Golpes por e-mail evoluem com IA e usam novas táticas contra empresas

O avanço da inteligência artificial (IA) e a automação acelerada transformaram o e-mail no principal canal para invasões corporativas e roubo de dados, revelou um levantamento da empresa de cibersegurança ESET. Pesquisadores observaram que as mensagens maliciosas abandonaram os erros gramaticais e links suspeitos do passado e passaram a subverter fluxos de trabalho legítimos. De acordo com a telemetria, quase 70% dos ataques ocorrem no horário comercial e 90% em dias úteis, quando a atenção do funcionário está voltada para as tarefas normais. Atualmente, os ataques utilizam técnicas sofisticadas como os códigos QR, responsáveis por um em cada nove e-mails de phishing detectados pela ESET no primeiro semestre de 2026 e apontados pela Microsoft como o vetor de ataque via e-mail de maior crescimento.

Ao ser lido pelo celular, o código ignora as defesas do computador da empresa. Há também truques para o roubo direto de tokens de autenticação, a exemplo do golpe “ConsentFix”. Os cibercriminosos capturam o acesso do usuário logado na Microsoft sem disparar alertas de senha ou de autenticação em duas etapas (MFA). A transformação no cenário de ameaças está ocorrendo em torno da engenharia social e da aceleração geral dos ataques. Todos esses avanços permitem que até mesmo invasores de baixa qualificação orquestrem golpes sofisticados em grande escala e a baixo custoJuraj Jánosík, vice-presidente de Inteligência Artificial da ESETA engenharia social avançou a ponto de utilizar áudios e vídeos sintéticos hiper-realistas.

Em um dos casos registrados pela ESET, um profissional da área financeira realizou transferências de mais de US$ 25 milhões após participar de uma videochamada preenchida por versões em deepfake de executivos da empresa. Demora na investigação e falha na notificação aumentam prejuízosAlém da sofisticação na entrega dos golpes, o tempo de resposta das empresas aos incidentes tornou-se o ponto crítico de contenção. A pesquisa “ESET SMB Cyber Readiness Index 2026″, realizada com 4.400 tomadores de decisão, indica que 45% das pequenas e médias empresas sofreram ao menos um incidente de segurança nos últimos 12 meses. Esse estudo aponta ainda que 41% das investigações levam até duas semanas para serem concluídas, enquanto 34% demoram de duas a seis semanas. Esse intervalo que pode causar graves interrupções operacionais e prejuízos financeiros, alertam os pesquisadores. O levantamento revela uma contradição: embora 31% das empresas citem o “malware movido a IA” como maior preocupação, os incidentes reais continuam sendo impulsionados por métodos consolidados, como campanhas de phishing (26%), sistemas desatualizados (23%), falta de monitoramento (22%) e senhas fracas (20%), agora massificados pela automação. O problema se agrava pela falta de processos claros para notificar a equipe de segurança.

Segundo o relatório “ESET MDR Threat Report Q1 2026″, da mesma empresa, muitos colaboradores reconhecem mensagens maliciosas, mas optam por apenas apagá-las porque não sabem para onde encaminhar a denúncia. Essa ausência de comunicação priva as empresas de identificar campanhas em grande escala logo no início. “A resposta aos incidentes precisa de um processo claro e padronizado para que os funcionários reportem mensagens suspeitas.

Quando os usuários não reportam, a empresa perde a visibilidade total das ameaças que enfrenta, o que desacelera o tempo de reação e permite que riscos em potencial evadam a detecção”, alertam os analistas no relatório da ESET. Diante de ataques projetados para passar por verificações visuais humanas, os especialistas identificam que as defesas precisam combinar automação, monitoramento constante e protocolos de dupla aprovação para operações sensíveis.