A IA generativa mudou a aparência dos e-mails maliciosos. Mensagens que antes se denunciavam por frases mal formuladas, pretextos genéricos e modelos reutilizados agora chegam com textos fluentes, personalizados e diferentes para cada destinatário. Como resultado, os sinais comportamentais em que os filtros de e-mail se apoiaram durante anos estão perdendo força.
A Proofpoint apresentou exemplos dessa mudança em sua conferência Protect 2026. Em um dos casos, um único threat actor abordou mais de 30 agentes imobiliários da mesma empresa. Usou uma conta diferente para cada contato, perguntou sobre imóveis distintos e escreveu mensagens variadas. No fim de todas as conversas, porém, fez o mesmo pedido: participar de uma reunião por vídeo.
Dados federais apontam na mesma direção. O Centro de Reclamações sobre Crimes na Internet do FBI registrou mais de 22.000 denúncias envolvendo IA em 2025, com perdas associadas de quase US$ 900 milhões. No mesmo período, contabilizou 24.768 denúncias de comprometimento de e-mail corporativo (BEC), com perdas relatadas de cerca de US$ 3,05 bilhões, segundo o Relatório de Crimes na Internet de 2025.
O que mudou com a IA
Os filtros de e-mail foram desenvolvidos para lidar com atacantes que precisavam fazer concessões. Pesquisar um alvo, escrever de forma convincente em um segundo idioma, se passar por um fornecedor e produzir variantes suficientes para escapar de assinaturas levava tempo. Por isso, os atacantes reutilizavam modelos e infraestrutura, deixando padrões que podiam ser identificados.
A detecção comportamental aprendeu a reconhecê-los: infraestrutura nova, linguagem pouco natural, horários incomuns e pedidos que não combinavam com o contexto da conversa.
A IA generativa elimina essas limitações:
- **Linguagem:** textos fluentes e adaptados a qualquer idioma, sem erros de digitação ou marcas de tradução.
- **Contexto:** respostas coerentes com a conversa, a função do destinatário e o momento do contato.
- **Personagem:** estilo de escrita e blocos de assinatura compatíveis, além de históricos de conversa totalmente inventados.
- **Variação:** uma mensagem exclusiva para cada destinatário, criada em segundos, sem um modelo repetido que possa ser detectado.
Segundo a Proofpoint, o comportamento se tornou um sinal menos confiável. Quando a IA permite que cada mensagem pareça normal, a análise também precisa mudar: em vez de perguntar se a mensagem parece incomum, deve investigar o que ela pretende fazer.
Trinta conversas, um único pedido
A campanha contra os agentes imobiliários mostra como isso funciona na prática. Escrever mais de 30 consultas plausíveis sobre imóveis, cada uma adaptada a um anúncio e a um agente diferentes, é exatamente o tipo de tarefa que a IA generativa pode executar em segundos.
As perguntas iniciais eram corriqueiras: o imóvel ainda estava disponível para visitação? Qual era a faixa de preço? Seria possível agendar uma visita naquela semana? As caixas de correio dos remetentes eram reais, e as respostas apareciam em conversas que os agentes já estavam acompanhando.
**Figura 1.** Imóveis, remetentes e textos diferentes, mas o mesmo pedido final em todas as conversas.
Em uma das conversas, uma pergunta sobre visitação enviada às 2h58 se transformou, 13 minutos depois, em um convite para uma reunião. A mensagem usava um modelo com identidade visual e afirmava que o encontro exigia “atenção imediata” do agente. O link de acesso passava por um redirecionamento legítimo do google.com, o que fazia as verificações de reputação parecerem normais. Um parâmetro no endereço, porém, encaminhava o clique para um site sem relação com o Google.
Como cada remetente iniciava um contato pela primeira vez, os filtros comportamentais não tinham histórico para comparação. E, como todas as mensagens eram diferentes, não havia conteúdo repetido para identificar. O ponto em comum não era a aparência das mensagens, mas aquilo que tentavam levar o destinatário a fazer.
A Proofpoint afirma que a IA facilita a aplicação desse padrão contra qualquer negócio que dependa de contatos de desconhecidos, como clínicas que recebem novos pacientes, empresas que conquistam clientes, bancos que abrem contas e seguradoras que elaboram cotações. Uma variante direcionada a corretores de seguros usou pedidos de cotação, indicações de vizinhos e dúvidas sobre cobertura para ganhar credibilidade antes de enviar um convite falso para uma conferência que distribuía o payload.
Campanhas de interrupção com IA
A IA também facilitou campanhas que buscam causar interrupção, em vez de roubar informações. A Proofpoint descreveu campanhas de mensagens hostis em que centenas ou milhares de remetentes escrevem para os mesmos executivos, cada um abordando um tema relacionado ao setor da vítima. Algumas mensagens contêm linguagem depreciativa; outras incluem imagens geradas ou manipuladas por IA para ridicularizar o destinatário.
**Figura 2.** Campanhas de mensagens hostis não carregam payload. O sinal está no padrão.
Essas mensagens não incluem links para acionar nem credenciais para coletar. Isoladamente, qualquer uma delas poderia parecer obra de uma única pessoa irritada. A análise individual de cada mensagem não será suficiente para detectar a campanha. É preciso reconhecer a intenção de causar interrupção no conjunto e avaliar texto e imagens em conjunto, já que a hostilidade pode estar em uma imagem gerada por IA.
Legitimidade sob demanda
A mesma mudança se aplica à infraestrutura de phishing. Uma plataforma de phishing como serviço apresentada pela Proofpoint oferece um único fluxo sob quatro disfarces: um portal de acesso a tribunais, uma solicitação para assinar documentos, uma verificação de identidade e uma biblioteca de relatórios financeiros. Cada página mostra um código de verificação e direciona a vítima a uma página legítima de acesso, onde ela deve inserir o código. Como o atacante gerou esse código, digitá-lo autoriza a sessão do invasor. A técnica é conhecida como phishing por código de dispositivo.
**Figura 3.** Quatro pretextos levam ao mesmo fluxo de código de dispositivo.
Para quem opera o esquema, trocar o disfarce é simples. Assim, as características visuais e linguísticas que os defensores poderiam usar para reconhecer uma campanha mudam de uma operação para outra, enquanto o objetivo permanece o mesmo.
O comprometimento de e-mail corporativo (BEC) mostra com clareza o efeito da IA sobre o contexto. Em outro exemplo, uma única mensagem inclui uma conversa citada na qual um fornecedor de auditoria falsificado e um executivo da empresa parecem concordar sobre uma fatura, um desconto de fidelidade de 50% e uma data de pagamento. A fatura anexada detalha etapas da auditoria, horas e tarifas. No encerramento, o remetente pede que o pagamento seja feito naquele dia para um endereço de transferência diferente do endereço real de envio.
**Figura 4.** Uma mensagem de BEC com conversa e fatura inventadas. Nomes e domínios foram anonimizados.
Escrever os dois lados dessa conversa e criar uma fatura convincente exigia pesquisa e horas de trabalho. Um modelo de linguagem produz tudo isso em segundos, eliminando o esforço que antes limitava o número de alvos que poderiam receber esse tipo de abordagem.
Da análise do comportamento à análise da intenção
Se a IA permite que os atacantes controlem a aparência de uma mensagem, o sinal que resta é aquilo que ela pretende alcançar. A abordagem da Proofpoint avalia o objetivo, se ele é plausível considerando a relação e a conversa entre as partes e qual técnica está sendo usada para atingi-lo. Em setembro, a empresa anunciou o Nexus Intent-Based Detection Model como parte do sistema que chama de Agentic Collaboration Security.
Uma solicitação para alterar dados bancários ilustra essa abordagem. A mensagem vem da caixa de correio real de um fornecedor conhecido, aparece em uma conversa legítima e tem boa reputação. Sua linguagem é exatamente o tipo de texto que a IA facilita produzir. Uma análise da intenção, no entanto, revela cinco sinais:
- É a primeira alteração dos dados bancários do fornecedor em anos.
- O pedido não combina com a conversa sobre confirmação de uma fatura à qual responde.
- O prazo está vinculado a uma rodada específica de pagamentos.
- O remetente pede que a conversa saia do grupo e seja tratada com uma única pessoa.
- A possibilidade de verificação é descartada de antemão, com a alegação de que a caixa de correio do setor financeiro está “em migração”.
**Figura 5.** Uma solicitação de alteração de dados bancários analisada pela intenção.
A IA pode aprimorar a redação de um pedido desse tipo. Mas a intenção precisa corresponder ao caminho que o atacante quer percorrer para ter sucesso, seja levar o usuário a clicar em um link, inserir credenciais ou participar de uma reunião. Por isso, a intenção continua sendo um indicador útil quando o comportamento se torna menos confiável.
A Proofpoint apresenta a análise de intenção como uma terceira camada, não como substituta das demais. A detecção tradicional, baseada em regras, assinaturas, reputação da infraestrutura e indicadores de comprometimento, ainda identifica ameaças conhecidas com rapidez e em grande escala. A detecção moderna, apoiada em inteligência sobre threat actors e padrões comportamentais, continua reconhecendo agentes conhecidos e remetentes que fogem do padrão. O raciocínio baseado em intenção busca identificar as mensagens elaboradas com IA que passam pelas duas camadas.
**Figura 6.** Três camadas de detecção, cada uma respondendo a uma pergunta diferente.
Os defensores também estão usando IA. Como uma análise profunda de linguagem em todas as mensagens seria lenta demais para o fluxo de e-mails, o modelo é dividido em três níveis, que ajustam a profundidade da análise ao grau de ambiguidade:
- **Nível um, modelos de resposta rápida:** avalia todos os e-mails em menos de 500 milissegundos, com aprendizado de máquina, inteligência contra ameaças, visão computacional e modelos de linguagem.
- **Nível dois, análise ampliada:** examina menos de 1% das mensagens em segundos ou minutos e acrescenta análise em sandbox, avaliação de temas e tom, além de um grafo organizacional.
- **Nível três, análise aprofundada:** processa menos de 0,01% das mensagens em minutos, com análise de modelos de linguagem em várias etapas, voz e vídeo, além de perfis de pessoas com privilégios elevados.
**Figura 7.** Análise em vários níveis: a maioria dos e-mails é avaliada em milissegundos, e apenas os casos mais ambíguos chegam à análise aprofundada.
Uma mensagem que não pode ser resolvida em um nível passa para o seguinte. Uma conclusão maliciosa pode ser emitida em qualquer etapa. O grafo organizacional foi projetado para revelar campanhas como a dos agentes imobiliários, em que pedidos variados gerados por IA chegam a diferentes pessoas da mesma empresa, embora nenhuma caixa de correio individual receba mais de um.
Investigação na velocidade das máquinas
A IA também reduziu o tempo necessário para executar ataques. Campanhas automatizadas podem gerar e adaptar centenas de mensagens enquanto um analista avalia uma única. Por isso, uma detecção perdida raramente se limita a um e-mail: muitas vezes, a campanha já inclui respostas, acessos a contas e alterações em caixas de correio. A Proofpoint argumenta que a investigação também precisa mudar, deixando a análise conduzida por analistas, caso a caso, para adotar investigações automatizadas capazes de acompanhar o ritmo dos atacantes.
O Threat Investigation Agent foi projetado para conduzir uma investigação que abrange e-mail, identidade, mensagens, navegação e atividade de fornecedores, mapear o alcance do incidente e usar as descobertas para aprimorar a detecção. Entre os casos de uso estão tomada de controle de contas, triagem de abuso de caixas de correio, campanhas avançadas, avaliação de falsos positivos e falsos negativos e solicitações de investigação de terceiros.
**Figura 8.** Exemplo de um caso de tomada de controle de conta no Threat Investigation Agent, com ações automáticas, aprovações pendentes e uma linha do tempo dos eventos.
Em um caso de exemplo, uma mensagem de phishing de credenciais com tema de solicitação de proposta levou à tomada de controle da conta de uma pessoa da área financeira. O invasor acessou a conta primeiro de Nova York e depois de Dallas, criou uma regra na caixa de correio para ocultar respostas e enviou cerca de 100 mensagens de phishing a 42 destinatários internos. O agente conteve o incidente quatro minutos após o alerta: recuperou 92 mensagens enviadas, removeu a regra, bloqueou o endereço da página e restaurou as configurações do usuário.
Quatro ações de maior impacto, entre elas a redefinição de credenciais e a inspeção das mensagens enviadas nos 14 dias anteriores, ficaram pendentes de aprovação humana. O caso também registra o que o agente não conseguiu determinar, como quem clicou em um link dentro de um PDF que não foi reescrito. Além disso, documenta ações malsucedidas, como tentativas de colocar mensagens em quarentena que não foram concluídas.
Defesa contra o que os atacantes querem, não contra sua aparência
Os exemplos apresentados pela Proofpoint apontam para a mesma conclusão: a IA generativa transformou o cenário de ameaças mais rápido do que a análise baseada em comportamento consegue acompanhar. Os atacantes agora podem criar mensagens fluentes, plausíveis e diferentes entre si, executar campanhas com aparência de atividades comerciais comuns e adaptá-las na velocidade das máquinas. Os sinais comportamentais de que os filtros dependiam estão desaparecendo.
Uma ameaça diferente exige uma análise diferente. Isso significa manter a detecção tradicional e a moderna para os casos que elas ainda identificam bem, acrescentar o raciocínio baseado em intenção para investigar o que uma mensagem busca alcançar, distribuir essa análise em níveis para acompanhar o fluxo de e-mails e conduzir investigações na mesma velocidade em que os atacantes operam.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...