Hackers usam Copilot da Microsoft para criar golpes de phishing quase perfeitos – está preparado?

O Copilot da Microsoft está a ser aproveitado por hackers para enganar utilizadores e roubar acessos

A inteligência artificial está a transformar a forma como trabalhamos – mas infelizmente também está a ser usada pelos cibercriminosos. Uma investigação recente da Cofense revelou que o Microsoft Copilot, cada vez mais presente no dia a dia das empresas, está a ser explorado em esquemas de phishing altamente credíveis.

Mas como funciona isto?

Basicamente, os atacantes enviam e-mails que parecem autênticos, imitando comunicações da própria Microsoft. O objectivo é simples: levar os utilizadores a clicar em links maliciosos que os redireccionam para páginas que imitam (quase na perfeição) os ecrãs de boas-vindas do Copilot. A ideia é que ninguém desconfie.

Esses sites têm o mesmo aspecto dos verdadeiros – logótipos, design, cores – mas o endereço web denuncia o embuste. Não pertencem à Microsoft, mas sim a domínios fraudulentos criados para enganar. Depois, o golpe continua: quando a vítima introduz os seus dados de login, é levada para uma falsa página de autenticação multifactor (MFA), semelhante à do Microsoft Authenticator. Resultado? Os hackers ficam com acesso total às contas.

E esta tendência está a crescer.

Só em 2024, segundo a Kaspersky, foram bloqueadas quase 900 milhões de tentativas de phishing em todo o mundo. Portugal não escapa: estamos em 13.º lugar a nível global e em 5.º entre os países da União Europeia mais afectados, com cerca de 1,84% dos ataques detectados.

Além de usarem ferramentas como o Copilot, os cibercriminosos continuam a recorrer a marcas conhecidas para ganhar a confiança das vítimas – Booking, Airbnb, TikTok, Telegram… tudo serve para montar esquemas. Numa altura em que se pensa em férias, aumentam os golpes com falsas reservas em hotéis ou voos com “promoções imperdíveis” que, claro, são boas demais para ser verdade.

Aliás, até o SNS foi usado num destes esquemas: circulou recentemente uma mensagem que pedia aos utentes para actualizarem o registo, caso contrário perderiam o acesso aos cuidados de saúde. Um aviso falso, feito para recolher dados pessoais.

Como proteger-se?

• Verifique sempre o endereço de e-mail e o link antes de clicar.
• Desconfie de mensagens com linguagem alarmista ou ofertas “fantásticas”.
• Active a autenticação multifactor legítima.
• E acima de tudo, informe-se – quanto mais souber, mais difícil será cair na armadilha.

A IA veio para ficar – tanto para o bem como para o mal. Cabe-nos a nós, utilizadores, estarmos atentos e preparados.