicitação de pagamento fraudulenta, mas 70% ainda apontam erros de digitação ou gramática como principal sinal de alerta — justamente o indicador que a IA generativa eliminou dos phishings modernos. O estudo reforça que o treinamento corporativo padrão está desatualizado frente a e-mails de phishing gerados por IA, que hoje chegam sem erros e com alta verossimilhança.
Uma pesquisa da Trustmi, comentada no blog da KnowBe4, expõe uma lacuna perigosa: funcionários se sentem confiantes para identificar tentativas de fraude por engenharia social, mas continuam usando critérios que a IA generativa já tornou obsoletos. Segundo o levantamento, 78% dos respondentes acreditam que conseguiriam reconhecer uma solicitação de pagamento fraudulenta — só que 70% deles ainda citam erros de digitação, fontes estranhas ou gramática ruim como o principal sinal de alerta.
O problema é que esse critério deixou de funcionar. Ferramentas de IA generativa permitem a qualquer golpista redigir e-mails de phishing e Business Email Compromise (BEC) gramaticalmente perfeitos, no idioma e no tom corporativo certos, sem os erros que treinamentos de conscientização ensinam a vítima a procurar há décadas. A pesquisa também mostra uma variação geracional interessante: 82% da Geração Z ainda prioriza erros gramaticais como indicador, contra 50% dos Baby Boomers — sugerindo que o problema não é falta de exposição a treinamento, mas um treinamento que não evoluiu junto com a técnica do atacante.
Mais preocupante: 81% dos respondentes disseram que confiariam em uma solicitação de pagamento inserida dentro de uma thread de e-mail já existente — exatamente a técnica usada em sequestro de conversas (thread hijacking) em ataques de BEC, na qual o criminoso invade uma caixa de entrada real, aguarda uma negociação em andamento e insere a solicitação fraudulenta de transferência no meio da conversa legítima. Em contraste, apenas 25% citam remetente desconhecido, 22% urgência incomum e 16% fatura suspeita como sinais de alerta — indicadores muito mais eficazes contra phishing gerado por IA do que a busca por erros de digitação.
Na prática, isso é um chamado para times de segurança revisarem o conteúdo dos treinamentos de conscientização: o foco deve migrar de 'procure erros de escrita' para verificação fora de banda de qualquer mudança de dados bancários ou solicitação de pagamento (ligação para número já conhecido, confirmação por canal separado), desconfiança de urgência artificial, e atenção redobrada a e-mails que chegam dentro de conversas já existentes — não apenas mensagens novas e não solicitadas.