Como a IA generativa mudou o phishing: e-mails perfeitos, sem erro

Por anos, o conselho número um contra phishing foi simples: desconfie de e-mail com erro de português, formatação estranha ou tradução mal feita. Esse conselho ainda vale — mas cada vez menos. Desde o final de 2022, pesquisadores de segurança registraram um aumento de 1.265% em e-mails de phishing maliciosos, coincidindo diretamente com a popularização de ferramentas de IA generativa capazes de escrever texto fluente em qualquer idioma.

O que mudou, na prática

Por que o phishing gerado por IA é mais perigoso?

Ferramentas de IA generativa eliminam o erro de gramática e o tom estranho que historicamente denunciavam phishing, produzindo e-mails com tom profissional, estrutura clara e linguagem natural — tornando o golpe muito mais difícil de identificar à primeira vista. Um estudo comparando e-mails de phishing escritos por humanos e por ChatGPT encontrou taxa de clique de até 81% nos e-mails gerados por IA — praticamente equivalente, ou até superior, aos escritos por golpistas experientes.

O que a IA generativa consegue automatizar no ataque

• Texto do e-mail — tom, formalidade e vocabulário ajustados ao contexto (banco, RH, fornecedor), sem os erros que antes denunciavam tradução automática malfeita.
• Personalização em escala — com dados públicos da vítima (LinkedIn, redes sociais), a IA consegue gerar variações do mesmo golpe endereçadas a centenas de pessoas diferentes, cada uma parecendo escrita sob medida.
• Clonagem de site — páginas de login falsas visualmente idênticas às originais, geradas rapidamente a partir do código-fonte público do site real.
• Ofuscação de código — scripts maliciosos reescritos automaticamente para escapar de filtros baseados em assinatura conhecida.

Esse pacote completo é exatamente o que ferramentas como WormGPT e FraudGPT vendem como serviço na dark web — phishing como produto, sem exigir conhecimento técnico do comprador.

Os sinais que ainda funcionam (e os que pararam de funcionar)

Pararam de funcionar como indicador único: erro de português, tradução robótica, formatação capenga. Um e-mail bem escrito não é mais garantia de legitimidade.

Ainda funcionam:

• Domínio do remetente — verificar o endereço completo, não só o nome exibido, continua sendo o teste mais confiável.
• Urgência artificial — "sua conta será bloqueada em 24h", "confirme agora ou perca acesso" é padrão de manipulação psicológica que a IA não elimina, porque é parte da estratégia do golpe, não um erro de redação.
• Link não bate com o texto — passar o mouse sobre o link (sem clicar) e comparar com o texto exibido continua expondo boa parte das tentativas.
• Pedido fora do padrão — solicitação de dado sensível, senha ou pagamento por um canal que a empresa normalmente não usa.

Esses sinais complementam o que já cobrimos no guia geral de como identificar phishing por e-mail — a diferença agora é que o sinal de "texto mal escrito" saiu da lista de prioridades.

Autenticação continua sendo a rede de segurança

Mesmo com um e-mail perfeito e uma página de login idêntica ao original, o golpe só é bem-sucedido se a vítima realmente digitar a senha no lugar errado. Ativar autenticação de dois fatores reduz drasticamente o dano mesmo quando o phishing engana — porque o criminoso ainda precisa do segundo fator, que normalmente não está acessível a quem só roubou a senha. Veja como configurar no guia de autenticação de dois fatores.

A defesa se deslocou do texto para o contexto

A conclusão prática é que a qualidade da escrita deixou de ser um critério confiável de segurança. O que continua sendo confiável é perguntar: eu esperava esse e-mail? O remetente bate exatamente com o domínio oficial? Existe pressão artificial de tempo? Se a resposta a qualquer uma dessas perguntas for "não" ou "sim" no sentido errado, o e-mail bem escrito merece mais desconfiança, não menos.

O phishing gerado por IA é um dos seis golpes reunidos no guia completo dos golpes com IA mais comuns no Brasil, ao lado do golpe de voz clonada, do deepfake em vídeo e da fraude corporativa por videochamada.