Marc Sureda
As emoções humanas, como a ansiedade, permanecem no centro das estratégias destes agentes maliciosos. De acordo com o novo relatório 2025 Human Factor Report: Social Engineering, publicado pela Proofpoint, a exploração de reações emocionais imediatas continua a ser um vetor de ataque fundamental para levar as vítimas a transferirem dinheiro, partilharem informações confidenciais ou instalarem software malicioso.
A investigação da Proofpoint baseia-se num dos maiores conjuntos de dados do sector, analisando mais de 3,4 mil milhões de mensagens de correio eletrónico, 21 mil milhões de URLs, 800 mil milhões de anexos e 1,4 mil milhões de SMS suspeitos por ano, entre outros dados. A partir destas análises, conclui-se que as pessoas que respondem de forma impulsiva a mensagens emocionalmente carregadas têm maior probabilidade de serem vítimas de fraude.
Ameaças em expansão e táticas em evolução
Uma das tendências mais relevantes destacadas no relatório é a proliferação de ameaças através de múltiplos canais. Um exemplo é o aumento dos ataques TOAD (Telephone-Oriented Attack Delivery), em que os atacantes recorrem a técnicas de telemarketing para manipular as vítimas. A Proofpoint bloqueia, anualmente, 117 milhões destas tentativas, que conseguem contornar as defesas tradicionais por não incluírem links ou anexos maliciosos.
Outra transformação significativa é o crescimento dos esquemas conhecidos como pig butchering, tradicionalmente associados a burlas românticas. Em 2024, estes esquemas evoluíram para armadilhas de falsas ofertas de emprego, gerando um aumento de 40% nas receitas dos criminosos e perdas estimadas em 3,9 mil milhões de dólares. Apesar do aumento no número de vítimas, o valor médio depositado diminuiu, o que indica um foco em fraudes de menor valor dirigidas a um público mais vasto.
Impacto da IA generativa e mudanças na manipulação psicológica
A inteligência artificial generativa está a desempenhar um papel cada vez mais importante na sofisticação das fraudes. Permite aos atacantes criar conteúdos personalizados e em múltiplas línguas, expandindo o seu alcance a diferentes regiões. Apesar disso, os especialistas da Proofpoint salientam que a deteção deve centrar-se nos padrões de ataque e não na sua autoria, seja humana ou automatizada.
O relatório destaca ainda uma mudança nas campanhas de phishing patrocinadas por Estados: cerca de 25% destas ações começam com mensagens aparentemente inofensivas, cujo objetivo é estabelecer confiança antes de abordarem questões geopolíticas sensíveis. Cerca de 90% destas mensagens fingem interesse em colaboração ou cooperação, utilizando estratégias de psicologia social em vez de explorarem vulnerabilidades técnicas.
Da ameaça ao engano: novas tendências na fraude digital
Outro dado relevante do estudo da Proofpoint é o aumento de 47% nos casos de fraude por pagamento antecipado (AFF), enquanto os casos de extorsão registaram uma queda de 68%. Esta evolução reflete uma mudança nas táticas dos atacantes: a sedução e a persuasão estão a substituir o medo como principal ferramenta de manipulação.
A essência de todas estas ameaças, independentemente do canal ou método utilizado, reside num objetivo comum: levar o utilizador a reagir de alguma forma. Dado que os fatores técnicos são, na maioria dos casos, menos determinantes do que os humanos, a Proofpoint defende uma estratégia de defesa centrada nas pessoas. Esta deve combinar deteção baseada em IA, proteção contra personificação, fluxos de trabalho automatizados e programas de sensibilização para a cibersegurança, suportados por inteligência de ameaças atualizada.
