Phishing com inteligência artificial (phishing com IA)

O que significa phishing com inteligência artificial?

É o phishing de sempre, a mensagem falsa que tenta roubar dados ou dinheiro, agora feito com ajuda de IA.

Phishing é o golpe em que alguém se passa por uma pessoa ou instituição confiável para levar você a clicar num link, abrir um anexo, informar uma senha ou mudar dados bancários. Quando chega por SMS, o nome é smishing. Deepfake é um vídeo, foto ou áudio gerado ou alterado por IA para imitar alguém real.

O que a IA muda é a qualidade e a escala. Em 16 de outubro de 2026, o FBI e a CISA afirmaram que criminosos usam IA para produzir campanhas de phishing maiores, mais eficientes e mais convincentes. O alerta registra aumento de tentativas de smishing em aplicativos de conversa criptografados no último ano.

Em 5 de novembro de 2026, o U.S. Postal Inspection Service alertou que golpistas usam IA para criar e-mails, textos, mensagens de voz clonadas e vídeos deepfake. A agência citou golpes de investimento, criptomoedas, suporte técnico, romance e falsos pedidos urgentes de amigos ou familiares.

Como o phishing com IA aparece no e-mail, no SMS e no WhatsApp?

E-mail. A IA gera mensagens com gramática e ortografia perfeitas. Também imita o estilo de uma empresa ou pessoa e usa informações públicas sobre você para personalizar o texto. A CISA avisa que erros de escrita deixaram de ser um sinal confiável de fraude.

SMS. Os exemplos mais comuns são aviso falso de banco, entrega de pacote, problema com a conta, cobrança ou reembolso, e link para "confirmar" identidade. Em 13 de fevereiro de 2026, a FTC informou que a personificação de bancos era o golpe por mensagem de texto mais denunciado na sua análise mais recente. A APWG registrou alta de 40% no smishing entre o primeiro e o segundo trimestre de 2026.

WhatsApp e outros aplicativos. Em 2 de março de 2026, o USPS alertou que golpistas usam IA para compor textos, clonar vozes e criar fotos parecidas com as reais. Um sinal de alerta é o pedido para continuar a conversa no WhatsApp, no Telegram ou num e-mail privado, porque isso pode tirar você da proteção e dos mecanismos de denúncia da plataforma original. FBI e CISA também relataram campanhas contra contas de aplicativos de mensagens como WhatsApp e Signal, com atualização conjunta em 24 de junho de 2026.

O tamanho do problema. Segundo a APWG, os ataques de phishing cresceram 10,1% no segundo trimestre de 2026, e só junho teve 425.808 ataques, o maior total mensal desde abril de 2023.

Quais são as confusões comuns sobre phishing com IA?

"Se está bem escrito, é verdadeiro." Não é. A escrita correta não comprova autenticidade. Hoje, os sinais mais úteis são de comportamento:

• urgência ("pague agora", "sua conta será encerrada hoje");
• pedido de segredo ou para não confirmar com família, banco ou empresa;
• pedido para mudar de canal;
• link inesperado ou domínio parecido com o verdadeiro;
• pagamento difícil de reverter: transferência, criptomoeda, cartão-presente;
• pedido de código recebido por SMS, WhatsApp ou aplicativo autenticador;
• voz, foto ou estilo conhecidos, mas sem verificação: podem ter sido gerados ou clonados por IA.

"Todo phishing bem feito foi gerado por IA." As fontes de 2026 confirmam a tendência e os métodos. Elas não permitem dizer que cada mensagem convincente veio de IA. Os números da APWG, por exemplo, não atribuem cada ataque ao uso de IA.

"Um detector de texto de IA resolve." Não há, nas fontes oficiais consultadas, medição pública confiável que mostre qual detector identifica melhor textos gerados por IA. A proteção que funciona é verificar por conta própria.

Como verificar (orientação verificada em nov/2026):

• Abra o aplicativo oficial ou digite o endereço conhecido. Não use o link recebido.
• Ligue para o número no verso do cartão ou para o número do site oficial.
• Confirme pedidos de dinheiro ou emergência por outro canal que você já conhecia.
• Não compartilhe senha, PIN, código de uso único, número de Seguro Social ou dados bancários.
• Denuncie à plataforma e à FTC. Incidentes cibernéticos também podem ser reportados ao IC3 do FBI.
• Se houver risco imediato de perda, ligue para o banco ou emissor do cartão para bloquear a transação.