O avanço da inteligência artificial (IA) tem ampliado a sofisticação dos ataques cibernéticos, tornando as tentativas de fraude mais convincentes e difíceis de identificar. Em 2025, duas modalidades estiveram entre os principais vetores de ameaças acompanhados pela Agility, empresa especializada em infraestrutura e cibersegurança para ambientes de missão crítica: o phishing, baseado no envio de mensagens fraudulentas, e o vishing, que utiliza ligações telefônicas para enganar as vítimas.
Uma das principais mudanças observadas foi a integração dessas duas estratégias, com o emprego de ferramentas de IA para personalizar abordagens e aumentar a credibilidade dos contatos criminosos.
No caso do phishing, os antigos e-mails genéricos, frequentemente marcados por erros de português, deram lugar a comunicações mais elaboradas e direcionadas. Impulsionadas pela inteligência artificial generativa, essas mensagens são distribuídas por diferentes canais, incluindo SMS, WhatsApp, redes sociais e anúncios patrocinados.
A dimensão do problema também aparece em levantamentos da Palo Alto Networks. Relatórios da companhia sobre resposta a incidentes indicam que o phishing está entre os principais meios utilizados para obter o primeiro acesso a redes corporativas, estando relacionado à entrada de 22% a 23% das grandes violações registradas globalmente. Considerando as diferentes modalidades de engenharia social, o percentual chega a até 45% das empresas investigadas.
Já o vishing tem incorporado recursos como a falsificação de números telefônicos para imitar centrais de atendimento oficiais, além de roteiros de conversa cada vez mais convincentes. Outra ameaça é a utilização de inteligência artificial para clonar vozes, permitindo que criminosos se passem por pessoas conhecidas ou representantes de instituições para enganar funcionários e consumidores.
“Um dos padrões que mais preocupam é a combinação dos métodos: a mensagem de phishing prepara o terreno e a ligação telefônica conclui o golpe. No ambiente corporativo, isso aparece em contatos com equipes de suporte técnico para solicitar redefinições de senhas ou em abordagens que pressionam colaboradores a aprovar acessos e pagamentos. A inteligência artificial torna essas interações mais convincentes, explorando a confiança e a urgência para induzir decisões”, afirma Fabio Soto, CEO da Agility.
Apesar dos avanços do Brasil na estruturação de políticas e mecanismos de proteção digital, a adoção de medidas de segurança ainda é desigual entre as organizações. O país alcançou a classificação máxima (Tier 1) no Global Cybersecurity Index 2024, elaborado pela União Internacional de Telecomunicações (UIT), dividindo a liderança nas Américas com os Estados Unidos.
Esse desempenho, entretanto, não se traduz necessariamente em uma estrutura de proteção consolidada no ambiente empresarial. A 16ª edição da pesquisa TIC Empresas, realizada pelo Cetic.br com 4.174 organizações, identificou que 53% das companhias brasileiras possuem uma política de segurança digital. O levantamento também aponta que apenas 1% conta com cargos específicos dedicados à gestão de riscos relacionados à inteligência artificial ou à segurança digital.
Para reduzir a exposição a essas ameaças, a Agility recomenda uma estratégia que reúna ferramentas tecnológicas, procedimentos internos e treinamento das equipes. Entre as medidas sugeridas estão o monitoramento de marcas e domínios para localizar e remover páginas e perfis fraudulentos, a implementação de mecanismos mais robustos de autenticação e a adoção de etapas adicionais de confirmação para solicitações consideradas sensíveis.
A capacitação contínua dos funcionários também é apontada como parte fundamental da prevenção. Embora soluções tecnológicas consigam barrar uma parcela significativa das tentativas de invasão, os ataques de engenharia social exploram justamente a confiança e o comportamento das pessoas.
Nesse contexto, segundo Fabio Soto, as empresas precisam combinar o fortalecimento das defesas digitais com processos de validação capazes de evitar que decisões tomadas sob pressão ou diante de contatos aparentemente legítimos acabem abrindo caminho para fraudes.
