Ferramenta permite ao cibercrime aperfeiçoar phishing, maior realismo em golpes de áudio e vídeo, burlar verificações de identidade, coleta de dados e mais
A inteligência artificial (IA) se tornou ferramenta indispensável em diversas disciplinas. Infelizmente, também é utilizada por criminosos para realizar ataques no universo cibernético. Essa tecnologia inovadora, especialmente a generativa, está provocando uma evolução significativa em golpes com o uso de áudios e deepfakes realistas, assim como o aperfeiçoamento de phishing, levando as mensagens fraudulentas quase à perfeição, além de otimizar a extorsão das vítimas. A análise é da ESET, empresa líder em detecção proativa de ameaças.
“Em fevereiro de 2023, a ESET já havia alertado sobre uso malicioso que o cibercrime poderia dar a uma ferramenta com um alcance tão amplo como a inteligência artificial. Menos de um ano e meio depois, já podemos ver como os criminosos utilizam-na para expandir e melhorar as suas táticas e estratégias de ataque. Um exemplo é o do WormGPT, cópia maliciosa do ChatGPT criada para gerar e-mails de phishing e que, embora já tenha sido removido por seus criadores, em 2023 era oferecida exclusivamente para cibercriminosos em fóruns clandestinos, com o mesmo alcance e possibilidades do ChatGPT, mas sem qualquer tipo de barreira ética”, comenta Camilo Gutiérrez Amaya, chefe do Laboratório de Pesquisa da ESET América Latina.
A seguir, a ESET analisa as cinco maneiras com as quais os cibercriminosos estão usando inteligência artificial para realizar golpes e roubar o dinheiro e os dados pessoais de suas vítimas.
1. Aperfeiçoamento de phishing:
De acordo com pesquisadores de segurança de inteligência artificial (IA) da ETH Zurich, a ascensão do ChatGPT foi acompanhada por danos colaterais muito perigosos, como o enorme aumento de e-mails de phishing. A IA generativa tornou-se a melhor aliada para traçar formas de enganar as pessoas para que revelem informações confidenciais, seja para obter ganhos financeiros ou para usá-las para outras ações maliciosas. IA também é utilizada para traduzir mensagens e melhorar a comunicação entre diferentes grupos de criminosos cibernéticos em todo o mundo.
Serviços como o GoMail Pro, com integração do ChatGPT, permitem que os ciberataques melhorem o conteúdo das mensagens que enviam às suas vítimas. Embora a OpenAI tente limitar o uso de seus produtos para atividades ilegais, é muito difícil detectá-los e controlá-los. Não à toa, no início deste ano foi anunciado o encerramento de cinco contas associadas ao cibercrime.
2. Otimização de extorsão a vítimas:
Doxing, ou doxxing, é a prática de publicar dados pessoais de terceiros com a intenção de intimidar, extorquir ou prejudicar de outra forma. Esta prática foi fortalecida em 2020 como parte dos ataques de ransomware, em que os cibercriminosos, além de sequestrar todos os arquivos das organizações, ameaçam publicar as informações privadas caso o resgate não seja pago.
Hoje, a IA, que é treinada com base na vasta quantidade de dados na Internet, incluindo dados pessoais, pode deduzir onde uma pessoa pode estar localizada. A regra é simples: quanto mais dados houver sobre cada usuário na Internet, mais vulneráveis a tais práticas estarão. Igualmente, o investigador de segurança Mislav Balunović descobriu que graças ao GPT-4 é possível inferir informações confidenciais sobre uma pessoa, seja sua etnia ou localização, simplesmente usando conversas com um chatbot. Portanto, sempre recomendamos na ESET pensar duas vezes sobre que tipo de conteúdo é compartilhado online.
3. Golpes de áudio e deepfake mais realistas:
Não é novidade que a IA generativa evoluiu a tal ponto que hoje é realmente difícil discernir entre uma imagem real e uma criada por esta ferramenta. Um exemplo que ilustra de forma enfática é o do golpe do funcionário que perdeu mais de 120 milhões de reais após uma reunião com quem supostamente era o diretor financeiro da empresa e pediu-lhe que transferisse aquela quantia de dinheiro. Somando-se, há os golpes de áudio. São necessários apenas alguns segundos da voz de uma pessoa – de um vídeo enviado ao Instagram ou TikTok, por exemplo – para produzir algo perigosamente convincente.
4. Ignorar verificações de identidade:
Na mesma linha dos deepfakes, os cibercriminosos encontraram uma maneira de contornar os controles que verificam a identidade de uma pessoa através de uma foto, graças à inteligência artificial. Utilizando um documento de identificação, seja ele falso ou roubado, eles conseguem sobrepor aquela imagem ao rosto da pessoa real – semelhante a um filtro da plataforma Instagram – e assim enganar o sistema. Embora neste momento esta prática esteja em um estágio inicial, é uma metodologia que poderá ser aperfeiçoada e aplicada em larga escala.
5. Oferecimento de jailbreak como serviço:
As empresas desenvolvedoras das ferramentas de inteligência artificial implementam diversas instâncias de proteção para que seus modelos não vazem nenhuma informação que possa ser perigosa aos usuários. Agora, o cibercrime está optando por contratar serviços de jailbreak, que consiste em burlar restrições impostas em sistemas operacionais diversos, em vez de construir seus próprios modelos de IA, algo que envolveria muito mais tempo e dinheiro. Os cibercriminosos podem modificar o sistema de inteligência artificial original para obter respostas direcionadas para conteúdos para e-mails maliciosos, desenvolvimento de códigos para ransomware e outros tipos de malware, contornando as limitações das ferramentas originais.
“A tecnologia não é boa nem má, nem a inteligência artificial: tudo depende das intenções com que é utilizada. Porque, por exemplo, também existem casos em que o ChatGPT é usado para analisar malware. E tal é a sua abrangência que intervém noutras áreas de valor: o impacto da IA na educação pode ser mais do que positivo e está gerando impactos importantes numa área tão crítica quanto a medicina. Mas também é inevitável falar sobre o uso que pode ser feito destes avanços tecnológicos, nas mãos erradas. Estar ciente das estratégias e táticas dos cibercriminosos é o primeiro passo para não ser mais uma vítima de seus golpes e enganos”, conclui Gutiérrez Amaya, da ESET América Latina.
