51 min
E aí, combatentes de fraude. Bem-vindos ao Fraudology.
Este episódio é um pouco diferente e, para ser sincero, muito divertido. É um episódio especial em crossover com a Hailey, do Banking on Fraudology, e nós o gravamos juntos em Austin. Conversamos sobre o que nós dois estamos vendo em fraudes neste momento, especialmente em campanhas de phishing impulsionadas por IA, golpes de phishing com deepfake e ataques de fraude com clonagem de voz que estão ficando mais convincentes a cada semana.
Também falamos sobre algo que ficou bem claro recentemente. Muitos dos antigos sinais de alerta de fraude, que as pessoas foram treinadas para identificar, já não funcionam como antes. A gramática está melhor. O timing está melhor. A imitação está melhor. E os golpes estão acontecendo em mais canais ao mesmo tempo: e‑mail, telefone, SMS, redes sociais, aplicativos de mensagem. Tudo isso. Essa é a parte que deveria chamar a atenção de todo mundo.
À primeira vista, isso pode parecer um conjunto de táticas de golpe isoladas. Mas, quando você aprofunda, vê que se trata, na verdade, da evolução do phishing em tempo real e de como a IA está mudando tanto a qualidade quanto a escala da engenharia social. Então, sim, falamos sobre os riscos. Mas também falamos sobre o que boas equipes podem fazer agora, porque esta não é uma situação para esperar para ver.
Veja o que isso significa na prática:
- Campanhas de phishing impulsionadas por IA estão se tornando mais difíceis de detectar usando os sinais de alerta tradicionais
- Ataques de fraude com clonagem de voz e golpes de phishing com deepfakes estão tornando a personificação mais convincente
- A personificação por IA em vários canais está criando engenharia social multicanal mais eficaz
- As equipes de combate a fraudes precisam de defesa contra fraudes assistida por IA e de sinais comportamentais mais fortes para proteção contra phishing
- Bancos, fintechs e empresas de comércio eletrônico precisam repensar como protegem seus clientes contra golpes por voz e outras ameaças de phishing de próxima geração
O que você vai ouvir neste episódio
- Por que as campanhas de phishing impulsionadas por IA estão mudando a forma como as equipes de fraude pensam sobre personificação
- Como os golpes de phishing com deepfakes e o phishing com clones de voz estão evoluindo em tempo real
- Por que os golpes de falsificação de contatos confiáveis funcionam tão bem em vários canais
- Como deve ser a defesa contra fraudes com apoio de IA à medida que os sinais de alerta de phishing se tornam obsoletos
- Como as equipes de fraude podem melhorar a prevenção de phishing para bancos, fintechs e plataformas digitais
Você deve ouvir este episódio se você
- Trabalha com fraude, risco, confiança e segurança, ou segurança da informação, e quer se defender melhor contra golpes habilitados por IA
- Precisam entender como os ataques de fraude com clonagem de voz afetam os clientes e as equipes internas
- Oferecem proteção contra phishing para fintechs ou bancos e querem uma perspectiva prática sobre os rumos desse cenário
- Estão a pensar em mitigação adaptativa de ataques de phishing e deteção de fraudes em tempo real
- Se preocupam com a proteção da identidade digital contra phishing e com a mudança mais ampla nas estratégias de prevenção de fraudes com IA
Se você gostou deste episódio, não deixe de assinar e avaliar o podcast no iTunes, Spotify, YouTube ou em qualquer plataforma onde você ouça podcasts. Isso realmente ajuda a divulgar.
Notas do episódio e principais aprendizados
Por que as campanhas de phishing impulsionadas por IA parecem diferentes agora
Vamos analisar isso.
Phishing não é algo novo. As equipes de fraude lidam com casos de personificação, páginas de login falsas, mensagens urgentes e engenharia social há muito tempo. Mas as campanhas de phishing impulsionadas por IA estão elevando a qualidade desses ataques de maneiras que têm impacto operacional.
Veja o que está realmente acontecendo.
O conteúdo é mais limpo. A personalização é melhor. O timing pode ser automatizado. O atacante consegue testar diferentes mensagens mais rapidamente. E, quando você adiciona golpes de phishing com deepfake ou ataques de fraude com clonagem de voz a essa mistura, o golpe deixa de depender de um e-mail mal escrito e de um pouco de sorte.
Isso é um problema.
Porque o treinamento tradicional de conscientização muitas vezes orienta as pessoas a procurar erros óbvios. Gramática estranha. Formatação esquisita. Um tom que parece errado. Mas, à medida que os sinais de alerta de phishing se tornam obsoletos, essas regras antigas deixam de ser suficientes.
É aqui que as coisas ficam interessantes:
- A IA pode ajudar invasores a gerar mensagens mais convincentes em grande escala
- A evolução em tempo real do phishing significa que as campanhas podem se adaptar mais rapidamente do que as defesas estáticas
- A engenharia social multicanal permite que criminosos reforcem a mesma mentira por texto, telefone, e-mail e redes sociais
- Golpes de falsificação de contatos confiáveis se tornam mais convincentes quando pistas de voz e imagem são adicionadas
Como deepfakes e clones de voz mudam a forma de se passar por outra pessoa
À primeira vista, a clonagem de voz pode parecer um assunto de nicho. Talvez apenas uma manchete. Talvez algo com que só grandes empresas precisem se preocupar.
Na verdade, não é.
Se alguém consegue imitar um chefe, um familiar, um funcionário de banco ou um fornecedor conhecido bem o suficiente para criar urgência, não precisa de um clone perfeito. Só precisa de algo bom o bastante para fazer a vítima superar a hesitação. E é por isso que os golpes com clonagem de voz são tão eficazes. Eles exploram primeiro a confiança, não a tecnologia.
O mesmo acontece com golpes de phishing usando deepfakes.
A imagem ou o vídeo não precisa resistir a uma análise forense. Só precisa parecer convincente naquele momento. Isso geralmente é suficiente para movimentar dinheiro, redefinir credenciais, aprovar um pagamento ou levar alguém a compartilhar informações que não deveria compartilhar.
E é exatamente esse tipo de vulnerabilidade que os criminosos procuram.
As equipes de prevenção a fraudes devem ficar atentas a:
- Phishing com clones de voz ligados a solicitações urgentes de conta ou pagamento
- Imitação por IA em vários canais que repete a mesma história em formatos diferentes
- Lacunas na prevenção de personificações por deepfake em aprovações internas e no suporte ao cliente
- Oportunidades de detecção de golpes em tempo real com base no comportamento, não apenas no conteúdo
Por que os antigos sinais de alerta de phishing não são suficientes
Grande parte da educação de clientes e até dos treinamentos internos sobre fraude ainda parte do pressuposto de que os golpes vão parecer malfeitos. Que vão soar obviamente falsos. Que haverá uma grande pista evidente dizendo para você parar.
É. Nem sempre.
O principal objetivo da defesa contra fraudes com apoio de IA é reconhecer que o golpe em si está evoluindo. Isso significa que a sua defesa não pode depender apenas de as pessoas perceberem uma linguagem estranha ou notarem que a voz do interlocutor parece um pouco diferente. Os atacantes estão ficando cada vez melhores em eliminar os sinais mais óbvios.
Então, o que deveria substituir essas suposições antigas?
Um foco melhor em contexto e comportamento.
Isso significa olhar para:
- Se o pedido é incomum para esse relacionamento ou fluxo de trabalho
- Se a interação está tentando criar urgência, sigilo ou medo
- Se os padrões de comportamento correspondem à atividade legítima de clientes ou funcionários
- Se vários canais estão sendo usados para tornar a história mais real
É por isso que os sinais comportamentais são tão importantes para a defesa contra phishing. Porque o conteúdo pode ser refinado. Uma voz falsa pode ser convincente. Mas o comportamento subjacente muitas vezes ainda revela o golpe.
O que as equipes de fraude devem fazer agora
Então, o que isso significa para bancos, fintechs e equipes de ecommerce que estão tentando acompanhar?
Primeiro, pare de presumir que phishing é apenas um problema de caixa de entrada. Não é. Agora é um problema de personificação em múltiplos canais. Isso muda a forma como você pensa sobre prevenção de phishing para bancos, proteção contra phishing para fintechs e proteção da identidade digital contra phishing de forma mais ampla.
Em segundo lugar, prepare-se para a realidade de que esses ataques vão continuar a se aprimorar. Não porque os criminosos sejam brilhantes, mas porque as ferramentas estão ficando mais fáceis de usar. Isso geralmente não termina bem para as empresas que esperam por perdas óbvias antes de ajustar seus controles.
Boas estratégias de prevenção de fraudes com IA devem incluir:
- Melhor educação dos clientes para protegê-los de cenários de golpes por voz
- Fluxos de trabalho internos mais robustos para verificação de retorno de chamada e escalonamento de aprovações
- Monitoramento para mitigação adaptativa de ataques de phishing em todos os canais, e não de forma isolada
- Detecção em camadas que conecta sinais de identidade, dispositivo, comportamento e transações
- Caminhos claros de escalonamento quando funcionários ou clientes suspeitarem de personificação
E, sinceramente, as equipes de fraude que se saírem bem aqui serão aquelas que combinarem o ceticismo humano com uma tecnologia melhor. Não uma coisa ou outra. As duas.
Por que essa conversa de convergência é importante
Um dos motivos pelos quais gostei dessa conversa com a Hailey é que ela reuniu duas perspectivas que deveriam dialogar com muito mais frequência. Prevenção a fraudes dentro do setor bancário. Prevenção a fraudes em todo o comércio eletrônico e nas plataformas digitais. Ambientes diferentes, mesmo padrão.
Os golpes estão ficando mais sofisticados.
Os canais estão se misturando.
E os sinais de confiança em que as pessoas confiavam estão ficando mais fáceis de falsificar.
É por isso que este episódio é importante.
As campanhas de phishing impulsionadas por IA não são apenas mais uma tendência para observar de longe. Elas já estão mudando a forma como a personificação funciona no mundo real. E, esteja você protegendo consumidores, empresas, clientes de bancos ou usuários de plataformas, o desafio é o mesmo: descobrir o que ainda sinaliza confiança quando conteúdo, voz e pistas de identidade podem ser manipulados.
Certo. Esse é o trabalho agora.
Mantenha-se atento, confie em seus instintos, teste rigorosamente seus controles e continue avançando no combate à fraude.
