Deepfakes e mais: como a inteligência artificial é usada pelo cibercrime

A inteligência artificial (IA) está presente em várias situações do nosso dia a dia – desde o uso de aparelhos smart e assistentes de voz como Siri e Alexa até o corretor ortográfico do celular. Usada para facilitar a vida das pessoas, a tecnologia também pode se transformar em uma poderosa arma nas mãos do cibercrime. Um dos usos mais comuns da inteligência artificial por criminosos é na elaboração de vídeos ou áudios deepfake para dar mais credibilidade a golpes de engenharia social – mas este não é o único.

Além dos deepfakes, golpistas também usam a IA para aperfeiçoar golpes de phishing e quebrar senhas. Durante o 7º Fórum ESET de Segurança Cibernética, que aconteceu nos dias 25 e 26 de outubro, a pesquisadora de segurança Sol Gonzales detalhou como a tecnologia já opera a serviço dos cibercriminosos. O TechTudo esteve presente no evento e, nas linhas a seguir, explica como a inteligência artificial pode atuar como aliada de crimes virtuais.

1. Deepfakes

Os vídeos deepfake, que usam inteligência artificial para fazer com que pessoas afirmem e façam coisas que nunca fizeram na vida real, têm sido muito usados na propagação de fake news e preocupado especialistas em desinformação em todo o mundo. Quando combinados a táticas de engenharia social, eles podem ser preocupantes também para a segurança digital.

Conteúdos com deepfake poderiam deixar golpes como o do falso sequestro muito mais sofisticados. Usando softwares de inteligência artificial, criminosos conseguiriam gerar vídeos ou áudios falsos para induzir uma vítima a achar que um familiar está em uma emergência e precisa, por exemplo, dos seus dados bancários para fazer um saque.

Deepfake com lipsync faz vítima dizer qualquer coisa em vídeo

Episódios do tipo já estão acontecendo: em agosto de 2019, criminosos usaram um programa especializado para clonar a voz e se passar por um CEO alemão, dono de uma empresa de energia no Reino Unido. A fraude envolvendo deepvoice gerou um prejuízo de € 220 mil (cerca de R$ 1,1 milhão, na cotação da época) à companhia.

2. Spear phishing

Em geral, a maior parte das campanhas de phishing seguem a tática “spray and pray” (pulverizar e orar, em tradução livre): os golpistas enviam as mensagens para milhares ou milhões de usuários ao mesmo tempo, sem critério definido para seleção dos alvos. Mesmo que só uma pequena porcentagem dos destinatários caia no golpe, os criminosos ainda terão lucro.

Inteligência artificial também é usada para aprimorar golpes de phishing por e-mail 

Existe, entretanto, uma modalidade mais estratégica e eficaz da fraude: o spear phishing. Nela, os criminosos usam aprendizado de máquina para prever quais usuários, dentro de determinado banco de dados, são mais suscetíveis a cair no golpe e, assim, otimizar o perfil das vítimas. Com o apoio da inteligência artificial, os golpistas conseguem enviar campanhas direcionadas e criar mensagens mais convincentes.

3. Malwares inteligentes que interferem no aprendizado de máquina

Malwares capazes de enganar sistemas de reconhecimento facial para conceder a criminosos acesso a Serviços Secretos podem até parecer coisa de filme de ficção científica, mas não estão tão distantes assim da realidade. Segundo Sol Gonzales, pesquisadora de segurança da ESET, é possível treinar malwares inteligentes, capazes de desafiar os mecanismos de segurança.

A especialista explica que os criminosos podem, por exemplo, envenenar modelos de aprendizado de máquina durante a fase de treinamento, seja com o objetivo de causar mau funcionamento ou de permitir que o hacker controle as predições do algoritmo. Para isso, o atacante insere dados incorretos ou com rótulos incorretos no conjunto de treinamento dos modelos, para que eles aprendam padrões errados.

Assim, um hacker poderia infectar um modelo de reconhecimento de softwares maliciosos rotulando malwares como programa legítimos e fazendo com que o sistema não rejeite a ameaça em questão. Em uma escala maior, atacantes poderiam contaminar softwares de reconhecimento facial para identificação de criminosos, de modo que o programa passe a rotular culpados como inocentes.

4. Quebra de senhas

A inteligência artificial também pode ser usada como aliada do cibercrime na quebra de senhas. Em 2017, pesquisadores criaram um programa que, usando aprendizado de máquina, é capaz de gerar senhas realistas com base no comportamento humano. Batizado de PassGAN, o software conseguiu adivinhar mais de 25% de um conjunto de 43 milhões de senhas vazadas de perfis do LinkedIn.

O programa usa duas redes neurais: a primeira é responsável por criar palavras-chaves artificiais. Após ser alimentado por senhas reais obtidas em vazamentos de dados, o software aprende a forma como os seres humanos criam os códigos (adicionando o seu ano de nascimento ao nome do seu primeiro bichinho de estimação, por exemplo) e gera novas senhas com base nesse comportamento.

Inteligência artificial é usada na quebra de senhas

A segunda rede neural tem a função de distinguir as palavras-chave criadas pela inteligência artificial das senhas criadas pelos humanos. Se ela não conseguir distinguir os códigos, isso significa que o PassGAN foi bem-sucedido em sua missão. Ao mesmo tempo em que pode ser usada por empresas em testes de penetração, para garantir que as senhas dos funcionários são seguras, a tecnologia também pode ser empregue por cibercriminosos para violar contas.