Durante anos, um ataque informático verdadeiramente personalizado dava trabalho. Pelo menos, algum trabalho. Era preciso estudar a empresa, identificar pessoas, procurar alguma forma de vulnerabilidade, interpretar resultados, adaptar ferramentas e, muitas vezes, escrever código. O esforço tinha um custo e esse custo ajudava a decidir quem valia a pena atacar. Uma pequena empresa podia não ser particularmente segura, mas também podia simplesmente não ser suficientemente interessante.
Eis senão quando… chega a IA e resolve alterar essa equação. Não porque tenha inventado o phishing, o ransomware, a engenharia social ou a exploração de vulnerabilidades, mas porque consegue fazer mais depressa, e em escala, uma parte do trabalho que antes exigia tempo e, sobretudo, conhecimento humano. E quando atacar fica mais barato, o universo de potenciais vítimas aumenta. «A principal mudança que estamos a observar não é necessariamente o aparecimento de ciberataques completamente novos, mas antes a transformação da escala, velocidade e qualidade dos ataques que já conhecíamos», explica Bruno Castro, fundador e CEO da VisionWare. O phishing é um dos exemplos mais evidentes. «A IA permite criar mensagens muito mais credíveis, adaptadas ao contexto da vítima e sem os erros óbvios que durante anos ajudaram a identificar uma tentativa de fraude. Além disso, a IA generativa permite ainda a clonagem de voz e de imagem, que torna possível falsificar a identidade de alguém de forma muito mais credível».
Um falso pedido de pagamento aparentemente feito por um administrador, uma mensagem que parece ter sido enviada por um colega ou um contacto que conhece o nome de um fornecedor deixaram, por isso, de exigir necessariamente uma preparação demorada. «Antes, uma campanha muito personalizada exigia trabalho humano. Hoje, grande parte desse trabalho pode ser automatizado», acrescenta Bruno Castro.
À businessIT, Alex Lisle, CTO da Reality Defender, corrobora que «o que mudou não foi a sofisticação dos atacantes, foi o custo». Clonar convincentemente a voz de um executivo ou trabalhador «costumava exigir orçamento e um especialista. Agora são necessários alguns segundos de áudio de um painel de uma conferência». E há uma consequência. «Quando o custo de cada tentativa cai para próximo de zero, um atacante já não precisa de uma boa taxa de sucesso e as defesas dimensionadas para ataques raros e caros deixam de fazer sentido».
O ataque ficou mais barato
A automatização dos ciberataques não nasceu com o ChatGPT nem com a explosão da IA generativa. David de Paula Santos Silva, fundador e CEO da portuguesa CyberX, trabalha há mais de 12 anos em segurança ofensiva e faz questão de estabelecer essa diferença. «Os profissionais de segurança e os atacantes automatizam há anos o reconhecimento, a pesquisa de vulnerabilidades, a exploração e tarefas repetitivas através de scripts em Python e ferramentas de segurança. O que a IA muda é a velocidade com que alguém consegue compreender os resultados, adaptar o ataque e decidir o que tentar a seguir».
