51 min
Fraudology
Aumento da fraude com IA: por dentro das ameaças mais recentes com Frank McKenna e Matt Vega
Frank McKenna e Matt Vega
Vamos analisar isso.
Hoje estamos analisando a onda de fraudes com IA e como é quando as equipes de fraude deixam de lidar apenas com golpes mais rápidos e passam a enfrentar cadeias inteiras de ataque sendo automatizadas, ampliadas e refinadas em tempo real. Conversei com Frank McKenna e Matt Vega para discutir o que eles estão observando em fraudes com deepfakes, sites de phishing gerados por IA, ataques baseados em credenciais e a convergência mais ampla entre fraude e cibersegurança.
E sim, esta é uma daquelas conversas em que muitas coisas que antes pareciam teóricas já não parecem mais.
À primeira vista, parte disso pode parecer um problema de cibersegurança. Mas, quando você olha mais de perto, vê que isso cai diretamente nas operações de fraude. Tomada de contas em larga escala. Clonagem de sites de phishing com IA. Ataques de fraude adaptativos que respondem aos controles. Personificação habilitada por deepfakes. Operações de golpe impulsionadas por IA que podem se mover muito mais rápido do que a maioria das filas de revisão manual jamais conseguiria.
Essa é a parte com a qual as equipes de fraude devem se preocupar.
Porque o aumento das fraudes com IA não se resume apenas a novas ferramentas para criminosos. Trata-se também do que acontece quando essas ferramentas tornam os padrões de fraude já conhecidos mais escaláveis, mais convincentes e mais difíceis de deter com os controles que funcionavam até um ou dois anos atrás.
Veja o que isso significa na prática:
- Sites de phishing gerados por IA agora podem ser criados mais rapidamente, com menor custo e com menos erros óbvios
- O uso de IA em ataques de credential stuffing está tornando a tomada de contas em larga escala mais adaptável e difícil de bloquear
- A detecção de fraudes com deepfake está se tornando essencial à medida que a personificação fica mais convincente
- As equipes de prevenção a fraudes precisam de biometria comportamental para lidar com fraudes de IA, não apenas de controles estáticos
- A pilha moderna de prevenção a fraudes para ameaças de IA precisa levar em conta tanto os riscos de automação de fraudes quanto a sobreposição com a cibersegurança
O que você ouvirá neste episódio
- Como o aumento da fraude com IA está mudando a velocidade e a escala das operações fraudulentas
- Por que a detecção de fraudes com deepfake e as proteções de identidade digital são ainda mais importantes agora
- O que os sites de phishing gerados por IA e a clonagem de sites de phishing com IA significam para marcas e consumidores
- Por que o uso de IA em ataques de credential stuffing está tornando as fraudes mais adaptáveis
- O que os líderes de fraude podem fazer agora com melhor inteligência, automação e controles em camadas
Você deve ouvir este episódio se você
- Lidera equipes de fraude, risco, confiança e segurança, ou segurança da informação, e quer uma resposta mais clara de líderes de fraude às ameaças de IA
- Estão a desenvolver uma estratégia de prevenção de fraude em fintech para 2025 e além
- Precisam entender como a convergência entre cibersegurança e fraude está mudando a detecção e a resposta
- Deseja ideias práticas para prevenir o uso indevido de contas impulsionado por IA e fortalecer a prevenção de fraudes em ataques à identidade digital
- Estão repensando sua stack moderna de prevenção a fraudes para lidar com ameaças de IA e detecção em tempo real de fraudes habilitadas por IA
Se você gostou deste episódio, não deixe de assinar e avaliar o podcast no iTunes, Spotify, YouTube ou em qualquer plataforma onde você ouça podcasts. Isso realmente ajuda a divulgar.
Notas do episódio e principais aprendizados
Por que o aumento das fraudes com IA parece diferente
Vamos analisar isso.
As equipes de fraude estão acostumadas a mudanças. Novos tipos de golpe. Novas ferramentas de ataque. Novos canais. Essa parte não é novidade. O que parece diferente agora é o ritmo.
O aumento das fraudes com IA está se acelerando porque a IA está tornando mais fácil para os criminosos criar, testar e aprimorar ataques sem precisar do mesmo nível de habilidade, tempo ou custo. Isso não significa que, de repente, todo atacante se tornou sofisticado. Significa que as ferramentas ficaram melhores e a barreira ficou mais baixa.
Isso é importante.
Porque, quando isso acontece, a antiga separação entre fraudes de baixa qualificação e fraudes de alta qualificação começa a se desfazer. Um criminoso não precisa programar um site falso convincente do zero se sites de phishing gerados por IA puderem fazer a maior parte do trabalho. Ele não precisa de uma grande equipe escrevendo textos de golpe se operações de fraude impulsionadas por IA puderem gerar infinitas variações. E também não precisa testar manualmente cada conjunto de credenciais se ataques de credential stuffing com IA puderem se ajustar em tempo real.
É aqui que isso aparece operacionalmente:
- Configuração e iteração de ataques mais rápidas
- Clonagem de sites de phishing de baixo custo com IA
- Orquestração de bots e fraudes em maior escala
- Mais pressão sobre as equipes que dependem de lógica de detecção estática
Como a IA está ampliando o phishing e a tomada de contas
Este é um dos exemplos mais claros do problema.
O phishing sempre foi eficaz porque se apoia na confiança alheia. Uma marca copiada. Um fluxo de login familiar. Uma mensagem que parece suficientemente legítima para que as pessoas não parem para questioná-la. A IA está tornando isso mais fácil de replicar e mais rápido de lançar.
À primeira vista, um site clonado pode parecer o mesmo golpe de sempre. Mas quando a IA consegue gerar código mais limpo, melhor design, linguagem mais natural e variações mais rápidas, a escala muda. E quando esses sites se conectam a ataques de preenchimento de credenciais com IA ou a fluxos de tomada de conta em tempo real, o dano se multiplica rapidamente.
Isso geralmente não termina bem.
É por isso que a prevenção do abuso de contas impulsionado por IA precisa começar antes do pagamento. Antes que o login seja bem-sucedido. Antes que o cliente seja bloqueado. As equipes de fraude precisam encarar o sequestro de contas em grande escala como um problema em camadas, não apenas como um problema de senha.
Isso inclui:
- Detetar precocemente comportamentos suspeitos de dispositivos e sessões
- Uso de biometria comportamental para fraudes com IA a fim de identificar automação ou padrões anormais
- Monitoramento de clonagem de sites de phishing com IA e abuso de domínios semelhantes
- Conectar sinais de risco de identidade, login e pagamento em vez de analisá-los isoladamente
Por que a detecção de fraudes com deepfake agora faz parte da estratégia antifraude
Durante muito tempo, os deepfakes pareciam ser apenas um problema de reputação ou talvez uma preocupação futura para as equipes de identidade. Não é mais aí que estamos.
Os deepfakes agora estão muito mais próximos de causar perdas reais por fraude. Eles afetam o onboarding, as interações de suporte, as aprovações internas, a recuperação de contas e a engenharia social. E, em alguns casos, estão sendo incorporados a esquemas de fraude maiores em vez de serem usados isoladamente.
É aqui que as coisas ficam interessantes.
Porque a detecção de fraudes com deepfake não se resume apenas a identificar um vídeo falso ou uma voz sintética. Trata-se de entender como os ataques à identidade digital evoluem quando criminosos conseguem imitar aparência, voz, segurança e contexto bem o suficiente para superar controles frágeis.
E é exatamente esse tipo de vulnerabilidade que os criminosos procuram.
A prevenção de fraudes em ataques à identidade digital agora precisa levar em conta:
- Mídia sintética usada durante verificações ou chamadas de suporte
- Imitação integrada à recuperação de conta e às alterações de pagamento
- Pressão sobre as equipes para tomar decisões rápidas sem evidências suficientes
- Maior sobreposição entre análise de fraude, verificação de identidade e operações de segurança
Por que as equipes de fraude precisam de inteligência de ameaças ofensiva
Um dos pontos mais fortes desta conversa é que apenas a defesa não é suficiente. As equipes de fraude não podem simplesmente esperar que os ataques cheguem à produção para então se ajustar. Elas precisam de visibilidade sobre o que os criminosos estão criando, compartilhando, testando e vendendo.
É aí que entra a inteligência de ameaças ofensiva para as equipes de fraude.
Em termos simples, isso significa aprender com o lado do atacante. Monitorar as ferramentas, fóruns, fluxos de trabalho e sinais que mostram como o abuso está evoluindo antes que ele chegue totalmente à sua plataforma. Não porque alguém queira glorificá-lo. Muito pelo contrário. Porque boas equipes precisam de contexto.
Já vimos esse roteiro antes. Quanto mais cedo você entender como os atacantes operam, melhores tendem a ser seus controles.
Essa inteligência pode apoiar:
- Resposta mais rápida a novos métodos de phishing ou de personificação
- Melhor ajuste de regras para riscos conhecidos de automação de fraudes
- Priorização mais inteligente para detecção em tempo real de fraudes habilitadas por IA
- Resposta mais eficaz dos líderes de fraude às ameaças de IA antes que as perdas disparem
O que a pilha moderna de prevenção a fraudes precisa agora
Vamos dar um passo atrás.
Nenhuma ferramenta isolada vai resolver a onda de fraudes com IA. E, sinceramente, é geralmente nesse ponto que o texto de marketing começa a ficar esquisito. Então, em vez disso, vamos manter isto prático.
As equipes que vão responder bem geralmente são aquelas com bases sólidas e camadas flexíveis. Não apenas um modelo. Não apenas um motor de regras. Não apenas uma verificação de identidade.
Uma stack moderna de prevenção a fraudes contra ameaças de IA deve combinar:
- Biometria comportamental para fraudes com IA
- Detecção em tempo real de fraudes habilitadas por IA em fluxos de login, onboarding e pagamento
- Sinais robustos de identidade e de dispositivo
- Controles adaptativos para orquestração de bots e fraudes
- Fluxos de trabalho de revisão humana orientados por boa inteligência, não apenas por volume
E sim, a detecção de fraude de IA contra IA vai se tornar mais comum. As equipes de fraude vão usar automação para combater automação. Isso faz sentido. Mas só funciona se a estratégia subjacente for sólida. Caso contrário, você só obtém caos mais rápido.
O que os líderes de fraude devem fazer em seguida
Se você lidera uma equipe de combate a fraudes, esta conversa é, na verdade, sobre prontidão.
Sem pânico. Sem exagero. Prontidão.
Porque as tendências de fraude bancária com IA e as questões mais amplas sobre estratégias de prevenção de fraude em fintech já estão passando da discussão para a implementação. Os ataques estão ficando mais baratos de executar. Os sinais estão ficando mais ruidosos. E a linha entre abuso cibernético e abuso por fraude está ficando cada vez mais tênue.
Então, em que as equipes devem focar agora?
Comece pelo básico que ainda é importante: controles em camadas robustos, melhor visibilidade, melhor compartilhamento interno de dados e melhor coordenação entre as equipes de fraude e segurança. Em seguida, faça testes de estresse para verificar se esses controles realmente se sustentam diante de ataques de fraude adaptativos e operações de golpes impulsionadas por IA.
A conclusão aqui é bem simples.
O aumento da fraude com IA não se resume apenas a novas ferramentas. Trata-se de um novo ambiente operacional, em que padrões de fraude já conhecidos podem escalar mais rápido, se esconder melhor e evoluir mais rapidamente do que muitas equipes estão preparadas para enfrentar.
Isso não significa que as equipes de combate à fraude sejam impotentes. Significa que a resposta precisa ser mais precisa.
E isso é importante.
