Guillem Alsina Gonzàlez
Num exercício que, por enquanto, é meramente teórico, a especialista indiana em cibersegurança Er. Kritika, explica no blog da ISACA (Associação de Auditoria e Controlo de Sistemas de Informação, organização que promove o desenvolvimento de metodologias e certificações para a realização de atividades de auditoria e controlo em sistemas de informação, incluindo o âmbito da cibersegurança) o que se define como neurophishing, e que podemos explicar rapidamente como o uso de dados biométricos em tempo real, combinado com inteligência artificial, para permitir que os cibercriminosos modifiquem em tempo real os truques de phishing para aplicar a máxima pressão psicológica na vítima.
O texto de Kritika situa a transição do phishing tradicional para o neurophishing como uma evolução que aproveita os modelos de linguagem de IA generativa e sinais psicofisiológicos para influenciar em tempo real as decisões da vítima, embora seja algo que, pelo menos por enquanto, se encontra numa fase teórica, tendo em conta que não há casos documentados de uso de neurophishing para realizar um ciberataque, o que também não exclui a possibilidade de que técnicas relacionadas com essa prática tenham sido utilizadas (apenas que ainda não sabemos).
Até há algum tempo, o phishing era, em muitos casos, facilmente identificável graças a mensagens de e-mail que continham erros graves ou urgências mal dissimuladas. Mas, hoje em dia, com a IA, os atacantes podem obter um produto de alta qualidade e até vídeos deepfake muito bons com os quais se fazem passar por executivos de uma empresa para criar mensagens mais credíveis. O texto também cita que os fornecedores de segurança estão a registar ritmos crescentes de tentativas automatizadas de ciberataques.
Um ataque de neurophishing observa a reação da vítima em vários parâmetros biométricos para ajustar a pressão psicológica sobre ela em tempo real, passando de um isco estático para um ciclo de retroalimentação cognitiva que transforma o utilizador num alvo interativo.
Por exemplo, uma forma de ler o ritmo cardíaco da vítima para saber se ela está alterada e até que ponto é hackear a pulseira de atividade ou smartwatch que ela usa. A interferência da webcam para poder ver imagens em tempo real dessa pessoa diante do computador permite que uma IA interprete rapidamente os microgestos que ela realiza involuntariamente e, com isso, saiba em que ponto de stress ela pode estar.
A partir do conhecimento desses parâmetros, é possível enviar e-mails, mensagens SMS ou até mesmo simular uma chamada telefónica de um superior por meio de uma voz manipulada por IA.
Da mesma forma, a análise do movimento do ponteiro do rato pode ser facilmente realizada por meio de uma extensão do navegador instalada de forma sub-reptícia, da mesma forma que é possível analisar as teclas digitadas no teclado.
O artigo enquadra esta prática numa convergência entre inteligência artificial, ciência comportamental e neurotecnologia.
As implicações desta prática (lembre-se que, por enquanto, meramente teórica) transcendem o âmbito corporativo e atingem a segurança nacional, sublinha o texto, ao introduzir o conceito de «soberania cognitiva» como prioridade estratégica. Alerta-se para os riscos para a integridade dos processos eleitorais, a coesão social e a estabilidade das comunicações de defesa e relações diplomáticas.
O problema que isso pode gerar é agravado pela escassez de normas ou políticas globais especificamente orientadas para a manipulação psicológica online e pela natureza transfronteiriça desses ataques, que não respeitam limites físicos ou digitais tradicionais.
A sua deteção e atribuição são especialmente complexas, uma vez que não envolvem necessariamente código malicioso nem deixam vestígios técnicos evidentes, pelo que não são detetáveis pelos controlos de cibersegurança centrados na integridade dos dados ou no acesso. Os efeitos residuais são cognitivos e não auditáveis e, além disso, evoluem constantemente, o que dificulta a demonstração de intencionalidade maliciosa.
Como roteiro, a autora propõe avançar para uma «barreira cognitiva» que combine ética da IA, literacia digital, neurociência e psicologia comportamental. Esta abordagem multidisciplinar procura identificar sinais de manipulação emocional, sensibilizar os utilizadores para as suas vulnerabilidades cognitivas e estabelecer diretrizes sobre como as tecnologias de IA devem influenciar o comportamento.
O texto também apela à cooperação entre empresas tecnológicas, administrações e especialistas para estabelecer marcos que protejam a liberdade de pensamento e, paralelamente, um debate internacional que regule o uso de neurotecnologias e evite a sua instrumentalização em campanhas de influência ou conflito psicológico.
A cibersegurança tem de ampliar o seu perímetro, passando dos dispositivos e dados para a mente humana, com a soberania cognitiva como novo eixo estratégico.
