Comprometimento de email empresarial: como a IA muda os ataques BEC e como preveni-los

Comprometimento de e-mail empresarial: Como ataques personalizados por IA miram pessoas específicas

BEC frequentemente não precisa de malware, exploit ou anexo suspeito. Em ataques de personificação, o atacante precisa de um domínio parecido ou endereço falsificado e alguém disposto a agir conforme a mensagem. Em account takeover, o atacante acessa uma caixa de correio real, às vezes por meio de malware que rouba informações ou kits de phishing que capturam sessões de login, e escreve a partir de uma conta confiável. A IA torna ambos mais baratos de criar e fáceis de repetir em centenas de alvos ao mesmo tempo.

O que é business email compromise?

Em um golpe BEC, o atacante se passa por alguém em quem a vítima confia: um executivo, um fornecedor, um colega de trabalho. O objetivo é dinheiro, credenciais ou dados. Alguns ataques usam domínios falsificados ou semelhantes. Outros comprometem contas de e-mail, onde o atacante acessa uma caixa de entrada real e escreve a partir dela. Essa versão é mais difícil de detectar. A mensagem vem do endereço genuíno, frequentemente dentro de uma conversa existente.

Exemplos comuns de ataques BEC

Quatro padrões aparecem repetidamente.

• Fraude em faturas de fornecedores: Um invasor com acesso à caixa de entrada de um fornecedor responde a uma conversa real de fatura com dados bancários atualizados. Contas a pagar vê um remetente familiar em uma conversa conhecida, e o pagamento vai para o invasor.
• Imitação executiva: Uma mensagem que parece vir do CEO pede a um funcionário financeiro uma transferência urgente e desencoraja chamadas de acompanhamento.
• Desvio de folha de pagamento: Alguém se passando por funcionário solicita ao RH a alteração dos dados do depósito direto.
• Sequestro de thread: Com uma conta comprometida, o atacante lê as conversas em andamento e espera o momento certo para intervir.

Como a IA muda a fraude BEC

O BEC tradicional dependia de esforço manual. Os atacantes pesquisavam uma empresa, identificavam quem aprova os pagamentos e escreviam cada mensagem à mão. Isso mantinha o volume baixo e limitava quantos alvos um atacante podia atingir. A IA muda a economia em cada etapa.

Muitos executivos, sem pausas

O BEC direcionado a executivos costumava ser manual. Um atacante escolhia um executivo, ou dois, e continuava tentando até que o alvo respondesse ou o atacante desistisse. Cada tentativa consumia tempo, então as listas de alvos permaneciam curtas.

Com IA, um atacante pode criar uma lista de centenas de contatos C-level e finanças seniores, gerar uma mensagem distinta para cada um e continuar enviando sem parar. Ignorar um resulta em um acompanhamento com um pretexto diferente. A automação rastreia quem respondeu, quem não respondeu e o que tentar a seguir. Executivos geralmente têm amplo acesso, então um sucesso pode alcançar aprovações de pagamento, materiais do conselho e dados sensíveis.

Pesquisa em escala organizacional

Sites da empresa, comunicados de imprensa, vagas de emprego e perfis em redes profissionais revelam nomes, cargos, linhas de reporte e relações com fornecedores. Ferramentas automatizadas coletam essas informações para toda a empresa em minutos. Se o invasor já controla uma caixa de correio, a caixa de entrada adiciona nomes reais de projetos, números de faturas e a forma como os colegas realmente se comunicam.

Texto que corresponde ao remetente

Um modelo de linguagem pode ler algumas dezenas de e-mails de uma conta comprometida e reproduzir a saudação, a despedida e o comprimento das frases do remetente. A saída é um texto limpo e fluente no idioma que o alvo lê. Erros ortográficos e frases estranhas costumavam ser os sinais de alerta padrão. Eles estão desaparecendo.

Temporização de dentro da thread

Um modelo pode resumir um longo tópico e identificar o momento importante: uma fatura aprovada, uma transferência pendente, uma renovação de contrato. A mensagem do atacante chega enquanto uma conversa sobre pagamento já está em andamento, momento em que os novos dados bancários parecem rotineiros.

Ataques de credenciais mais rápidos

A tomada de conta é o que torna possível o sequestro de threads, e a IA também acelera isso. Nomes, animais de estimação, aniversários e empregadores extraídos de perfis públicos alimentam geradores de suposições que produzem senhas prováveis para uma pessoa específica. Credenciais violadas são testadas em várias contas em sequência, e a automação lida com as tentativas repetidas.

Lado a lado:

O comprometimento da conta de email começa com as credenciais

Domínios semelhantes podem ser bloqueados ou sinalizados. Uma conta real tomada é mais difícil de detectar porque o remetente é legítimo. A maioria das tomadas começa com uma credencial: uma senha reutilizada de um site violado, uma frase secreta criada a partir de dados pessoais ou um login compartilhado salvo em uma planilha que dezenas de pessoas podem abrir.

Executivos enfrentam riscos maiores porque os atacantes persistem. Uma senha fraca ou reutilizada pode resistir a algumas tentativas. Milhares é outra história.

Uma vez dentro, os atacantes leem e-mails, procuram palavras como "invoice", "wire" e "payment" e definem regras que ocultam sua atividade. Uma regra de encaminhamento, ou uma regra que move respostas para uma pasta obscura, pode manter o verdadeiro proprietário sem saber por semanas.

Prevenção de BEC: Fortaleça a camada de senha

Filtragem de e-mails e treinamento de usuários são importantes. Dois controles na camada de credenciais reduzem as chances de que uma senha roubada ou reutilizada comprometa uma caixa de correio.

Netwrix Password Policy Enforcer vai muito além das regras nativas de complexidade do Active Directory. Verifica novas senhas contra listas de vazamentos como Have I Been Pwned, bloqueia palavras de dicionário e padrões previsíveis, e aplica políticas diferentes para usuários, grupos e OUs distintos. O feedback em tempo real explica por que uma senha foi rejeitada, para que as pessoas possam escolher uma mais forte na hora. Como as políticas podem ser atribuídas por grupo, executivos e equipes financeiras podem ter uma política mais rígida que os demais.

Netwrix Password Secure cobre credenciais que as políticas centrais/AD não alcançam: logins de caixas de correio compartilhadas, portais de fornecedores, contas privilegiadas. Ele as armazena em um cofre criptografado, concede acesso por função e suporta fluxos de aprovação para contas sensíveis. Cada acesso é registrado, e MFA adiciona outra verificação no vault propriamente dito. As credenciais saem de planilhas e conversas, e você obtém um registro de quem usou o quê e quando.

Netwrix Data Classification mostra quais caixas de correio e repositórios contêm o conteúdo mais sensível, para que você saiba o que uma única conta comprometida poderia alcançar.

Lista de verificação para prevenção de comprometimento de e-mail empresarial

1. Implemente uma password policy que bloqueia senhas comprometidas, de dicionário e previsíveis, com uma versão mais rigorosa para executivos e equipes financeiras.
2. Transfira logins compartilhados e privilegiados das planilhas para um cofre com acesso baseado em função.
3. Exija MFA resistente a phishing em email, sistemas financeiros e no vault.
4. Verifique qualquer alteração nos dados bancários ou instruções de pagamento por meio de um canal separado, como uma chamada para um número conhecido.
5. Audite as regras de encaminhamento e da caixa de entrada, e revise a atividade de login para caixas de correio de finanças, RH e executivos.
6. Diga às pessoas que mensagens escritas por IA são lidas com clareza. Erros de digitação não são mais o principal sinal de alerta.