Phishing com IA e Deepfakes: A Nova Cara da Fraude do CEO

A fraude do CEO é um ataque de engenharia social em que o atacante se faz passar por um gestor para pedir aos colaboradores uma transferência de dinheiro ou informação sensível. A IA tornou estes ataques mais rápidos, mais convincentes e mais pessoais. Os atacantes conseguem hoje escrever emails que copiam o estilo de escrita de um gestor e até clonar a sua voz para falar como ele ao telefone ou numa videochamada. Neste artigo explicamos como funcionam o phishing apoiado por IA e os ataques deepfake, e como as empresas se podem proteger.

Os emails de phishing cheios de erros ficaram para trás

Durante anos disse-se aos colaboradores para "ter atenção aos erros ortográficos". Esse conselho já não funciona. Os emails de phishing de hoje são gramaticalmente perfeitos, seguem o tom interno da empresa e são feitos à medida de cada pessoa.

Os números mostram a rapidez da mudança:

• Numa experiência da equipa X-Force da IBM em 2023, escrever um email de phishing com IA demorou 5 minutos. Uma equipa de especialistas humanos demorou 16 horas a escrever um semelhante. Nesse teste, o email escrito por pessoas foi um pouco mais eficaz, mas a diferença estava a diminuir.
• Segundo a KnowBe4, 82,6 por cento dos emails de phishing contêm já conteúdo gerado por IA.
• A diferença desapareceu num ano: num estudo académico publicado em 2024, emails de phishing personalizados gerados inteiramente por IA tiveram uma taxa de cliques de 54 por cento, igual à dos escritos por especialistas. Os emails de phishing genéricos ficaram nos 12 por cento.
• Segundo o relatório da Cofense publicado no início de 2026, foi detetado um email malicioso a cada 19 segundos em 2025.

Com a velocidade cresce também a escala. Um ataque direcionado exigia uma equipa e tempo. Hoje um único atacante consegue enviar milhares de mensagens personalizadas em pouco tempo. Se os seus colaboradores ainda avaliam os emails pela gramática, está na altura de renovar a formação.

Como mudou a fraude do CEO com a IA?

Ao modelar a voz, o estilo de escrita e os hábitos de decisão de um gestor, os atacantes conseguem contactar diretamente os colaboradores. Um vídeo público curto, uma intervenção numa conferência ou publicações no LinkedIn podem bastar para produzir pedidos convincentes e pessoais.

Um cenário típico decorre assim:

1. Um colaborador da equipa financeira recebe uma mensagem urgente de um endereço muito parecido com o do CEO.
2. A mensagem fala de uma aquisição confidencial e de um pagamento que tem de ser feito depressa.
3. Se o colaborador hesitar, chega uma chamada ou mensagem de voz com a voz imitada do CEO.
4. Sob a pressão da urgência, da autoridade e do sigilo, o pagamento é aprovado.

Neste tipo de ataque, o problema raramente está nos sistemas técnicos. As falhas estão nos processos de aprovação e nas decisões que os colaboradores tomam sob pressão.

Novos canais de ataque: quishing, vishing, smishing

A engenharia social apoiada por IA vai muito além do email:

• Quishing: um código QR de aspeto inofensivo que o leva a uma página de login falsa.
• Vishing e deepfakes: vozes de gestores ou videochamadas geradas por IA.
• Smishing: SMS falsos que parecem vir do seu banco, de uma transportadora ou da sua própria empresa.

Os atacantes têm êxito porque jogam com a urgência, a autoridade e o medo. Os ataques apoiados por IA podem ser personalizados ao ponto de mencionar uma publicação do seu perfil de LinkedIn.

Como se podem proteger as empresas?

1. Proteja os processos independentemente da tecnologia.
As transferências de dinheiro, as alterações de dados bancários de fornecedores e a partilha de dados sensíveis devem exigir confirmação por um segundo canal. Se o pedido chegou por email, ligue de volta para o número que tem registado. Nunca ligue para um número indicado na mensagem.

2. Aplique a segregação de funções.
Nos pagamentos críticos, a mesma pessoa não deve iniciar e aprovar o pedido.

3. Faça de "urgente" e "confidencial" sinais de alarme.
Ensine aos colaboradores que confirmar um pedido urgente e confidencial de um gestor é o comportamento esperado, e um sinal de respeito pelo processo. A gestão deve dizê-lo abertamente.

4. Treine com cenários realistas.
Para colaboradores em funções críticas, podem usar-se cenários de phishing baseados em conversa. Aqui a IA assume um papel, como RH ou TI, troca mensagens e adapta o cenário às respostas que recebe. O objetivo é ver como os colaboradores reagem a interações que podem encontrar na vida real e medir o risco.

5. Forme também os gestores.
A matéria-prima dos ataques deepfake são a voz e a imagem públicas dos gestores. A gestão de topo também precisa de conhecer este risco e de seguir os procedimentos de confirmação.

Perguntas frequentes

---
A InfoLore desenha cenários de phishing baseados em conversa e apoiados por IA para funções críticas. Contacte-nos para medir a exposição da sua organização à usurpação de identidade de gestores.