Campanha de phishing com IA generativa envia mais de 1 milhão de e-mails para desviar pagamentos corporativos
A Microsoft rastreou uma campanha de phishing que usou IA generativa para enviar mais de um milhão de e-mails personalizados a departamentos de contas a pagar, tentando executar fraudes de desvio de pagamento (payment diversion) de cerca de US$ 50 mil por golpe. Os atacantes se passaram por executivos como CEO e CFO e criaram faturas falsas com a marca de fornecedores reais, como o ServiceNow, para dar credibilidade ao pedido de transferência.
Pesquisadores da Microsoft identificaram uma operação de Business Email Compromise (BEC) em larga escala que combinou automação com IA generativa para produzir mais de um milhão de e-mails de phishing personalizados, direcionados especificamente a equipes de contas a pagar em múltiplas organizações. O objetivo final era um clássico golpe de desvio de pagamento: convencer o financeiro da empresa-alvo a transferir por volta de US$ 50 mil para uma conta controlada pelos criminosos, sob o pretexto de liquidar uma fatura de assinatura de software legítima.
O diferencial técnico está na personalização em múltiplas camadas construída com apoio de IA. Os atacantes impersonaram executivos seniores — nome de exibição do remetente, nome de exibição de resposta e assinatura do e-mail todos adulterados para citar CEO, CFO ou presidente da empresa. Além disso, geraram faturas fabricadas com aparência profissional, replicando o branding e o logotipo de fornecedores reais (no caso, ServiceNow), incluindo número de invoice, datas, moeda e itens discriminados, com o campo 'cobrado a' preenchido com o nome real da empresa-alvo e do executivo citado. Essa combinação de impersonação, marca de fornecedor e fatura fabricada foi amarrada em uma narrativa única e coerente, reduzindo o ceticismo natural de quem recebe o e-mail.
O que torna esse tipo de campanha mais perigoso do que o BEC tradicional é a escala: gerar mais de um milhão de variações personalizadas manualmente seria inviável, mas com IA generativa o custo marginal de personalizar nome da empresa, executivo e valores despenca, permitindo pulverizar tentativas altamente customizadas contra muitas organizações simultaneamente — o que também dificulta a detecção por filtros baseados em padrões repetidos de texto, já que cada e-mail é sutilmente diferente do anterior.
A defesa eficaz contra esse tipo de fraude não depende de identificar o e-mail como 'falso' apenas pelo conteúdo, e sim de processo: toda solicitação de pagamento ou mudança de dados bancários deve ser confirmada por um canal secundário já conhecido (telefone cadastrado previamente, nunca o contato informado no próprio e-mail suspeito), transferências acima de determinado valor deveriam exigir dupla aprovação, e times financeiros devem ser treinados a desconfiar de urgência combinada com mudança de conta de destino, mesmo quando o remetente parece ser um executivo interno ou um fornecedor conhecido.