Todos sabemos que a evolução da Inteligência Artificial, mais precisamente os LLMs (Large Language Models) como o ChatGPT, Gemini e Claude, tem moldado e impulsionado o tecido empresarial. Hoje em dia, com um computador e prompts bem orquestrados, somos capazes de produzir conteúdos e automatizar processos a uma velocidade impensável há uns anos.

Mas vivemos numa era onde a burla informática ganha cada vez mais destaque. A facilidade com que se apaga o rasto digital dá aos atacantes uma falsa sensação de segurança. E o grande problema é que estes criminosos têm agora acesso às mesmas ferramentas que nos ajudam a nós.

Ainda no outro dia, com uma pen de 5€, a mítica Huawei E1550 que muitos devem ter esquecida numa gaveta, montei uma central telefónica (um projeto que detalharei num próximo artigo). Ao configurar a infraestrutura, um pensamento ocorreu-me: isto pode ser altamente perigoso. Dá um poder incrível a um custo praticamente nulo.

A Ameaça do Clone de Voz

Hoje em dia, existem modelos peritos em clonar a voz humana e em replicar a sua cadência, bastando para isso uma amostra de poucos segundos.

Uma simples chamada comercial ou um inquérito inofensivo pode muito bem ser um atacante a tentar capturar o seu áudio. Com essa gravação, ele consegue criar um clone da sua voz. A partir daí, o atacante pode falar em tempo real usando a sua identidade vocal ou, pior ainda, recorrer a agentes de IA para orquestrar e conduzir chamadas fraudulentas sem qualquer intervenção humana.

O Plano de Ataque

Imagine que tem um anúncio de um bem de valor avultado num marketplace. O atacante finge um interesse genuíno, sem nunca levantar suspeitas. Fica com o seu número, pesquisa pelo seu nome e abre o seu perfil no Facebook ou LinkedIn. Através destas plataformas, descobre quem é a sua família, onde trabalha e os seus hábitos. O leque de opções é infindável.

Sabendo quem é o seu círculo próximo, o atacante pode ligar ao seu filho ou cônjuge. E fá-lo utilizando o seu número real (o GSM Spoofing é um problema muito real, especialmente nas velhas redes 2G). Do outro lado da linha ouve-se a sua voz, com os seus tiques de linguagem, a pedir uma transferência de dinheiro urgente, utilizando informações pessoais detalhadas. Qualquer pessoa acreditaria.

Não vou detalhar tecnicamente como se processa este ataque, pois o objetivo deste artigo é a proteção e não a criação de um manual para cibercriminosos. Mas é fundamental perceber a mecânica.

O Combustível do Ataque: OSINT

OSINT (Open-Source Intelligence) é o processo de recolha de informação através da sua pegada digital e analógica. Dados aparentemente inofensivos, como nomes de utilizador, e-mails e números de telemóvel, permitem aos atacantes mapear os serviços que utiliza, descobrir perfis escondidos e traçar um perfil comportamental extremamente preciso sobre si.

Como a IA Contorna as Próprias Regras

Pode estar a pensar: “Mas o ChatGPT e o Gemini não bloqueiam conteúdo malicioso?” Sim, têm implementado restrições rigorosas. No entanto, como em qualquer sistema generativo, há sempre falhas na interpretação da intenção.

Vejamos a perspetiva de um LLM:

Pedir para clonar a própria voz para criar um assistente pessoal é um uso legítimo.
Criar um script para automatizar chamadas com um modem 3G é legítimo (eu próprio o fiz para a minha central).
Programar um agente de IA para responder a perguntas é inofensivo.

A IA não bloqueia estes pedidos isolados. A parte complicada surge quando o atacante agarra nestes três outputs distintos e os junta fora da plataforma. Em vez de criar um sistema de produtividade legal, constrói uma máquina desenhada para enganar utilizadores através de uma voz de confiança, informação recolhida e engenharia social.

A Solução Prática

Devemos manter um olhar crítico, reduzir ao máximo a nossa pegada digital e implementar estratégias de verificação.

Crie palavras-chave ou códigos familiares para validar que quem está do outro lado é, de facto, quem diz ser. Se não tiver um código previamente combinado, faça perguntas sobre informações que não estejam em lado nenhum na Internet. Perguntar “O que almoçámos na terça-feira?” é um excelente teste, desde que nenhum dos intervenientes tenha publicado fotos dessa refeição nas redes sociais.

Se tem interesse em analisar e reduzir a sua pegada digital, ou se precisa de consultoria para blindar as comunicações da sua empresa, contacte a Gonçalo Nunes Soluções Informáticas. Teremos todo o gosto em auditar as suas vulnerabilidades e ajudá-lo a proteger-se nesta nova era digital.