A videoconferência deepfake

O MITRE descreve o phishing como engenharia social transmitida por via eletrónica. Quando visa uma pessoa, uma empresa ou um setor determinados, fala-se de spear phishing². A variante por voz recorre a uma chamada ou a outra forma de comunicação oral para levar o utilizador a dar acesso a sistemas³.

O spear phishing recorre muitas vezes a duas alavancas: fazer-se passar por uma fonte de confiança e criar na pessoa visada um sentimento de urgência ou de alarme³. Na recolha de informações, o MITRE refere também o envio de várias mensagens de aparência urgente⁴.

O NCSC situa o principal ganho da IA para os atacantes na engenharia social¹. Considera também que a IA melhora o reconhecimento, isto é, a pesquisa de informações sobre um alvo para encontrar uma via de acesso, e torna esta etapa e a engenharia social mais eficazes e mais difíceis de detetar¹.

O caso aqui descrito é um cenário sem fonte. Chega uma mensagem, assinada por um superior hierárquico, a propor uma reunião em linha. No ecrã, os participantes parecem colegas conhecidos e falam como eles. O pedido é premente e confidencial: um pagamento a lançar sem demora.

O MITRE cita a urgência entre as alavancas do atacante³. O NCSC avisa que os erros de língua, usados durante muito tempo para reconhecer uma falsificação, já não bastam¹.

Ilustração (mensagem fictícia, neutralizada):
[Um «diretor» pede para entrar com urgência numa reunião
confidencial através de hxxps://reunion-exemple[.]invalid/salle-12
e anuncia que há um pagamento a tratar durante o dia.]

As fontes permitem nomear os elementos seguintes.

• O primeiro contacto é uma mensagem de phishing. O MITRE precisa que pode chegar pelo correio eletrónico, por serviços de terceiros como as redes sociais, ou por convites de calendário².
• A usurpação de identidade serve para tornar o emissor credível: o MITRE cita a falsificação do endereço do remetente, que pode enganar a pessoa e também as ferramentas de segurança automáticas².
• A fase de reconhecimento prepara o alvo. O MITRE classifica o phishing para obter informações na tática de reconhecimento, com o objetivo de recolher dados e não de executar código malicioso⁴.
• A IA generativa pode produzir texto, imagens ou vídeo¹.
• O MITRE cita, entre as alavancas do spear phishing, a fonte de confiança simulada e a urgência³.

O NCSC considera que as utilizações mais sofisticadas da IA continuarão limitadas aos agentes que dispõem de dados de treino de qualidade, de competência e de meios¹. Acrescenta que a generalização destas capacidades nos mercados criminosos as colocará ao alcance de todos os que aceitem pagar¹.

Do lado da defesa, o NIST publicou um quadro de gestão dos riscos da IA de utilização voluntária, divulgado a 26 de janeiro de 2023 e, a 26 de julho de 2024, um perfil dedicado à IA generativa que ajuda as organizações a identificar os riscos próprios da IA generativa⁵.

Scattered Spider: falsos informáticos ao telefone

O MITRE indica que, durante a campanha C0027, o grupo Scattered Spider se fez passar por pessoal informático legítimo ao telefone. Conduziu assim as vítimas a descarregar uma ferramenta de administração remota que lhe permitia controlar a máquina delas³. A página não dá data para esta campanha. Mostra, no entanto, o esquema comum com uma videoconferência falsificada: uma voz de confiança que pede um gesto.

Storm-1811: falso apoio técnico

Segundo o MITRE, o Storm-1811 fez chamadas apresentando-se como o apoio informático, para levar os utilizadores a descarregar e executar scripts e outras ferramentas³. As referências da página citam nomeadamente um relatório da Microsoft Threat Intelligence datado de 15 de maio de 2024³.

O controlo que conta

O MITRE recomenda, para esta técnica, verificar a identidade de quem liga³. Para um pagamento, isso equivale a voltar a ligar à pessoa por um canal que já conhece e a não executar nada com base apenas numa reunião em linha. A dupla validação das transferências é uma medida de organização que a direção implementa. As fontes do conjunto não a descrevem.