Ferramentas de IA para código estão a dar aos burlões um atalho para criar sites de phishing sofisticados

Resumo

Ferramentas de desenvolvimento de código com IA estão a permitir que burlões criem sites de phishing altamente convincentes em minutos, usando apenas instruções em linguagem natural. Em vez de exigir programadores experientes, estas plataformas automatizam quase todo o processo de criação, alojamento e até gestão de campanhas fraudulentas.

Empresas como a Trend Micro, Netcraft, Guardio Labs e Coalfire descrevem um novo cenário em que a fraude online se torna mais barata, escalável e personalizada. As vítimas vão desde grandes marcas até pequenos negócios que nunca tinham sido alvo de ataques digitais.

Na prática

Investigadores da Trend Micro mostraram como uma combinação de ferramentas de IA consegue transformar fotos públicas de Instagram em perfis detalhados de potenciais vítimas. A partir dessas imagens, modelos de IA conseguem inferir idade, interesses, logótipos de empresas e até pistas sobre saúde a partir dos detalhes de fundo nas fotografias.

Num dos testes, a ferramenta analisou a conta de um criador de conteúdos de gastronomia do Sudeste Asiático, gerou temas de marketing ajustados ao seu perfil, produziu e-mails de phishing plausíveis e criou em minutos um site fraudulento alojado numa plataforma de construção de sites com IA. Todo o processo, que antes exigia investigação manual e programação, foi comprimido em menos de meia hora.

Guardio Labs batizou este fenómeno de “VibeScamming”, um tipo de fraude assistida por IA sem código em que bastam alguns prompts para criar campanhas completas. Segundo os investigadores, uma das plataformas avaliadas era capaz de gerar kits de phishing completos, com backends para roubo de credenciais e infraestrutura para enviar SMS com links maliciosos.

Outro caso descrito por investigadores de segurança envolveu o uso da ferramenta v0 da Vercel para clonar quase na perfeição o site de uma conhecida solução de segurança, incluindo um processo de compra fraudulento através de uma integração opaca com PayPal. Em testes separados, especialistas em ameaças da Okta relataram que atacantes conseguiram criar páginas de login falsas funcionais a partir de simples descrições em texto, por vezes em menos de 30 segundos.

Empresas de segurança também documentam o crescimento desta economia de fraude. A Netcraft indicou que ferramentas ilícitas de IA foram usadas para criar perto de 100 mil domínios que imitavam quase 200 marcas em dezenas de países, representando vários pontos percentuais de toda a atividade global de phishing. Ao mesmo tempo, investigadores da empresa identificam pistas de geração automática no código dos sites, como listas de tarefas esquecidas e emojis fora do contexto.

Do lado económico, especialistas como Charles Henderson, da Coalfire, sublinham que a IA torna “o mesmo esquema mais barato de fazer em maior escala”. Pequenas marcas de nicho, como um fabricante de produtos de luxo para cabelo, passam de praticamente invisíveis para receberem queixas de clientes que perderam centenas ou milhares de dólares em sites falsos quase indistinguíveis dos originais.

Guardio Labs, que investiga estas novas formas de fraude, arrecadou recentemente um investimento significativo para reforçar as capacidades de deteção de campanhas de VibeScamming. A própria plataforma Lovable anunciou uma parceria com a Guardio para passar a analisar todos os sites criados no seu serviço, numa tentativa de travar o abuso por parte de criminosos.

Quem ganha / quem perde

Estas ferramentas de IA beneficiam utilizadores legítimos que querem criar sites ou aplicações rapidamente, mas também reduzem drasticamente a barreira de entrada para burlões com pouca ou nenhuma experiência técnica. Com prompts simples, qualquer pessoa consegue hoje montar campanhas de phishing com uma sofisticação que antes exigia equipas especializadas.

Do lado das vítimas, perdem tanto consumidores individuais como marcas de todas as dimensões, desde grandes empresas globais a pequenos negócios de nicho. Os próprios fornecedores de ferramentas de IA arriscam danos de reputação se não conseguirem pôr travões eficazes ao uso malicioso das suas plataformas, ao mesmo tempo que empresas de segurança podem ganhar terreno ao oferecer novas soluções de deteção e bloqueio.

Porque importa

• A fraude online torna-se mais barata e escalável graças a ferramentas de desenvolvimento com IA.
• Pequenas marcas e consumidores comuns entram no radar de campanhas de phishing altamente personalizadas.
• Plataformas de IA e empresas de segurança são pressionadas a incluir salvaguardas e monitorização mais rigorosas.
• Utilizadores precisam de reforçar hábitos básicos de verificação de sites e e-mails, mesmo quando tudo parece “profissional”.