A velocidade com que a inteligência artificial evolui significa que atividades que antes exigiam várias horas ou até dias de trabalho de um cibercriminoso experiente agora podem ser realizadas em uma fração desse tempo por alguém com pouco ou nenhum conhecimento prévio.

Isso é importante porque está reduzindo a barreira de entrada para os cibercriminosos. Estamos vendo isso na exploração de vulnerabilidades. Estamos vendo isso na geração básica de malware. E também estamos vendo isso nas tarefas de reconhecimento de vítimas.

Isso deveria colocar em alerta máximo até mesmo os usuários comuns da internet. Se os ataques se tornam mais baratos e fáceis de executar para os golpistas, qualquer pessoa pode se tornar um alvo.

Como a IA está mudando as regras do jogo

Houve um tempo em que a coleta de inteligência de fontes abertas (OSINT, na sigla em inglês) era uma prática reservada a alvos de alto perfil e potencialmente de alto valor. Isso ocorria porque realizá-la exigia habilidades especializadas e muito tempo. O termo tem origem fora do âmbito da cibersegurança, sendo utilizado originalmente para descrever esforços militares e de inteligência voltados à coleta de informações disponíveis publicamente que pudessem ser empregadas para alcançar objetivos estratégicos.

Com a chegada da web e, mais recentemente, das redes sociais, essas tarefas passaram a fazer parte do cotidiano digital, sendo utilizadas tanto por pesquisadores quanto por grupos cibercriminosos. No entanto, antes do surgimento da IA, ainda havia um gargalo importante. Um cibercriminoso precisava investir tempo para identificar as contas públicas de seus alvos, seus interesses, amizades, familiares e colegas. Também podia ser necessário o uso de ferramentas especializadas ou a revisão de inúmeros sites, perfis e publicações, correlacionando e verificando informações, estabelecendo relações entre indivíduos e determinando quais elementos poderiam ser utilizados em um ataque.

As ferramentas de IA eliminaram, em grande parte, esse gargalo ao processar informações em velocidade de máquina. Elas conseguem localizar conteúdo disponível publicamente em toda a web, vinculá-lo a possíveis vítimas e mapear as relações entre elas e outras pessoas. São especialmente eficazes para encontrar informações não estruturadas, em particular imagens e vídeos. Já não é mais necessário ser um especialista em OSINT para realizar esse tipo de trabalho.

Juntando as peças em grande escala

Essa realidade é preocupante por diversos motivos. Os golpistas agora conseguem coletar facilmente informações públicas sobre uma pessoa para tornar mais convincentes as campanhas de engenharia social e escalar suas fraudes. Por exemplo:

  • Um e-mail de phishing projetado para enganar a vítima e fazer com que compartilhe suas credenciais ou clique em um link que instala malware sem que ela perceba. Essa mensagem seria muito mais convincente se incluísse dados pessoais como o local de trabalho, a escola de um filho, um evento recente do qual a vítima participou ou informações contextuais publicadas nas redes sociais, como um aniversário ou férias recentes. Todas essas informações podem ser encontradas em domínio público e coletadas facilmente em grande escala.
  • Um vídeo ou uma ligação telefônica que imite a voz ou a imagem de uma pessoa pode ser utilizado para convencer um familiar ou ente querido de que ela está em perigo. Os cibercriminosos podem usar deepfakes para pedir dinheiro utilizando a "voz" da vítima ou para simular um sequestro e exigir o pagamento de um resgate para garantir sua segurança. Podem até utilizar um deepfake para criar um vídeo de caráter obsceno e ameaçar enviá-lo aos contatos da vítima caso ela não pague. Esse tipo de esquema de sextorsão é cada vez mais frequente. No Reino Unido, centenas de menores de 18 anos relataram ter sido vítimas desse crime no último ano.

Infelizmente, os modelos de linguagem de grande escala (LLMs) são especialmente eficazes para reunir o tipo de informação de que os golpistas precisam para que suas fraudes funcionem. Eles conseguem traçar o perfil de um grande número de possíveis vítimas em pouco tempo, coletando imagens, vídeos e informações relevantes sobre interesses pessoais, trabalho, familiares e amigos, que depois podem ser utilizadas com fins maliciosos.

A IA também pode ajudar a elaborar os roteiros de engenharia social usados pelos golpistas, permitindo que soem convincentes por e-mail, redes sociais ou outros canais, mesmo quando não são falantes nativos do idioma. Na prática, ela oferece uma cadeia de fraude completa, de ponta a ponta.

Problemas também no ambiente de trabalho

Os grupos cibercriminosos não investigam apenas a vida pessoal das pessoas. A fronteira entre trabalho e casa tem se tornado cada vez mais difusa nos últimos anos, especialmente com a consolidação do trabalho híbrido. Muitas pessoas utilizam dispositivos pessoais para atividades corporativas. Além disso, é simples para a IA vincular perfis profissionais e pessoais nas redes sociais.

Tudo isso significa que os esforços de reconhecimento também podem impactar a vida profissional. Por exemplo, os golpistas podem utilizar informações pessoais para criar um ataque de engenharia social voltado a obter credenciais corporativas ou informações confidenciais da empresa. Também podem direcionar o ataque a colegas durante um período de férias, aproveitando que a pessoa-alvo pode não estar disponível para verificar detalhes fraudulentos. Esse cenário é especialmente útil para lançar ataques de Comprometimento de E-mail Corporativo (BEC, na sigla em inglês).

Perder informações pessoais já é um problema importante. No entanto, as atividades de OSINT com uma dimensão corporativa podem ter um impacto significativo na reputação profissional e na carreira de uma pessoa.

O que fazer diante do OSINT impulsionado por IA

Quando se trata de reconhecimento impulsionado por IA, existem aspectos sobre os quais temos controle e outros sobre os quais não temos. Uma vez que uma informação pessoal está em domínio público, pode ser extremamente difícil solicitar sua remoção, especialmente porque ela pode ter sido republicada em outros lugares. Fotografias antigas em redes sociais costumam ser mais fáceis de remover, mas poucas pessoas têm tempo para revisar toda a sua vida digital em busca de informações potencialmente úteis para os cibercriminosos.

Por isso, é preferível concentrar-se naquilo que realmente está ao alcance de cada usuário. Considere as seguintes dicas:

  • Certifique-se de que seus perfis em redes sociais não estejam acessíveis publicamente, para limitar a capacidade da IA de encontrar informações, imagens ou vídeos neles contidos.
  • Tenha cuidado com as informações que compartilha nas redes sociais. Dados como datas de nascimento, a escola dos seus filhos, férias e eventos semelhantes devem ser mantidos privados.
  • Lembre-se de que fotografias podem conter informações que permitem identificar endereços, dados de veículos ou outros detalhes sensíveis.
  • Evite publicar conteúdo que possa ser usado para vincular sua vida pessoal à sua vida profissional.
  • Utilize autenticação multifator (MFA) e senhas robustas e exclusivas para adicionar uma camada extra de segurança às suas contas.
  • Não aceite solicitações de amizade ou de seguidor de pessoas que você não conhece. Em caso de dúvida ou curiosidade, entre em contato com a pessoa primeiro por outro canal independente.

A IA está aprimorando muitos aspectos das nossas vidas. No entanto, ela também traz consigo riscos dos quais mal estamos começando a nos conscientizar. A cautela continua sendo a melhor estratégia. É recomendável agir partindo da premissa de que qualquer coisa que você publique pode ser lida e processada por sistemas de IA. Aja de acordo com isso e incentive também familiares e amigos a fazerem o mesmo.