Uma PME que não justificaria uma campanha altamente personalizada pode agora ser atingida por um ataque automatizado e, ainda assim, adaptado ao seu contexto. E pode nem sequer ser o destino final. «Pode ser uma porta de entrada para um cliente maior, um fornecedor ou uma organização crítica. Por isso, não devemos pensar que a IA torna apenas os ataques às grandes empresas mais perigosos». Além disso, «milhares de organizações podem ser atingidas em simultâneo, com campanhas suficientemente personalizadas para incrementar significativamente a sua probabilidade de sucesso».
Quando o phishing deixa de parecer phishing
Stanislav Kazanov, head of GRC, Cybersecurity & Sustainability e Head of Data da Innowise, chama-lhe uma redução do «custo da atenção individual». Durante anos, um email cuidadosamente construído para enganar uma determinada pessoa implicava um investimento que só compensava quando a vítima justificava o esforço. Os restantes recebiam mensagens genéricas, muitas vezes denunciadas pelos erros, pela linguagem estranha ou pela ausência de qualquer conhecimento sobre a organização. «Isso deixou de ser assim. Um email que menciona um verdadeiro contrato com um fornecedor, o nome real de um colega e utiliza um tom apropriado àquele local de trabalho tornou-se essencialmente gratuito de produzir».
À businessIT, Stanislav Kazanov conta ter apoiado uma empresa de média dimensão depois de um ataque de ransomware que começou precisamente desta forma. «Inglês impecável, referência correcta à renovação de um contrato, construído a partir de informação publicamente disponível sobre a empresa. Toda a formação que os trabalhadores tinham recebido para detectar erros deste género e reconhecer saudações não individualizadas revelou-se ineficaz». Na EDP, a engenharia social é precisamente a área onde, para já, é mais visível a utilização destas ferramentas. A empresa identifica «uma evolução na velocidade, escala, sofisticação e personalização dos ataques, com a IA a potenciar significativamente as capacidades dos atacantes».
Mas a preocupação da energética vai além do trabalhador que abre um email. «Uma das maiores preocupações é o aumento do risco sistémico», explica fonte oficial da empresa. «A capacidade de orquestrar ataques coordenados em diferentes domínios da organização ou mesmo sobre múltiplas organizações e sectores interdependentes, explorando essas dependências para gerar efeitos em cadeia e ampliar significativamente o impacto». Mais uma vez, a novidade não está necessariamente no ataque. «Mais do que criar novas ameaças, a IA pode tornar as existentes mais rápidas, escaláveis e capazes de provocar impactos sistémicos».
No sector energético, «a maior preocupação já não está apenas nos sistemas de informação tradicionais, mas sobretudo na convergência entre IT, OT e sistemas industriais. O elemento novo é precisamente a escala e velocidade proporcionadas pela IA», salienta a EDP.
