Como os criminosos estão vencendo a corrida armamentista da IA ​​antes mesmo que as empresas comecem.

Numa era em que a IA transforma as indústrias a um ritmo sem precedentes, o lado sombrio desta revolução tecnológica é igualmente alarmante. Enquanto as empresas correm para aproveitar o potencial da IA, os cibercriminosos exploram esses avanços, alterando a dinâmica do cibercrime e da fraude.

Transformando a economia do cibercrime e da fraude

Os cibercriminosos utilizam os mesmos modelos e tecnologias de IA que as empresas empregam, muitas vezes adaptando-os poucos dias após o seu lançamento. Um dos primeiros exemplos disso mau uso Foi a automatização da resolução de CAPTCHA usando o ChatGPT-1, que demonstrou a rapidez com que os modelos generativos podem contornar os controles de segurança básicos.

Desde então, cada grande avanço na IA generativa tem sido rapidamente replicado por adaptações criminosas, incluindo a geração de voz e vídeo deepfake que aparecem quase imediatamente em plataformas da darknet. Esse ciclo acelerado permite fraudadores Explorar tecnologias sofisticadas para criar golpes convincentes, minando as medidas de segurança tradicionais.

Somente no primeiro trimestre de 2025, fraudes facilitadas por deepfakes teriam causado mais de Prejuízos financeiros de US$ 200 milhõesA rentabilidade do cibercrime disparou, com plataformas que oferecem "fraude como serviço", tornando mais fácil do que nunca para os criminosos executarem esquemas complexos, incluindo identidades sintéticas e kits de phishing avançados.

Enquanto as empresas lutam para expandir suas capacidades de IA, os criminosos estão saindo na frente, inovando continuamente e explorando as brechas deixadas por estruturas de segurança obsoletas.

Por que as estruturas tradicionais de cibersegurança e confiança falham contra agentes que utilizam inteligência artificial?

As medidas tradicionais de cibersegurança que antes ofereciam uma aparência de proteção estão se mostrando insuficientes. Sistemas legados, que dependem de listas negras, CAPTCHAs e autenticação de fator único, estão mal equipados para combater o cenário em constante evolução dos ataques impulsionados por inteligência artificial. Criminosos utilizam deepfakes que podem enganar scanners biométricos e identidades sintéticas que facilmente burlam os protocolos KYC (Conheça Seu Cliente).

Essa falha é agravada pelo fato de muitas organizações ainda tratarem a cibersegurança como um centro de custos, em vez de um componente crítico da infraestrutura. Enquanto o Pentágono investe milhões na contratação de hackers de IA, a lacuna tecnológica se torna evidente. Enquanto as empresas se perdem em formalidades de conformidade, criminosos exploram a IA para atingir vulnerabilidades humanas, como ataques de spear-phishing que imitam comunicações executivas.

Como os ataques "nativos de IA" se parecem na prática

As táticas modernas de fraude evoluíram muito além dos antigos esquemas de phishing. Os atacantes constroem cadeias de fraude elaboradas que parecem legítimas em todas as etapas.

Imagine uma manhã corporativa comum. Terça-feira, 9h43. Um diretor financeiro recebe um e-mail marcado como “urgente”, aparentemente enviado pelo CEO. O tom é familiar. A linguagem coincide com solicitações anteriores. Uma mensagem de acompanhamento chega minutos depois por um canal diferente, reforçando a urgência. Às 11h, uma transferência bancária multimilionária é aprovada, mas descobre-se posteriormente que foi desviada para uma conta offshore controlada por invasores.

Esses ataques nativos de IA são manipulações psicológicas que exploram a confiança e a autoridade. A sofisticação dessas operações evidencia uma lacuna nas medidas de segurança existentes, que não conseguem detectar as anomalias comportamentais sutis que caracterizam a fraude moderna.

O que as empresas devem priorizar realisticamente antes de implementar mais IA internamente?

Antes de implementar mais IA internamente, as empresas precisam parar e reavaliar suas premissas sobre confiança. A aceleração dos crimes facilitados por IA expôs uma fragilidade estrutural: as organizações ainda estão se defendendo contra as ameaças de ontem, enquanto os ataques de hoje são projetados para parecerem legítimos por padrão.

1. As empresas precisam repensar a própria definição de risco.

As matrizes de risco tradicionais eram construídas em torno de falhas como interrupções de sistema, vazamentos de dados e violações de políticas. Na era da IA, o risco deriva cada vez mais da simulação, e não de falhas reais. Em vez de perguntar "o que poderia dar errado?", é mais apropriado perguntar "o que pode dar errado?". falsificado de forma convincente, em grande escala, mais rápido do que podemos reagir.”

Identidades sintéticas, personificação de executivos e narrativas geradas por IA comportam-se de maneira diferente das ameaças tradicionais: disseminam-se mais rapidamente, misturam-se a atividades legítimas e exploram a confiança em vez de falhas técnicas. Não surpreendentemente, esses riscos tendem a ser mais graves e a materializar-se com mais frequência do que seus predecessores não relacionados à IA, escondendo-se em questões de segurança cibernética, fraude, risco reputacional ou conformidade.

2. As organizações precisam aceitar que a prevenção por si só já não é suficiente.

As principais empresas agora mapeiam os riscos da IA ​​em três camadas defensivas, que correspondem a: Defensor de IA arquitetura modular:

• Prevenção de Risco – que agora inclui antecipar ataques que exploram a confiança humana e o conteúdo gerado por IA, e não apenas bloquear ameaças conhecidas.
• Verificação de identidade com inteligência artificial
• Integridade do dispositivo e da sessão
• Proteção de comunicação executiva
• Detecção e monitoramento de ameaças Combina a análise de anomalias técnicas com o monitoramento comportamental e de mídia, refletindo o fato de que muitos ataques nativos de IA se manifestam em padrões de comunicação em vez de código.
• Monitoramento contínuo de sinais e anomalias.
• IA vs. detecção de IA
• Monitoramento narrativo e de mídia
• Investigação e Atribuição – concentrando-se na reconstrução de eventos, na atribuição de intenções e na produção de evidências acionáveis, permitindo que as organizações respondam de forma eficaz mesmo quando o engano se alastra mais rapidamente do que suas defesas iniciais.
• Explicabilidade dos alertas de IA
• Atribuição de atividade suspeita
• OSINT com nível de evidência

3. As empresas devem enfrentar a dimensão humana da fraude inerente à IA.

Os funcionários continuam sendo o principal ponto de entrada para ataques modernos, mas a natureza da exploração mudou. Um padrão comum observado cada vez mais em fraudes impulsionadas por IA envolve interações que parecem internas, em vez de ataques externos. Os funcionários podem receber breves videochamadas de alguém que parece ser do RH, pedindo para "verificar rapidamente a identidade" para resolver um problema com a folha de pagamento. O rosto, a voz e a marca parecem autênticos. A solicitação em si parece inofensiva, mas silenciosamente permite a invasão da conta mais tarde naquele mesmo dia.

Esse tipo de cenário ilustra por que a fraude impulsionada por IA se aproveita do contexto, da autoridade e do momento oportuno, muitas vezes imitando a comunicação de executivos com uma precisão perturbadora. Nesse ambiente, o treinamento de segurança tradicional corre o risco de se tornar pouco mais do que uma encenação de conformidade, oferecendo segurança sem resiliência real.

O desafio reside não apenas na conscientização, mas também na forma como o problema é enquadrado.

Reformule o problema (este é o passo zero).

Antiga mentalidade: "Treinar os funcionários para que não cometam erros."

Novo modelo mental: "Partir do princípio de que os funcionários serão alvos, manipulados e usados ​​como armas."

Treinamento não é educação.

Treinamento é vacinação + memória muscular.

Sob essa perspectiva, quais equipes devem ser treinadas para reconhecer padrões recorrentes de fraude?

Os 5 principais vetores de fraude de IA que passam através de funcionários – nenhum deles é impedido pelos cartazes de conscientização:

4. As organizações precisam repensar o significado de “identidade” em um mundo de realidade sintética.

À medida que vozes e vídeos deepfake minam a confiança biométrica, nenhum fator isolado consegue comprovar a autenticidade de forma confiável. Cada vez mais, a resiliência advém da acumulação de muitos sinais fracos ao longo do tempo, como contexto, continuidade e consistência entre dispositivos, sessões e pontos de dados externos.

Dados abertos e externos, que por muito tempo foram tratados como secundários, estão ganhando importância estratégica. Quando combinados com sinais comportamentais internos, eles ajudam a responder a uma questão crucial: essa identidade ou ação faz sentido em diferentes contextos? Em um mundo onde quase tudo pode ser fabricado, a coerência se torna uma das poucas âncoras de confiança que restam.