À medida que a inteligência artificial avança para ser utilizada em negócios, na vida pessoal e até em aplicações médicas, suas capacidades também se tornam uma ameaça à segurança. Na terça-feira, pesquisadores da Okta, uma empresa de validação de identidade, divulgaram um relatório revelando que hackers estão usando a ferramenta de criação de sites de IA v0, da Vercel, para criar "sites de phishing que se passam por páginas de login legítimas" com base em comandos de texto. Os golpistas replicaram a própria página de login da Okta e outros sites, como Microsoft 365, várias empresas de criptomoedas e um cliente da Okta.
A Okta observou que os hackers armazenaram os recursos para suas páginas de phishing, incluindo logotipos replicados das empresas, na infraestrutura da Vercel para tornar seus sites mais críveis. "Essa é uma tentativa de evitar a detecção com base em recursos extraídos de logs de CDN ou hospedados em infraestrutura dispersa ou conhecida por ser maliciosa", afirma o relatório. Os pesquisadores, que conseguiram reproduzir as descobertas em uma demonstração em vídeo, descreveram isso como "uma nova evolução na armação da inteligência artificial generativa".
O relatório da Okta destacou como as ferramentas de IA facilitam para os hackers ampliar suas operações em níveis anteriormente inexplorados. Brett Winterford, vice-presidente da Okta Threat Intelligence, afirmou que era a primeira vez que a Okta presenciava ameaçadores utilizando IA para construir a infraestrutura de phishing, em vez de se limitar apenas ao conteúdo do phishing, como textos de e-mail. Embora o v0 da Vercel seja proprietário, há inúmeras réplicas públicas da aplicação no GitHub—um problema da natureza dos repositórios de código aberto. "Essa proliferação de código aberto efetivamente democratiza capacidades avançadas de phishing, fornecendo aos adversários as ferramentas necessárias para criar sua própria infraestrutura de phishing."
Em resposta ao relatório, a Vercel restringiu o acesso aos sites falsificados e está colaborando com a Okta para relatórios futuros. O relatório indica que a Okta ainda não encontrou evidências de que as tentativas dos hackers de roubar credenciais tenham sido bem-sucedidas.
Para a Okta, as descobertas alteram a paisagem do treinamento de segurança e a realidade de que a IA torna as ameaças muito mais difíceis de acompanhar. "As organizações não podem mais confiar apenas em ensinar os usuários a identificar sites de phishing suspeitos com base em imitações imperfeitas de serviços legítimos", observa o relatório. "A única defesa confiável é vincular criptograficamente o autenticador de um usuário ao site legítimo em que ele se inscreveu."
Claro que isso é o que alimenta o próprio produto da Okta, o FastPass. Além de se tornarem clientes, a Okta recomenda que as empresas treinem os funcionários especificamente para ataques gerados por IA e que os administradores limitem as contas de usuário a apenas dispositivos confiáveis. A empresa ainda destacou suas ferramentas de Zonas de Rede e Detecção de Comportamento como formas de impor autenticação adicional, um sistema que vai além da autenticação em dois fatores.
À medida que as ameaças cibernéticas impulsionadas por IA continuam a proliferar, especialistas em segurança também recomendam operar com uma arquitetura de confiança zero, regular o uso de ferramentas de IA pelos funcionários e consultar especialistas externos que possam se manter à frente de forma mais eficaz do que as equipes internas, que podem não ter os recursos para fazê-lo. Também é um bom momento para considerar a implementação de chaves de acesso, caso você ainda não tenha. A Okta as utiliza como parte de sua ferramenta FastPass; a vantagem de uma chave de acesso é que, mesmo que um agente mal-intencionado consiga acessar um site, sua conta permanecerá protegida porque ele não pode acessar a chave em seu dispositivo.
Se você está preocupado que tenha clicado em um link de phishing, siga estas etapas para proteger suas contas.
Referência: Okta Report on AI-based Phishing
Posts relacionados:
Novos agentes de IA do Microsoft 365 Copilot podem acelerar seu fluxo de trabalho
A inteligência artificial potencializa fraudes sofisticadas: como se proteger e identificar os riscos
Pessoas buscam ditados falsos para conferir explicações da IA – e é hilário
Microsoft oferece treinamento gratuito em habilidades de IA para todos – saiba como se inscrever.
