Kadima Cloud · Blog
IA Ofensiva: como o cibercrime industrializou o phishing e o que as empresas brasileiras precisam fazer
Seu filtro de spam bloqueia erros de português. Mas e quando o phishing não tiver mais nenhum?
Por anos, o treinamento de segurança ensinou os funcionários a desconfiar de e-mails com erros gramaticais, remetentes estranhos e links suspeitos. Esse manual funcionou — até a inteligência artificial cair nas mãos do cibercrime.
Hoje, ferramentas como FraudGPT e WormGPT permitem que qualquer pessoa, sem conhecimento técnico, gere campanhas de phishing personalizadas, convincentes e em escala industrial. O problema já chegou ao Brasil.
O que mudou: da artesania ao crime como serviço
O phishing tradicional era trabalhoso. Exigia escrever textos, montar páginas falsas, comprar domínios, disparar e-mails manualmente. A taxa de sucesso era baixa, mas o custo também.
Com IA, esse cálculo virou de cabeça para baixo.
Ferramentas de ataque baseadas em modelos de linguagem permitem hoje:
- Geração de e-mails hiperpersonalizados com nome, cargo, empresa e contexto real da vítima, extraídos de fontes públicas como LinkedIn
- Criação de páginas de login falsas que imitam portais corporativos com fidelidade visual quase perfeita
- Tradução e adaptação cultural automática — sem erros de português, sem expressões estranhas
- Automação de toda a cadeia: desde a pesquisa do alvo até o disparo e coleta de credenciais
O resultado é que o custo de um ataque de phishing sofisticado despencou. E o volume subiu.
Um relatório da FortiGuard Labs publicado no início de 2026 alertou para a industrialização do cibercrime com apoio da IA, projetando que o intervalo entre a invasão inicial e o impacto para as vítimas pode cair de dias para minutos. Automação total, do alvo até a extorsão.
O Brasil está no centro dessa tempestade
O Brasil concentrou 84% das tentativas de ataques detectadas na América Latina no primeiro semestre de 2025, segundo a Fortinet, totalizando mais de 314 bilhões de atividades maliciosas. Não é coincidência.
O país reúne três fatores que o tornam alvo prioritário: grandes corporações com dados valiosos, setores estratégicos de alta rentabilidade, e maturidade de segurança ainda em desenvolvimento na média das empresas.
Uma pesquisa do Datafolha, encomendada pela Mastercard, reforça o problema pelo lado interno: 41% dos líderes empresariais brasileiros apontam o próprio funcionário como a maior preocupação de segurança. E com razão. A IA amplificou o elo mais fraco da cadeia.
“A IA trouxe escala para o lado do atacante. Qualquer pessoa sem habilidade técnica pode gerar um ataque convincente hoje”, disse Mario Gama, líder de cibersegurança da SoftwareOne para a América Latina. O reflexo direto: o número de indiciamentos por crimes cibernéticos no Brasil cresceu 221% entre 2023 e 2025, segundo a Polícia Federal.
Como o ataque funciona na prática
O fluxo de um ataque moderno de phishing com IA segue uma lógica que a maioria dos treinamentos convencionais não ensina a reconhecer:
1. Reconhecimento automatizado A IA varre o LinkedIn, site da empresa, redes sociais e notícias para montar um perfil detalhado do alvo. Sabe o nome do gestor, a ferramenta que a empresa usa, projetos recentes e até o tom de comunicação interno.
2. Geração do lisco perfeito Com esses dados, o modelo gera um e-mail que parece vir do RH, do TI ou de um fornecedor real. Sem erros. Com contexto. Com urgência calibrada.
3. Coleta e movimentação lateral Uma vez que o funcionário clica e fornece credenciais, o invasor usa ferramentas legítimas de administração de sistemas (PowerShell, AnyDesk, PsExec) para se mover dentro da rede sem disparar alertas. Até o momento do impacto, tudo parece operação normal de TI.
Esse último ponto é crucial: ferramentas de segurança que dependem de detecção de malware ficam cegas quando o ataque usa software legítimo.
O que sua empresa pode fazer agora
Não existe bala de prata. A defesa eficaz contra phishing baseado em IA é uma arquitetura em camadas, não uma ferramenta única.
Revisar o treinamento de segurança
O conteúdo que ensina a detectar “erros no e-mail” está desatualizado. O novo treinamento precisa ensinar os funcionários a verificar pelo canal certo, não pelo canal de onde a mensagem veio. Recebeu um e-mail urgente do “CEO” pedindo uma ação financeira? Ligue para confirmar. Sempre.
Implementar MFA em todos os acessos críticos
A maioria dos ataques começa com credenciais comprometidas. A autenticação multifator (MFA) interrompe o acesso mesmo quando a senha foi roubada. Priorize MFA por hardware (chaves físicas como YubiKey) para acessos privilegiados — tokens por SMS já são contornáveis.
Adotar o modelo Zero Trust
Não confie em ninguém por padrão, nem dentro da rede. Cada acesso deve ser validado, segmentado e monitorado. Esse modelo reduz drasticamente o raio de dano quando uma credencial é comprometida.
Monitorar comportamento, não só assinaturas
Soluções de EDR (Endpoint Detection and Response) e SIEM com análise comportamental detectam quando uma ferramenta legítima está sendo usada de forma anormal. Por exemplo: um usuário que nunca usou PowerShell às 2h da manhã para exportar o diretório de e-mails é um sinal de alerta.
Testar a defesa regularmente
Campanhas internas simuladas de phishing revelam onde o treinamento não está funcionando. Mas vá além: engajamentos de Red Team testam se o atacante consegue, de fato, se mover pela rede após comprometer uma credencial.
O erro mais comum das empresas brasileiras
Tratar a segurança como um projeto pontual, não como um processo contínuo.
A IA ofensiva evolui todo mês. Um treinamento feito há dois anos, um firewall sem atualização, uma política de senhas fraca — cada um desses gaps é uma porta aberta em um ambiente onde o atacante agora tem ferramentas de escala industrial do outro lado.
A pergunta não é mais “fomos atacados?”. É: “Teríamos detectado antes de causar dano?”
Precisa de ajuda?
A Kadima Cloud ajuda empresas a fechar os gaps de segurança que a IA ofensiva mais explora: revisão de políticas, implementação de MFA e Zero Trust, treinamento atualizado de equipes e monitoramento contínuo.