Os ataques de phishing com recurso a IA estão a mudar uma das regras mais antigas da sensibilização para a segurança: a má gramática já não é um sinal de alerta fiável.
Durante anos, os colaboradores foram ensinados a procurar formulações estranhas, formatações invulgares, erros ortográficos e saudações genéricas. Estas pistas continuam a ser importantes, mas não conseguem detetar ataques de phishing impulsionados por IA.
A IA generativa pode ajudar os atacantes a escrever mensagens personalizadas em segundos. Pode imitar o tom de uma empresa, resumir informações públicas sobre um colaborador, transformar uma instrução breve num pedido de fatura convincente ou localizar uma fraude para soar natural em qualquer idioma de destino.
No entanto, esta não é uma ameaça totalmente nova. Elevou o nível do phishing com uma redação melhor, preparação mais rápida e usurpações de identidade mais convincentes. O phishing continua a procurar fazer com que alguém clique, partilhe credenciais, aprove um pagamento, abra um ficheiro ou mude uma conversa para um canal controlado pelo atacante. A IA simplesmente torna essa manipulação mais convincente e mais fácil de escalar.
Nas empresas, as equipas precisam de criar novos hábitos. Explicamos a que deve estar atento e como criar melhores proteções contra phishing e violações de dados na rede da sua empresa.
Em que diferem os ataques de phishing com recurso a IA?
Os e-mails de phishing gerados por IA parecem trabalho real
Novas formas de engenharia social com IA
Porque é que as PME estão cada vez mais expostas
Como adaptar a sua formação em phishing a ataques baseados em IA
O que as empresas precisam de fazer de forma diferente
Como o Proton Pass for Business ajuda a reduzir o risco de credenciais
Em que diferem os ataques de phishing com recurso a IA?
Antes da IA generativa, o phishing exigia mais esforço manual. Os atacantes tinham de pesquisar o alvo, redigir textos credíveis, ajustar o tom e, por vezes, traduzir mensagens para diferentes mercados. A IA generativa reduz significativamente estas barreiras à entrada.
O relatório do National Cyber Security Centre do Reino Unido sobre o impacto da IA nas ciberameaças(nova janela) de agora até 2027 observa que a IA tornará quase certamente partes das ciberintrusões mais eficazes e eficientes, aumentando a frequência e a intensidade das ciberameaças. Também refere que os agentes de ameaças já estão a utilizar a IA para melhorar táticas existentes, incluindo a engenharia social.
Os atacantes conseguem agora produzir mensagens de ataque de phishing com um aspeto mais natural e específico. Um e-mail fraudulento pode referir um fornecedor real, uma publicação recente no LinkedIn, um cargo, um evento regional ou o nome de um projeto interno. Mesmo quando o atacante tem informações limitadas, a IA consegue preencher as lacunas com uma linguagem que parece plausível.
Os sinais de aviso de um ataque de phishing permanecem os mesmos. Ligações suspeitas, pedidos urgentes, anexos inesperados e domínios de remetente estranhos continuam a ser importantes. Mas o conteúdo em si já não é suficiente para denunciar o ataque.
| Ataques de phishing tradicionais | Ataques de phishing com recurso a IA |
| Frequentemente contêm gralhas, gramática estranha ou saudações genéricas | Podem usar uma escrita cuidada e natural com o tom certo |
| Normalmente dependem de mensagens abrangentes e genéricas | Podem incluir detalhes pessoais, o contexto da empresa ou referências a fornecedores |
| Surgem sobretudo como e-mails suspeitos | Podem combinar e-mail, clonagem de voz, faturas falsas e vídeo deepfake |
Os e-mails de phishing gerados por IA parecem trabalho real
Os ataques de phishing sempre variaram entre rudimentares e altamente sofisticados, mas a IA generativa reduz as competências e o tempo necessários para produzir mensagens fluentes, bem estruturadas e redigidas numa linguagem profissional.
O guia de phishing(nova janela) do NCSC refere que as campanhas de phishing podem tentar roubar informações confidenciais, como palavras-passe, ou induzir as pessoas a transferir dinheiro. Também explica que campanhas mais direcionadas utilizam informações sobre os colaboradores ou a empresa para que as mensagens pareçam mais realistas. A IA torna isso mais fácil de fazer em grande escala.
A defesa contra ataques de phishing modernos exige controlos em camadas em vez de um único filtro: autenticação multifator (MFA) para tornar as credenciais roubadas uma ameaça menor, processos de comunicação verificados para pedidos críticos e formação dos colaboradores para reconhecer a engenharia social antes de as credenciais serem entregues.
A gestão de credenciais segura é também um aspeto fundamental das suas defesas. Um gestor de palavras-passe empresarial como o Proton Pass for Business facilita a geração de uma palavra-passe forte e única para cada conta. Também pode monitorizar a exposição na rede da sua empresa, para que, mesmo que um membro da equipa se deixe convencer por uma mensagem, as suas credenciais não possam desbloquear mais do que uma conta.
Para os colaboradores, a sensibilização para o phishing precisa de evoluir de modo a detetar estas novas ameaças impulsionadas por IA. É necessário fazer a si próprio três perguntas:
- Este e-mail parece falso?
- Este pedido faz sentido?
- Já o verifiquei ou posso verificá-lo através de um canal de confiança?
Ir além da ortografia e formatação do e-mail e olhar para o contexto mais amplo em que foi enviado pode fazer uma grande diferença. Um e-mail cuidado pode continuar a ser uma tentativa de phishing se pedir credenciais, alterar detalhes de pagamento, criar uma urgência invulgar ou desviar alguém do processo normal.
Novas formas de engenharia social com IA
O phishing com IA não se limita ao e-mail. Os atacantes conseguem agora usar a IA para combinar texto, voz, imagens e vídeo numa única narrativa convincente.
Spear phishing gerado por IA
O spear phishing funciona porque a mensagem é direcionada à pessoa que a recebe. A IA torna a definição de alvos ainda mais fácil: um atacante já não precisa de gastar tanto tempo a escrever do zero ou a adaptar o tom a cada alvo. Pode utilizar informações públicas, dados divulgados ou uma caixa de entrada comprometida para criar uma mensagem que pareça legítima.
Poderá ser uma atualização de contrato que chega no momento certo, um ficheiro de um candidato enviado para os RH, um pedido de um fornecedor que utilize uma linguagem familiar ou uma instrução de pagamento que corresponda ao ritmo normal do trabalho financeiro. O perigo não é a perfeição, mas sim a plausibilidade. Uma mensagem de spear phishing só precisa de parecer suficientemente relevante para que alguém abra o ficheiro, aprove o pedido ou introduza as suas credenciais antes de parar para verificar.
Clonagem de voz e vishing
O vishing, ou phishing de voz, está a tornar-se mais convincente à medida que o áudio gerado por IA melhora. O Internet Crime Complaint Center do FBI alertou em 2025(nova janela) para atores maliciosos que utilizam mensagens de texto e mensagens de voz geradas por IA para usurpar a identidade de altos funcionários dos EUA. O alerta explica que o vishing pode incorporar vozes geradas por IA e recomenda a verificação dos autores das chamadas através de detalhes de contacto identificados de forma independente.
O Data Breach Observatory 2026 da Proton também destaca o aumento das campanhas de vishing, incluindo ataques coordenados que levaram a incidentes em grande escala e expuseram dezenas de milhões de registos. O mesmo relatório concluiu que as palavras-passe apareceram em 47% dos incidentes monitorizados, demonstrando por que razão a engenharia social e a proteção de credenciais estão estreitamente ligadas.
Phishing com deepfake em videochamadas
O phishing com deepfake também pode ocorrer através de vídeo. Em 2024, um funcionário da área financeira em Hong Kong foi alegadamente enganado para transferir cerca de 25 milhões de dólares(nova janela) depois de burlões terem usado vídeo deepfake para usurpar a identidade de colegas seniores durante uma reunião por vídeo.
Ver uma cara familiar numa chamada já não é suficiente para aprovar um pedido sensível. Pagamentos elevados, partilha de credenciais, alterações de acesso e pedidos invulgares continuam a necessitar de uma etapa de verificação separada através de um canal de confiança.
Faturas falsas geradas por IA
A fraude com faturas é muito mais fácil com a IA. Uma fatura falsa pode usar uma linguagem cuidada, prazos de pagamento realistas, o nome de um fornecedor familiar e uma explicação plausível para uma alteração de detalhes bancários. Se o atacante tiver acesso a uma caixa de entrada comprometida ou a informações divulgadas de fornecedores, o pedido pode parecer ainda mais credível.
Uma fatura bem apresentada não deve ser suficiente para movimentar dinheiro. Se os detalhes bancários foram alterados, o momento parecer invulgar ou a mensagem pedir a alguém para ignorar o fluxo normal de aprovação, o pedido tem de ser verificado através de um canal de confiança antes de alguém efetuar o pagamento.
Por que motivo as PME estão cada vez mais expostas
A IA mudou a economia do phishing ao reduzir o custo dos ataques direcionados. No passado, era mais provável que os ataques altamente personalizados visassem grandes empresas, porque exigiam mais tempo de preparação. A IA facilita a criação de mensagens direcionadas a pequenas empresas. Os atacantes podem gerar mais variantes, testar mais ângulos e adaptar mensagens rapidamente sem despender a mesma quantidade de tempo ou esforço.
As empresas mais pequenas são atrativas porque o dinheiro, o acesso e a tomada de decisões estão frequentemente concentrados num número reduzido de pessoas. Uma única pessoa pode aprovar faturas, gerir relações com fornecedores e ter acesso a várias ferramentas empresariais. Quando os processos são informais, um pedido convincente gerado por IA pode alcançar fluxos de trabalho de pagamento, contas partilhadas, dados de clientes ou sistemas de administração antes que alguém tenha a oportunidade de o contestar.
O risco também é visível nos dados sobre violações de segurança. O mesmo relatório do Data Breach Observatory da Proton revelou que as PME representaram 63% dos incidentes monitorizados desde janeiro de 2025 e foram desproporcionalmente afetadas por incidentes críticos que envolveram dados confidenciais, tais como dados de autenticação, identificadores pessoais ou detalhes financeiros.
A IA ajuda os atacantes a explorar vulnerabilidades que as pequenas empresas já possuem: palavras-passe reutilizadas, partilha informal de credenciais, processos de aprovação frágeis e formações que ainda assumem que as burlas são óbvias.
Como adaptar a sua formação sobre phishing a ataques com recurso a IA
Para combater adequadamente os ataques de phishing com recurso a IA, a sua sensibilização para a segurança exige mais do que procurar erros de ortografia. Os colaboradores precisam de aprender a verificar o pedido e não apenas a avaliar a mensagem.
A base de que a sua formação precisa é simples: se um pedido for invulgar, confidencial ou urgente, confirme-o antes de agir:
- Pense duas vezes antes de responder: não responda no mesmo tópico de e-mail.
- Ignore os detalhes de contacto na mensagem; nunca utilize o número de telefone, a ligação ou o endereço de resposta fornecidos.
- Não considere uma chamada de voz ou de vídeo como prova, pois tanto uma voz familiar numa chamada como um rosto familiar no ecrã podem ambos ser gerados.
- Contacte a pessoa através de um canal de confiança: um diretório interno, um registo de fornecedor guardado ou um método de contacto previamente verificado.
- Confirme o pedido em si, e não apenas o remetente: pergunte se o pagamento, a alteração de acesso ou o pedido de ficheiro são reais.
A formação também deve focar-se em ajudar os membros da equipa a identificar as situações em que o phishing com IA tem maior probabilidade de sucesso:
- Alterações dos detalhes de pagamento
- Pedidos de palavras-passe, códigos de recuperação ou aprovações de MFA
- Pedidos urgentes de partilha de ficheiros
- Pedidos invulgares de início de sessão
- Alterações no portal de fornecedores
- Pedidos da direção que contornam os processos habituais
- Convites para transferir uma conversa para uma aplicação de mensagens pessoais
O guia da Proton sobre como criar uma cultura de cibersegurança para pequenas empresas no local de trabalho é um recurso útil e oportuno para integrar comportamentos de segurança no dia a dia profissional.
O que as empresas precisam de fazer de forma diferente
O phishing com recurso a IA altera o padrão de verificação. Se a mensagem parecer real, o processo tem de detetar o que já não é imediatamente evidente.
Utilize a verificação fora de banda
Quando um pedido envolve dinheiro, credenciais, ficheiros confidenciais ou acesso privilegiado, a resposta não deve permanecer no mesmo tópico que gerou o risco. A equipa precisa de um segundo caminho para confirmar se o pedido é real.
Isto pode significar ligar a um fornecedor através de um número já guardado no registo de fornecedores, verificar um pedido da direção através de um canal interno ou confirmar alterações de acesso com o responsável pelo projeto. O segredo é utilizar detalhes de contacto de confiança da empresa, e não o número de telefone, a ligação ou o caminho de resposta fornecidos na mensagem suspeita.
Exija a aprovação de várias pessoas
As ações de alto risco não devem depender do discernimento de uma única pessoa. Alterações de pagamentos, transferências avultadas, novos detalhes bancários de fornecedores, concessão de acesso privilegiado e exportações de dados em massa devem exigir uma segunda aprovação para reduzir a vulnerabilidade.
Uma mensagem com aparência de urgente não precisa de perturbar o trabalho normal. Uma segunda aprovação dá à equipa um ponto de pausa antes de o dinheiro ser transferido, o acesso ser concedido ou os dados confidenciais saírem da empresa.
Proteja as credenciais antes de serem visadas
O phishing com IA termina frequentemente no mesmo ponto que o phishing tradicional: nas credenciais. O atacante quer uma palavra-passe, um token de sessão, uma aprovação de MFA ou o acesso a uma conta que abra a porta para outros sistemas.
O relatório Cost of a Data Breach Report 2025(nova janela) da IBM recomenda reforçar a segurança de identidade e adotar métodos de autenticação resistentes ao phishing para reduzir o risco de abuso de credenciais. O relatório também apresenta um custo médio global de 4,4 milhões de dólares por incidente de segurança, demonstrando por que razão os controlos de identidade e de acesso têm consequências financeiras e não apenas técnicas.
A contenção é fundamental para as PME. A IA pode tornar a primeira mensagem mais difícil de detetar, mas a empresa ainda pode controlar o que acontece após um erro. Palavras-passe fortes e exclusivas, MFA, partilha segura, acesso de administrador limitado e processos consistentes de offboarding reduzem a probabilidade de uma única conta comprometida conceder acesso a e-mails, ferramentas financeiras, armazenamento na nuvem empresarial ou outros sistemas corporativos.
Como o Proton Pass for Business ajuda a reduzir o risco associado às credenciais
A política de palavras-passe da sua organização deve controlar os hábitos relativos a credenciais antes de um colaborador ser visado. Limite a reutilização de palavras-passe em contas empresariais, utilize cofres de palavras-passe encriptados, mantenha os acessos confidenciais fora de navegadores, folhas de cálculo e tópicos de conversação, e disponibilize opções de partilha segura. Estas medidas proporcionam às equipas uma forma controlada de conceder ou remover acessos sem ser necessário pesquisar em mensagens ou documentos antigos.
Um gestor de palavras-passe empresarial como o Proton Pass for Business limita os danos que um ataque de phishing pode causar. Quando as credenciais são exclusivas, encriptadas e geridas centralmente, uma única mensagem bem-sucedida compromete uma conta em vez de abrir caminho para o e-mail, ferramentas financeiras e armazenamento na nuvem. Funciona em conjunto com a formação de sensibilização, a filtragem de e-mails e os controlos de pagamentos, em vez de os substituir.
O Proton Pass for Business também ajuda as equipas a gerar palavras-passe fortes, a utilizar o preenchimento automático e a gerir credenciais através de controlos de administrador centralizados. Palavras-passe exclusivas, autenticação forte, partilha segura de credenciais e acesso controlado dificultam a propagação de uma tentativa de phishing bem-sucedida por toda a empresa.
Proteja a sua equipa de phishing com recurso a IA com um gestor de palavras-passe empresarial.
