Phishing gerado por IA atinge uma taxa de cliques de 54%

Durante anos, o phishing funcionou por uma razão simples: explora o elo mais fraco — o utilizador. A estratégia de defesa tem seguido a mesma fórmula: uma melhor filtragem do correio eletrónico, uma maior sensibilização dos utilizadores e uma camada adicional de autenticação. Não era uma solução perfeita, mas proporcionava um equilíbrio funcional.

Esse equilíbrio foi agora quebrado. O phishing gerado por IA não só está a aumentar, como também se está a tornar muito mais convincente. De acordo com o Microsoft Digital Defense Report 2025, as campanhas de phishing geradas por IA atingem uma taxa de cliques de 54%, comparativamente a apenas 12% nas campanhas tradicionais. O que os atacantes procuram obter através desse clique são credenciais válidas. Segundo o relatório M-Trends 2025 da Mandiant, as credenciais roubadas tornaram-se o segundo vetor de acesso inicial mais comum em 2024, representando 16% de todas as intrusões — o nível mais elevado alguma vez registado. Por detrás desta tendência está o crescimento dos infostealers, software malicioso especificamente concebido para roubar credenciais armazenadas nos dispositivos dos utilizadores.

Ambas as tendências apontam para a mesma realidade: os atacantes têm como alvo as credenciais, ao mesmo tempo que os utilizadores sentem cada vez mais dificuldades em distinguir mensagens de correio eletrónico legítimas de mensagens maliciosas. A identidade tornou-se simultaneamente o alvo e a porta de entrada. E, se a sua empresa protege outras organizações, este problema torna-se seu antes de afetar os seus clientes.

Quando o phishing deixa de parecer phishing

O que mudou não foi o volume de ataques de phishing, mas a qualidade do engano. A IA eliminou muitos dos sinais de alerta que, no passado, facilitavam a identificação das tentativas de phishing: erros ortográficos, formulações pouco naturais, formatação incoerente e URL manifestamente suspeitos. Atualmente, as mensagens de phishing são cuidadas, personalizadas e adaptadas ao contexto do destinatário. Muitas recorrem inclusivamente a serviços legítimos para parecerem ainda mais autênticas.

Já não existe um único modelo que possa ser bloqueado. As campanhas geram variações únicas em tempo real, tornando muito mais difícil aos filtros de segurança identificar padrões consistentes. O resultado é um tipo de phishing que tanto a tecnologia como as pessoas têm maior dificuldade em detetar com a mesma eficácia de antes.

De acordo com o estudo da WatchGuard From IT Support to Cybersecurity Powerhouse: The New Mandate for MSP Growth, 91% das organizações estão preocupadas com os ciberataques potenciados por IA. É precisamente nesta área que os seus clientes esperam que assuma a liderança — e na qual estão cada vez mais dispostos a investir.

A identidade tornou-se o principal ponto de entrada

Uma mensagem de correio eletrónico perfeitamente elaborada não é o objetivo do atacante; é apenas o meio utilizado para concretizar o ataque. O que este pretende é obter credenciais válidas, porque iniciar sessão com nomes de utilizador e palavras-passe legítimos continua a ser uma das formas mais discretas de comprometer uma organização.

Quando os atacantes obtêm acesso através de uma conta legítima, a sua atividade levanta frequentemente poucas suspeitas. Para os sistemas de segurança, parece tratar-se de um início de sessão normal. Não existe nenhuma exploração de vulnerabilidades, nenhum software malicioso e nenhum alerta evidente — apenas alguém que parece ser exatamente quem afirma ser.

Para os prestadores de serviços geridos, esta realidade altera o ponto de partida da segurança. Já não é possível partir do princípio de que todas as intrusões serão travadas antes de ocorrerem. É mais prudente partir do pressuposto contrário: mais cedo ou mais tarde, as credenciais de um dos seus clientes serão comprometidas. Isto não é pessimismo, é o que os dados demonstram. No mesmo estudo da WatchGuard, 32% das organizações afirmaram estar constantemente expostas a ataques de phishing e de comprometimento do correio eletrónico empresarial (BEC). Por conseguinte, a estratégia já não pode concentrar-se apenas na prevenção do roubo de credenciais, devendo também limitar o impacto quando este inevitavelmente ocorrer.

A identidade é o novo perímetro de segurança

A formação para a sensibilização em matéria de segurança continua a ser importante, mas já não é suficiente. Quando as mensagens de phishing se tornam praticamente indistinguíveis das comunicações legítimas, estamos a pedir aos utilizadores que tomem decisões cada vez mais difíceis. O problema tornou-se estrutural e a identidade ocupa agora uma posição central.

A proteção da identidade tornou-se a primeira linha de defesa. Poderá pensar que a autenticação multifatorial (MFA) deveria ser suficiente — e, até certo ponto, continua a constituir a base da proteção. No entanto, as notificações push e os códigos de utilização única têm um ponto vulnerável. Os ataques sofisticados de adversário no meio (AiTM) conseguem intercetar, em tempo real, tanto as palavras-passe como os códigos de autenticação, posicionando-se entre o utilizador e o site legítimo. A MFA tradicional impede a maioria dos ataques. Estes ataques são diferentes.

As chaves de acesso (passkeys) eliminam essa vulnerabilidade. Enquanto método de autenticação sem palavra-passe, permitem que os utilizadores se autentiquem de uma forma muito semelhante à que utilizam para desbloquear os seus telemóveis — através da impressão digital ou do reconhecimento facial — recorrendo, nos bastidores, a uma credencial criptográfica diretamente associada ao site legítimo. Não existe nenhuma palavra-passe que possa ser roubada, nem qualquer código de autenticação que possa ser intercetado ou reutilizado. Os atacantes podem conseguir reproduzir um site na perfeição, mas não conseguem replicar a confiança criptográfica que serve de base às chaves de acesso.

As chaves de acesso tornam-se ainda mais eficazes quando combinadas com controlos de acesso baseados no risco, que avaliam cada tentativa de autenticação em função do contexto e não apenas das próprias credenciais. Quem está a iniciar sessão? A partir de onde? Em que condições? Mesmo que uma credencial seja comprometida, continuam a existir mecanismos de proteção adicionais entre o atacante e os dados críticos do seu cliente. A identidade também não existe isoladamente: está diretamente ligada aos dispositivos terminais e à rede, que constituem outras superfícies de ataque fundamentais exploradas pelos adversários.

Não se trata apenas de mais um ponto numa lista de verificação de cibersegurança. É aqui que o seu serviço se torna indispensável, em vez de facilmente substituível. Quando o controlo de acesso passa a ser o centro da segurança, o prestador responsável pela gestão das identidades dos clientes está a proteger a camada mais crítica das defesas da organização. Trata-se de um serviço estratégico — e não apenas de mais uma tarefa a cumprir.

Uma credencial pode ser hoje roubada por um infostealer e utilizada discretamente semanas mais tarde por um atacante que inicia sessão como se fosse um colaborador legítimo. Impedir que isso aconteça não exige a adição contínua de mais ferramentas de segurança, mas sim transferir o controlo para a identidade — o novo perímetro de segurança e a pedra angular de qualquer estratégia Zero Trust. É precisamente isto que o WatchGuard Zero Trust Bundle proporciona, ao reunir a segurança da rede, dos dispositivos terminais e da identidade numa abordagem unificada, permitindo aos MSP passar de uma postura reativa perante as violações de segurança dos clientes para uma atuação preventiva.