Técnica revela novo risco de phishing com IA e alerta sobre assistentes digitais

Nova técnica de phishing com IA alerta sobre riscos digitais

Pesquisadores da Permiso Security identificaram uma técnica chamada ChatGPhish, que destaca um novo risco para empresas e usuários. Essa abordagem permite que páginas aparentemente legítimas manipulem as respostas de assistentes de inteligência artificial, como o ChatGPT, apresentando informações enganosas, links falsos ou códigos QR maliciosos.

Com o aumento do uso de ferramentas de inteligência artificial generativa no ambiente corporativo, surgem novas vulnerabilidades para golpes digitais. O problema não se limita ao uso indevido da tecnologia, mas também à confiança que os usuários depositam nas respostas geradas por essas plataformas.

O ataque não requer e-mails falsos ou mensagens suspeitas. O usuário pode acessar um site legítimo e solicitar um resumo ao assistente, que pode incorporar comandos ocultos, apresentando informações manipuladas como se fossem normais.

Impacto do phishing com IA no debate de segurança digital

O phishing com IA se torna mais sofisticado ao não depender apenas de e-mails ou mensagens diretas. Agora, a ameaça pode surgir em contextos considerados seguros, como a leitura de um relatório ou a consulta a uma página da web.

Pesquisadores demonstraram que instruções ocultas em HTML podem fazer com que assistentes digitais insiram alertas falsos ao lado de informações verdadeiras, confundindo os usuários. Essa mistura de dados legítimos com elementos fraudulentos aumenta o risco de enganos.

Para os usuários, a resposta pode parecer confiável, pois é apresentada em uma interface associada à produtividade. Para as empresas, o alerta é ainda mais sério, já que os funcionários utilizam assistentes digitais para tarefas críticas.

Riscos de links, imagens e QR codes na segurança digital

A pesquisa também revela riscos associados à renderização automática de links e imagens em respostas geradas por IA. Quando uma instrução oculta faz o sistema carregar uma imagem de um servidor externo, o operador desse servidor pode coletar dados técnicos do usuário, como endereço IP e informações do navegador.

Códigos QR também representam um risco, pois podem direcionar usuários a ambientes maliciosos. Isso reduz a eficácia de algumas proteções tradicionais, especialmente quando o usuário escaneia o código fora do ambiente corporativo monitorado.

As áreas de segurança digital precisam reavaliar suas estratégias, observando como as ferramentas de IA interagem com fontes externas e quais permissões possuem para exibir conteúdos.

Desafios para empresas que utilizam IA

O crescimento do phishing com IA força as empresas a reavaliarem suas políticas de uso de assistentes digitais. Embora essas ferramentas aumentem a produtividade, é essencial implementar governança adequada.

A educação dos usuários é fundamental. Colaboradores devem ser treinados para não confiar automaticamente em respostas geradas por IA, avaliando links e imagens com o mesmo cuidado que aplicariam a mensagens externas.

Além disso, as organizações devem estabelecer políticas técnicas que restrinjam o uso de ferramentas de IA em contextos específicos e reforçar a cibersegurança, acompanhando pesquisas sobre manipulação de prompts e exposição a conteúdos externos.

A importância da vigilância para CIOs e CISOs

CIOs e CISOs devem entender que a adoção de IA não é apenas uma questão de eficiência, mas também envolve riscos de engenharia social e vazamento de dados. A confiança depositada em sistemas inteligentes pode ser explorada por cibercriminosos.

Os ataques cibernéticos estão se tornando mais sutis, podendo surgir em respostas que parecem úteis dentro de processos legítimos. Isso exige uma revisão dos controles de segurança e uma integração mais forte entre as áreas de tecnologia e segurança.

Além disso, a rastreabilidade se torna crucial. As empresas devem registrar como as ferramentas de IA são utilizadas e quais fontes são consultadas para evitar incidentes difíceis de detectar e conter.

Orientações para o usuário comum

Os usuários devem estar atentos a alertas inesperados, mesmo em plataformas conhecidas. Notificações sobre segurança ou contas devem ser verificadas diretamente no site oficial, evitando links em respostas automáticas.

Evitar escanear QR codes apresentados por assistentes de IA sem validação prévia é uma prática recomendada. Em ambientes corporativos, dúvidas devem ser direcionadas à equipe de segurança ou suporte.

Fique por dentro das novidades do setor de TI e Cibersegurança seguindo nossas redes sociais!

Fonte por: Its Show