IA e OSINT tornam qualquer pessoa um alvo viável de fraude, alerta ESET
Um artigo da ESET (WeLiveSecurity) descreve como ferramentas de inteligência artificial eliminaram a barreira técnica que antes limitava o reconhecimento detalhado de vítimas a criminosos mais sofisticados. Hoje, a IA consegue cruzar em minutos fotos, publicações e conexões espalhadas em redes sociais para montar perfis completos, usados tanto em phishing altamente personalizado quanto na criação de deepfakes para extorsão e golpes de sextorsão.
O artigo parte de uma mudança estrutural no cibercrime: o reconhecimento detalhado de uma vítima (OSINT), que antes exigia horas de trabalho manual e alguma especialização, agora pode ser feito por ferramentas de IA em minutos e em escala. Isso derruba a barreira de entrada que antes restringia ataques de engenharia social bem elaborados a grupos criminosos mais avançados, colocando esse tipo de golpe ao alcance de praticamente qualquer criminoso com acesso às ferramentas certas.
Na prática, a técnica consiste em agregar automaticamente informações públicas espalhadas em diferentes redes sociais e perfis pessoais e profissionais: fotos com metadados geográficos ou que mostram veículos e locais frequentados, publicações sobre viagens e datas importantes, e conexões com familiares, amigos e colegas de trabalho. A IA cruza esses fragmentos dispersos e monta um perfil coeso da vítima, incluindo sua rotina, círculo social e rede profissional, informação que antes só um investigador dedicado conseguiria reunir.
Esse perfil detalhado alimenta diretamente dois tipos de golpe. O primeiro é o phishing hiper-personalizado: uma mensagem que cita corretamente o nome do gestor da vítima, um evento recente ou um projeto real da empresa é muito mais convincente do que um phishing genérico, e tende a furar o ceticismo natural do alvo. O segundo é o uso de deepfakes de voz ou vídeo construídos a partir do material coletado, empregados em falsos sequestros virtuais, extorsão e esquemas de sextorsão, além de fraudes que exploram a fronteira entre a vida pessoal e a corporativa do alvo, como comprometimento de e-mail corporativo (BEC).
As recomendações de proteção continuam sendo as básicas de higiene digital, mas ganham peso redobrado neste cenário: restringir a visibilidade de perfis em redes sociais, evitar publicar datas de nascimento, nome de escolas dos filhos e planos de viagem com antecedência, usar autenticação multifator e senhas únicas por serviço, não aceitar solicitações de conexão de desconhecidos e manter uma separação clara entre o que é publicado em perfis pessoais e profissionais. Como o próprio artigo destaca, o ponto não é que exista uma falha técnica nova a corrigir, e sim que a superfície de exposição pessoal de qualquer usuário comum já é suficiente para sustentar um golpe convincente.