Falta de verificação expõe empresas portuguesas a fraude

A maioria dos trabalhadores inquiridos em Portugal não verifica sistematicamente a identidade dos remetentes antes de responder a pedidos digitais sensíveis, apesar dos riscos associados à utilização de Inteligência Artificial (IA) em ataques de usurpação de identidade.

Segundo os dados portugueses do estudo “A lacuna de confiança cibernética: quando a familiaridade não basta na era da IA”, divulgado pela WatchGuard Technologies, 72% dos participantes nem sempre recorrem a meios independentes para confirmar a autenticidade de pedidos que envolvem dinheiro, credenciais, informação confidencial ou acesso a contas.

O inquérito, realizado junto de 512 trabalhadores de oito países, incluindo Portugal, analisou os níveis de confiança nas comunicações digitais e os comportamentos de verificação perante potenciais ameaças.

Em Portugal, 35% dos inquiridos afirmam confiar mais nas comunicações digitais do que há cinco anos, enquanto 33% dizem confiar menos e 31% mantêm o mesmo nível de confiança.

Os resultados mostram que a familiaridade com o remetente continua a influenciar as decisões dos utilizadores, mesmo num contexto em que a IA permite criar mensagens, vozes e imagens capazes de imitar pessoas conhecidas.

De acordo com o estudo, 57% dos trabalhadores portugueses já clicaram numa ligação ou abriram um anexo por parecer ter sido enviado por alguém que conheciam.

Além disso, 28% consideram que a identificação de um remetente conhecido torna um pedido digital mais credível, enquanto 33% atribuem maior credibilidade a mensagens que incluem detalhes familiares relacionados com o trabalho ou a vida pessoal.

A utilização correta da imagem de marca de uma empresa também influencia a confiança de 19% dos participantes. Em contrapartida, apenas 20% identificaram a verificação por meios independentes como um fator suficiente para confiar num pedido.

A investigação revela ainda riscos associados a mensagens que aparentam ter origem em responsáveis hierárquicos.

Cerca de 39% dos inquiridos em Portugal afirmam que provavelmente confiariam, sem verificar, numa mensagem urgente do diretor executivo a solicitar um pagamento ou uma transferência de dados. Perante uma mensagem de voz com um pedido semelhante, essa percentagem situa-se nos 37%.

Nas videochamadas, a dependência de sinais de familiaridade também é significativa. Segundo o relatório, 57% dos participantes recorreriam ao rosto, à voz ou ao nome apresentado para avaliar um pedido invulgar ou sensível.

Apenas 19% dariam prioridade à confirmação através de outro canal de comunicação ou à aplicação dos procedimentos internos da organização.

Estes comportamentos tornam-se particularmente relevantes perante a evolução dos deepfakes, que permitem reproduzir características visuais e vocais de pessoas reais e podem ser utilizados para tornar mais convincentes tentativas de fraude.

Corey Nachreiner, diretor de Segurança da Informação da WatchGuard, considera que os trabalhadores continuam a confiar em sinais de autenticidade que a IA tornou mais fáceis de reproduzir.

Segundo o responsável, nomes, vozes, rostos e marcas familiares já não devem ser considerados provas suficientes da identidade de um remetente, tornando a verificação uma competência essencial de Cibersegurança.

O estudo identifica também lacunas na preparação das organizações para responder a ciberataques.

Em Portugal, 41% dos inquiridos apontam a falta de formação ou de sensibilização dos colaboradores como um obstáculo à preparação das empresas. A formação insuficiente é o problema mais referido, com 28%, seguindo-se a falta de sensibilização, identificada por 13%.

Na comparação internacional, o setor da saúde apresenta a maior taxa de verificação de pedidos sensíveis, com 63%, enquanto os trabalhadores dos serviços financeiros demonstram os níveis mais elevados de confiança nas comunicações digitais.

Já na administração pública, apesar de os participantes revelarem maior ceticismo perante mensagens digitais e pedidos atribuídos a diretores executivos, menos de metade confirma a autenticidade dos pedidos sensíveis.

Perante estes resultados, a WatchGuard defende que as organizações devem reforçar os procedimentos de verificação de identidade, especialmente em operações que envolvam pagamentos, reposição de credenciais ou partilha de informação confidencial.

Entre as recomendações encontram-se a confirmação de pedidos através de canais independentes, a realização de simulações de usurpação de identidade de dirigentes e a definição de regras para a utilização de ferramentas de IA.

O relatório destaca ainda o papel dos prestadores de serviços geridos (MSP) na implementação de medidas de proteção, na formação dos colaboradores e na criação de canais de denúncia acessíveis.

A investigação conclui que a evolução das ameaças facilitadas pela IA exige uma mudança nos hábitos de segurança, reduzindo a dependência de sinais de familiaridade e privilegiando mecanismos de verificação independentes antes da execução de pedidos sensíveis.