O uso de chatbots de inteligência artificial (IA) por cibercriminosos para criar campanhas de phishing tem sido motivo de preocupação e agora descobriu-se que é quase impossível detectar e-mails de phishing gerados por IA, de acordo com a provedora de segurança de e-mail Egress.
A constatação da empresa tem como base seu “Relatório de Tendências de Ameaças de Phishing”, publicado na segunda-feira, 2. Segundo o estudo, os detectores de IA não podem dizer se um e-mail de phishing foi escrito por um chatbot ou um humano em três casos em cada quatro (71,4%).
A razão para isso se deve a como os detectores de IA funcionam. A maioria dessas ferramentas é baseada em grandes modelos de linguagem (LLMs), portanto, sua precisão aumenta com tamanhos de amostra mais longos, muitas vezes exigindo um mínimo de 250 caracteres para funcionar.
Quase metade (44,9%) dos e-mails de phishing não atendem ao requisito de 250 caracteres e outros 26,5% ficam abaixo de 500, o que significa que atualmente os detectores de IA não funcionarão de forma confiável ou não funcionarão em 71,4% dos ataques.
No relatório, os pesquisadores da Egress também descobriram que as campanhas de phishing geradas por humanos estão ficando mais difíceis de detectar, com um salto de 24,4% nas técnicas de ocultação que foram integradas em mais da metade (55%) dos e-mails de phishing em 2023.
Essas técnicas também cresceram em sofisticação, com quase metade (47%) dos operadores de ameaças de phishing implantando duas camadas de ocultação e menos de um terço (31%) usando apenas uma técnica.
A técnica mais popular é o contrabando de HTML, que consiste em explorar recursos legítimos de HTML5 e JavaScript para codificar e incorporar código malicioso em arquivos HTML ou páginas da web.
Além disso, a Egress descobriu que 34% do fluxo de e-mails pode ser categorizado como “graymail”, que a empresa descreve como “e-mails em massa, mas solicitados, como notificações, atualizações e mensagens promocionais”.
Isso cria uma enxurrada de e-mails que dificulta o trabalho dos detectores de phishing e os destinatários têm maior probabilidade de clicar em um e-mail de phishing.
Todos esses novos métodos de propagação e ocultação utilizados pelos cibercriminosos significam que, embora o volume geral de phishing não tenha aumentado, o número de e-mails de phishing que ignoram as defesas de segurança está aumentando. Por exemplo, os e-mails que escaparam das defesas da Microsoft aumentaram 25% neste ano na comparação com 2022. Aqueles que evadiram gateways de e-mail seguros (SEGs) aumentaram 29% no mesmo período.
Em uma declaração pública, Jack Chapman, vice-presidente de inteligência de ameaças da Egress, disse que essas descobertas devem levar os defensores de segurança de e-mail a mudar sua abordagem antiphishing. “As abordagens legadas para a segurança de e-mail dependem muito da quarentena, impedindo que os usuários finais vejam e-mails de phishing, mas, como destaca nosso relatório, os e-mails de phishing inevitavelmente passarão.”
Veja isso
Descoberto phishing subterrâneo que mira conta do Microsoft 365
Novo ataque de phishing falsifica o pacote contábil QuickBooks
Segundo ele, essa é uma das razões pelas quais a empresa inverteu o modelo de quarentena, adicionando banners dinâmicos para neutralizar ameaças dentro da caixa de entrada. Esses banners são projetados para explicar claramente o risco de uma forma fácil de entender, oportuna e relevante, atuando como momentos ensináveis que educam o usuário. Em última análise, ensinar alguém a pegar um phishing é uma abordagem mais sustentável para a resiliência de longo prazo”, comentou.
O relatório da Egress, cujo original em inglês pode ser acessado aqui, descreve os tópicos mais populares usados por campanhas de phishing para todos os meses deste ano até agora. São eles:
- Janeiro: Representação do RingCentral
- Fevereiro: Atacantes de imitação de alias
- Março: Falsificação de identidade de notificação do HMRC/IRS
- Abril: Representação de software de segurança
- Maio: Sextortion phish/life ruiners
- Junho: Falsificação de identidade na loteria
- Julho: Salesforce/Meta ads
- Agosto: Geek Squad
- Setembro: Pagamentos com cartão de crédito
