A inteligência artificial revolucionou o phishing, tornando as blocklists ineficazes. Entenda como os ataques evoluíram e as novas estratégias para proteger seu site empresarial contra ameaças sofisticadas.
IA e Phishing: Por Que as Blocklists Não São Mais Suficientes para Seu Site
Se você é dono de empresa, gestor de marketing ou profissional que cuida do site, precisa saber: a inteligência artificial (IA) mudou as regras do jogo no combate ao phishing. Por anos, as blocklists – listas de domínios maliciosos conhecidos – foram uma ferramenta fundamental de defesa. No entanto, a velocidade e a sofisticação dos novos ataques tornaram essa abordagem praticamente obsoleta. A IA permitiu que cibercriminosos criem infraestruturas de phishing descartáveis e ferramentas que evoluem rapidamente, deixando as defesas tradicionais para trás. Entender essa mudança é crucial para garantir a segurança do seu site e dos dados da sua empresa.
A Morte das Blocklists: Ataques Descartáveis e Rápidos
Mesmo antes da IA, as blocklists já vinham perdendo terreno. Domínios de phishing tinham vida útil cada vez mais curta e campanhas queimavam a infraestrutura rapidamente. A inteligência artificial, no entanto, acelerou esse processo, tornando-o insustentável para as defesas baseadas em indicadores conhecidos.
- Páginas de Phishing em Minutos: Atacantes usam IA para gerar páginas de phishing a partir de capturas de tela em questão de minutos, criando front-ends convincentes com códigos únicos que dificultam a análise estática.
- Infraestrutura Descartável: A infraestrutura maliciosa é criada e derrubada mais rápido do que qualquer blocklist consegue rastrear. Cerca de 89% dos domínios de phishing ficam ativos por menos de dois dias, e apenas 6,5% sobrevivem mais de 15 dias.
- Evolução Constante: As ferramentas e kits de phishing evoluem em um ritmo que torna a detecção baseada em indicadores funcionais inútil. Quando um domínio finalmente entra em uma blocklist, a campanha já mudou e a infraestrutura foi substituída.
Isso significa que, se a principal defesa do seu site contra ataques como phishing AiTM, phishing de código de dispositivo, ClickFix e malvertising ainda depende de indicadores conhecidos, você está sempre dois passos atrás. Os ataques modernos são projetados para serem descartáveis desde o início, com os criminosos proativamente derrubando páginas e criando novas para evitar a detecção.
Dificuldade de Análise e Abuso de Plataformas Confiáveis
Além da velocidade, os atacantes estão tornando a análise da infraestrutura mais complexa. Eles combinam plataformas de hospedagem confiáveis – como Cloudflare Workers, Railway, Vercel, Microsoft Dynamics, SharePoint, Adobe, Google Firebase, Google Sites, Jotform, Linode, Azure, Cloudflare, Atlassian e muitas outras – com proteção contra bots, verificações de triagem e cadeias complexas de redirecionamento. O objetivo é filtrar pesquisadores e scanners automatizados.
A Push Security, por exemplo, detecta que 95% dos ataques no navegador utilizam alguma forma de proteção contra bots, frequentemente combinada com verificações de referenciador e impressões digitais do navegador. Isso significa que a página que um crawler vê e a página que uma vítima real vê são frequentemente diferentes. Além disso, a reputação de domínio de plataformas legítimas é abusada através de recursos de compartilhamento de chatbots de IA, posicionamento de anúncios de busca e mensagens em aplicativos, fazendo com que nenhuma blocklist os sinalize.
A Fragmentação das Ferramentas de Ataque
Por muito tempo, o fingerprinting de kits de phishing – detectando sua estrutura JavaScript, padrões HTML e assinaturas de código – ofereceu uma superfície de detecção mais durável. No entanto, essa camada também está se desintegrando. O ecossistema de kits de phishing se fragmenta rapidamente devido a:
- Forks e Desenvolvimento Assistido por IA: Kits são copiados e modificados com a ajuda de IA, criando novas variantes em ritmo acelerado.
- Compartilhamento de Código: A proliferação de código estilo open-source acelera a criação de novos kits.
O phishing de código de dispositivo é um exemplo claro. De uma adoção inicial em campanhas ligadas à Rússia em 2024, ele explodiu em 2026, com mais de 25 kits criminosos distintos. Kits de PhaaS (Phishing as a Service) como EvilTokens (atingindo mais de 340 organizações em suas primeiras cinco semanas), Kali365, ARToken, DEBULL e Forg365, entre outros, oferecem essa capacidade. Mesmo fornecedores estabelecidos de AiTM, como Tycoon 2FA, adicionaram o phishing de código de dispositivo. Esses kits são frequentemente controlados por painéis de administração operados por atacantes, que dão controle total sobre a carga útil e quando ela é entregue, muitas vezes em conjunto com engenharia social baseada em voz e ativando a página maliciosa apenas quando um administrador a acessa. Para entender mais sobre a importância de proteger seu site, confira nosso artigo sobre Falhas de Segurança que Podem Comprometer Seu Site Empresarial.
O Que Realmente Funciona: Detecção Baseada em Técnicas
A inovação genuína em técnicas de ataque ainda exige criatividade humana. Um atacante precisa identificar uma lacuna em um protocolo ou recurso legítimo e operacionalizá-la. Esse tipo de inovação não foi automatizado, e as detecções construídas em torno de como essas técnicas funcionam podem sobreviver à rotação de infraestrutura, proliferação de ferramentas e fragmentação de kits.
Considere o phishing Adversary-in-the-Middle (AiTM). Kits como Tycoon, Sneaky 2FA e Evilginx implementam fundamentalmente a mesma técnica de interceptação: proxy a sessão da vítima através de infraestrutura controlada pelo atacante, retransmitindo credenciais e tokens MFA em tempo real para capturar a sessão autenticada. As interfaces variam e a infraestrutura rotaciona, mas a mecânica comportamental da interceptação é constante.
O ClickFix segue uma lógica similar. Seja a isca um CAPTCHA falso, uma atualização de navegador falsa ou um diálogo de erro falso, a técnica subjacente é a mesma: injetar comandos maliciosos na área de transferência do usuário e instruí-lo a colar e executar a carga útil. A embalagem de engenharia social muda, mas a assinatura comportamental não. Para garantir que seu site esteja sempre à frente, é crucial ter uma base sólida em Deploy na Produção: O Que Acontece nos Bastidores e Por Que Seu Site Empresarial Precisa de um Processo Robusto.
Detectar no nível da técnica foca no que é mais difícil para os atacantes mudarem: a mecânica do ataque em si. No entanto, isso exige duas coisas que a maioria dos programas de detecção não possui:
- Visibilidade da Sessão do Navegador: É preciso visibilidade onde esses ataques realmente são executados. Interceptação AiTM, manipulação da área de transferência ClickFix, abuso de consentimento OAuth – essas técnicas ocorrem dentro das sessões do navegador, onde proxies de rede veem tráfego criptografado e EDR (Endpoint Detection and Response) não vê nada.
- Velocidade de Pesquisa: A janela entre a descoberta da técnica e a industrialização em kits criminosos está se comprimindo. O phishing de código de dispositivo levou cerca de um ano para passar de uma novidade de estado-nação para um recurso PhaaS comum. Defensores que conseguem extrair uma assinatura comportamental e implantar uma detecção antes da comoditização têm uma vantagem estrutural.
O Exemplo Prático: Detecção de Redirecionamento OAuth
Um exemplo prático demonstra a eficácia da detecção baseada em técnicas. Recentemente, a Microsoft publicou uma pesquisa sobre uma nova técnica que usava redirecionamentos de tratamento de erros OAuth como mecanismo de entrega de phishing. Isso explorava o comportamento de redirecionamento compatível com padrões para rotear usuários de domínios de provedores de identidade confiáveis para páginas controladas por atacantes.
Do ponto de vista da filtragem de URL, o link inicial carregava a reputação de domínio de login.microsoftonline.com. No entanto, a Push Security, utilizando agentes de IA para caça a ameaças, extraiu a mecânica comportamental da pesquisa, não os indicadores de comprometimento (IOCs) publicados. Os agentes construíram uma detecção que visava a assinatura comportamental: o redirecionamento OAuth.
Meses depois, essa detecção acionou em uma campanha completamente diferente. Um usuário de um cliente da Push foi alvo, mas com iscas, domínios, infraestrutura e um kit de phishing nunca antes visto. A técnica subjacente era idêntica. Nenhum dos IOCs originais apareceu na cadeia de ataque. Uma abordagem baseada em blocklist teria perdido isso completamente, e uma abordagem de assinatura de ferramenta também teria falhado, pois o kit de phishing não correspondia a nenhuma amostra conhecida. A única detecção que sobreviveu foi a técnica comportamental em si. Para mais dicas sobre como a IA impacta a segurança do seu site, leia sobre Segurança do Hermes Agent: Protegendo Implementações de IA em Sites Empresariais.
O Que Isso Significa para a Segurança do Seu Site
A indústria passou décadas construindo blocklists cada vez maiores. A IA tornou essa abordagem estruturalmente obsoleta – não apenas lenta, mas arquitetonicamente incapaz de acompanhar o ritmo. O que permanece durável é a detecção comportamental no nível da técnica, construída em torno de como os ataques funcionam, em vez da infraestrutura ou das ferramentas que os implementam.
Defender-se nesse nível exige visibilidade da sessão do navegador e um pipeline de pesquisa rápido o suficiente para se manter à frente do tempo cada vez menor entre a descoberta da técnica e a adoção criminosa. Para empresas que buscam manter seus sites seguros e otimizados, é essencial considerar as implicações dessas mudanças. Quem quer um site bem feito desde o primeiro pixel e seguro contra as últimas ameaças, costuma terceirizar com agências especializadas como a UP Developer, que está sempre atualizada com as últimas tendências e tecnologias de segurança web.
Perguntas frequentes
Por que as blocklists não são mais eficazes contra phishing?
As blocklists não são mais eficazes porque a IA permite que os atacantes criem domínios e infraestruturas de phishing descartáveis em minutos, com vida útil de apenas alguns dias. Isso faz com que, quando um domínio é adicionado a uma blocklist, a campanha já tenha sido desativada e substituída por uma nova.
O que é detecção baseada em técnicas de ataque?
A detecção baseada em técnicas de ataque foca na mecânica comportamental subjacente de um ataque, em vez de indicadores específicos como domínios ou assinaturas de ferramentas. Isso permite identificar ataques mesmo quando a infraestrutura e as ferramentas mudam rapidamente.
Como a IA ajuda os cibercriminosos a criar ataques de phishing?
A IA ajuda os cibercriminosos a gerar páginas de phishing convincentes a partir de capturas de tela em minutos, criar códigos únicos que evitam a detecção estática e automatizar a rotação de infraestrutura, tornando os ataques mais rápidos e difíceis de rastrear.
Qual a importância da visibilidade da sessão do navegador na segurança?
A visibilidade da sessão do navegador é crucial porque muitos ataques modernos, como AiTM e ClickFix, ocorrem dentro do navegador. Sem essa visibilidade, é impossível detectar a mecânica comportamental das técnicas de ataque em tempo real.
Fonte: BleepingComputer
