Phishing sem erros: como o e-mail malicioso aprendeu a passar despercebido
A ESET descreve como o phishing moderno abandonou os sinais clássicos de fraude — erros de português/inglês, links óbvios — usando IA generativa para escrever mensagens convincentes e técnicas que abusam de fluxos legítimos de autenticação, como roubo de token OAuth sem disparar MFA. O artigo defende que a defesa precisa migrar do "identificar o e-mail ruim" para "detectar e conter rápido" quando a prevenção falha.
O texto da ESET marca uma mudança de paradigma: o phishing deixou de depender de erros grosseiros de digitação ou links visivelmente suspeitos, porque ferramentas de IA generativa agora escrevem mensagens gramaticalmente perfeitas e personalizadas para cada alvo, e os links maliciosos passaram a se esconder dentro de QR codes (quishing), escapando de filtros que só analisam URLs em texto.
As técnicas descritas são reveladoras de como o ataque se disfarça de processo legítimo: no "ConsentFix", a vítima é levada a uma tela real de consentimento OAuth da Microsoft e concede permissões a um aplicativo malicioso, entregando um token de acesso válido sem nunca digitar a senha e sem acionar o MFA — porque, tecnicamente, ela mesma autorizou o acesso. Já o ClickFix e variantes como "AI-fix" enganam o usuário para colar comandos em um terminal, e o "CrashFix" simula um bloqueador de anúncios que só dispara o alerta fraudulento depois de uma hora de espera, driblando análises automatizadas de curta duração. Deepfakes de voz e rosto aparecem como reforço final para solicitar transferências bancárias com aparência de contato humano legítimo.
O ponto central para quem defende é que, quando o e-mail em si não tem mais "sinais ruins" para detectar, a defesa precisa se apoiar em controles que não dependem do julgamento humano sobre o conteúdo da mensagem: autenticação resistente a phishing (chaves FIDO2/passkeys), controle e revogação de sessões e tokens OAuth concedidos a aplicativos de terceiros, e verificação por canal alternativo para qualquer pedido financeiro ou de credenciais. Times de segurança também devem monitorar a emissão de tokens de acesso fora do padrão de uso normal e tratar velocidade de detecção e contenção como a métrica que realmente limita o dano, já que impedir 100% das tentativas de entrada deixou de ser realista.