IA acelera fase de reconhecimento em ataques de engenharia social direcionados, alerta ESET
Pesquisadores da ESET mostram que ferramentas de IA generativa estão reduzindo drasticamente o tempo necessário para a etapa de reconhecimento em ataques de engenharia social direcionados. Com LLMs, atacantes conseguem varrer redes sociais e fontes públicas, montar perfis detalhados de vítimas e gerar mensagens de phishing altamente personalizadas, inclusive em idiomas que não dominam. O resultado é um golpe mais crível e escalável, reduzindo a barreira técnica para campanhas de spear phishing sofisticadas.
A ESET descreve como modelos de linguagem estão sendo usados para comprimir em minutos o trabalho de reconhecimento que antes levava dias de pesquisa manual sobre uma vítima. Em vez de vasculhar manualmente LinkedIn, Instagram, registros públicos e notícias, o atacante delega essa varredura a um agente de IA que cruza fotos, vídeos, cargos, relações profissionais e detalhes pessoais como datas de nascimento, escolas dos filhos ou períodos de férias.
O ganho técnico não está apenas na velocidade, mas na qualidade do pretexto gerado: a IA consegue combinar informações da vida pessoal com dados profissionais da vítima para produzir uma isca de phishing muito mais convincente do que um template genérico, e fazer isso em qualquer idioma com fluência nativa, eliminando um dos sinais clássicos de alerta (erros de gramática ou tradução) que treinamentos de conscientização ensinam a identificar.
Esse tipo de industrialização do spear phishing é particularmente perigoso para fraudes de golpe do CEO e comprometimento de e-mail corporativo (BEC), porque a personalização em massa deixa de ser um fator limitante: campanhas antes reservadas a alvos de alto valor, por exigirem pesquisa manual cara, agora podem ser aplicadas em escala contra funcionários de nível médio.
Na prática, a defesa recomendada passa menos por detectar o e-mail malicioso e mais por reduzir a superfície de dados públicos disponível sobre potenciais vítimas: restringir a visibilidade de perfis sociais, evitar publicar detalhes de rotina, viagens e vínculos familiares, e remover metadados de fotos antes de publicá-las. Autenticação multifator resistente a phishing e a prática de nunca validar pedidos incomuns (mudança de dados bancários, solicitações urgentes de pagamento) pelo mesmo canal em que chegaram continuam sendo os controles mais eficazes contra esse tipo de pretexto, mesmo quando ele é gerado por IA.